ISO 22237 para data center en México: cómo implementarla sin reventar tu presupuesto

ISO/IEC 22237 es la serie de normas internacionales que reemplazó al estándar europeo EN 50600 como marco de referencia para diseño, construcción y operación de data centers. Publicada entre 2018 y 2024, cubre desde la concepción del sitio hasta el retiro de equipo, con foco en disponibilidad, seguridad física, eficiencia energética y sostenibilidad. Si tu data center opera para clientes que piden certificaciones o si planeas participar en licitaciones con corporativos multinacionales, es la norma que te van a pedir. La pregunta es cómo llegar a cumplirla sin que el costo del proyecto se coma el CapEx.

Qué cubre (y qué no cubre) la serie 22237

La serie se compone de 8 documentos principales: 22237-1 (conceptos generales), 22237-2 (design), 22237-3 (management), 22237-4 (environmental sustainability), 22237-5 (telecommunications infrastructure), 22237-6 (power systems), 22237-7 (cooling), y 22237-8 (security). Lo que NO cubre es la operación día a día: para eso necesitas ISO/IEC 20000-1 (gestión de servicios TI) o ISO 27001 (seguridad de la información). 22237 te dice cómo diseñar y construir; no te certifica cómo operas.

El error que cuesta más: implementar todo al mismo tiempo

El error más común en una pyme mexicana que decide 'implementar ISO 22237' es tratar de cubrir las 8 partes simultáneamente. El resultado típico es un proyecto de 18 meses con presupuesto triplicado, sin entregables parciales, y sin claridad de qué parte aporta valor inmediato. La implementación razonable sigue otro orden.

Orden recomendado de implementación por presupuesto

Cuatro fases que un data center típico de 5-50 racks puede completar en 9-12 meses sin reventar el presupuesto:

Fase 1 — Diseño y disponibilidad (Partes 1, 2 y 6)

Documentar la topología física y lógica del data center, calcular disponibilidad objetivo según clases de la norma (Clase 1 a Clase 4), y verificar que el sistema eléctrico cumple con redundancia N, N+1 o 2N según la clase objetivo. Esta fase no requiere obra civil nueva si tu DC ya está construido; es principalmente auditoría documental y diseño. Costo típico: 1-3 meses de honorarios de un consultor especializado.

Fase 2 — Telecomunicaciones (Parte 5)

Esta es la fase que más valor aporta a un cliente corporativo: certifica que tu cableado estructurado cumple con las especificaciones de la norma (categoría, separación de trayectorias, redundancia de pathways). Para un DC de 10-50 racks, esta fase es típicamente de 2-3 meses y se combina con cualquier refresh de cableado que ya tengas planeado.

Fase 3 — Eficiencia energética y sostenibilidad (Partes 3 y 4)

Métricas PUE, WUE, CUE, además de los criterios de sostenibilidad que la norma introduce (uso de energía renovable, gestión de residuos electrónicos, evaluación de ciclo de vida). Para la mayoría de los data centers en México, esta fase es principalmente de medición y reporte; las inversiones grandes (UPS de alta eficiencia, free-cooling, energía renovable on-site) se justifican si tienes carga suficiente para amortizarlas.

Fase 4 — Seguridad física (Parte 8)

Esta es la fase más barata de implementar si ya tienes un sistema de control de acceso y CCTV razonable. La norma pide control de acceso con autenticación de dos factores, videovigilancia con retención de al menos 90 días, registro de visitantes con fotografía, y gabinetes de mantrap donde aplique. La inversión suele ser de $10-30k USD en equipo adicional, no obra civil.

Lo que la norma exige que casi nadie tiene

Hay tres requisitos de 22237 que aparecen en la mayoría de las auditorías como hallazgos repetidos:

• Documentación del diseño 'as-built'. La norma pide que el plano del DC refleje lo que realmente se construyó, no lo que estaba en el plano original. La realidad de la mayoría de los DCs en México es que los planos viven en la cabeza del ingeniero que diseñó y nadie más los ha visto.
• Plan de retiro de equipo. La Parte 1 pide un procedimiento documentado para retirar equipo de TI al final de su vida útil sin afectar la operación del resto. La realidad es que el equipo se apila en un rincón hasta que alguien lo manda a reciclar.
• Métricas trimestrales de eficiencia energética reportadas al comité directivo. La norma pide que las métricas de eficiencia (PUE, WUE, CUE) lleguen a quien decide presupuesto, no solo al equipo de operaciones.

Costo realista por tamaño de data center

Lo que cuesta implementar las 4 fases arriba en pesos mexicanos, con base en rangos observados en proyectos 2024-2025:

• DC pequeño (5-15 racks): 800k-1.5M MXN. Tiempo: 4-6 meses. Incluye consultoría + documentación + medición. Sin obra civil.
• DC mediano (20-80 racks): 1.5M-4M MXN. Tiempo: 6-9 meses. Incluye Fase 2 con refresh de cableado + instrumentación de PUE/WUE.
• DC grande (100+ racks): 4M-15M MXN. Tiempo: 9-15 meses. Incluye posiblemente obra civil en Fase 4 (mantraps) y proyectos de eficiencia energética.

La certificación: ¿cuándo la vale, cuándo no?

ISO 22237 no tiene un esquema de certificación universal como ISO 27001 o PCI DSS. Lo que existen son auditorías de cumplimiento de segunda o tercera parte (tú contratas al auditor, o un cliente lo hace). Para la mayoría de las operaciones, la 'certificación' es en realidad un Reporte de Conformidad firmado por un auditor acreditado. Si tu cliente te pide la certificación, pregunta específicamente qué nivel de auditoría acepta.

Recomendación práctica

Antes de firmar un contrato de consultoría para 'implementar ISO 22237', pide una evaluación inicial de 2 semanas que te diga exactamente qué partes cumplen, qué partes fallan, y cuál es la secuencia de remediación con costo estimado por fase. Cualquier consultor serio te la ofrece como primer entregable. Si te quiere vender un proyecto de 18 meses sin esa evaluación previa, no ha visto tu data center.

Fuentes

1. ISO/IEC 22237 — Information technology — Data centres (serie completa) — https://www.iso.org/standard/77771.html
2. IEC Blog — Data centres and the new ISO/IEC 22237 series — https://www.iec.ch/blog/data-centres-new-isoiec-22237-series-make-them-more-sustainable
3. Uptime Institute — Tier Classification and Certification (referencia complementaria) — https://uptimeinstitute.com/tier-certification
4. TIA — TIA-942 Telecommunications Infrastructure Standard for Data Centers — https://www.tiaonline.org/