Copyrights. Angel de la Torre,
2026. Todos los derechos reservados.
El cumplimiento normativo en ciberseguridad ha dejado de ser un ámbito aislado, relegado al departamento legal o al responsable de sistemas, para convertirse en una pieza central de la estrategia empresarial. Las consultoras de tecnología que asesoran a otras compañías, gestionan sus infraestructuras o desarrollan software a medida se encuentran en una posición especialmente delicada: no solo deben garantizar su propio cumplimiento, sino que actúan como garantes del cumplimiento de sus clientes. Esta doble responsabilidad transforma el enfoque tradicional del compliance y exige una integración profunda con la estrategia corporativa.
La entrada en vigor de normativas como NIS2, DORA y la actualización del Esquema Nacional de Seguridad (ENS) ha redefinido el mapa de obligaciones para el sector de la consultoría informática. Ya no se trata únicamente de proteger los activos propios: las empresas de servicios tecnológicos deben demostrar ante sus clientes y ante los reguladores que sus procesos, metodologías y controles internos alcanzan el nivel de madurez exigido. Ignorar esta realidad no solo expone a sanciones administrativas, sino que supone un riesgo comercial directo, porque cada vez más pliegos de contratación y acuerdos de nivel de servicio incluyen cláusulas estrictas de cumplimiento normativo.
Frente a este escenario, surge una pregunta recurrente en los despachos de dirección: ¿cómo convertir el cumplimiento normativo en una ventaja competitiva y no en una carga burocrática? La respuesta exige abandonar la visión compartimentada del compliance y adoptar un modelo de gobernanza integrado que alinee los requisitos regulatorios con los objetivos de negocio, la gestión de riesgos y la propuesta de valor al cliente. A lo largo de este artículo exploramos las claves para conseguirlo.
El tejido normativo que rodea a las empresas de consultoría tecnológica es denso y, en ocasiones, aparentemente contradictorio. Conviven reglamentos europeos de aplicación directa, directivas que requieren transposición nacional, leyes orgánicas y estándares internacionales de adopción voluntaria. La primera tarea de cualquier consultora que aspire a un cumplimiento sólido consiste en identificar con precisión qué regulaciones le afectan en función de su tamaño, su sector de actividad, el tipo de datos que maneja y la naturaleza de los servicios que presta.
Para los proveedores de servicios gestionados de seguridad, las plataformas de servicios en la nube, las consultoras que desarrollan aplicaciones para el sector financiero o las que licitan con la Administración Pública, la superposición normativa es la norma, no la excepción. Una misma organización puede necesitar cumplir simultáneamente con el Reglamento General de Protección de Datos (RGPD), la Directiva NIS2, el Reglamento DORA y el ENS, además de perseguir certificaciones como ISO 27001 o ISO 22301. La clave está en identificar los puntos de convergencia y construir un sistema de gestión único que dé respuesta a todos ellos.
A continuación, presentamos una tabla que sintetiza las principales normativas que impactan en el sector de la consultoría IT en España, sus ámbitos de aplicación, los requisitos más relevantes y las consecuencias de su incumplimiento. Esta visión panorámica constituye el punto de partida imprescindible para cualquier estrategia de compliance.
