En resumen
La ISO 27017 añade orientaciones y controles cloud para proveedores y clientes; la ISO 27018 protege los datos personales que un proveedor de nube pública trata como encargado.
Las ediciones vigentes son ISO/IEC 27017:2026 e ISO/IEC 27018:2025, ambas alineadas con la ISO/IEC 27002:2022.
No se certifican por sí solas: se verifican dentro de la certificación ISO 27001, como ampliación del alcance recogida en la SoA.
En la nube las responsabilidades son compartidas: deben recogerse en una matriz y en el contrato, también frente a tu proveedor IaaS.
La 27018 ayuda a cumplir el art. 28 del RGPD pero no sustituye al contrato; para una certificación de privacidad autónoma necesitas la ISO 27701.
¿Ya tienes la ISO 27001 y vendes un servicio cloud? Las extensiones 27017 y 27018 responden a las preguntas específicas de tus clientes sobre seguridad y datos personales en la nube. Son las preguntas que el certificado ISO 27001 por sí solo deja abiertas: quién aplica los parches al servidor, dónde están los datos, quiénes son tus subencargados, qué pasa con los datos cuando termina el contrato.
ISO 27017 e ISO 27018 son dos guías de la familia ISO/IEC 27000 pensadas precisamente para la nube. La primera añade a los controles de seguridad orientaciones y controles específicos para quien presta y quien utiliza servicios cloud. La segunda se centra en los datos personales que un proveedor de nube pública trata por cuenta de sus clientes. En esta guía vemos las ediciones vigentes, cómo se verifican en auditoría (no como certificaciones autónomas), cómo se reparten las responsabilidades entre proveedor y cliente, la relación con el RGPD y la ISO 27701 y los pasos para ampliar tu sistema.
¿Qué son ISO 27017 e ISO 27018?
ISO/IEC 27017 e ISO/IEC 27018 son normas de orientación que completan los controles de ISO/IEC 27002 para la nube. No contienen requisitos de sistema de gestión: estos siguen en la ISO 27001. Su función es decirte cómo aplicar los controles cuando el servicio se presta en la nube y qué controles adicionales hacen falta para los riesgos típicos de este modelo.
ISO/IEC 27017: los controles de seguridad para servicios cloud
Según la ficha oficial de ISO, la ISO/IEC 27017 se basa en la ISO/IEC 27002 y añade orientaciones específicas para la nube y controles adicionales, dirigidos tanto al cliente del servicio cloud como al proveedor. Su objetivo declarado es gestionar los riesgos que nacen de la naturaleza compartida de la nube: infraestructura, actividades operativas y responsabilidades se reparten entre varios actores y, si nadie lo pone por escrito, se abren huecos.
La norma se aplica a todos los modelos de despliegue: nube pública, privada e híbrida. ISO precisa que en la nube privada algunos controles deben adaptarse, porque el "proveedor" y el "cliente" pueden ser dos funciones de la misma organización, por ejemplo el departamento de TI central y una unidad de negocio. Para una pyme que vende software por suscripción o servicios gestionados, la 27017 es la referencia para responder a preguntas como: quién gestiona las vulnerabilidades de cada capa, cómo se separan los datos de los distintos clientes, cómo se registran las actividades de los administradores.
ISO/IEC 27018: los datos personales en la nube pública
La ISO/IEC 27018 tiene un alcance más reducido. Trata la protección de los datos personales (PII, en la terminología ISO) en los servicios de nube pública, cuando el proveedor actúa como encargado del tratamiento por cuenta de sus clientes. También se apoya en la ISO/IEC 27002 y, según ISO, cubre los datos personales gestionados por el proveedor en todo su ciclo: recogida, almacenamiento, tratamiento, transmisión y eliminación.
