Si su organización sigue mostrando un certificado ISO/IEC 27001:2013, hoy está exhibiendo un documento vencido. El periodo de transición hacia la edición 2022 cerró el 31 de octubre de 2025. Esa fecha ya pasó hace cerca de un año, y con ella quedó retirado el reconocimiento internacional de toda certificación basada en la versión 2013. No es una interpretación: es el texto del documento que gobierna la transición a nivel mundial.
"All certifications based on ISO/IEC 27001:2013 shall expire or be withdrawn at the end of the transition period." — IAF MD 26:2023, Issue 2, §4.2
Este artículo es para el dueño o el C-level de una institución financiera, casa de bolsa o fintech en México que necesita entender —sin ruido ni alarmismo— qué cambió, por qué le importa a su negocio y cuál es la ruta práctica para volver a estar en regla.
El gancho real: el reloj ya se detuvo
ISO/IEC 27001:2022 (Edición 3.0) se publicó el 25 de octubre de 2022. A partir de esa fecha, el International Accreditation Forum (IAF) fijó una ventana de transición de tres años —anclada al último día del mes de publicación, del 31 de octubre de 2022 al 31 de octubre de 2025— mediante su documento mandatorio IAF MD 26:2023, Issue 2, vigente desde el 15 de febrero de 2023. Los hitos, todos derivados de ese documento primario:
- 30 de abril de 2024: los organismos certificadores dejaron de emitir certificaciones iniciales y recertificaciones contra la versión 2013. Desde entonces, todo lo nuevo es 2022.
- 31 de octubre de 2025: fin del periodo de transición. Después de esta fecha, cualquier certificado 2013 "expira o se retira".
No hubo prórroga. El plazo se mantuvo firme y hoy, con la fecha ya cumplida, la lectura correcta es simple: el 2013 quedó retirado; la única edición vigente es 2022. Un certificado 2013 que siga circulando ya no es reconocido bajo el acuerdo de reconocimiento mutuo del IAF (IAF MLA), que es precisamente lo que le da valor internacional frente a un cliente o una contraparte en el extranjero.
Qué cambió en la edición 2022
El cambio más visible está en el Anexo A, el catálogo de controles de seguridad. La edición 2013 tenía 114 controles organizados en 14 dominios. La edición 2022 los reorganiza en 93 controles agrupados en 4 temas:
- Organizacionales (A.5): 37 controles
- Personas (A.6): 8 controles
- Físicos (A.7): 14 controles
- Tecnológicos (A.8): 34 controles
Aquí conviene una precisión que muchos resúmenes manejan mal: no se "eliminaron" controles de seguridad. El total bajó de 114 a 93 principalmente por consolidación. Según el propio documento del IAF, de los 93 controles de 2022: 11 son nuevos, 24 son fusión de controles previos y 58 son actualizaciones. La superficie de control no se encogió; se modernizó y se hizo más legible.
Los 11 controles nuevos apuntan precisamente a cómo opera hoy una institución financiera digital: inteligencia de amenazas, seguridad para el uso de servicios en la nube, prevención de fuga de datos, enmascaramiento de datos, monitoreo de actividades, filtrado web y codificación segura, entre otros. Si su operación corre en nube y expone servicios digitales, estos controles no son teoría: son su día a día.
Vale aclarar la relación entre dos normas que suelen confundirse. ISO/IEC 27001:2022 define el Sistema de Gestión de Seguridad de la Información (SGSI) —las cláusulas 4 a 10— y lista los controles en su Anexo A. ISO/IEC 27002:2022 (publicada el 15 de febrero de 2022) es el catálogo de referencia con la guía de implementación de esos mismos 93 controles. En corto: 27001 es lo que se certifica; 27002 es el manual operativo de cómo implementar cada control.
Por qué le importa a una institución financiera en México (y a sus proveedores)
Aquí es donde Haak le pide que desconfíe de quien le venda miedo. Seamos precisos sobre lo que la ley mexicana sí dice y lo que no dice.
La regulación financiera mexicana NO exige ISO 27001 por nombre
Revisadas las tres disposiciones oficiales de la CNBV —la Circular Única de Bancos, la de Casas de Bolsa y las Disposiciones aplicables a las Instituciones de Tecnología Financiera (fintech)—, el estándar "ISO 27001" no aparece mencionado ni una sola vez como requisito. Cualquiera que le diga "la ley te obliga a tener ISO 27001" está afirmando algo que el texto regulatorio no sostiene.
Lo que la regulación SÍ exige son los componentes de un SGSI
Y los exige con lujo de detalle. Lo que la norma financiera mexicana impone, de forma literal, es exactamente la materia que ISO 27001 ordena y evidencia:
- Casas de bolsa: un oficial de seguridad de la información (figura equivalente al CISO), independiente de operación, administración, auditoría y sistemas; pruebas de penetración al menos una vez al año; y el riesgo tecnológico formalmente definido dentro de la administración integral de riesgos.
- Bancos: pruebas de penetración por un tercero independiente con certificaciones especializadas de la industria, al menos dos veces al año; escaneo de vulnerabilidades previo a producción; CISO; y gestión de incidentes.
- Fintech: un capítulo completo "De la seguridad de la información" que obliga a garantizar confidencialidad, integridad y disponibilidad —la misma tríada que persigue ISO 27001—; CISO designado; pruebas de penetración al menos dos veces al año por un tercero con certificaciones de industria; y auditoría de proveedores al menos una vez al año.
