ISO 27701, ya no necesitas la ISO 27001 para certificarte, pero ¿deberías hacerlo?
Índice de contenidos
ISO 27701, ya no necesitas la ISO 27001 para certificarte, pero ¿deberías hacerlo?
Hasta ahora, obtener la certificación ISO 27701 pasaba necesariamente por tener implantada y certificada la ISO 27001. La revisión de la norma ha cambiado esta condición: desde la publicación de la ISO/IEC 27701 en 2025, las organizaciones pueden certificar su sistema de gestión de la privacidad de forma independiente.
Es un cambio importante, especialmente para las empresas que quieren demostrar cómo gestionan y protegen los datos personales sin tener que abordar previamente una certificación en seguridad de la información.
Sin embargo, que ambas normas puedan implantarse y certificarse por separado no significa que la seguridad haya dejado de ser una pieza fundamental de la gestión de la privacidad.
La nueva versión de la ISO 27701 tiene entidad propia, pero sigue requiriendo una estructura sólida de controles de seguridad. Por eso, antes de decidir cómo abordar la certificación, conviene entender qué ha cambiado realmente y qué implicaciones tiene para cada organización.
1. ISO 27701, qué ha cambiado respecto a la versión anterior
La principal novedad de la edición de 2025 es la independencia de la norma.
Hasta la versión de 2019, la ISO 27701 funcionaba como una extensión de las normas ISO 27001 e ISO 27002. Incorporaba requisitos y controles específicos para la gestión de la privacidad, pero necesitaba apoyarse en un sistema de gestión de seguridad de la información previamente implantado. Por tanto, no podía certificarse de manera independiente.
La nueva edición modifica este planteamiento. La ISO/IEC 27701 cuenta con sus propias cláusulas, de la 4 a la 10, y adopta la estructura de alto nivel común a otras normas ISO de sistemas de gestión. Esto permite que una organización pueda implantar y certificar su sistema de gestión de la información de privacidad sin disponer previamente de la certificación ISO 27001.
También introduce cambios en la organización de sus controles. La nueva estructura diferencia los requisitos y controles que deben aplicarse de las orientaciones para llevarlos a la práctica, que quedan recogidos en anexos separados. Además, incorpora como referencia normativa la ISO/IEC 29100, el marco internacional de referencia en materia de privacidad.
La transición entre versiones se ha establecido hasta octubre de 2028. Durante este periodo convivirán ambas ediciones, por lo que las organizaciones certificadas según la versión de 2019 deberán tener en cuenta el calendario de adaptación a la nueva norma.
2. La ISO 27701 ya no exige la ISO 27001, pero sigue necesitando seguridad
La independencia de la ISO 27701 puede llevar a pensar que ahora es posible gestionar la privacidad sin abordar la seguridad de la información. Sin embargo, no es así.
Aunque ya no sea necesario disponer de una certificación ISO 27001, la nueva versión incorpora dentro de su propio sistema los requisitos relacionados con la seguridad de la información.
En concreto, exige establecer un programa de seguridad alineado con los principios de la ISO 27001. Este debe contemplar aspectos como la gestión de riesgos, la protección de los activos, el control de accesos y la respuesta ante incidentes.
La diferencia está en cómo se articula ese trabajo. Antes, la organización debía disponer de un sistema de gestión de seguridad sobre el que ampliar los requisitos de privacidad. Ahora puede integrar ambos ámbitos dentro de un único sistema de gestión de la privacidad, siempre que también desarrolle los controles de seguridad necesarios.
Por tanto, la nueva edición elimina la obligación de contar con una certificación previa, pero no elimina la necesidad de gestionar adecuadamente la seguridad de la información.
«No necesitar la ISO 27001 para certificarte en ISO 27701 no significa que puedas prescindir de los controles de seguridad que exige esta última.»
3. Cumplir el RGPD y estar certificado en ISO 27701 no es lo mismo
La entrada en vigor del RGPD hizo que muchas organizaciones tuvieran que revisar sus procesos de tratamiento de datos personales, sus responsabilidades y sus medidas de protección.
Pero cumplir con el Reglamento General de Protección de Datos y disponer de un sistema de gestión de la privacidad certificado son dos cuestiones diferentes.
El RGPD establece las obligaciones legales que deben cumplir las organizaciones cuando tratan datos personales. La ISO 27701, por su parte, proporciona un marco de gestión que permite organizar, documentar y demostrar cómo se aborda esa responsabilidad.
La norma exige trabajar con evidencias y procedimientos concretos. Entre ellos:
- Un registro de actividades de tratamiento actualizado, que refleje los tratamientos que realiza realmente la organización.
- Un análisis de riesgos específico de privacidad, que contemple las particularidades del tratamiento de datos personales.
- Procedimientos documentados para gestionar las solicitudes de ejercicio de derechos de los interesados.
