En tecnologías de la información, «cumplir la norma» rara vez significa una sola cosa. En el Perú conviven un catálogo de Normas Técnicas Peruanas (NTP) —la mayoría adaptaciones de estándares ISO/IEC— y un marco legal que, en determinados casos, las vuelve de uso obligatorio. Saber qué norma aplica, en qué versión y a título de qué (recomendación o mandato) es la diferencia entre un proyecto que resiste una auditoría y uno que acumula observaciones. Esta guía recorre, de forma didáctica y con las versiones vigentes, las NTP que todo equipo de TI en el Perú debería tener en el radar.
Qué es una NTP y quién la emite
Una Norma Técnica Peruana es un documento de referencia que fija requisitos, métodos o buenas prácticas para un producto, proceso o servicio. Las aprueba el Instituto Nacional de Calidad (INACAL), organismo técnico creado por la Ley N° 30224, que hace las veces de organismo nacional de normalización. En el terreno informático, el trabajo técnico lo realiza un comité especializado: el Comité Técnico de Normalización de Ingeniería de Software y Sistemas de Información (CTN-ISSI), cuya secretaría técnica está a cargo de la PUCP.
El punto de partida —y la primera confusión que conviene despejar— es que, por regla general, las NTP son de adopción voluntaria. Se convierten en obligatorias solo cuando una norma legal (una ley, un decreto supremo o una resolución) así lo dispone para un ámbito determinado, típicamente el sector público.
Seguridad de la información: la norma estrella
Si hay una familia de estándares que marca la agenda de las TI peruanas, es la de seguridad de la información. Su norma central es la NTP-ISO/IEC 27001, que define cómo montar y mantener un Sistema de Gestión de Seguridad de la Información (SGSI): un conjunto ordenado de políticas, roles, análisis de riesgos y controles que protege la confidencialidad, integridad y disponibilidad de la información.
La versión vigente es la NTP-ISO/IEC 27001:2022, aprobada por la Resolución Directoral N° 022-2022-INACAL/DN (29 de diciembre de 2022), que actualizó el título de la norma a «Seguridad de la información, ciberseguridad y protección de la privacidad». Y aquí está lo decisivo para el sector público: la Resolución de Secretaría de Gobierno y Transformación Digital N° 003-2023-PCM/SGTD dispuso que las entidades públicas implementen su SGSI con la NTP-ISO/IEC 27001 vigente. Es decir, hoy el mandato apunta a la edición 2022, no a la de 2014.
2012
2016
2022
2023
La 27001 no viaja sola. Se apoya en dos normas complementarias que INACAL también mantiene actualizadas:
Ciclo de vida del software y de los sistemas
La segunda gran familia ordena cómo se construye el software. Aquí la norma clave —y también obligatoria en el Estado— es la NTP-ISO/IEC 12207:2016 (3.ª edición), «Ingeniería de software y sistemas. Procesos del ciclo de vida del software», declarada de uso obligatorio en las entidades del Sistema Nacional de Informática por la Resolución Ministerial N° 041-2017-PCM. La norma describe los procesos que van desde la adquisición y el suministro hasta el desarrollo, la operación, el mantenimiento y el retiro de un producto de software. Su propósito práctico: que un proyecto no dependa del héroe de turno, sino de procesos repetibles y documentados.
Cuando el alcance excede al software y abarca sistemas completos (hardware, personas y procesos), la referencia es la NTP-ISO/IEC 15288:2014, «Procesos del ciclo de vida del sistema». Ambas comparten estructura y vocabulario, de modo que se usan de forma coordinada en proyectos de ingeniería de mayor envergadura.
Calidad del producto software
Construir siguiendo un proceso no garantiza, por sí solo, que el resultado sea bueno. Para medir la calidad existe la familia SQuaRE (Software Product Quality Requirements and Evaluation), cuyo modelo de referencia internacional es la ISO/IEC 25010. En el catálogo peruano, la evaluación de la calidad se ha apoyado tradicionalmente en la familia NTP-ISO/IEC 9126 (modelo de calidad) y NTP-ISO/IEC 14598 (proceso de evaluación), que definen características medibles del producto.
Gestión de servicios de TI
Una cosa es tener sistemas y otra, prestarlos como un servicio confiable. La NTP-ISO/IEC 20000-1:2012 (2.ª edición) fija los requisitos de un Sistema de Gestión de Servicios (SGS): gestión de incidentes y problemas, control de cambios, niveles de servicio (SLA), capacidad y continuidad. Es la norma que traduce la operación diaria de una mesa de ayuda o de un área de TI en procesos auditables. La acompañan la NTP-ISO/IEC 20000-2 (código de buenas prácticas) y la 20000-3 (guía de alcance y aplicabilidad).