| Normativa | Tipo | Ámbito | Requisitos clave para consultoras IT | Consecuencias del incumplimiento |
|---|---|---|---|---|
| ENS (RD 311/2022) | Nacional | Sector público y sus proveedores | Categorización de sistemas (Alta/Media/Básica), 75 medidas de seguridad, auditoría bienal | Exclusión de licitaciones públicas, responsabilidad administrativa |
| NIS2 (Dir. UE 2022/2555) | Europea (transpuesta) | Sectores esenciales e importantes | Gestión de riesgos, notificación de incidentes en 24/72 horas, seguridad de la cadena de suministro | Multas de hasta 10 millones de euros o el 2% de la facturación global |
| DORA (Reg. UE 2022/2554) | Europea (aplicación directa) | Sector financiero y sus proveedores TIC | Resiliencia operativa digital, pruebas de penetración avanzadas (TLPT), gestión de proveedores TIC | Sanciones de hasta el 1% de la facturación diaria media, retirada de autorización para operar |
| RGPD | Europeo (aplicación directa) | Protección de datos personales | Delegado de Protección de Datos, evaluaciones de impacto, notificación de brechas en 72 horas | Multas de hasta 20 millones de euros o el 4% de la facturación global anual |
| ISO 27001 | Estándar internacional | Seguridad de la información (voluntario) | Sistema de Gestión de Seguridad de la Información (SGSI), 93 controles del Anexo A, mejora continua | Pérdida de la certificación y de los contratos que la exigen |
| Reglamento de IA (AI Act) | Europeo (aplicación directa) | Inteligencia artificial según nivel de riesgo | Clasificación de sistemas, transparencia, gobernanza de datos, supervisión humana | Multas de hasta 35 millones de euros o el 7% de la facturación global |
Durante años, el cumplimiento normativo se ha percibido en muchas organizaciones como un mal necesario: un conjunto de trámites que consumen recursos sin aportar valor tangible al negocio. Esta visión, además de ser errónea, resulta peligrosa en el contexto regulatorio actual. Las normativas más recientes, como NIS2, responsabilizan directamente a los órganos de administración, que pueden ser sancionados de forma personal por omisiones graves en la supervisión de la ciberseguridad. El mensaje es inequívoco: el compliance ya no es un asunto exclusivamente técnico; es una función estratégica con implicaciones directas sobre la continuidad del negocio y la responsabilidad de los directivos.
Integrar el cumplimiento en la estrategia empresarial significa, en primer lugar, que la alta dirección asume un rol activo en la definición de las políticas de seguridad y en la asignación de recursos. No basta con delegar en el director de tecnología o en un consultor externo. Se requiere la creación de un comité de seguridad con representación del más alto nivel, la designación de un responsable de seguridad de la información con acceso directo al consejo y, cuando la normativa lo exija, un Delegado de Protección de Datos con autonomía funcional.
El segundo pilar de esta integración estratégica consiste en alinear los objetivos de cumplimiento con los objetivos de negocio. Una consultora IT que aspira a trabajar para entidades financieras debe incorporar los requisitos de DORA en su hoja de ruta de certificaciones y en sus procesos internos desde el primer momento. Del mismo modo, una empresa que licita con la Administración Pública necesita que el ENS no sea un parche añadido a última hora, sino un eje vertebrador de su arquitectura de seguridad. Esta alineación convierte el cumplimiento en un habilitador de negocio, no en un obstáculo.
Construir un programa de cumplimiento que responda simultáneamente a varias normativas y que, al mismo tiempo, esté alineado con la estrategia corporativa requiere una arquitectura sólida. La experiencia acumulada en proyectos de consultoría demuestra que los enfoques fragmentados —un proyecto para RGPD, otro para ENS, otro para ISO 27001— generan ineficiencias, duplicidades y, sobre todo, una falsa sensación de control. El camino más efectivo pasa por edificar un sistema de gestión integrado que se sustente sobre siete pilares fundamentales.
La gobernanza es el cimiento sobre el que se construye todo el edificio del cumplimiento. Sin un liderazgo visible y comprometido, cualquier iniciativa de compliance está condenada a diluirse en las urgencias del día a día. El comité de seguridad debe reunirse con una periodicidad definida, levantar actas formales y tomar decisiones con impacto real sobre la organización. Su composición debe reflejar la transversalidad del cumplimiento, incorporando perfiles de dirección general, tecnología, operaciones, legal y recursos humanos.
