Las normas ISO establecen referencias internacionales para gestionar procesos, servicios, productos y diferentes aspectos de una organización. Existen normas para calidad, medio ambiente, seguridad laboral, energía, alimentos, compliance, tecnologías de la información, ciberseguridad e inteligencia artificial, entre muchos otros ámbitos.
Conocer los tipos de normas ISO permite identificar cuáles pueden aportar valor de acuerdo con los objetivos y riesgos de una empresa. En este artículo de VIRMAR Ciberseguridad explicamos las principales familias de normas ISO y ponemos especial atención en las normas relacionadas con ciberseguridad, TI e inteligencia artificial.
Índice
- ¿Qué son las normas ISO?
- ¿Cuáles son los tipos de normas ISO que existen?
- ¿Qué normas ISO están relacionadas con ciberseguridad?
- ¿Qué normas ISO son importantes para TI?
- ¿Qué normas ISO existen para la inteligencia artificial?
- ¿Cómo elegir entre los diferentes tipos de normas ISO?
- ¿Qué son las certificaciones ISO en México?
- Beneficios de implementar normas ISO en una empresa
- ¿Qué normas ISO debería considerar una empresa?
- Reflexiones finales
- Preguntas frecuentes
- Contenido relacionado
¿Qué son las normas ISO?
Las normas ISO son estándares internacionales desarrollados mediante acuerdos entre expertos de distintos países y sectores. Su objetivo es proporcionar criterios, requisitos, principios u orientación para realizar determinadas actividades de forma consistente. ISO señala que abarca desde la fabricación de productos y prestación de servicios hasta la gestión de procesos y sistemas organizacionales.
¿Para qué sirven las normas ISO?
Las normas ISO ayudan a las organizaciones a establecer prácticas y sistemas de gestión estructurados. Dependiendo de la norma, pueden contribuir a:
- Mejorar la calidad de productos y servicios.
- Gestionar riesgos de manera sistemática.
- Reducir impactos ambientales.
- Proteger la información y los datos.
- Mejorar la seguridad y salud en el trabajo.
- Gestionar servicios de TI.
- Fortalecer el compliance y la gobernanza.
- Gestionar riesgos y oportunidades relacionados con la inteligencia artificial.
No todas las normas ISO tienen el mismo propósito. Por eso, elegir una norma debe partir de las necesidades y objetivos de la organización, no únicamente de la intención de obtener una certificación.
¿Todas las normas ISO se pueden certificar?
No. No todas las normas ISO están diseñadas para obtener una certificación.
La certificación es una evaluación realizada por un organismo independiente que determina si un producto, servicio, proceso o sistema cumple determinados requisitos. ISO establece que sus normas de sistemas de gestión pueden implementarse sin certificación y que la certificación, cuando aplica, es realizada por organismos externos.
Por ejemplo, ISO 9001 e ISO/IEC 27001 contienen requisitos que pueden ser evaluados para certificación. Otras normas tienen principalmente un propósito de orientación o apoyo.
¿Cuáles son los tipos de normas ISO que existen?
Las normas ISO abarcan numerosas áreas de gestión y operación empresarial. Algunas se agrupan en familias de normas, como ISO 9000, ISO 14000 e ISO/IEC 27000. Otras son normas individuales que establecen requisitos específicos para un sistema de gestión.
Por ello, al hablar de los tipos de normas ISO, es útil clasificarlas según el ámbito que abordan y señalar si se trata de una familia o de una norma específica.
Normas ISO de gestión de la calidad: familia ISO 9000
La familia ISO 9000 reúne normas relacionadas con la gestión de la calidad. Entre ellas se encuentran ISO 9000, que establece fundamentos y vocabulario; ISO 9001, que define los requisitos para un Sistema de Gestión de la Calidad (SGC); e ISO 9004, que ofrece orientación para alcanzar un desempeño sostenido.
De esta familia, ISO 9001 es la norma que puede utilizarse para la certificación. Su propósito es ayudar a las organizaciones a establecer, implementar, mantener y mejorar continuamente un sistema de gestión de la calidad.
