Una empresa de ciberseguridad hace cuatro trabajos: vigila tus sistemas para detectar ataques, busca los agujeros antes de que los encuentre otro, te ayuda a cumplir la normativa y apaga el fuego cuando algo sale mal. El servicio más conocido es el SOC de ciberseguridad (Security Operations Center, o centro de operaciones de seguridad), un equipo que recibe las alertas de tus ordenadores, servidores, correo y nube, decide cuáles son un ataque real y actúa o te avisa. Toca contratar servicios de ciberseguridad cuando nadie en tu empresa revisa esas alertas a tiempo, cuando un cliente o una administración te pide pruebas de que estás protegido, o cuando ya has tenido un susto.
Aquí no vamos a hablar de precios, que tienes desglosados en cuánto cuesta proteger una pyme de un ciberataque. Vamos a lo que compras con cada servicio, a las siglas que te van a soltar en la primera reunión (SOC, MDR, XDR, vCISO), a las señales de que te hace falta y a las preguntas que separan a un proveedor serio de uno que solo revende licencias.
Qué es un SOC de ciberseguridad y qué hace en un día normal
Un SOC es la combinación de personas, procesos y herramientas que vigila la seguridad de una organización de forma continua. Puede ser propio, algo reservado casi siempre a empresas grandes, o externo, contratado como servicio a una empresa de ciberseguridad que atiende a muchos clientes desde el mismo centro.
El trabajo diario es menos cinematográfico de lo que parece. Las herramientas instaladas en tu empresa (el EDR de cada portátil, el cortafuegos, el registro de inicios de sesión de Microsoft 365 o Google Workspace) envían eventos a una plataforma central, normalmente un SIEM, que los cruza y genera alertas. Un analista de primer nivel las revisa y descarta los falsos positivos, que son la mayoría. Lo que parece real sube a un segundo nivel, que investiga y decide.
Ejemplo concreto: a las 3:40 de un domingo alguien entra en el correo de tu responsable de compras desde una IP de otro país y crea una regla que reenvía las facturas a una dirección externa. Sin vigilancia, te enteras el día que un proveedor te reclama un pago que creías hecho. Con un SOC que funciona, ese inicio de sesión salta como anómalo, alguien comprueba la regla de reenvío y, según lo que hayas pactado, bloquea la cuenta o te llama.
Ese «según lo que hayas pactado» es la diferencia entre dormir tranquilo y pagar por recibir correos de alerta que nadie lee a las cuatro de la mañana.
Los servicios de una empresa de ciberseguridad, uno por uno
Bajo la etiqueta «ciberseguridad» se venden servicios que no se parecen entre sí: unos son continuos y otros puntuales, unos solo observan y otros tocan tus sistemas. Esta tabla resume qué hace cada uno y qué deberías tener en la mano cuando lo contratas.
| Servicio | Qué hace en la práctica | Cuándo suele tener sentido | Qué deberías recibir |
|---|---|---|---|
| SOC gestionado (monitorización) | Recoge registros y alertas de equipos, servidores, red, correo y nube, los correlaciona y un analista decide si hay incidente | Varios sistemas que vigilar y nadie que mire alertas fuera de horario | Avisos clasificados por gravedad, procedimiento de escalado e informe periódico |
| MDR (detección y respuesta gestionadas) | Lo mismo que un SOC, pero con permiso para actuar: aislar un portátil, bloquear una cuenta, cortar un proceso | Pymes sin técnico propio que necesitan que alguien actúe, no que se limite a avisar | Registro de cada acción de contención y tiempos de respuesta por gravedad |
| EDR o XDR gestionado | Software de detección en cada equipo (EDR) o en varias capas a la vez (XDR), administrado por el proveedor | Paso intermedio entre el antivirus de siempre y un MDR completo | Acceso a la consola, políticas aplicadas y revisión de detecciones |
| Gestión de vulnerabilidades | Escaneos periódicos de lo que tienes expuesto a internet y de la red interna, con prioridades de parcheo | Si tienes web propia, VPN, escritorio remoto o servidores accesibles desde fuera | Lista priorizada y evolución de un escaneo al siguiente |
| Pentesting (test de intrusión) | Un técnico intenta entrar como lo haría un atacante, dentro de un alcance cerrado y con tu autorización por escrito | Antes de lanzar una aplicación o una tienda, tras un cambio grande o cuando lo exige un cliente | Informe con hallazgos reproducibles, gravedad y una segunda prueba tras corregir |
| Auditoría o análisis de riesgos | Revisa políticas, configuraciones y procesos frente a un marco (ISO 27001, Esquema Nacional de Seguridad, NIS2) | Antes de certificarte o de contestar el cuestionario de seguridad de un cliente | Brechas frente al marco elegido y plan de acción con responsables |
| Respuesta a incidentes | Contener el ataque, investigar qué pasó (análisis forense) y ayudarte a recuperar la actividad | Cuando ya hay un incidente, aunque conviene dejarla pactada antes con una bolsa de horas | Cronología del ataque, causa, alcance y recomendaciones |
| vCISO (responsable de seguridad externo) | Una persona hace de director de seguridad unas horas al mes: fija prioridades, redacta políticas y controla a los demás proveedores | Empresas que crecen o que tienen que cumplir y no pueden pagar un CISO a jornada completa | Hoja de ruta, políticas aprobadas por la dirección y seguimiento trimestral |
| Concienciación y simulacros de phishing | Formación y campañas de correos trampa para medir quién pica | En casi cualquier empresa, porque el correo sigue siendo la puerta de entrada más usada | Porcentaje de clics por campaña y evolución entre campañas |
SOC, MDR y XDR no son sinónimos
Muchos comerciales usan las tres siglas como si fueran intercambiables, y no lo son. XDR es una tecnología: una plataforma que junta la detección de equipos, correo, identidad y red. SOC es un servicio de vigilancia hecho por personas. MDR es un SOC que además tiene las manos libres para responder.