Además, la designación de un responsable de seguridad de la información resulta imprescindible incluso cuando la normativa no lo exige de forma explícita. Este perfil actúa como nexo entre la visión estratégica de la dirección y la ejecución técnica de los equipos de sistemas. En consultoras IT de cierto tamaño, la figura del CISO debe contar con un equipo dedicado y con el presupuesto suficiente para impulsar las iniciativas de seguridad sin depender de la buena voluntad de otros departamentos.
Todas las normativas de ciberseguridad, desde el ENS hasta DORA, comparten un denominador común: exigen que las medidas de seguridad sean proporcionales al nivel de riesgo identificado. Esto significa que el análisis de riesgos no es un documento que se redacta para pasar una auditoría y luego se archiva, sino la brújula que orienta todas las decisiones de inversión en seguridad. Una consultora IT debe evaluar los riesgos asociados a sus activos de información, pero también los riesgos que sus servicios generan en los clientes y los que provienen de su cadena de suministro.
Metodologías como MAGERIT, de referencia en el ámbito del ENS, o ISO 27005 proporcionan marcos estructurados para realizar esta evaluación. El proceso debe repetirse con una periodicidad mínima anual y cada vez que se produzcan cambios significativos en la infraestructura, en la cartera de servicios o en el panorama de amenazas. La evaluación de riesgos es el elemento que permite justificar, ante un auditor o ante un regulador, por qué se han implementado unos controles y no otros.
Documentar las políticas de seguridad es una obligación transversal a todas las normativas, pero el valor de esta documentación no reside en su mera existencia, sino en su capacidad para influir en el comportamiento real de la organización. Una política de control de accesos que no se implanta técnicamente mediante sistemas de autenticación multifactor o una política de clasificación de la información que los empleados desconocen son papeles sin efecto práctico y, además, constituyen un riesgo en sí mismos, porque generan una confianza infundada.
Las políticas deben redactarse con un lenguaje claro y adaptado al perfil de cada audiencia. No es lo mismo el documento que recibe un administrador de sistemas que la guía de uso aceptable que se entrega a un consultor recién incorporado. Además, deben revisarse periódicamente —al menos una vez al año— y actualizarse para reflejar los cambios regulatorios, las lecciones aprendidas de los incidentes y la evolución de la infraestructura tecnológica.
El eslabón más débil de la cadena de seguridad sigue siendo el factor humano. Los informes sectoriales lo corroboran año tras año: una proporción abrumadora de los incidentes tiene su origen en un error humano, ya sea un clic en un enlace de phishing, una configuración incorrecta o el uso de contraseñas débiles. Las normativas han tomado nota de esta realidad y exigen programas de formación periódicos y adaptados a los distintos roles de la organización.
Un programa de concienciación efectivo va más allá del curso anual de una hora. Incluye simulaciones de phishing personalizadas, píldoras formativas breves sobre amenazas concretas, sesiones específicas para los perfiles con privilegios elevados y recordatorios constantes a través de los canales de comunicación interna. La medición de la efectividad de estas acciones —por ejemplo, mediante la evolución de la tasa de clics en las simulaciones— es imprescindible para demostrar el compromiso con la mejora continua ante cualquier auditor.
El cumplimiento normativo no puede basarse en una foto fija tomada el día de la auditoría. La velocidad a la que evolucionan las amenazas y la creciente complejidad de las infraestructuras tecnológicas exigen una monitorización continua de los controles de seguridad. Herramientas como los sistemas de gestión de eventos e información de seguridad, los escáneres de vulnerabilidades o las plataformas de verificación de configuraciones permiten generar evidencias automatizadas del estado de cumplimiento en tiempo real.
Para una consultora IT, la monitorización tiene una doble vertiente. Por un lado, debe supervisar su propia infraestructura y la de los servicios que presta a sus clientes. Por otro, debe ser capaz de generar informes que acrediten ese estado de vigilancia ante terceros. Los paneles de control que muestran de un vistazo el porcentaje de controles implementados, las vulnerabilidades pendientes de parcheo o el tiempo medio de respuesta ante incidentes se han convertido en herramientas de comunicación tan relevantes como los propios informes de auditoría.