ISO señala como destinatarios a los proveedores de nube pública que tratan datos por cuenta de sus clientes, pero también a las organizaciones que deben evaluar a un proveedor antes de confiarle datos personales. Si tu plataforma aloja datos de empleados, pacientes o clientes finales de tus clientes, la 27018 da estructura a las respuestas que te pedirá su DPD.
ISO/IEC 27017 | ISO/IEC 27018 | |
|---|---|---|
Tema | Seguridad de la información en los servicios cloud | Protección de los datos personales en la nube pública |
A quién se dirige | Proveedores y clientes de servicios cloud | Proveedores de nube pública que actúan como encargados del tratamiento |
Modelos de nube | Pública, privada e híbrida | Nube pública |
Base | Controles de ISO/IEC 27002 más controles cloud adicionales | Controles de ISO/IEC 27002 adaptados a los datos personales en la nube |
Certificable por sí sola | No, se verifica dentro del SGSI ISO 27001 | No, se verifica dentro del SGSI ISO 27001 |
¿Cuáles son las ediciones vigentes de ISO 27017 e ISO 27018?
Ambas normas se han revisado para alinearse con la ISO/IEC 27002:2022. El catálogo de ISO indica la ISO/IEC 27017:2026 (segunda edición) como versión publicada, que ha sustituido a la primera edición de 2015. Para la ISO 27018 la versión vigente es la ISO/IEC 27018:2025, tercera edición, que ha sustituido a la de 2019.
Qué cambia con la alineación a la ISO 27002:2022
La cuestión práctica es la coherencia. Las ediciones anteriores hacían referencia a la antigua estructura de controles de la ISO 27002, mientras que tu Declaración de Aplicabilidad (SoA) sigue hoy el Anexo A de la ISO/IEC 27001:2022. Con las nuevas ediciones la numeración vuelve a coincidir entre la SoA y los controles cloud, y resulta más sencillo integrar las dos guías sin tablas de conversión hechas a mano. ISO indica además que la 27018:2025 incluye un nuevo Anexo B con orientaciones de implantación más amplias.
Qué hacer si tu certificado cita las ediciones anteriores
Si tu certificado ISO 27001 ya hace referencia a la 27017:2015 o a la 27018:2019, no tienes que rehacerlo todo. En Italia, la circular técnica de Accredia DC n.º 22/2026 establece que las certificaciones que incluyen la 27017 y la 27018 siguen siendo válidas hasta su vencimiento natural o hasta la primera modificación pertinente, como una ampliación o un cambio de alcance. A partir de ese momento deben adaptarse a las nuevas reglas. Conviene, por tanto, planificar la actualización de la SoA a las nuevas ediciones con vistas a la renovación, en lugar de descubrirlo durante la auditoría.
¿Por qué tus clientes te piden ISO 27017 y 27018 si ya tienes la ISO 27001?
Porque la ISO 27001 certifica que tienes un sistema de gestión de la seguridad, no que hayas resuelto las cuestiones típicas de la nube. Un cliente que te confía datos y procesos quiere saber dónde termina tu responsabilidad y dónde empieza la suya, y si los datos personales de sus usuarios se tratan según sus instrucciones.
El caso típico: una empresa de software que vende en SaaS
Piensa en una empresa de 35 personas que vende un software de gestión de recursos humanos en modalidad SaaS. El software funciona sobre la infraestructura de un gran proveedor IaaS, y la empresa tiene la ISO 27001 sobre todo el desarrollo y la prestación del servicio. Un nuevo cliente, un grupo con 2.000 empleados, envía su cuestionario: pregunta quién aplica los parches al sistema operativo, si los datos de sus empleados están separados de los de otros clientes, en qué países se guardan las copias de seguridad, en cuánto tiempo se le avisará en caso de brecha y cómo se eliminan los datos al final del contrato.
El certificado ISO 27001 no responde directamente a ninguna de estas preguntas. Un sistema ampliado a las guías 27017 y 27018 sí, porque obliga a la empresa a haber definido, documentado y verificado esas respuestas de antemano. Si recibes con frecuencia solicitudes parecidas, encontrarás un método para organizarlas en la guía sobre los cuestionarios de seguridad de los clientes.
