La transición de ISO/IEC 27001:2013 a ISO/IEC 27001:2022 ya no es opcional: es una obligación con fechas límite claras. Si tu organización aún opera bajo la versión 2013, necesitas actuar ahora para evitar la caducidad del certificado, la pérdida de elegibilidad en licitaciones y la erosión de confianza con clientes y auditores. La fecha límite de transición de ISO 27001 2013 a 2022 culmina el 31 de octubre de 2025, y desde el 31 de octubre de 2023 ya no se emiten nuevos certificados bajo 2013. 

Fechas clave de transición ISO 27001:2013 a 2022

Las reglas de transición se basan en los requisitos del IAF (International Accreditation Forum) para la actualización de la norma:

• Publicación de ISO/IEC 27001:2022: octubre de 2022.
• A partir del 31 de octubre de 2023: los organismos de certificación dejaron de emitir nuevos certificados bajo ISO/IEC 27001:2013.
• 31 de octubre de 2025: fecha límite global para completar la transición. Todos los certificados ISO/IEC 27001:2013 expiran o se retiran en esta fecha.

Qué implica en la práctica:

• Puedes completar la transición en una auditoría de vigilancia, recertificación o una auditoría especial dedicada.
• Los organismos de certificación suelen añadir tiempo de auditoría específico para verificar los cambios (por ejemplo, entre 0,5 y 1 día adicional, según el alcance y la madurez del SGSI).

Riesgos de no cumplir a tiempo

• Certificado inválido tras el 31/10/2025.
• Exclusión de licitaciones que exijan ISO/IEC 27001 vigente.
• Penalizaciones contractuales por incumplir requisitos de certificación.
• Incremento de costos por auditorías urgentes y retrabajos.
• Impacto reputacional ante clientes y socios.

Preguntas frecuentes rápidas

• ¿Puedo seguir operando mi SGSI 2013? Sí, pero el certificado perderá validez el 31/10/2025.
• ¿Debo rehacer todo? No. Tu SGSI sigue siendo válido; debes ajustar el anexo A, la SoA, la gestión de riesgos y evidencias clave.
• ¿Cuándo conviene auditar la transición? Idealmente en la siguiente vigilancia o en una auditoría especial si tu recertificación ocurre muy cerca del cierre del plazo.

Conclusión

La fecha límite de transición de ISO 27001:2013 a 2022 es el 31 de octubre de 2025, y desde el 31 de octubre de 2023 no se emiten nuevos certificados bajo 2013. Si gestionas TI o diriges una pyme, anticiparte es más rentable que correr al final. Evalúa tu brecha, actualiza la SoA, ajusta controles y agenda tu auditoría de transición con tiempo.