¿Tu certificado ISO 27001 sigue vigente? Cómo comprobarlo tras el fin de la versión 2013

Este 31 de octubre se cumple un año desde que dejaron de valer los certificados ISO/IEC 27001:2013. Aun así, siguen apareciendo en propuestas técnicas, en páginas web de proveedores y en expedientes de contratación, a veces con una fecha de vencimiento impresa que todavía no llega. Para quien recibe ese papel, lo que importa es saber si el certificado ISO 27001 sigue vigente o si ya no acredita nada.

Esta nota sirve a dos lectores. Si tu organización está certificada, te ayuda a confirmar que tu certificado está en regla y que tu sistema ya contempla la enmienda de 2024 sobre cambio climático. Si integras un comité de selección o un área usuaria del Estado, te da un método ordenado para validar el certificado que presenta un postor: versión, alcance, vigencia y organismo acreditado.

Qué pasó con los certificados ISO 27001:2013

Dejaron de ser válidos el 31 de octubre de 2025. ISO publicó la versión 2022 de la norma el 25 de octubre de 2022, y el Foro Internacional de Acreditación (IAF) fijó las reglas del cambio en su documento obligatorio IAF MD 26:2023: tres años de transición, certificaciones iniciales y recertificaciones solo con la versión 2022 desde el 30 de abril de 2024 y, al cierre del periodo, todos los certificados basados en la versión 2013 vencidos o retirados.

La transición exigía una auditoría real, con un mínimo de un día de auditor (medio día si se hacía junto con la recertificación). El auditor debía revisar, entre otras cosas, la Declaración de Aplicabilidad actualizada y los controles nuevos, de modo que no bastaba con cambiar el año en el papel. El motivo es que el anexo de controles cambió bastante: según el mismo documento del IAF, se pasó de 114 controles agrupados en 14 cláusulas a 93 controles en 4 grupos, de los cuales 11 son nuevos.

Las fechas merecen una segunda mirada. Cuando una empresa actualizó su certificado solo con la auditoría de transición, la fecha de vencimiento de su ciclo de certificación no cambió, de modo que un certificado 2022 obtenido así puede vencer antes de lo que uno esperaría.

La enmienda de cambio climático de 2024

En febrero de 2024, ISO publicó la Enmienda 1 de la ISO/IEC 27001:2022, titulada «Climate action changes». Es un texto de una página que agrega a las cláusulas 4.1 y 4.2 (contexto de la organización y partes interesadas) la consideración del cambio climático. Otras normas de sistemas de gestión, como la ISO 9001, recibieron una enmienda equivalente.

El comunicado conjunto de IAF e ISO aclaró tres puntos que importan a quien tiene un certificado. La intención de esas cláusulas no cambia, porque ya pedían analizar todos los factores internos y externos. No hace falta un programa de transición ni un certificado nuevo, porque el año de la norma sigue siendo 2022. Y desde la publicación, el organismo certificador verifica que la organización evaluó si el cambio climático es relevante para su sistema; si no puede demostrarlo, corresponde un hallazgo.

La respuesta depende de cada caso. El comunicado menciona factores como la ubicación geográfica, la cadena de suministro o el sector. Para una organización con su centro de datos en una zona expuesta a inundaciones o a cortes de energía por olas de calor, el tema puede pesar en el análisis de riesgos; para otra, basta con dejar documentado por qué no es relevante. Para quien evalúa un certificado, la consecuencia práctica es que un certificado que dice ISO/IEC 27001:2022 sin mencionar la enmienda sigue siendo válido.

Cómo validar un certificado ISO 27001 en cinco pasos

1. Confirma la versión. Debe decir ISO/IEC 27001:2022. Si dice 2013, ya no acredita nada, aunque la fecha de vencimiento impresa sea posterior a octubre de 2025.
2. Revisa las fechas de emisión y de vencimiento. La fecha impresa no basta, porque un certificado puede haberse suspendido o retirado después de emitido; por eso el quinto paso es indispensable.
3. Lee el alcance. El certificado describe qué procesos, servicios y sedes están dentro del sistema. Un certificado que cubre la mesa de ayuda de una empresa no dice nada sobre el servicio de nube que esa misma empresa te ofrece, así que compara el alcance con lo que vas a contratar.
4. Identifica al organismo certificador y su acreditación. Como explica el propio IAF, una certificación emitida por un organismo acreditado por un firmante de su acuerdo de reconocimiento mutuo puede reconocerse en todo el mundo. Sin esa acreditación, el certificado vale lo que vale la palabra de quien lo emitió.
5. Busca la certificación en IAF CertSearch, la base de datos mundial de certificaciones acreditadas de sistemas de gestión, donde se puede consultar su estado. Si no aparece, pide al organismo certificador una confirmación escrita.

Un dato de contexto para no confundirse con los nombres: el IAF dejó de operar el 1 de enero de 2026 y sus funciones pasaron a Global Accreditation Cooperation (Global ACI), una organización nueva que reúne el trabajo del IAF y de ILAC. La base de datos de certificados sigue funcionando con el nombre de IAF CertSearch.

Si tu organización está certificada

Aplica los mismos cinco pasos a tu propio certificado. Luego confirma que en el análisis de contexto quedó registrada la evaluación del cambio climático, porque es lo que el auditor buscará sobre la enmienda. Y reemplaza el certificado antiguo en tu web, en tus plantillas de propuesta y en los expedientes que envías: un PDF con la versión 2013 puede seguir circulando mucho tiempo después de vencer, y quien lo reciba sacará conclusiones sobre tu sistema.

Si la auditoría de seguimiento se acerca, conviene repasar lo que revisa realmente una auditoría ISO 27001. Y si eres una entidad pública certificada, ten presente que la Resolución de Secretaría de Gobierno y Transformación Digital N.° 003-2023-PCM/SGTD te pide informar el estado de la certificación en Facilita Perú durante el primer trimestre de cada año, como parte de las obligaciones del SGSI obligatorio en las entidades públicas.

Si evalúas el certificado de un postor

Antes de mirar el certificado conviene mirar el requerimiento. Si los términos de referencia piden un certificado ISO 27001, lo razonable es pedirlo en versión 2022, vigente, emitido por un organismo acreditado y con un alcance que incluya el servicio que se contrata, siempre dentro de lo que permitan las bases y las reglas de la Ley 32069. Pedir además un certificador determinado o un alcance redactado a la medida de una empresa limita la competencia, por la misma razón que explicamos al hablar de especificaciones técnicas que no direccionan la compra.

Al evaluar, deja constancia de cada paso: la versión que figura, el alcance, las fechas, el organismo que lo emitió y el resultado de la búsqueda en línea, con la fecha en que la hiciste. Si el certificado vence durante la ejecución del contrato, anota desde ahora cómo se verificará la renovación. Ese registro protege al comité si después alguien cuestiona la decisión.

Qué hacer esta semana

• Saca una copia de tu certificado y confirma versión, alcance y fecha de vencimiento.
• Búscalo en IAF CertSearch y guarda la captura con la fecha de la consulta.
• Verifica que el análisis de contexto documente la evaluación del cambio climático.
• Retira de tu web y de tus plantillas cualquier certificado con la versión 2013.
• Si compras servicios, agrega los cinco pasos a la lista de revisión del comité o del área usuaria.

Esta nota resume reglas de acreditación y certificación en términos generales y no constituye asesoría legal. Cada contratación se rige por sus bases y por la normativa vigente, y ante una duda sobre un certificado concreto, la última palabra la tiene el organismo que lo emitió.