El RGPD exige "garantías suficientes"
Cuando un cliente te confía datos personales, para el RGPD él es el responsable del tratamiento y tú eres el encargado. El art. 28.1 del Reglamento establece que el responsable elegirá únicamente encargados que ofrezcan garantías suficientes sobre las medidas técnicas y organizativas. Por eso el departamento de compras y el DPD del cliente insisten: deben poder demostrar que han elegido un proveedor adecuado. Las extensiones 27017 y 27018, verificadas por un organismo de certificación, son una forma estructurada de ofrecer esas garantías, aunque, como veremos, no sustituyen al contrato.
¿Cómo se certifican ISO 27017 e ISO 27018?
No existe un certificado ISO 27017 o ISO 27018 autónomo bajo acreditación. Las dos normas son guías: su aplicación se verifica dentro de la certificación ISO 27001, como ampliación del alcance. El certificado sigue acreditando únicamente la conformidad con la ISO 27001.
Qué dicen las reglas de acreditación
La circular de Accredia DC n.º 22/2026 es explícita. Clasifica la 27017 y la 27018 entre las normas de "Tipo B" o guías de la familia 27000, útiles para identificar los controles operativos del sistema de gestión, y afirma que no son certificables. Sin embargo, si la organización demuestra haberlas aplicado correctamente, el organismo de certificación debe verificar sus controles.
La misma circular prevé que la auditoría de ampliación del alcance requiera tiempo de auditoría adicional: al menos una jornada auditor más por cada norma adicional aplicada, en cada auditoría y en cualquier fase. Es un dato útil para planificar, no solo para el organismo: significa que la 27017 y la 27018 se revisan en cada auditoría de seguimiento, no una sola vez.
Qué aparece en el certificado
El alcance de la certificación debe hacer referencia a la Declaración de Aplicabilidad, a su revisión y a las guías utilizadas para los controles. El ejemplo que propone Accredia es de este tipo: servicios SaaS prestados según la SoA, revisión y fecha, complementada por los controles previstos en las guías ISO/IEC 27017 e ISO/IEC 27018. En la base de datos de certificaciones solo figuran las normas de tipo A, es decir, ISO/IEC 27001 e ISO/IEC 27701, mientras que las demás normas de la serie aparecen en la descripción del alcance.
Para ti esto tiene una consecuencia comercial concreta. En tus materiales de venta no escribas "certificados ISO 27018": la formulación correcta es certificación ISO 27001 con alcance ampliado a los controles de las guías 27017 y 27018. Es exactamente lo que un cliente experto comprobará al leer el certificado. Si quieres repasar cómo funciona el proceso básico, empieza por la guía completa de la ISO 27001.
Responsabilidad compartida: ¿quién hace qué entre proveedor y cliente?
En la nube la seguridad siempre es compartida, pero el reparto cambia según el tipo de servicio. La 27017 nace precisamente para hacer explícito el reparto de tareas entre cliente y proveedor, de modo que ningún control quede sin cubrir porque cada parte pensaba que se ocupaba la otra.
Cómo cambia el reparto entre IaaS, PaaS y SaaS
La regla general es sencilla: cuanto más "arriba" está el servicio en la pila tecnológica, más responsabilidades pasan al proveedor. La tabla es un ejemplo de reparto típico, que debes adaptar a tu servicio y recoger en el contrato y en la documentación para los clientes.
