Todos los certificados emitidos bajo la ISO 27001:2013 se considerarán válidos hasta el 25 de octubre de 2025, lo que significa que mantendrán su vigencia durante tres años después de la publicación de la nueva versión.

Las empresas que cuenten con la certificación ISO 27001:2013 deben completar la transición a la ISO 27001:2023 antes del 31 de octubre de 2025.

Las organizaciones tienen la opción de obtener o renovar su certificación bajo la norma ISO 27001:2013 hasta el 30 de abril de 2024, que representa un período de dieciocho meses después de la publicación de la nueva versión.

A partir del 30 de abril de 2024 todas las nuevas certificaciones y renovaciones deberán ser emitidas exclusivamente de conformidad con la norma UNE ISO/IEC 27001:2023

En resumen, los cambios en el núcleo del modelo estándar son menores y se pueden realizar rápidamente con ajustes mínimos en la documentación y los procesos. Las modificaciones en los controles del Anexo A son moderadas y se pueden abordar principalmente mediante la incorporación de los nuevos controles en la documentación existente.

Dentro de la cláusula 5.3. de la norma, se establece la importancia de transmitir de manera clara los roles relacionados con la seguridad de la información en todos los niveles de la organización. La norma ISO 27001:2023 destaca la importancia de comprender el contexto organizacional en la gestión de la seguridad de la información. Las organizaciones ahora deben examinar detalladamente su contexto interno y externo, incluyendo factores como la cultura empresarial, la cadena de suministro, los requisitos legales y reglamentarios, así como las expectativas de las partes interesadas. Esta comprensión más profunda permite una implementación más efectiva de políticas y controles de seguridad de la información.

Con relación a la cláusula 6.2. de la norma ISO 27001, se hace hincapié en la necesidad de supervisar de forma explícita los objetivos de seguridad de la información. La última versión de la norma ha fortalecido este enfoque al requerir que las organizaciones establezcan indicadores clave de desempeño (KPIs) y realicen evaluaciones periódicas del sistema de gestión de seguridad de la información. Esto permite a las organizaciones identificar áreas de mejora y tomar medidas correctivas y preventivas de manera oportuna.