Gobernanza de las TI
En el nivel más alto —el de la dirección— la NTP-ISO/IEC 38500:2016 (2.ª edición) establece los principios de gobernanza corporativa de la tecnología de la información. Responde a una pregunta distinta de la operativa: no cómo se hace, sino quién decide, con qué responsabilidad y cómo se rinde cuenta sobre el uso de la TI en la organización. Es la norma que conecta el área de sistemas con el directorio.
Accesibilidad de las plataformas digitales
Un servicio digital del Estado debe poder ser usado por todas las personas, incluidas las que tienen alguna discapacidad. El estándar de referencia son las Pautas de Accesibilidad para el Contenido Web (WCAG) del W3C, reconocidas internacionalmente como ISO/IEC 40500. En el Perú, este eje se ha reforzado con la creación del Sello de Accesibilidad Digital (2024) y los lineamientos para el diseño de plataformas digitales accesibles en la Administración Pública (2025), sobre la base de la Ley N° 29973, Ley General de la Persona con Discapacidad.
El marco legal que vuelve exigibles las normas
Las NTP no flotan en el vacío: su carácter obligatorio proviene del marco de Gobierno Digital. El Decreto Legislativo N° 1412 (Ley de Gobierno Digital) y su reglamento, el Decreto Supremo N° 029-2021-PCM, colocan a la PCM —a través de la Secretaría de Gobierno y Transformación Digital (SGTD)— como ente rector de la identidad, la interoperabilidad, los datos, la arquitectura y la seguridad digital. Su Título VII, sobre seguridad digital, se articula con el Marco de Confianza Digital del Decreto de Urgencia N° 007-2020.
De ese marco derivan obligaciones muy concretas para cada entidad:
A este núcleo se suman dos normas legales que todo proyecto de TI —público o privado— debe respetar: la Ley N° 29733 de Protección de Datos Personales, con su nuevo Reglamento (Decreto Supremo N° 016-2024-JUS), y la Ley N° 30096 de Delitos Informáticos, que tipifica el acceso ilícito, el sabotaje y el fraude informático, entre otros.
Qué implica, en la práctica, «cumplir»
Cumplir no es imprimir un certificado y archivarlo. Es sostener en el tiempo un conjunto de procesos que una auditoría pueda verificar. Para una entidad que parte de cero, el camino suele ordenarse así:
Conclusión
El mapa de normas técnicas para TI en el Perú es más ordenado de lo que parece: un cuerpo de NTP —adaptadas de ISO/IEC y mantenidas por INACAL— y un marco de Gobierno Digital que decide cuáles son obligatorias y para quién. La clave no es memorizar códigos, sino entender la lógica: cada norma responde a una pregunta distinta —seguridad, proceso, calidad, servicio, gobernanza o accesibilidad— y trabajar con la versión vigente es lo que separa un cumplimiento real de uno de papel. Quien ordena su casa alrededor de estos estándares no solo evita observaciones: construye tecnología en la que se puede confiar.
¿Tu organización necesita alinear sus TI con las normas técnicas peruanas?
Acompaño a entidades y empresas en el cumplimiento de estos estándares: diagnóstico de brechas, implementación del SGSI (NTP-ISO/IEC 27001:2022), procesos de ciclo de vida y gestión de servicios, gobernanza de TI y adecuación al marco de Gobierno Digital. Conversemos sobre tu caso.
Fuentes
- Instituto Nacional de Calidad (INACAL). Normas Técnicas Peruanas (catálogo).
- INACAL. Normas Técnicas Peruanas sobre seguridad de la información (aprobación de la NTP-ISO/IEC 27001:2022 y 27002:2022 por R.D. N° 022-2022-INACAL/DN).
- CTN-ISSI (PUCP). Normas Técnicas Peruanas de Ingeniería de Software y Sistemas de Información.
- Presidencia del Consejo de Ministros. Resolución Ministerial N° 004-2016-PCM (uso obligatorio de la NTP-ISO/IEC 27001:2014, antecedente).
- PCM. Resolución Ministerial N° 041-2017-PCM (uso obligatorio de la NTP-ISO/IEC 12207:2016).
- PCM. Decreto Supremo N° 029-2021-PCM, Reglamento del Decreto Legislativo N° 1412, Ley de Gobierno Digital.
- Congreso de la República. Decreto Legislativo N° 1412, Ley de Gobierno Digital.
- Ministerio de Justicia y Derechos Humanos. Decreto Supremo N° 016-2024-JUS, Reglamento de la Ley N° 29733 de Protección de Datos Personales.
La información de este artículo tiene fines divulgativos y de análisis; no constituye asesoría legal ni técnica para un caso concreto. La normativa y las normas técnicas citadas pueden ser modificadas o actualizadas; para decisiones específicas, verifique el texto vigente de cada norma y consulte a un profesional respecto de su situación particular. Información vigente a julio de 2026.