Actividad | IaaS | PaaS | SaaS |
|---|---|---|---|
Seguridad física del centro de datos | Proveedor | Proveedor | Proveedor |
Parches del sistema operativo | Cliente | Proveedor | Proveedor |
Configuración y actualización de la aplicación | Cliente | Cliente | Proveedor |
Gestión de usuarios y permisos | Cliente | Cliente | Cliente, con herramientas del proveedor |
Clasificación de los datos cargados | Cliente | Cliente | Cliente |
Copias de seguridad de los datos | A definir en el contrato | A definir en el contrato | A definir en el contrato |
La última fila es la que genera más malentendidos. Muchos clientes dan por hecho que el proveedor hace copias restaurables de todo, y muchos proveedores solo garantizan la continuidad de la infraestructura. Dejarlo por escrito evita el peor problema: descubrir quién debía hacer qué el día después de un incidente.
Eres proveedor y cliente a la vez
Una pyme que vende SaaS casi siempre es también cliente de un proveedor más grande para la infraestructura. Esto significa que debes aplicar la 27017 en ambos lados: como proveedor frente a tus clientes y como cliente frente a tu proveedor IaaS o PaaS. Lo que prometes a tus clientes debe ser coherente con las garantías que obtienes de tus proveedores.
También aquí la circular de Accredia da una indicación útil: el organismo debe verificar cómo garantizas la seguridad de las infraestructuras que utilizas, incluidas las de la nube. Si los servicios externos están cubiertos por certificados acreditados en el ámbito EA/MLA, estos valen como presunción de conformidad; de lo contrario, el organismo debe auditar el emplazamiento específico. En la práctica: guarda los certificados de tus proveedores, comprueba que su alcance cubre los servicios que usas realmente y actualiza la evaluación cuando cambien.
ISO 27018, RGPD e ISO 27701: ¿cómo se relacionan?
La ISO 27018 es una herramienta para demostrar cómo proteges los datos personales en la nube, pero no es una certificación RGPD. El Reglamento reconoce como elemento para demostrar las garantías del encargado la adhesión a un código de conducta aprobado o a un mecanismo de certificación aprobado con arreglo al art. 42 (art. 28.5): una certificación ISO 27001 ampliada a la 27018 no entra en esta categoría.
Las obligaciones del art. 28 que la 27018 te ayuda a cubrir
El art. 28.3 del RGPD enumera lo que debe estipular el contrato con el encargado. Entre los compromisos están tratar los datos solo siguiendo instrucciones documentadas del responsable, también para las transferencias a terceros países, la confidencialidad de las personas autorizadas, las medidas del art. 32, la asistencia al responsable en los derechos de los interesados y la supresión o devolución de los datos al finalizar el servicio. El encargado debe además poner a disposición la información necesaria y permitir auditorías, incluidas inspecciones. El apartado 2 prohíbe recurrir a otro encargado sin autorización por escrito del responsable, y el art. 33.2 obliga a notificar al responsable sin dilación indebida tras tener conocimiento de una violación.
Un sistema ampliado a la 27018 te obliga a convertir estos compromisos en prácticas verificables: una lista actualizada de subencargados, un procedimiento de supresión probado, un flujo de notificación de brechas con plazos internos definidos. El contrato sigue siendo imprescindible: la norma te ayuda a cumplirlo y a demostrarlo, no lo sustituye.
Cuándo necesitas también la ISO 27701
La ISO/IEC 27701:2025 es otra cosa: es un sistema de gestión de la privacidad (PIMS) con requisitos propios, pensado para responsables y encargados. ISO la define como una norma de sistema de gestión independiente, utilizable por sí sola, y Accredia la incluye entre las normas de tipo A, certificable de forma autónoma. La 27018 solo cubre el papel de encargado en la nube pública; la 27701 cubre toda la gestión de los datos personales, incluidos los que tratas como responsable, por ejemplo los datos de tus empleados o de tus contactos comerciales.
Muchos proveedores SaaS combinan las tres normas: ISO 27001 como base, 27017 y 27018 en la SoA y 27701 cuando los clientes piden una certificación de privacidad propiamente dicha. Si estás valorando este camino, la guía sobre la ISO 27701 y el sistema de gestión de la privacidad explica requisitos e integración con la 27001.
¿Cómo ampliar tu sistema ISO 27001 a 27017 y 27018?
