Lea la línea de alcance, comprobando lo que su host afirma sobre sus ISO
Un logotipo demuestra poco. Qué leer en el certificado ISO de un host: la línea de alcance, quién lo emitió y quién le acreditó, las fechas y la Declaración de Aplicabilidad.
Casi todos los proveedores de hosting muestran una fila de logotipos de certificaciones en algún lugar de su sitio web. Su auditor no aceptará un logotipo, y usted tampoco debería. Un certificado es un documento preciso, y los detalles deciden si cubre el servicio que usted está comprando realmente. Esto es lo que hay que leer, en qué orden, y qué preguntar cuando falta algo.
Empiece por la declaración de alcance
Un certificado ISO de sistema de gestión certifica un alcance definido, y ese alcance está impreso en el certificado. Puede cubrir toda la empresa, una sede o un servicio. Un proveedor certificado para «desarrollo de software» en su sede central no le ha dicho nada sobre el datacenter donde funcionan sus servidores.
Lea primero la línea de alcance y compárela con el contrato que va a firmar. La pregunta es sencilla: ¿el servicio que compro, en la ubicación que uso, cae dentro de estas palabras? Si la respuesta no está clara, pida al proveedor que lo confirme por escrito.
Nuestros cuatro certificados llevan un único alcance: «Managed datacenter hosting service». Ese es el servicio que compran nuestros clientes.
Compruebe quién lo emitió, y quién le acreditó
Un certificado vale lo que vale el organismo que lo emitió. Los organismos de certificación están a su vez acreditados por un organismo nacional de acreditación, y estos son miembros del International Accreditation Forum. Compruebe los dos eslabones de la cadena:
- El certificado nombra al organismo de certificación. ¿Está ese organismo acreditado para esta norma?
- El organismo de acreditación aparece nombrado, normalmente con su marca en el certificado. ¿Es un organismo nacional de acreditación reconocido?
Muchos certificados acreditados pueden verificarse de forma independiente en IAF CertSearch, la base de datos internacional de certificaciones acreditadas. Un proveedor también debería estar dispuesto a enviarle, si se lo pide, el certificado de acreditación del propio organismo de certificación. Los nuestros fueron emitidos por RIGCERT, acreditado por ESYD, el Sistema Helénico de Acreditación, e incluimos los certificados de acreditación en cada paquete de evidencias.
Mire las fechas
Los certificados se emiten para un ciclo, normalmente de tres años, con auditorías de seguimiento cada año entre medias. Compruebe la fecha de emisión, la de caducidad y, si puede, la fecha de la última auditoría de seguimiento.
Sepa qué cubre cada norma
Los números importan, porque certifican cosas distintas:
- ISO/IEC 27001 es gestión de la seguridad de la información, el núcleo de lo que la mayoría de los auditores preguntan.
- ISO/IEC 27017 añade controles de seguridad específicos para servicios cloud.
- ISO/IEC 27018 añade controles para proteger los datos personales en servicios cloud, directamente relevante en las conversaciones sobre el RGPD.
- ISO 9001 es gestión de la calidad: procesos documentados y repetibles.
- ISO 14001 es gestión ambiental.
- ISO 37001 es gestión antisoborno.
Para ISO/IEC 27001 hay otro documento que merece la pena solicitar: la Declaración de Aplicabilidad. Enumera los controles del anexo de la norma e indica cuáles se aplican y cuáles se excluyen, con sus razones. Las exclusiones son normales, pero una exclusión que afecte a su caso de uso es algo que conviene discutir.
Dónde estamos nosotros
EuroVPS cuenta con ISO/IEC 27001 junto con ISO/IEC 27017 y 27018, ISO 9001, ISO 14001 e ISO 37001, emitidas en septiembre de 2026. Los operadores de nuestros datacenters cuentan con sus propios informes de auditoría y atestaciones independientes, disponibles bajo acuerdo de confidencialidad.
Cuando el auditor o el equipo de licitación de un cliente necesita evidencias, montamos un paquete: un índice, una declaración firmada de servicios, ubicaciones, certificaciones, alcance y controles clave, nuestros certificados con los certificados de acreditación detrás, los documentos de aseguramiento del operador del datacenter, y una nota de presentación. Nuestro objetivo es entregarlo en un día.
Preguntas que hacer a su proveedor
- ¿Qué dice exactamente el alcance del certificado, y cae mi servicio dentro de él?
- ¿Qué organismo lo emitió, y quién acreditó a ese organismo?
- ¿Cuándo fue la última auditoría de seguimiento?
- ¿Puedo ver la Declaración de Aplicabilidad?
Si su auditor le ha pedido evidencias y las quiere en un solo paquete, con gusto le ayudamos.
Related
- /what-we-do/operations/certifications/
- /what-we-do/operations/gdpr/
- /what-we-do/operations/hardening-baseline/
Publicado el 21 de agosto de 2026.
Todas las notas de campo