La respuesta corta
ISO 27001 da a una startup de biotecnología o ciencias de la vida una prueba independiente de que gestiona la seguridad de sus datos de investigación y su propiedad intelectual. Un proyecto bien enfocado suele llevar de 4 a 8 semanas, no un año, y la auditoría en sí puede ser rápida: Orbion, una startup berlinesa que desarrolla modelos de IA para la ingeniería de proteínas, recibió su certificado acreditado por UKAS 39 días después de su auditoría de Fase 1, con cero no conformidades en la Fase 2.
Es la misma norma que usan las empresas SaaS. Lo que cambia en biotecnología es lo que proteges: secuencias, resultados de ensayos, modelos, la propiedad intelectual de tus socios y, a veces, datos de pacientes o datos genéticos. Y los socios suelen mencionar otros marcos en la misma frase, como el RGPD y las GxP. Esta guía los repasa uno a uno.
Habla con un fundador sobre tu ruta ISO · Lee el caso de éxito de Orbion
Por qué los socios de biotecnología piden ISO 27001
Las startups de biotecnología reciben datos que a sus socios les ha costado años producir. Un socio farmacéutico o biotecnológico que comparte secuencias de proteínas o resultados experimentales quiere saber quién puede verlos, dónde se guardan y qué pasa si algo sale mal.
El cofundador de Orbion lo explicó así en el caso de éxito de Tempo Audits:
"Nuestros clientes y socios nos confían datos de investigación sensibles y una propiedad intelectual valiosa. Queríamos una norma independiente y reconocida para demostrar cómo protegemos esa información."
Aniruddh Goteti, cofundador, Orbion
Traducido del inglés.
ISO 27001 responde a eso con un certificado de un organismo de certificación acreditado, que el departamento de compras de un socio puede comprobar en UKAS CertCheck o IAF CertSearch. No acabará con las preguntas: los socios siguen enviando cuestionarios de seguridad. Pero muchas respuestas pueden remitir entonces a políticas y evidencias que ha revisado un auditor independiente.
Qué incluir en el alcance
El alcance es la primera decisión de verdad y la palanca que más influye en los días de auditoría y en el coste. Parte de lo que compran tus socios y de los datos que te envían, no de toda la empresa.
- La plataforma y sus datos. El certificado de Orbion cubre las personas, los procesos, los sistemas, los proveedores, las instalaciones y los activos de información que hacen funcionar su plataforma SaaS de ingeniería de proteínas, sus API de producción, sus flujos de cómputo de ML, la atención al cliente y las operaciones de negocio que los respaldan (Tempo Audits).
- La capacidad de cómputo y otros proveedores. Los proveedores de GPU y de nube que tratan datos de tus socios son proveedores que evalúas e incluyes en tu lista. El Trust Center de Orbion recoge 8 subencargados del tratamiento.
- El laboratorio, si contiene los datos. ISO 27001 protege la información, no los procesos de laboratorio. Si los instrumentos, los cuadernos de laboratorio electrónicos o un LIMS almacenan datos que entran en el alcance, inclúyelos. Si el laboratorio nunca los toca, déjalo fuera.
- La seguridad física, incluso en una auditoría en remoto. En la Fase 2, el auditor comprueba los controles en la práctica. La Fase 2 de Orbion, en remoto, también cubrió la seguridad física.
Qué preguntan los socios y qué aceptan
Preguntas que suelen hacer los compradores del sector de ciencias de la vida, y lo que normalmente les basta.
| Lo que preguntan | Lo que aceptan |
|---|---|
| "¿Tienen la certificación ISO 27001?" | Un certificado de un organismo de certificación acreditado, con un alcance que cubra lo que compran |
| "¿Nos sirve un certificado británico?" | Sí, si está acreditado: UKAS y DAkkS firmaron el acuerdo de EA por el que sus acreditaciones se consideran equivalentes |
| "¿Cómo protegen nuestros datos y nuestra propiedad intelectual?" | Tus políticas, como las de clasificación de datos, control de acceso y cifrado, junto con evidencias de que las cumples |
| "¿Quién más tiene acceso a nuestros datos?" | Una lista de subencargados del tratamiento que indique qué hace cada uno |
| "¿Podemos ver sus documentos?" | Un Trust Center donde soliciten políticas y certificados, con un acuerdo de confidencialidad si lo necesitas |
| "¿Tienen una prueba de penetración reciente?" | Un informe de pruebas de penetración del producto que usan |
| "¿Tratan datos de pacientes o datos genéticos?" | Tu rol según el RGPD (responsable o encargado del tratamiento), la base jurídica y la condición del artículo 9 cuando eres el responsable, y un contrato de encargo del tratamiento |
| "¿Está su sistema validado para GxP?" | Solo es relevante si tu software forma parte de su trabajo regulado por las GxP, como las GMP según el Anexo 11 o los registros de la FDA según la Part 11. Eso es documentación de validación, no ISO 27001 |
Orbion responde a las preguntas sobre documentos en su Trust Center: su estado de ISO 27001, los títulos de 33 políticas y sus 8 subencargados del tratamiento son públicos, y los socios solicitan el certificado, los PDF de las políticas y otros documentos, que Orbion revisa.
