Evaluaciones de Seguridad y Cumplimiento
Análisis de brechas, remediación y preparación de la evidencia para NIS2, DORA, el Esquema Nacional de Seguridad, ISO 27001, el RGPD y la Ley de IA.
Vender a un banco, a una administración pública española o a una empresa sujeta a NIS2 significa demostrar tu seguridad, no solo describirla. Esa demostración es un conjunto de evidencias —el alcance del sistema, el análisis de riesgos, la declaración de aplicabilidad, resultados de pruebas, un registro de remediación— reunidas según el estándar de otro y defendibles ante una auditoría.
Evaluamos los sistemas frente al marco normativo que te corresponde y producimos los artefactos que tu auditor, tu cliente o el equipo de seguridad de tu cliente aceptarán de verdad. Las certificaciones las emiten entidades de certificación acreditadas, y cuando hace falta un evaluador independiente trabajamos con socios acreditados; la ingeniería, la documentación y la remediación son nuestras. Cuando una brecha de control resulta ser un problema operativo y no de papeleo, también podemos arreglar el sistema subyacente, que es el resto de lo que hace esta firma.
Lo que le quitamos de encima a tu equipo
- Determinación del marco aplicable y definición del alcance
- Análisis de riesgos, declaración de aplicabilidad y políticas de seguridad
- Recopilación de evidencias y análisis de brechas frente al marco aplicable
- Procedimientos de notificación de incidentes con los plazos de NIS2 y DORA
- Revisión de contratos con proveedores TIC (artículo 30 de DORA, artículo 28 del RGPD)
- Pruebas de penetración: externas, internas, web, API, nube e ingeniería social
- Planificación de la remediación con responsables y secuenciación
- Supervisión continua y reevaluación a medida que cambia el sistema
Cómo lo llevamos a cabo
Definición del alcance
Establecemos qué normas te aplican de verdad (NIS2, DORA, ENS y su categoría, RGPD, Ley de IA) y qué certificación te pide tu mercado, cuál es realmente el alcance del sistema y qué evidencias existen ya. Recibes un alcance por escrito antes de que empiece cualquier otra cosa.
Evaluación de brechas
Los controles se prueban frente al marco aplicable. Recibes los hallazgos con su gravedad, la evidencia que hay detrás de cada uno y lo que hará falta para cerrarlo, no una hoja de cálculo con fallos sin explicar.
Remediación
Secuenciamos el trabajo empezando por lo que bloquea la auditoría o el contrato, redactamos la documentación y, cuando la brecha es técnica, podemos implementar la solución en lugar de entregarte una lista de tareas.
Auditoría y mantenimiento
Preparamos el expediente para la auditoría de certificación y te acompañamos durante ella. Después, los cambios se reevalúan para que la postura de seguridad no se degrade entre auditorías.
Qué cambia para el negocio
- Un expediente de evidencias construido según el estándar que aplica tu auditor
- Hallazgos sobre los que puedes actuar, con responsables y secuencia
- Brechas técnicas cerradas, no solo documentadas
- Una postura de seguridad que sobrevive a la siguiente auditoría en lugar de tener que reconstruirse
Programas habituales
Empresa que entra en NIS2
Determinación de si estás dentro y con qué categoría, análisis de brechas frente a las medidas de gestión de riesgos, procedimiento de notificación en 24 y 72 horas y aprobación por la dirección.
Proveedor tecnológico de entidades financieras
Preparación para DORA: paquete de información para el registro de tu cliente, contrato revisado frente al artículo 30, plan de continuidad probado y estrategia de salida.
Proveedor del sector público español
Categorización del sistema, adecuación al ENS y preparación de la Declaración o la Certificación de Conformidad que pide el pliego.
Empresa que despliega IA
Clasificación de los casos de uso según la Ley de IA, evaluación de impacto del RGPD cuando procede y diseño de la supervisión humana antes de ponerlos en producción.
Plataformas y tecnología
Preguntas que escuchamos de responsables de operaciones y finanzas
NIS2, DORA, el Esquema Nacional de Seguridad, ISO/IEC 27001:2022, el RGPD y la Ley de IA de la UE, además de la documentación de gobierno que exige cada uno. Si tu cliente estadounidense te pide SOC 2, preparamos los controles y la evidencia; el informe lo emite una firma de auditoría habilitada.
No. Las certificaciones ISO 27001 y ENS las emiten entidades de certificación acreditadas por ENAC u otro organismo nacional de acreditación. Nosotros preparamos el sistema y la evidencia, te acompañamos en la auditoría y cerramos las brechas. Te decimos siempre con qué papel actuamos en cada parte del trabajo.
Por la definición del alcance. La mayoría de las revisiones suspendidas son una mezcla de brechas técnicas reales y evidencias que existen pero que nunca se documentaron en la forma que quería el revisor. Separar ambas cosas es el trabajo de la primera semana.
Son un servicio aparte y se pueden acotar de forma independiente: externas, internas, de aplicación web, API, configuración cloud e ingeniería social, con un informe que incluye los pasos de reproducción y las pautas de remediación.
Las organizaciones reguladas son precisamente donde el proceso manual sobrevive más tiempo, porque nadie quiere tocar un sistema que está bajo auditoría. Podemos evaluar el sistema, cerrar las brechas y después automatizar el proceso, incluida la recogida de evidencias, dentro del alcance que acabamos de documentar.
Sí. Los sistemas cambian, y una certificación que no se mantiene se pierde en la siguiente auditoría. Reevaluamos lo que ha cambiado, mantenemos la documentación al día y volvemos a probar los controles con la periodicidad que exige tu marco normativo.
Cuánto vale esto en tu operación
Tus volúmenes, tus tarifas, tu decisión sobre cuánto debería asumir un sistema. Nada se nos envía a nosotros.
Qué te cuesta un proceso al año
Elige un proceso repetitivo — facturas, pedidos, solicitudes, reclamaciones, tickets — y ponle precio de principio a fin.
Solo mano de obra. No cuenta el retrabajo, los pagos con retraso ni los clientes que se fueron mientras la cola avanzaba. Funciona con 46 semanas laborables y 1.800 horas productivas por persona al año. Es una estimación a partir de tus propias cifras, no un presupuesto.
Enviar estas cifras con una solicitud de evaluaciónTodas las calculadoras del sitio, incluida la de retorno de la inversión
Descubre lo que seguridad y cumplimiento eliminaría de tu operación
Evaluación confidencial dirigida por ingenieros sénior. Sin compromiso.