La norma ISO/IEC 27006-1:2024 es el estándar de referencia para los organismos que realizan auditorías y certificaciones de Sistemas de Gestión de la Seguridad de la Información (SGSI) conforme a ISO/IEC 27001.
Su aplicación introduce cambios relevantes en la forma de planificar, calcular y ejecutar las auditorías ISO 27001, especialmente en aspectos como el número de personas incluidas en el alcance, la duración de las auditorías, las actividades realizadas de forma remota, las organizaciones multisitio y las ampliaciones del alcance de certificación.
Aunque la ISO/IEC 27006-1:2024 está dirigida principalmente a las entidades de certificación, sus requisitos también pueden tener efectos directos sobre las empresas certificadas en ISO 27001 o que estén preparando su certificación, ya que pueden influir en la duración y planificación de sus auditorías.
¿Qué es la norma ISO/IEC 27006-1:2024?
La ISO/IEC 27006-1:2024, publicada en marzo de 2024, establece los requisitos adicionales que deben cumplir los organismos que auditan y de certifican Sistemas de Gestión de la Seguridad de la Información de acuerdo con ISO/IEC 27001, de Seguridad de la información, ciberseguridad y protección de la privacidad – Sistemas de gestión de la seguridad de la información – Requisitos.
La norma complementa a la ISO/IEC 17021-1, de Evaluación de la conformidad – Requisitos para los organismos que realizan la auditoría y la certificación de sistemas de gestión, adaptando los requisitos generales aplicables a las entidades de certificación a las particularidades de la seguridad de la información, la ciberseguridad y la protección de la privacidad.
Su finalidad es garantizar que las certificaciones ISO 27001 se emitan de forma competente, coherente e imparcial, reforzando así la confianza y el reconocimiento de los certificados.
¿A quién aplica la ISO/IEC 27006-1:2024?
Es importante diferenciar entre ISO/IEC 27001 e ISO/IEC 27006-1:2024:
- La ISO/IEC 27001 establece los requisitos que debe cumplir una organización para implantar y mantener un Sistema de Gestión de la Seguridad de la Información.
- La ISO/IEC 27006-1:2024 aplica a los organismos que certifican SGSI. Por tanto, no regula directamente cómo debe implantarse un SGSI, sino cómo debe auditarse y certificarse.
En consecuencia, una empresa certificada en ISO 27001 no tiene que implantar directamente la ISO/IEC 27006-1:2024. Sin embargo, sí puede verse afectada por sus requisitos durante las auditorías de certificación, seguimiento o renovación.
Entre otros objetivos, la norma ISO/IEC 27006-1:2024 pretende lo siguiente:
- Reforzar la competencia técnica de los auditores de SGSI.
- Garantizar una aplicación coherente de los criterios de certificación.
- Asegurar la imparcialidad de las auditorías.
- Mejorar el reconocimiento internacional de las certificaciones ISO 27001.
- Establecer criterios más precisos para determinar la duración y planificación de las auditorías.
Principales cambios de la ISO/IEC 27006-1:2024
La versión de 2024 sustituye a la ISO/IEC 27006:2015 y su modificación de 2020 e introduce novedades que afectan especialmente a la planificación de las auditorías ISO 27001.
Nuevos criterios para calcular el tiempo de auditoría ISO 27001
Uno de los cambios más relevantes afecta al cálculo de la duración de las auditorías. La norma ISO/IEC 27006-1:2024 actualiza los criterios para determinar el número de personas que debe tenerse en cuenta al calcular la duración de una auditoría y permite considerar de forma diferenciada determinados grupos de trabajadores que realizan actividades idénticas.
Este cambio resulta especialmente relevante en organizaciones con plantillas numerosas o con grupos amplios de trabajadores que desarrollan funciones homogéneas.
Por ello, las empresas deben proporcionar a la entidad certificadora información suficientemente precisa sobre su estructura, trabajadores, actividades y alcance del SGSI, de forma que pueda realizarse un cálculo adecuado de las jornadas de auditoría.
Mayor importancia de la complejidad del SGSI
La entidad de certificación debe valorar las características concretas de la organización y de su Sistema de Gestión de la Seguridad de la Información. Factores como la estructura operativa, las tecnologías utilizadas, la externalización de servicios y la dispersión geográfica de las sedes pueden impactar en la planificación de las jornadas de auditoría.
Como consecuencia, dos organizaciones con un número similar de trabajadores pueden requerir tiempos de auditoría distintos.