Las normativas actuales imponen plazos muy estrictos para la notificación de incidentes de seguridad. El RGPD establece un máximo de 72 horas para comunicar una brecha de datos personales a la autoridad de control. NIS2 acorta ese plazo a 24 horas para la alerta temprana. DORA, en el ámbito financiero, exige notificar en tan solo 4 horas. Estas exigencias temporales hacen inviable una gestión improvisada: la consultora IT necesita un plan de respuesta a incidentes documentado, probado y conocido por todos los actores implicados.
El plan debe definir con claridad los roles y responsabilidades durante un incidente, los criterios de escalado, los canales de comunicación internos y externos y los procedimientos para la recogida y preservación de evidencias. Pero un plan guardado en un cajón sirve de poco. Es imprescindible realizar simulacros periódicos —desde ejercicios de mesa hasta pruebas de recuperación de sistemas— que permitan validar su eficacia y detectar puntos de mejora. La madurez en la gestión de incidentes es, además, un indicador que los clientes corporativos valoran cada vez más en sus procesos de selección de proveedores.
La auditoría no debe vivirse como un examen externo que pone a prueba la solvencia de la organización, sino como la culminación natural de un ciclo de mejora que se repite de forma ordenada. El ENS exige auditorías prescriptivas cada dos años para las categorías Media y Alta. ISO 27001 establece auditorías de seguimiento anuales y de recertificación trienales. Pero la preparación para estos hitos no puede concentrarse en las semanas previas: requiere una actividad constante de revisión interna.
Las auditorías internas periódicas, realizadas por personal con independencia funcional respecto al área auditada, permiten detectar desviaciones cuando todavía son corregibles sin un coste desproporcionado. El análisis de las no conformidades —esas brechas entre la situación real y los requisitos aplicables— debe traducirse en planes de acción correctiva con plazos, responsables y mecanismos de verificación. Esta dinámica de revisión y ajuste constante es lo que diferencia a las organizaciones que realmente han integrado el cumplimiento de aquellas que simplemente acumulan certificados.
A lo largo de numerosos proyectos de consultoría, se repiten patrones de fracaso que conviene conocer para evitarlos. El más extendido es, sin duda, el cumplimiento cosmético o de casilla de verificación: redactar políticas que no se implementan, documentar controles que no se monitorizan o presentar evidencias que no reflejan la realidad operativa. Este enfoque no solo resulta inútil desde el punto de vista de la seguridad, sino que expone a la organización a un riesgo reputacional severo si se descubre durante una auditoría o, peor aún, tras un incidente grave.
Otro error recurrente consiste en gestionar cada normativa en un silo independiente. El departamento legal se ocupa del RGPD, el equipo de sistemas del ENS y un consultor externo de ISO 27001, sin que exista comunicación entre ellos. Esta fragmentación genera duplicidades costosas, deja brechas sin cubrir en las intersecciones y confunde a los empleados, que reciben mensajes contradictorios desde distintas áreas. La solución pasa por un modelo de sistema de gestión integrado que mapee cada control contra todas las normativas aplicables, de modo que un único esfuerzo de cumplimiento rinda cuentas ante múltiples marcos regulatorios.
Ignorar la cadena de suministro constituye el tercer gran fallo. Una consultora IT puede tener unos controles internos impecables, pero si confía datos de sus clientes a un proveedor de infraestructura en la nube que no cumple con los estándares exigidos, está trasladando un riesgo que, ante un incidente, acabará repercutiendo sobre ella. NIS2 y DORA son muy explícitas en este punto: la responsabilidad sobre la seguridad de la cadena de suministro recae sobre la entidad principal, que debe auditar y supervisar a sus proveedores críticos.