- Una declaración de aplicabilidad propia de privacidad, introducida en la edición de 2025, con 78 controles agrupados en su correspondiente anexo.
Estos elementos permiten pasar de una gestión de la privacidad basada en obligaciones y documentación a un sistema estructurado, con responsabilidades, controles y evidencias que pueden ser evaluados.
La certificación no sustituye al cumplimiento del RGPD ni constituye por sí misma una garantía absoluta de cumplimiento. Lo que aporta es una evaluación externa e independiente del sistema de gestión implantado.
Esta diferencia puede ser especialmente relevante cuando un cliente, un socio comercial o un proceso de homologación necesita comprobar cómo gestiona una organización los datos personales.
4. ¿Tiene sentido seguir implantando la ISO 27701 sobre una ISO 27001?
Que la ISO 27701 pueda certificarse de forma independiente abre nuevas posibilidades, pero no significa que separar ambos sistemas sea siempre la mejor decisión.
Si una organización no dispone de un sistema de gestión de seguridad de la información, implantar la ISO 27701 implica desarrollar igualmente una estructura de seguridad que contemple la gestión de riesgos, incidentes, activos y accesos, entre otros aspectos.
La seguridad sigue siendo una parte esencial del sistema, aunque ya no sea necesario certificarla previamente mediante la ISO 27001.
Aquí conviene valorar qué aporta cada certificación.
La ISO 27001 permite demostrar, mediante una auditoría independiente, que la organización dispone de un sistema de gestión de seguridad de la información certificado. La ISO 27701 amplía ese enfoque al ámbito de la privacidad, con requisitos y controles específicos para la gestión de los datos personales.
Para una organización que debe responder a exigencias de clientes, aseguradoras o licitaciones públicas, disponer de ambas certificaciones puede aportar evidencias diferenciadas sobre cómo gestiona la seguridad y la privacidad.
Además, cuando la empresa ya tiene implantada la ISO 27001, avanzar hacia la ISO 27701 permite aprovechar buena parte del trabajo realizado: políticas, procedimientos y estructura de responsabilidades, entre otros elementos.
Por eso, aunque la nueva versión permite abordar la privacidad de forma independiente, desde Leasba seguimos considerando recomendable integrar ambos sistemas cuando la organización no dispone de una base de seguridad suficientemente desarrollada.
«No se trata de obtener más certificaciones, sino de construir un sistema de gestión coherente que cubra tanto la seguridad de la información como la privacidad.»
5. ¿Cuándo tiene sentido plantearse la certificación ISO 27701?
No todas las organizaciones tienen las mismas necesidades ni deben abordar la certificación en el mismo momento. Sin embargo, hay determinadas situaciones en las que implantar un sistema de gestión de la privacidad puede aportar un valor especial. Por ejemplo:
- Cuando los clientes exigen garantías sobre el tratamiento de sus datos. Especialmente en relaciones comerciales con grandes organizaciones, donde los procesos de homologación pueden requerir evidencias concretas sobre la gestión de la privacidad.
- Cuando la responsabilidad sobre protección de datos está concentrada en una sola persona o departamento. La ISO 27701 permite establecer un sistema estructurado que dé soporte a esa responsabilidad mediante procedimientos, controles y funciones definidas.
- Cuando la organización debe afrontar procesos de due diligence. Contar con registros, procedimientos y evidencias documentadas facilita demostrar cómo se gestionan los datos personales.
- Cuando ya se dispone de la certificación ISO 27001. En este caso, ampliar el sistema hacia la gestión de la privacidad puede ser un paso natural, aprovechando parte de la estructura y los procesos existentes.
La posibilidad de certificar la ISO 27701 de forma independiente también permite que organizaciones sin ISO 27001 puedan plantearse este proyecto. La decisión dependerá de su situación de partida, sus necesidades y el nivel de madurez de sus sistemas de seguridad y privacidad.
6. Cómo abordamos la gestión de la privacidad en Leasba
En Leasba entendemos la seguridad de la información y la privacidad como dos ámbitos que deben trabajar de forma coordinada.
Por eso, nuestro propio sistema de gestión cuenta con las certificaciones ISO 9001, ISO 27001, ISO 27701 e ISO/IEC 42001, además de la certificación del Esquema Nacional de Seguridad (ENS) en categoría Media.
Esta experiencia nos permite abordar la implantación de sistemas de gestión desde una perspectiva que integra los requisitos normativos, la seguridad y la protección de datos personales.
Si vuestra organización está valorando obtener la certificación ISO 27701, tanto si ya dispone de un sistema de gestión de seguridad como si parte de cero, podemos ayudaros a analizar vuestra situación y definir el camino más adecuado.
Derecho Digital, Privacidad y Compliance
Podrás ser el primero en enterarte de nuestros eventos, noticias y novedades!