Cambios en las auditorías remotas
La ISO/IEC 27006-1:2024 precisa los requisitos aplicables a las auditorías remotas, obligando a documentar su alcance, eficacia y el uso de técnicas a distancia en el informe final. Además, exige reflejar explícitamente en la documentación de certificación cuando una organización opera de manera virtual o cuenta con pocos centros físicos.
Nuevos criterios para organizaciones con varios centros
La norma ISO/IEC 27006-1:2024 clarifica el cálculo de tiempos para organizaciones multisitio, exigiendo una definición precisa de los centros del alcance, sus actividades, procesos compartidos, centros de procesamiento de datos y externalizaciones.
Una delimitación incorrecta o desactualizada de estos elementos puede afectar directamente a la planificación de la auditoría.
Cambios cuando se amplía el alcance de una certificación ISO 27001
La ISO/IEC 27006-1:2024 establece requisitos específicos para el cálculo del tiempo adicional ante extensiones de alcance en ISO 27001, obligando a las entidades a evaluar el impacto de nuevos procesos, servicios o ubicaciones.
Por ello, las organizaciones deben comunicar cualquier cambio con suficiente antelación para garantizar una correcta planificación de la auditoría.
Alineación con ISO/IEC 27001:2022
La norma ISO/IEC 27006-1:2024 también se actualiza para mantener la coherencia con la versión 2022 de ISO/IEC 27001, trasladando la correspondencia de controles de seguridad de la información al nuevo Anexo E. Además, elimina determinadas redundancias normativas aplicables a las entidades de certificación y refuerza el enfoque basado en la competencia efectiva de los auditores de SGSI.
¿Ha finalizado la transición a ISO/IEC 27006-1:2024?
Sí. El periodo establecido para la transición a ISO/IEC 27006-1:2024 ya ha finalizado.
En España, ENAC estableció que desde el 1 de diciembre de 2024 las auditorías debían realizarse conforme a los requisitos de ISO/IEC 27006-1:2024.
El 31 de marzo de 2026 finalizó además el periodo establecido para que las entidades de certificación acreditadas adaptaran sus acreditaciones a la nueva norma.
Por tanto, actualmente la ISO/IEC 27006-1:2024 constituye el estándar aplicable a los organismos acreditados que certifican Sistemas de Gestión de la Seguridad de la Información conforme a ISO/IEC 27001.
¿Cómo afecta la ISO/IEC 27006-1:2024 a una empresa certificada en ISO 27001?
Aunque los requisitos de la ISO/IEC 27006-1:2024 recaen directamente sobre las entidades de certificación, una organización certificada puede apreciar cambios en cuestiones como:
- La información solicitada antes de preparar la auditoría.
- El cálculo del número de personas incluidas en el alcance.
- La duración de la auditoría.
- La evaluación de centros y actividades remotas.
- La planificación de organizaciones multisitio.
- Las auditorías asociadas a ampliaciones del alcance.
Por ello, las organizaciones certificadas deberían comprobar que la información facilitada a su entidad certificadora refleja correctamente su situación actual.
¿Qué debería revisar una organización antes de su próxima auditoría ISO 27001?
Antes de una auditoría de certificación, seguimiento o renovación ISO 27001, una organización debe revisar que toda la información que pueda afectar a su planificación se encuentra actualizada. Especialmente, debe revisarse el alcance del SGSI, el número y distribución de trabajadores, los centros incluidos en la certificación, las actividades desarrolladas en cada uno de ellos, los servicios externalizados y cualquier modificación relevante que se haya producido desde la auditoría anterior.
Una adecuada preparación previa permitirá justificar correctamente las características de la organización y facilitará que la entidad certificadora calcule y planifique la auditoría conforme a la norma ISO/IEC 27006-1:2024.
GAIA SYSTEMS: consultoría para la certificación ISO 27001
En GAIA SYSTEMS, ofrecemos servicios de consultoría integral para la implantación, mantenimiento y mejora de Sistemas de Gestión de la Seguridad de la Información conforme a ISO 27001.
También acompañamos a las organizaciones en la preparación de auditorías de certificación, seguimiento y renovación, ayudándolas a mantener actualizado su SGSI y a preparar la información necesaria para afrontar adecuadamente el proceso de certificación.
Los cambios introducidos por ISO/IEC 27006-1:2024 hacen especialmente importante disponer de información precisa sobre el alcance, la estructura de la organización, el personal y los centros incluidos en el SGSI.
Si necesitas asesoramiento para implantar ISO 27001, mantener tu certificación o preparar una próxima auditoría, contacta con GAIA SYSTEMS.