ISO 27001, RGPD y GxP: qué cubre cada uno
Los fundadores del sector de ciencias de la vida suelen oír hablar de los tres a la vez. Responden a preguntas distintas.
| Marco | Qué cubre | Qué obtienes |
|---|---|---|
| ISO 27001 | Cómo gestionas la seguridad de la información: riesgos, controles y evidencias | Un certificado de un organismo de certificación acreditado, válido durante tres años con auditorías anuales |
| RGPD | Los datos personales, incluidos los datos de salud y genéticos como categorías especiales de datos | No hay un certificado que los compradores suelan pedir: registros, políticas, contratos de encargo del tratamiento y, a menudo, evaluaciones de impacto |
| Anexo 11 de las GMP de la UE, 21 CFR Part 11 de la FDA | Los sistemas informatizados y los registros electrónicos que se usan en trabajos regulados por las GMP o por la FDA | Documentación de validación, no un certificado |
| SOC 2 | Controles de seguridad examinados por una firma de auditoría (CPA), que piden sobre todo los compradores estadounidenses | Un informe SOC 2, no un certificado |
Dos detalles importan en biotecnología:
- Los datos genéticos no siempre son datos personales. La ICO británica señala que una muestra no es un dato personal hasta que la analizas, y que los resultados genéticos solo cuentan como datos personales si puedes vincularlos a una persona identificable. Pero los resultados vinculados a una muestra concreta, o lo bastante detallados como para ser únicos de una persona, suelen ser datos personales aunque se eliminen los nombres. Comprueba qué datos tienes realmente antes de definir el alcance de tu trabajo de RGPD.
- ISO 27001 no valida tu sistema. El Anexo 11 establece que las aplicaciones que se usan en trabajos GMP deben validarse. Los controles de ISO 27001, como el control de acceso, los registros de actividad y las copias de seguridad, ayudan, pero la validación es un proyecto aparte.
Orbion: cómo fue la auditoría
Fundada en 2025 y con sede en Berlín, Orbion desarrolla modelos de IA que predicen la expresión, la estabilidad y la desarrollabilidad de las proteínas, y trabaja con empresas de biotecnología e investigadores académicos. Su equipo adaptó los borradores de políticas de Kantis a su trabajo en biotecnología, implantó los controles y preparó las evidencias. Tempo Audits, un organismo de certificación acreditado por UKAS, realizó la auditoría.
- Reserva: las dos fases de la auditoría quedaron reservadas en los 8 días siguientes a la primera llamada de Orbion con Tempo.
- Fase 1, 16 de julio de 2026: una revisión de políticas y documentos. El informe llegó al día siguiente con cinco oportunidades de mejora.
- Fase 2, 17 y 18 de agosto de 2026: los controles y las evidencias en detalle, incluida la seguridad física. Cero no conformidades.
- Certificado, 24 de agosto de 2026: ISO/IEC 27001:2022, 6 días después de la Fase 2 y 39 días después de la Fase 1.
- Cómo: una auditoría en remoto, en la que el auditor revisó los documentos y las evidencias en Kantis.
Su certificación ya aparece en el sitio web y en el Trust Center de Orbion. Lee el caso de éxito de Orbion.
Cómo lo consigue una startup de biotecnología
- Pregunta qué necesita el socio y para cuándo. ISO 27001, un informe SOC 2, un cuestionario o una validación GxP son trabajos distintos. Pregunta si por ahora basta con que esté "en curso". Según nuestra experiencia, a menudo basta.
- Define el alcance en torno a los datos. La plataforma, los datos que envían los socios y los sistemas que los tocan.
- Nombra a un único responsable y reserva el tiempo. El equipo de Orbion hizo por sí mismo buena parte del trabajo. Incluso con una plataforma y apoyo, alguien tiene que tomar decisiones y aplicar los controles.
- Reserva pronto fecha con el organismo de certificación. Los buenos llenan su agenda rápido. La primera llamada de Orbion con Tempo fue el 22 de junio y su auditoría de Fase 1, el 16 de julio. Según nuestra experiencia, los más conocidos están más saturados y pueden alargar el proyecto a tres o cuatro meses.
- Recopila las evidencias sobre la marcha, no la semana antes de la Fase 2.
- Dales a los socios un único sitio donde mirar. Un Trust Center con tu certificado, tus políticas y tus subencargados del tratamiento responde a muchas preguntas antes de que te las hagan.
Para ver el proceso completo, del alcance al certificado, lee nuestra guía de ISO 27001 para startups. Para el presupuesto, partida a partida, lee la guía de costes de ISO 27001.
Dónde encaja Kantis
Kantis combina el software con un apoyo práctico: el análisis de brechas, borradores de políticas que adaptas a cómo trabaja realmente tu equipo, la recopilación de evidencias, la auditoría interna, la coordinación con tu organismo de certificación y un Trust Center para tus socios. El organismo de certificación realiza la auditoría y emite el certificado.
Habla con un fundador sobre tu ruta ISO y saldrás con tu alcance, lo que te van a pedir tus socios y la vía creíble más rápida hacia el certificado. Las llamadas son en inglés.