Cronograma de implementación ISO 27001: plazos por etapa

Una pregunta frecuente al iniciar un proyecto de ISO 27001 es cuánto tiempo tomará. La respuesta honesta es que depende del tamaño del alcance, el estado inicial de madurez de la seguridad y la disponibilidad del equipo. Sin embargo, la mayoría de las implementaciones para empresas pequeñas y medianas toma entre 6 y 14 meses.

Factores que determinan la duración

Cronograma típico: empresa pequeña (6–9 meses)

Mes 1–2: Diagnóstico y planificación

• Análisis de brechas (gap analysis) respecto a ISO 27001:2022
• Definición del alcance del SGSI
• Constitución del equipo del proyecto
• Aprobación del presupuesto y plan de proyecto
• Inventario inicial de activos de información

Mes 2–4: Diseño del SGSI

• Análisis de partes interesadas y contexto organizacional (cláusula 4)
• Redacción de la política de seguridad y aprobación por la dirección
• Diseño de la metodología de evaluación de riesgos
• Primera evaluación de riesgos completa
• Definición del plan de tratamiento de riesgos
• Primera versión de la Declaración de Aplicabilidad (SoA)
• Definición de roles y responsabilidades

Mes 3–6: Implementación de controles

• Implementación de controles técnicos prioritarios (según evaluación de riesgos)
• Redacción de políticas específicas (uso aceptable, clasificación, control de acceso, etc.)
• Implementación del proceso de gestión de incidentes
• Implementación del proceso de gestión de continuidad básica
• Programa de capacitación y concienciación
• Implementación de métricas y monitoreo

Mes 5–7: Operación y evidencias

• Operación de todos los controles implementados
• Generación de evidencias de funcionamiento (registros, logs, informes)
• Simulacros de respuesta a incidentes
• Primer ciclo de métricas del SGSI

Mes 6–8: Auditoría interna y revisión por la dirección

• Planificación y ejecución de la auditoría interna
• Tratamiento de no conformidades detectadas en la auditoría interna
• Revisión por la dirección (cláusula 9.3)
• Actualización de la SoA y planes de tratamiento

Mes 8–9: Auditoría de certificación

• Solicitud de cotización a organismos de certificación
• Preparación y pre-auditoría interna
• Auditoría Etapa 1 (revisión documental): 1–2 días
• Cierre de observaciones de la Etapa 1 (2–4 semanas)
• Auditoría Etapa 2 (auditoría in situ): 2–5 días
• Cierre de no conformidades detectadas
• Emisión del certificado

Cronograma ampliado: empresa mediana (10–14 meses)

Para empresas con más de 50 empleados, múltiples departamentos en el alcance o infraestructura tecnológica compleja, todas las fases requieren más tiempo:

• La evaluación de riesgos puede tomar 2–3 meses sola
• La implementación de controles técnicos puede requerir proyectos paralelos (gestión de vulnerabilidades, implementación de SIEM, gestión de identidades)
• La coordinación entre departamentos agrega tiempo a cada etapa
• La auditoría de certificación toma más días de auditoría

Hitos clave del proyecto

Por qué los proyectos se retrasan

Los factores más comunes de retraso en implementaciones ISO 27001 en Chile son:

1. La evaluación de riesgos se extiende porque el equipo no tiene metodología clara
2. La dirección no prioriza el proyecto cuando surgen otras urgencias operacionales
3. La documentación de políticas se dilata porque nadie tiene tiempo de redactarlas
4. Los controles técnicos requieren más trabajo de lo estimado (especialmente gestión de vulnerabilidades y control de acceso)
5. La auditoría interna detecta brechas significativas que requieren trabajo adicional

Profundiza en el proyecto con nuestra guía sobre costos de certificación, errores comunes y auditoría interna.