La Ley Fintech (Art. 48) va más lejos: obliga a que el cumplimiento de estos requisitos de seguridad se evalúe "por medio de terceros independientes". Y su Art. 54 faculta a la autoridad a supervisar y ordenar auditorías a los proveedores que soportan la operación.
El ángulo honesto: ISO 27001 es cómo se demuestra, no qué se exige
Puesto en términos de negocio: la regulación le exige controles y marcos de seguridad, no un certificado con un nombre específico. ISO/IEC 27001 es la vía estándar —el idioma común— para operacionalizar esos requisitos y, sobre todo, para evidenciarlos ante la CNBV, ante sus clientes y ante su cadena de proveedores. Tres razones concretas por las que importa:
- Demuestra cumplimiento sin reinventarlo: un SGSI certificado cubre, de forma auditable, buena parte de lo que las disposiciones de CNBV y la Ley Fintech ya le piden.
- Abre puertas comerciales: en ciertos procesos de due diligence de clientes institucionales, licitaciones o contratos corporativos, ISO 27001 aparece caso por caso como requisito contractual. No es mandato legal ni práctica universal, pero donde aparece, funciona como filtro de mercado.
- Un certificado 2013 hoy no sirve para ese propósito: precisamente porque ya no es reconocido internacionalmente, dejó de funcionar como evidencia frente a esas contrapartes. Ese es el riesgo real —pérdida de aseguramiento comercial—, no un castigo regulatorio inventado.
Si usted es el proveedor —un SOC, un MSSP, una firma de pentest— la lógica se invierte a su favor: la propia regulación obliga a la institución financiera a auditar a sus terceros y a exigir certificaciones de industria a quien le haga las pruebas. Un SGSI certificado bajo la edición vigente es su evidencia estandarizada de controles frente a ese cliente regulado.
El contexto mexicano de la acreditación
Para que la pieza encaje: en México, la certificación de un SGSI la emite un organismo certificador acreditado —no la ISO, que no certifica a nadie—. La acreditación de esos organismos opera bajo la Ley de Infraestructura de la Calidad (publicada en el DOF el 1 de julio de 2020, en vigor desde el 30 de agosto de 2020). La ema (Entidad Mexicana de Acreditación) acredita organismos para esto, pero no es la única entidad de acreditación autorizada por la Secretaría de Economía; también operan MAAC y SIAAC. Y en el mercado mexicano actúan además organismos internacionales (BSI, Bureau Veritas, SGS, LRQA, entre otros) con acreditaciones reconocidas vía el IAF MLA. Existe una norma mexicana, la NMX-I-27001-NYCE-2015, pero está alineada a la edición 2013; el estándar internacional vigente que debe perseguir hoy es la edición 2022.
Qué hacer ahora: la ruta práctica
Si dejó vencer el certificado 2013, un punto importante: en la práctica de los organismos certificadores, recuperar la certificación ya no es una "auditoría de transición" sencilla, sino una auditoría inicial completa —se le trata como cliente nuevo—. Mientras más espere, más caro y más largo. La ruta ordenada es:
- 1. Gap assessment contra la edición 2022. Un diagnóstico honesto de su SGSI actual frente a las cláusulas 4-10 y los 93 controles del Anexo A. No para asustar: para saber exactamente cuánto trabajo real hay y priorizarlo. Aquí es donde se decide el alcance (qué unidades, qué sistemas, qué sitios), y el alcance define todo lo demás.
- 2. Remediación priorizada. Cerrar las brechas, con foco en los 11 controles nuevos si su operación es digital/nube, y en lo que además le resuelve requisitos de CNBV/Ley Fintech al mismo tiempo (CISO, pentest, gestión de incidentes, control de proveedores). Un peso invertido que cubre dos obligaciones a la vez es la inversión correcta.
- 3. Certificación. La auditoría formal se realiza en dos etapas (revisión documental y auditoría in situ), con un ciclo de certificación de tres años y auditorías de vigilancia anuales. Esa estructura está normada; las duraciones y costos concretos dependen de su alcance, madurez previa, número de sitios y organismo elegido, y no deben prometerse como cifra fija antes del gap assessment.
El orden importa: nadie debería cotizarle una certificación sin haber medido primero la brecha. Quien lo hace, está adivinando.
Dónde entra Haak
En Haak Cybersecurity Consulting acompañamos a instituciones financieras, casas de bolsa y fintech en México a cerrar exactamente esta brecha: del diagnóstico a la certificación, con la ventaja de que hablamos los dos idiomas —el de ISO 27001:2022 y el de las disposiciones de CNBV y la Ley Fintech— y los alineamos en un solo esfuerzo, no en dos proyectos separados.
El primer paso no es un contrato: es un gap assessment contra la edición 2022 que le dice, sin rodeos, dónde está parado su SGSI, qué brechas le cuestan cumplimiento regulatorio o aseguramiento comercial, y qué ruta de remediación tiene sentido para su alcance. Con ese diagnóstico en la mano, la decisión de certificar deja de ser un salto de fe.
Hablemos de su gap assessment ISO 27001:2022. Escríbanos a [email protected] o visite haak.com.mx y agendemos una conversación ejecutiva de 30 minutos.