La ampliación no requiere un segundo sistema de gestión. Se trabaja sobre las herramientas que ya tienes, en particular alcance, evaluación de riesgos y SoA, y se añaden las evidencias específicas de la nube. Estos son los pasos, en el orden en que conviene abordarlos.
Revisa el alcance: el alcance del certificado debe incluir el servicio cloud que vendes, con las sedes, los procesos y las infraestructuras que lo prestan.
Actualiza la evaluación de riesgos: añade los riesgos típicos de la nube, como la separación entre clientes, los accesos administrativos, la dependencia del proveedor IaaS y la localización de los datos.
Completa la SoA: para cada control aplicable de la 27017 y de la 27018 indica si lo aplicas, cómo y con qué evidencia, o por qué lo excluyes.
Alinea contratos y documentación para los clientes: matriz de responsabilidades, contrato de encargo del tratamiento, lista de subencargados, procedimiento de fin de contrato.
Reúne las evidencias: registros de accesos administrativos, pruebas de restauración, pruebas de supresión, verificaciones de proveedores, registro de brechas.
Haz la auditoría interna sobre el nuevo alcance y después solicita al organismo la ampliación del alcance, normalmente en una auditoría de seguimiento o en la renovación.
Las evidencias que te pedirá el auditor
El auditor no se conforma con el procedimiento escrito: quiere verlo funcionar. Para la 27017, prepárate para mostrar cómo separas los datos de los clientes, cómo registras y controlas las actividades de los administradores y cómo comunicas a los clientes los cambios que les afectan. Para la 27018 te preguntará cómo tratas los datos solo según las instrucciones del cliente, cómo gestionas los subencargados y cómo demuestras la supresión al final del contrato. Prepara ejemplos reales, no plantillas vacías: un ticket de solicitud de supresión cerrado, un registro de accesos exportado, un acta de prueba de restauración.
La auditoría interna antes de la ampliación
La auditoría interna sobre el alcance ampliado es el momento en que descubres si las evidencias se sostienen. Debe cubrir los controles añadidos a la SoA, no solo los ya verificados en años anteriores, y la debe realizar alguien imparcial respecto al trabajo que verifica. Si quieres saber cómo organizarla, encontrarás método y errores típicos en la guía sobre la auditoría interna ISO.
¿Cuáles son los errores más comunes con ISO 27017 y 27018?
Los errores más frecuentes no tienen que ver con la tecnología, sino con cómo se plantea y se comunica la ampliación. El primero es comunicar una certificación inexistente: escribir en la web "certificados ISO 27017" cuando el certificado acredita la ISO 27001 con alcance ampliado.
El segundo es apoyarse en el certificado del proveedor IaaS como si fuera el tuyo. El gran proveedor certifica su infraestructura, no tu aplicación ni la forma en que gestionas los accesos de tus administradores. Su certificación cubre su capa: tú debes cubrir la tuya y demostrar que has evaluado la suya.
El tercer error es tratar a los subencargados como una lista que se rellena una vez. Cada nueva herramienta, desde el servicio de envío de correos hasta el sistema de tickets, puede tratar datos personales de los clientes y requiere autorización e información según el art. 28.2 del RGPD. Una lista con un año de antigüedad es una no conformidad esperando a ser encontrada.
El cuarto es no probar nunca el fin del contrato. Todos escriben que los datos se suprimen o se devuelven, pero pocos lo han probado de verdad, copias de seguridad incluidas. Haz al menos una simulación documentada: es la evidencia que más falta cuando el auditor la pide.
Cómo te ayuda Complaion con ISO 27017 e ISO 27018
Con Complaion amplías tu sistema ISO 27001 a la nube partiendo de lo que ya tienes. Un Lead Auditor dedicado acompaña a tu empresa: comprueba que el alcance incluye realmente el servicio cloud, te ayuda a completar los riesgos y la SoA con los controles 27017 y 27018 y propone el camino más adecuado a tus necesidades, también cuando conviene añadir la ISO 27701. La auditoría interna sobre el alcance ampliado la realiza tu Lead Auditor de Complaion, que no verifica su propio trabajo operativo.