Normas ISO de gestión ambiental: familia ISO 14000
La familia ISO 14000 reúne normas relacionadas con la gestión ambiental. Su referencia principal es ISO 14001, que establece los requisitos para implementar y mejorar continuamente un sistema de gestión ambiental (SGA). La familia también incluye normas de apoyo relacionadas con auditorías, comunicación, etiquetado, análisis del ciclo de vida y otros aspectos ambientales.
La edición vigente de ISO 14001 es ISO 14001:2026, publicada en abril de 2026. ISO 14001 es la norma de esta familia que puede utilizarse para la certificación.
Normas ISO de seguridad y salud en el trabajo: ISO 45001
En materia de seguridad y salud en el trabajo, la referencia principal es ISO 45001. Esta norma establece los requisitos para un Sistema de Gestión de Seguridad y Salud en el Trabajo (SST), con un enfoque orientado a identificar peligros, gestionar riesgos, cumplir requisitos aplicables y mejorar continuamente el desempeño.
Actualmente, ISO 45001:2018 continúa siendo la edición publicada y vigente, aunque ISO tiene una nueva edición en desarrollo.
Normas ISO de seguridad alimentaria: ISO 22000
Para la gestión de la inocuidad de los alimentos, la principal referencia es ISO 22000. Esta norma establece los requisitos de un sistema de gestión de la inocuidad de los alimentos aplicable a organizaciones de la cadena alimentaria.
La edición vigente es ISO 22000:2018, aunque actualmente se encuentra en desarrollo una nueva versión que sustituirá a esta edición.
Normas ISO de gestión de la energía: ISO 50001
ISO 50001 establece los requisitos para un Sistema de Gestión de la Energía (SGEn). Su objetivo es ayudar a las organizaciones a gestionar y mejorar sistemáticamente su desempeño energético, incluyendo aspectos como la eficiencia, el uso y el consumo de energía.
La edición vigente es ISO 50001:2018, con una modificación publicada en 2024 relacionada con la acción climática. La norma puede integrarse con otros sistemas de gestión ISO, como ISO 9001 e ISO 14001.
Normas ISO de compliance y anticorrupción: ISO 37001 e ISO 37301
En el ámbito del compliance y la integridad organizacional, destacan dos normas con objetivos relacionados, pero diferentes.
ISO 37001 establece los requisitos y la orientación para implementar un sistema de gestión antisoborno. Su objetivo es ayudar a las organizaciones a prevenir, detectar y responder ante prácticas de soborno. La edición vigente es ISO 37001:2025.
Por su parte, ISO 37301 establece los requisitos para un sistema de gestión del compliance. Su alcance es más amplio que el de ISO 37001, ya que aborda el cumplimiento de leyes, regulaciones y compromisos éticos aplicables a la organización. La edición vigente es ISO 37301:2021, confirmada por ISO en 2026.
Normas ISO de información, tecnología y ciberseguridad: familia ISO/IEC 27000
La familia ISO/IEC 27000 reúne normas relacionadas con la seguridad de la información, la ciberseguridad y la protección de la privacidad. Dentro de esta familia existen normas que establecen requisitos para sistemas de gestión y otras que proporcionan controles, directrices o aplicaciones específicas.
Una de las principales es ISO/IEC 27001, que establece los requisitos para un sistema de gestión de la seguridad de la información. A partir de esta familia se desarrollan también normas especializadas en ámbitos como privacidad, servicios en la nube y sectores específicos.
¿Qué normas ISO están relacionadas con la ciberseguridad?
Las normas ISO relacionadas con la ciberseguridad permiten abordar la protección de la información desde diferentes perspectivas. No todas persiguen el mismo objetivo: algunas establecen sistemas de gestión y otras proporcionan controles u orientación para contextos concretos.
ISO/IEC 27001: la referencia para la gestión de la seguridad de la información
ISO/IEC 27001 es la norma internacional más conocida para los sistemas de gestión de seguridad de la información (SGSI). Establece los requisitos que debe cumplir un SGSI y proporciona un marco para gestionar continuamente los riesgos relacionados con la información.
