Es la primera pregunta que hace cualquier gerencia y la más difícil de responder con honestidad, porque el rango real es enorme. Esta página explica qué factores mueven el precio, para que puedas estimar tu caso y evaluar cotizaciones con criterio, en vez de darte una cifra falsamente precisa.
Por qué no publicamos un precio único
El costo de certificarse varía por un factor de diez o más entre una empresa de 20 personas con un alcance acotado y una institución financiera con múltiples sedes. Cualquier cifra publicada sin contexto es marketing, no información. Lo útil es entender los componentes.
Los cuatro componentes del costo
Consultoría de implementación
Acompañamiento para diseñar el sistema: alcance, riesgos, políticas, procedimientos y preparación de evidencia. Es habitualmente el componente mayor y el más variable, porque depende de cuánto trabajo asuma el equipo interno.
Auditoría de certificación
Honorarios del organismo certificador por las etapas 1 y 2. Se calcula por días-auditor, y el número de días lo determina una tabla del esquema de acreditación según el número de personas del alcance y la complejidad.
Horas del equipo propio
El costo que casi nadie presupuesta y que suele ser el mayor de todos. Levantar inventarios, redactar procedimientos, formar personal, ejecutar la auditoría interna y sostener los registros consume tiempo de gente cara.
Mantención del ciclo
Auditorías de seguimiento anuales, recertificación al tercer año, y el esfuerzo permanente de mantener el sistema operando. La certificación no es un gasto único.
Qué mueve el precio hacia arriba
| Factor | Efecto |
|---|---|
| Número de personas en el alcance | Es la variable principal que determina los días-auditor |
| Cantidad de sedes o ubicaciones | Cada sitio adicional puede requerir muestreo propio |
| Complejidad tecnológica | Desarrollo propio, nube múltiple e integraciones amplían la superficie a auditar |
| Madurez previa | Sin inventario de activos ni gestión de riesgos, el proyecto parte de cero |
| Sector regulado | Banca, salud y seguridad social suelen exigir mayor profundidad de evidencia |
| Plazo comprimido | Acelerar exige más consultoría externa y sustituir horas internas |
Cómo reducirlo sin comprometer el resultado
- Acota el alcance en el primer ciclo. Certifica el servicio esencial que la ley te obliga a proteger y amplía en la recertificación. Es la palanca más potente sobre el costo total.
- Parte por un diagnóstico de brechas. Saber exactamente qué falta evita pagar consultoría por construir lo que ya existe bajo otro nombre.
- Aprovecha lo que ya tienes. Si cuentas con ISO 9001 u otro sistema de gestión, la estructura de alto nivel es común: control documental, auditoría interna y revisión por la dirección se reutilizan casi íntegros.
- Forma a alguien internamente. Un implementador líder propio reduce la dependencia de horas externas en este ciclo y en los siguientes.
- Cotiza la auditoría por separado. Implementación y certificación deben contratarse a entidades distintas, así que compáralas por separado.
Qué pedir en una cotización
Para comparar propuestas de forma razonable, exige que cada una explicite:
- Alcance propuesto, con número de personas y ubicaciones consideradas
- Entregables concretos, no «acompañamiento»: política, metodología de riesgos, matriz, plan de tratamiento, declaración de aplicabilidad, procedimientos
- Horas del consultor y horas esperadas del equipo interno
- Si incluye o no la ejecución de la auditoría interna previa
- Si incluye o no el acompañamiento durante la auditoría de certificación
- Qué pasa si se levantan no conformidades: ¿el cierre está incluido?
- Días-auditor cotizados por el organismo certificador y su acreditación vigente
Señal de alerta
Desconfía de quien cotiza «certificación ISO 27001» como un paquete único a precio cerrado sin conocer tu alcance ni tu madurez, o de quien ofrece implementar y certificar. Esa segunda oferta es incompatible con el esquema de acreditación.
El costo de no hacerlo
Para un Operador de Importancia Vital, no implementar un sistema de gestión de seguridad de la información es infracción grave del artículo 39: hasta 20.000 UTM. No elaborar los planes de continuidad, otra infracción grave. Y la reincidencia dentro de un año eleva ambas a gravísimas, con techo de 40.000 UTM.
Ese contraste suele ser el argumento decisivo ante un directorio, siempre que se plantee con precisión: la multa no es por no tener el certificado, sino por no tener el sistema.
Preguntas frecuentes
¿Cuánto cuesta certificarse en ISO 27001 en Chile?
No existe un precio de referencia único: varía por un factor de diez o más según el número de personas del alcance, las ubicaciones, la complejidad tecnológica y la madurez previa. El costo se compone de consultoría de implementación, honorarios del organismo certificador calculados por días-auditor, horas del equipo interno y la mantención del ciclo de tres años.
¿Cuál es el componente más caro?
Habitualmente las horas del equipo interno, que casi nunca se presupuestan. Entre los costos externos, la consultoría de implementación suele superar a la auditoría de certificación.
¿Se puede certificar solo una parte de la empresa?
Sí, el certificado cubre el alcance declarado. Acotar el alcance es la forma más eficaz de controlar el costo, siempre que incluya el servicio esencial que la Ley 21.663 obliga a proteger.
¿Tener ISO 9001 abarata la certificación?
Ayuda. La estructura de alto nivel es común a todas las normas de sistemas de gestión, de modo que el control documental, la auditoría interna y la revisión por la dirección se reutilizan en buena medida.
¿Es un gasto único?
No. El certificado dura tres años, con auditorías de seguimiento anuales y recertificación al término, más el esfuerzo permanente de mantener el sistema operando.
Fuentes
- Ley N° 21.663 — artículos 39 y 40, sobre infracciones y multas.
- ISO/IEC 27001 — requisitos del sistema de gestión.
Revisado el 5 de agosto de 2026. Esta página describe componentes de costo, no precios de mercado. Solicita cotizaciones para tu caso concreto.