Cómo evaluar si tu proveedor de ciberseguridad está protegiendo tu empresa

Contratar un proveedor de ciberseguridad da una sensación de tranquilidad casi inmediata: hay un contrato firmado, una herramienta instalada y alguien al otro lado del teléfono en caso de un problema. Pero esa tranquilidad puede ser engañosa. Un contrato activo no equivale a una protección real, y muchos consejos de dirección solo descubren la diferencia cuando ya es demasiado tarde, en mitad de un incidente.

Por qué esto es responsabilidad de la dirección, y no solo del departamento de IT

Durante años, la supervisión de la ciberseguridad se ha delegado por completo en los equipos técnicos, con la dirección limitándose a aprobar presupuestos. Ese modelo está cambiando por dos motivos, uno regulatorio y otro puramente de negocio.

Por el lado regulatorio, la Directiva NIS2 establece de forma explícita que los órganos de dirección de las entidades esenciales e importantes deben aprobar las medidas de gestión de riesgos de ciberseguridad de la organización y supervisar activamente su aplicación, no limitarse a delegarla sin control. El artículo 20 de la Directiva NIS2 se refiere específicamente a las obligaciones de los órganos de dirección y sus miembros, y el considerando que lo acompaña insiste en que debe existir un nivel elevado de responsabilidad por parte de la alta dirección en estas decisiones. Esto significa que, aunque la empresa externalice la ejecución técnica, la responsabilidad última sobre si esa protección es adecuada no se puede externalizar.

Por el lado de negocio, INCIBE recuerda en su blog dirigido a empresarios que un directivo debe solicitar informes que le permitan saber el tiempo medio que se tarda en resolver un incidente, el porcentaje de empleados formados o si las copias de seguridad funcionan realmente, en lugar de recibir informes de forma pasiva. La recomendación del organismo público es clara: mantener un diálogo activo con los especialistas técnicos, no conformarse con leer un documento mensual.

El primer filtro: marco normativo y certificaciones del proveedor

Antes de entrar en detalles operativos, conviene comprobar sobre qué marcos de referencia trabaja realmente el proveedor, más allá de lo que indique en su web comercial.

Esquema Nacional de Seguridad (ENS)

El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, es de obligado cumplimiento para el sector público español y para los proveedores que le prestan servicios, y de aplicación voluntaria para el resto de organizaciones que quieran elevar su nivel de seguridad. Según el Centro Criptológico Nacional, se trata de una norma jurídica certificable, lo que permite evidenciar el cumplimiento de forma objetiva, mediante auditoría de un tercero. Si tu proveedor trabaja con administraciones públicas o aspira a hacerlo, comprobar su nivel de adecuación al ENS (básico, medio o alto) es un indicador tangible, no una promesa comercial.

ISO/IEC 27001

La norma ISO/IEC 27001:2022 certifica la existencia de un Sistema de Gestión de Seguridad de la Información. No certifica que una empresa sea "invulnerable", sino que dispone de procesos documentados, auditados y revisados periódicamente para gestionar el riesgo. Pedir el certificado, la fecha de la última auditoría y el alcance exacto que cubre (no todas las certificaciones cubren todos los servicios que presta el proveedor) es un ejercicio de cinco minutos que aporta mucha más información que cualquier folleto.

NIS2 y la responsabilidad sobre la cadena de suministro

España acumula un retraso relevante en la transposición de la Directiva NIS2: el plazo europeo venció en octubre de 2024 y la Comisión Europea envió un dictamen motivado en mayo de 2025 por incumplimiento. Sin embargo, esto no significa que la directiva sea irrelevante hoy: es vinculante a nivel europeo desde 2023 y ya condiciona contratos y auditorías en toda la Unión. Un aspecto especialmente relevante para este artículo es que la norma extiende la responsabilidad más allá de la propia organización: si tu empresa forma parte de la cadena de suministro de una entidad esencial o importante, las exigencias de seguridad pueden llegarte por vía contractual aunque tú no estés directamente dentro del ámbito de aplicación. Esto convierte la solvencia normativa de tu proveedor de ciberseguridad en un asunto que puede afectar a tus propios contratos con terceros.