Un SGSI es el conjunto de políticas, procesos, responsabilidades y controles mediante los cuales una organización gestiona la seguridad de la información. Su enfoque considera la confidencialidad, integridad y disponibilidad de la información, así como la identificación y tratamiento de riesgos.
Para una empresa, ISO/IEC 27001 puede servir como referencia para pasar de controles aislados a una gestión estructurada de la seguridad.
ISO/IEC 27701: gestión de la privacidad y datos personales
ISO/IEC 27701 está orientada a la gestión de información relacionada con la privacidad. Su edición vigente, ISO/IEC 27701:2025, especifica requisitos para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de información de privacidad.
Estos sistemas ayudan a gestionar las responsabilidades relacionadas con el tratamiento de información de identificación personal (IIP), tanto desde la perspectiva de quienes controlan como de quienes procesan esa información.
ISO/IEC 27017: seguridad de la información en servicios cloud
Los entornos cloud distribuyen responsabilidades de seguridad entre proveedores y clientes. Por ello, requieren controles y criterios específicos.
ISO/IEC 27017 proporciona orientación para aplicar controles de seguridad de la información en servicios cloud y añade consideraciones específicas para proveedores y clientes. Su edición vigente es ISO/IEC 27017:2026, que contempla nubes públicas, privadas e híbridas.
La norma ayuda a clarificar responsabilidades e integrar la seguridad de los servicios cloud dentro de una estrategia más amplia de gestión de riesgos.
ISO/IEC 27018: protección de datos personales en la nube pública
ISO/IEC 27018:2025 se enfoca en la protección de información de identificación personal cuando un proveedor de nube pública actúa como encargado del tratamiento.
La norma adapta controles y principios a este contexto y complementa un SGSI basado en ISO/IEC 27001. También ayuda a aclarar responsabilidades entre proveedores y clientes respecto al tratamiento de información personal.
ISO/IEC 27019: seguridad de la información en el sector energético
ISO/IEC 27019:2024 proporciona controles de seguridad de la información para la industria de operadores de energía.
Su alcance contempla sistemas utilizados para controlar y supervisar procesos como generación, transmisión, almacenamiento y distribución de electricidad, gas, petróleo y calor, así como procesos relacionados.
Por ello, resulta especialmente relevante para organizaciones cuya operación tecnológica está vinculada con infraestructura energética.
Si te interesa saber más sobre certificaciones en ciberseguridad, te invitamos a leer el siguiente artículo de VIRMAR Ciberseguridad: Certificaciones en ciberseguridad: ¿Cuáles existen y cómo elegir la adecuada?
¿Qué normas ISO son importantes para TI?
Las organizaciones que dependen de infraestructura y servicios tecnológicos necesitan gestionar no solo la seguridad, sino también la calidad y continuidad de sus servicios.
ISO/IEC 20000-1: gestión de servicios de TI
ISO/IEC 20000-1:2018 establece requisitos para implementar, mantener y mejorar continuamente un sistema de gestión de servicios (SMS). Este sistema contempla la planificación, el diseño, la transición, la entrega y la mejora de servicios para cumplir los requisitos establecidos y generar valor.
ISO/IEC 27001 vs. ISO/IEC 20000-1
Las dos normas tienen objetivos diferentes, pero pueden complementarse. ISO/IEC 27001 se concentra en la gestión de los riesgos de seguridad de la información, mientras que ISO/IEC 20000-1 se enfoca en la gestión de servicios de TI.
Una organización puede integrar ambos sistemas cuando necesita que la seguridad y la operación tecnológica trabajen bajo procesos coordinados.
¿Qué normas ISO existen para la inteligencia artificial?
La expansión de la inteligencia artificial ha generado nuevas necesidades de gobernanza, gestión de riesgos y uso responsable. En este contexto, ISO e IEC han desarrollado normas específicas para diferentes aspectos de la IA.