La complejidad del entorno normativo actual desaconseja confiar la gestión del cumplimiento a hojas de cálculo compartidas y recordatorios de calendario. Las plataformas de gobernanza, riesgo y cumplimiento han evolucionado para ofrecer soluciones específicamente diseñadas para este propósito. Estas herramientas centralizan la gestión de políticas, riesgos, controles, auditorías y evidencias, y permiten automatizar tareas repetitivas como la recopilación de pruebas de cumplimiento técnico.
Una plataforma de gobernanza, riesgo y cumplimiento bien implementada permite, por ejemplo, que un control de cifrado de datos en reposo se documente una sola vez y quede automáticamente mapeado contra los requisitos de RGPD (artículo 32), ENS (medida mp.info.3), NIS2 (artículo 21), DORA (artículo 9) e ISO 27001 (control A.8.24 del Anexo A). Este enfoque ahorra horas de trabajo, reduce el riesgo de errores y facilita la generación de informes agregados para la dirección o para los auditores.
Junto a las plataformas de gobernanza, riesgo y cumplimiento, las herramientas de monitorización continua y los escáneres de configuración basados en referencias como los controles críticos de seguridad aportan la capa de verificación técnica automatizada que permite saber, en cada momento, si los controles documentados están realmente operativos. La combinación de ambas capacidades —gestión centralizada y monitorización técnica— constituye la base sobre la que se construye un cumplimiento normativo sostenible en el tiempo y, sobre todo, defendible ante cualquier escrutinio externo.
El cumplimiento normativo en ciberseguridad puede parecer, a primera vista, un laberinto de siglas, plazos y requisitos técnicos difícil de digerir. Sin embargo, su propósito último es sencillo y universal: proteger la información de la organización y de sus clientes frente a amenazas que evolucionan sin cesar. Las normativas no son un capricho de los reguladores, sino la respuesta a riesgos reales que han causado pérdidas millonarias y daños reputacionales irreparables en empresas de todos los tamaños y sectores.
Para el empresario o el directivo no especializado, el mensaje clave es que el cumplimiento no se resuelve contratando a un consultor para que redacte unos documentos y los guarde en una carpeta. Requiere un compromiso sostenido de la dirección, una inversión proporcionada al nivel de riesgo y una integración real en los procesos de toma de decisiones. Cuando se aborda con esta mentalidad, el cumplimiento deja de ser un centro de coste y se convierte en un activo estratégico que genera confianza, abre oportunidades comerciales y protege la continuidad del negocio.
Desde una perspectiva técnica, la integración del cumplimiento normativo en la estrategia empresarial exige superar la falsa dicotomía entre seguridad real y seguridad documental. Un sistema de gestión integrado bien diseñado mapea los controles del Anexo A de ISO 27001, las setenta y cinco medidas del ENS y los requisitos de NIS2 y DORA sobre un mismo modelo de riesgos, identificando solapamientos y eliminando redundancias. La elección de la metodología de análisis de riesgos —MAGERIT, ISO 27005 o NIST SP 800-30— debe responder a las necesidades concretas del negocio y a las exigencias del marco regulatorio predominante, pero en todos los casos debe alimentar un ciclo de mejora continua medible y auditado.
La automatización desempeña un papel crítico en este modelo. La generación manual de evidencias para cada auditoría resulta insostenible en entornos con múltiples normativas concurrentes. La integración de plataformas de gobernanza, riesgo y cumplimiento con las fuentes de datos técnicos —registros de eventos, escáneres de vulnerabilidades, herramientas de gestión de accesos— permite construir paneles de cumplimiento en tiempo real y reducir el esfuerzo de preparación de auditorías a una fracción del que requeriría un enfoque artesanal. Las consultoras IT que dominen esta integración tecnológica y metodológica estarán en una posición inmejorable para transformar el cumplimiento normativo en un diferenciador competitivo tangible.
Especialistas en soluciones tecnológicas personalizadas. Optimiza tu negocio con estrategias efectivas y soporte continuo, garantizando la innovación y el éxito.