La plataforma Complaion recoge las evidencias de la nube, desde los registros de acceso hasta las pruebas de restauración, gestiona documentos como la matriz de responsabilidades y la lista de subencargados, mantiene el calendario de auditorías de seguimiento, renovaciones y revisiones y prepara la auditoría. El camino con Complaion evita las no conformidades y lleva a la auditoría externa con un éxito del 100%. Ya trabajamos con más de 1.000 clientes. Descubre los servicios para ISO 27017 e ISO 27018, añade si lo necesitas nuestro DPO externalizado o contáctanos para un presupuesto.
Preguntas frecuentes sobre ISO 27017 e ISO 27018
¿Puedo obtener la certificación ISO 27017 sin la ISO 27001?
No. La ISO 27017 es una guía y no se puede certificar por sí sola bajo acreditación. Su aplicación la verifica el organismo de certificación dentro de la certificación ISO 27001, como ampliación del alcance. El certificado acredita la conformidad con la ISO 27001 y menciona en el alcance los controles de la 27017.
¿Cuál es la diferencia entre ISO 27017 e ISO 27018?
La ISO 27017 trata la seguridad de la información en los servicios cloud y se dirige tanto a proveedores como a clientes, en cualquier modelo de nube. La ISO 27018 trata la protección de los datos personales en la nube pública cuando el proveedor actúa como encargado del tratamiento. Muchos proveedores SaaS aplican ambas, porque los clientes piden garantías en los dos frentes.
¿Cuáles son las ediciones vigentes?
Para la ISO 27017 está vigente la segunda edición, ISO/IEC 27017:2026, que sustituyó a la de 2015. Para la ISO 27018 está vigente la tercera edición, ISO/IEC 27018:2025, que sustituyó a la de 2019. Ambas están alineadas con la ISO/IEC 27002:2022 y, por tanto, con la estructura de controles del Anexo A de la ISO 27001:2022.
¿La ISO 27018 hace que mi servicio cumpla el RGPD?
No, pero te ayuda a demostrar las garantías que el RGPD exige al encargado del tratamiento. El Reglamento reconoce como prueba de esas garantías los códigos de conducta aprobados y los mecanismos de certificación aprobados con arreglo al art. 42, y la ISO 27018 no está entre ellos. El contrato de encargo previsto en el art. 28 sigue siendo obligatorio.
¿Necesito la ISO 27701 si ya tengo la ISO 27018?
Depende de lo que pidan tus clientes y de qué datos trates. La ISO 27018 solo cubre el papel de encargado en la nube pública, mientras que la ISO 27701 es un sistema de gestión de la privacidad completo, certificable de forma autónoma, que cubre también los tratamientos en los que eres responsable. Si los clientes piden una certificación de privacidad explícita, la 27701 es la respuesta más adecuada.
Uso un gran proveedor IaaS certificado: ¿basta con su certificado?
No. El certificado del proveedor cubre su infraestructura y los servicios incluidos en su alcance, no tu aplicación ni tu organización. Te sirve para evaluar al proveedor y, si está acreditado, el organismo puede considerarlo presunción de conformidad para esa parte. Las capas que gestionas tú siguen teniendo que cubrirse con tus propios controles.
¿Cuánto tiempo de auditoría adicional requieren 27017 y 27018?
En Italia, la circular de Accredia DC n.º 22/2026 prevé al menos una jornada auditor adicional por cada norma adicional aplicada, en cada auditoría y en cualquier fase, descontadas las reducciones aplicables. El tiempo total depende del alcance y del tamaño de la organización. Para saber cuánto influye en tu caso, conviene partir de un análisis del alcance y de un presupuesto.