ISO/IEC 42001: sistema de gestión de inteligencia artificial
ISO/IEC 42001:2023 establece requisitos para crear, implementar, mantener y mejorar continuamente un sistema de gestión de inteligencia artificial (SGIA). Está dirigida a organizaciones que desarrollan, proporcionan o utilizan productos o servicios basados en IA.
Su enfoque permite gestionar riesgos y oportunidades relacionados con la IA y establecer una estructura de gobernanza para su uso responsable.
Otras normas ISO relacionadas con inteligencia artificial
Entre las normas que complementan este ecosistema se encuentran:
- ISO/IEC 22989: conceptos y terminología relacionados con inteligencia artificial.
- ISO/IEC 23053: marco para sistemas de IA y aprendizaje automático.
- ISO/IEC 23894: orientación para gestionar riesgos relacionados con inteligencia artificial.
La diferencia principal es que ISO/IEC 42001 establece un sistema de gestión organizacional, mientras que las otras normas proporcionan conceptos, marcos u orientación para aspectos específicos de la IA.
¿Cómo elegir entre los diferentes tipos de normas ISO?
No existe una única norma ISO adecuada para todas las empresas. La elección debe relacionarse con el propósito y el contexto de cada organización.
1. Identificar el objetivo de la organización
Primero hay que determinar qué se busca mejorar: calidad, seguridad de la información, privacidad, servicios de TI, gestión ambiental, energía, compliance o gobernanza de IA, por ejemplo.
2. Identificar los principales riesgos y procesos
Después conviene analizar los procesos que generan mayor exposición y los riesgos que pueden afectar al negocio. Esto ayuda a evitar implementar una norma únicamente por su reconocimiento.
3. Determinar si se necesita certificación
La implementación de una norma no implica necesariamente certificarse. Si clientes, contratos, licitaciones o requisitos sectoriales exigen una certificación, entonces debe planificarse también el proceso de evaluación por un organismo independiente.
4. Evaluar la posibilidad de integrar varios sistemas de gestión
Las normas de sistemas de gestión pueden diseñarse para trabajar conjuntamente. Por ejemplo, una empresa puede integrar calidad, seguridad de la información, servicios de TI y privacidad en lugar de mantener sistemas completamente aislados.
¿Qué son las certificaciones ISO en México?
Las certificaciones ISO en México son realizadas por organismos que determinan si una organización cumple los requisitos de una norma aplicable.
En México, la Entidad Mexicana de Acreditación (ema) acredita organismos de evaluación de la conformidad, incluidos organismos de certificación. Entre los esquemas reconocidos se encuentran ISO 9001, ISO 14001, ISO 22000, ISO 20000 e ISO 27001, entre otros.
¿Cuál es la diferencia entre certificación y acreditación?
La diferencia puede resumirse así:
- Certificación: evaluación de conformidad de una organización, producto, proceso o sistema frente a requisitos determinados.
- Acreditación: reconocimiento formal de la competencia de un organismo que realiza actividades de evaluación de la conformidad.
Por ejemplo, una empresa puede obtener una certificación ISO/IEC 27001 de un organismo de certificación. A su vez, ese organismo puede estar acreditado por una entidad de acreditación que reconoce su competencia para realizar determinadas certificaciones.
Beneficios de implementar normas ISO en una empresa
Implementar una norma ISO puede aportar beneficios que van más allá de obtener un certificado. Su valor depende de cómo se integre en la operación y en la estrategia de la organización.
- Mejor gestión de riesgos. Las normas de sistemas de gestión proporcionan estructuras para identificar, evaluar, tratar y dar seguimiento a diferentes riesgos.
- Procesos más consistentes. Establecer responsabilidades, controles y métodos de seguimiento puede ayudar a reducir variaciones y mejorar la forma en que se ejecutan los procesos.
- Mayor confianza de clientes y socios. Una certificación independiente puede aportar evidencia adicional de que una organización cuenta con procesos que cumplen determinados requisitos.
