ISO 27001 y RGPD son dos marcos que con frecuencia se mezclan en las conversaciones sobre cumplimiento, como si uno implicara al otro o como si estar certificado en uno eximiera de cumplir el otro. No es así. Son marcos distintos con propósitos distintos, aunque comparten una base técnica considerable. Entender dónde se solapan y dónde no evita tanto el esfuerzo duplicado como la falsa sensación de seguridad.
Qué regula cada uno
ISO 27001 es una norma internacional de gestión de la seguridad de la información. Define cómo debe estructurarse un Sistema de Gestión de Seguridad de la Información (SGSI): análisis de riesgos, controles técnicos y organizativos, gestión de incidentes, auditorías internas y revisión por la dirección. Su objetivo es proteger la confidencialidad, integridad y disponibilidad de la información en general, no solo de los datos personales.
El RGPD es normativa jurídica vinculante que regula específicamente el tratamiento de datos personales. Establece principios (licitud, minimización, limitación del plazo de conservación), derechos de los interesados y obligaciones del responsable y el encargado. No es un estándar técnico sino una norma con régimen sancionador.
La diferencia central: ISO 27001 es voluntaria y certifica procesos internos. El RGPD es obligatorio y exige resultados concretos sobre datos personales con independencia de cómo se gestione internamente la seguridad.
Dónde se solapan
El artículo 32 del RGPD obliga a implementar medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales. No dice cuáles. ISO 27001 proporciona exactamente eso: un catálogo estructurado de controles (el Anexo A en la versión de 2022, con 93 controles agrupados en cuatro dominios) que en gran parte cumplen las medidas que el artículo 32 exige.
Una empresa certificada en ISO 27001 tiene implementados controles de gestión de accesos, cifrado, gestión de incidentes y continuidad del negocio que son directamente relevantes para el RGPD. Eso no significa que la certificación acredite el cumplimiento del RGPD, pero sí es evidencia sólida de que la seguridad técnica tiene un nivel adecuado, lo que la AEPD valora en caso de brecha o inspección.
Qué no cubre ISO 27001 respecto al RGPD
La certificación no sustituye al registro de actividades de tratamiento del artículo 30, no acredita que la base jurídica de cada tratamiento es correcta, no garantiza que la información a los interesados del artículo 13 sea adecuada, y no reemplaza la gestión de los derechos ARSOPL. Una empresa puede estar certificada en ISO 27001 y tener graves incumplimientos del RGPD en sus formularios de recogida, sus contratos con encargados o su gestión de solicitudes de derechos.
Dicho de otro modo: ISO 27001 cubre el “cómo se protege la información” pero no el “qué se hace con los datos personales y con qué legitimación”.
El ENS: cuándo entra en juego
El Esquema Nacional de Seguridad es obligatorio para las administraciones públicas y para las empresas privadas que presten servicios o desarrollen soluciones tecnológicas para el sector público. No es equivalente a ISO 27001, aunque comparte filosofía de gestión por riesgos. El ENS tiene sus propios niveles de seguridad (básico, medio, alto) y sus propios controles, regulados por el Real Decreto 311/2022.
Para una empresa que necesita cumplir los tres marcos simultáneamente (RGPD, ISO 27001 y ENS), la buena noticia es que existe un nivel de compatibilidad técnica importante. Los controles del ENS y de ISO 27001 se solapan de forma considerable, y la AEPD ha publicado orientaciones sobre cómo articular los tres marcos sin triplicar esfuerzos. El punto de partida siempre es el análisis de riesgos, que es común a los tres.
Qué aporta la certificación ISO 27001 en la práctica
Más allá del cumplimiento normativo, la certificación ISO 27001 tiene valor contractual y comercial. Cada vez más licitaciones públicas y contratos con grandes empresas exigen acreditación de seguridad de la información, y ISO 27001 es el estándar de referencia. También reduce la carga de auditorías repetitivas: un proveedor certificado no necesita responder el mismo cuestionario de seguridad en cada cliente nuevo.
Para el RGPD, la certificación tampoco es un escudo frente a sanciones, pero sí es un argumento defensivo relevante. Si ocurre una brecha de seguridad y la empresa puede demostrar que tenía un SGSI certificado y operativo, la AEPD tiene en cuenta ese contexto al valorar la negligencia y fijar el importe de la sanción.
Fuentes: Norma ISO/IEC 27001:2022; Reglamento (UE) 2016/679 (RGPD), artículos 24, 25 y 32; Real Decreto 311/2022 (ENS); Guía AEPD sobre medidas de seguridad en el RGPD.