Los indicadores que tu proveedor debe poder mostrarte, con datos y no solo con palabras

Una vez comprobado el marco de referencia, el siguiente paso es exigir métricas concretas. Un proveedor que protege de verdad puede mostrarlas sin dificultad; uno que solo gestiona una herramienta suele responder con generalidades.

Tiempos de detección y de resolución

El tiempo medio que tarda el proveedor en detectar una actividad anómala y el tiempo que tarda en contenerla y resolverla son dos de los datos más reveladores de la calidad real del servicio. INCIBE señala explícitamente que este es uno de los datos que un directivo debe pedir de forma habitual, no solo tras un incidente grave. Si el proveedor no puede aportar esta cifra con precisión, probablemente no la está midiendo internamente, lo que es en sí mismo una señal de alerta.

Cobertura horaria de la monitorización

Existe una diferencia enorme entre un servicio que revisa alertas en horario de oficina y uno con monitorización continua las veinticuatro horas. La mayoría de los ataques automatizados no respetan horarios laborales, y un proveedor que solo actúa de nueve a seis deja una ventana de exposición considerable fuera de ese horario, especialmente en fines de semana y festivos.

Resultados de auditorías, pruebas de intrusión y simulacros

Pedir que se compartan los hallazgos, no solo la conclusión, de la última auditoría o prueba de hacking ético realizada permite comprobar si el proveedor identifica problemas reales o se limita a entregar informes complacientes. Igual de relevante es preguntar si se han realizado simulacros de restauración de copias de seguridad, ya que una copia que nunca se ha probado a restaurar no garantiza nada en caso de incidente real.

Las preguntas que un directivo debe poder formular, y entender la respuesta

INCIBE, en su guía dirigida específicamente a perfiles no técnicos, plantea tres preguntas que sirven como punto de partida en cualquier reunión de seguimiento con el proveedor: cuáles son los tres problemas de seguridad más graves en este momento, cuánto costaría a la empresa una parada de negocio provocada por un ciberataque, y qué decisiones concretas necesita el equipo técnico que tome la dirección para mejorar la protección. La tercera pregunta es, en la práctica, la más reveladora: obliga al proveedor a traducir el lenguaje técnico en decisiones de negocio, y obliga a la dirección a implicarse de forma activa en lugar de delegar por completo.

Señales de alerta: cuando el proveedor vende tranquilidad, no protección

Hay patrones que se repiten en las relaciones con proveedores que ofrecen una sensación de seguridad sin sustancia real detrás.

El primero es la entrega de informes genéricos, con gráficos atractivos pero sin datos comparables mes a mes ni referencias a incidentes concretos gestionados. El segundo es la ausencia de un plan de gestión de crisis definido de antemano: como advierte INCIBE en su guía de gestión de crisis de ciberseguridad, cada vez es más habitual que los ataques no se dirijan directamente contra la empresa, sino contra sus proveedores o socios tecnológicos, afectándola de forma indirecta, por lo que resulta imprescindible que el proveedor tenga protocolos de coordinación y comunicación ya definidos antes de que ocurra un incidente, no improvisados durante el mismo. El tercer patrón es una dependencia total del proveedor, sin ninguna transferencia de conocimiento ni documentación interna: si toda la información sobre la infraestructura de seguridad reside únicamente en la cabeza del proveedor, la empresa pierde capacidad de negociación y de reacción ante cualquier desacuerdo o cambio de proveedor.

Checklist resumen para llevar al comité de dirección

Antes de la próxima reunión de seguimiento con el proveedor, conviene tener a mano los siguientes puntos de control: certificación ENS o ISO 27001 vigente y su alcance exacto; tiempo medio de detección y de resolución de incidentes de los últimos meses; cobertura horaria real de la monitorización; fecha y resultado de la última prueba de intrusión o auditoría; existencia de un plan de crisis documentado y probado; y evidencia de que las copias de seguridad se restauran realmente, no solo se generan.

Conclusión

Evaluar a un proveedor de ciberseguridad no requiere conocimientos técnicos profundos, pero sí requiere dejar de aceptar respuestas vagas como si fueran garantías. La combinación de un marco normativo verificable, indicadores medibles y preguntas concretas convierte una relación de confianza ciega en una relación de supervisión informada, que es exactamente lo que hoy exigen tanto el marco regulatorio europeo como el sentido común empresarial.