- Apoyo al cumplimiento. Algunas normas ayudan a estructurar procesos relacionados con requisitos legales, regulatorios, contractuales o internos.
- Mejora continua. La evaluación del desempeño, las auditorías y las acciones de mejora permiten que el sistema evolucione con las necesidades de la organización. ISO destaca precisamente la posibilidad de obtener beneficios mediante la implementación de estándares de sistemas de gestión incluso sin certificarse.
¿Qué normas ISO debería considerar una empresa según sus necesidades?
La siguiente tabla funciona como una guía rápida para identificar qué tipos de normas ISO pueden analizarse según una necesidad empresarial concreta:
Esta tabla no sustituye un análisis de contexto y riesgos. Una misma organización puede necesitar varias normas dependiendo de sus procesos, sector, obligaciones y objetivos.
De las normas ISO a una estrategia empresarial de seguridad y resiliencia
Conocer los tipos de normas ISO es solo el primer paso. El verdadero valor aparece cuando sus principios se convierten en prácticas aplicables al negocio.
En ciberseguridad, por ejemplo, ISO/IEC 27001 puede proporcionar una estructura para gestionar los riesgos de información, mientras que ISO/IEC 27701 puede complementar la gestión de privacidad y otras normas pueden atender necesidades específicas de la nube o sectores particulares.
Para una organización, esto significa pasar de controles aislados a una visión más ordenada de personas, procesos, tecnología, riesgos y responsabilidades. Así, la ciberseguridad puede integrarse con la operación y contribuir a la continuidad y resiliencia del negocio.
¿Tu organización necesita identificar qué normas ISO pueden ser más relevantes para su estrategia de seguridad? Contacta a VIRMAR Ciberseguridad y analiza con nuestro equipo las necesidades y prioridades de tu organización.
Preguntas frecuentes sobre los tipos de normas ISO
¿Cuáles son los principales tipos de normas ISO?
Entre las más conocidas están las normas de calidad, medio ambiente, seguridad y salud laboral, inocuidad alimentaria, energía, compliance, seguridad de la información, servicios de TI e inteligencia artificial.
¿Cuántos tipos de normas ISO existen?
No existe un número reducido de “tipos” de ISO. ISO desarrolla miles de normas internacionales para diferentes sectores, procesos y necesidades. Por eso es más útil clasificarlas por área de aplicación.
¿Cuál es la norma ISO más importante para ciberseguridad?
ISO/IEC 27001 es la principal referencia para establecer un sistema de gestión de seguridad de la información (SGSI). Su objetivo es gestionar de manera estructurada los riesgos relacionados con la seguridad de la información.
¿Cuál es la ISO para inteligencia artificial?
La principal norma de sistemas de gestión para inteligencia artificial es ISO/IEC 42001:2023, que establece requisitos para un sistema de gestión de inteligencia artificial.
¿ISO 27001 y ISO 27701 son lo mismo?
No. ISO/IEC 27001 se enfoca en la gestión de la seguridad de la información, mientras que ISO/IEC 27701 se orienta a la gestión de la información de privacidad. Pueden complementarse dentro de una estrategia de seguridad y privacidad.
¿Una empresa puede tener varias certificaciones ISO?
Sí. Una organización puede implementar y, cuando corresponda, certificarse bajo diferentes normas. Además, varios sistemas de gestión pueden integrarse para evitar procesos duplicados.
¿ISO certifica directamente a las empresas?
No. ISO no certifica empresas ni emite certificados. La certificación es realizada por organismos de certificación independientes. La acreditación, por su parte, permite reconocer formalmente la competencia de determinados organismos de evaluación de la conformidad.
Contenido relacionado
- Certificaciones en ciberseguridad: ¿Cuáles existen y cómo elegir la adecuada?
- Cursos de ciberseguridad: ¿Cómo y dónde formarte en seguridad digital?
- Gobernanza de IA: cómo gestionar la inteligencia artificial en las empresas
- Gobierno del riesgo humano y agéntico: cómo el comportamiento es el nuevo indicador de riesgo