Para una pyme de 15 personas sin informático, la pregunta útil es quién aprieta el botón de aislar el portátil infectado a las once de la noche. Si la respuesta es «te mandamos un correo y lo haces tú», estás comprando monitorización, no respuesta.
Un pentest no es una auditoría
El pentest responde a «¿puede alguien entrar?» en un momento concreto y sobre un alcance concreto, por ejemplo tu tienda online y tu VPN. La auditoría responde a «¿están bien montados mis procesos y controles?», incluidas cosas que un pentest no mira, como quién da de baja los accesos cuando alguien se va de la empresa. Son complementarios. Si un proveedor te vende un escaneo automático con el logo cambiado como si fuera un pentest, el informe lo delata: cientos de avisos genéricos y ninguna explicación de cómo se ha explotado nada.
La respuesta a incidentes se contrata antes
Buscar a quién llamar en mitad de un ransomware es la peor negociación posible: tienes prisa, no conoces a nadie y cualquier precio parece razonable. Por eso muchas empresas firman una bolsa de horas o un acuerdo de disponibilidad (en el sector lo llaman retainer) con tiempos de respuesta comprometidos. Si además ya tienes SOC o MDR, comprueba si la respuesta a incidentes graves está incluida o se factura aparte, porque suele ser lo segundo. Para la parte preventiva tienes también la guía de cómo protegerse de los ransomware.
El vCISO, para cuando el problema es de gobierno
Hay empresas que ya tienen antivirus, copias y hasta un SOC, y aun así suspenden el cuestionario de un cliente porque nadie ha escrito una política de accesos ni ha decidido qué riesgos se aceptan. Eso no lo arregla una herramienta. Lo arregla alguien con autoridad, aunque sea externo y a tiempo parcial.
Señales de que toca contratar
No hay un número de empleados a partir del cual sea obligatorio externalizar la seguridad. Lo que hay son situaciones que, en la práctica, empujan a hacerlo. Según el balance de INCIBE publicado el 9 de febrero de 2026, en 2025 se gestionaron 122.223 incidentes, un 26 % más que el año anterior, con 25.133 casos de phishing y 392 ataques de ransomware.
Las señales que más pesan:
- Un cliente grande te manda un cuestionario de seguridad o te pide cláusulas nuevas en el contrato. Es la directiva NIS2 bajando por la cadena de suministro, aunque tu empresa no esté obligada directamente.
- Vas a licitar o ya trabajas para una administración pública. El Esquema Nacional de Seguridad también se aplica a los proveedores privados que prestan servicios al sector público.
- El antivirus o el EDR generan alertas y nadie las revisa, o las revisa el informático de confianza «cuando puede».
- Ya has tenido un incidente, aunque fuera pequeño: una cuenta de correo robada, una transferencia desviada, un equipo cifrado.
- Tratas datos sensibles (salud, datos financieros, menores) o tu negocio se para si cae un sistema concreto.
- Tu aseguradora de ciberriesgo te pide controles que no tienes, como autenticación multifactor o vigilancia de equipos.
Qué contratar primero según tu caso
Esta tabla de decisión es una orientación general, no un diagnóstico. El orden cambia si tu actividad tiene normativa sectorial propia.
| Tu situación | Primer paso razonable | Lo que puede esperar |
|---|---|---|
| Autónomo o micropyme con menos de 5 equipos y todo en la nube | Autenticación multifactor, copias fuera de la nube principal y EDR gestionado sencillo | SOC 24×7 completo |
| Pyme de 10 a 50 personas sin técnico propio | MDR con autorización para contener y bolsa de horas para incidentes graves | Pentest anual, salvo que tengas aplicaciones propias expuestas |
| Proveedor de una empresa sujeta a NIS2 | Auditoría o análisis de riesgos frente a las medidas del artículo 21 y respuesta formal al cuestionario | Certificación ISO 27001, hasta que el cliente la exija |
| Proveedor de la administración pública | Adecuación al Esquema Nacional de Seguridad con declaración o certificación de conformidad | Servicios que no aparezcan en los pliegos |
| Empresa que acaba de sufrir un incidente | Respuesta a incidentes con análisis de causa y, después, vigilancia continua | Comprar herramientas nuevas antes de saber por dónde entraron |
| Mediana empresa con departamento de TI | SOC externo que complemente al equipo fuera de horario y vCISO si no hay responsable de seguridad | Duplicar herramientas que TI ya administra |
NIS2 y la ley española, cómo están las cosas en noviembre de 2026
España sigue sin trasponer la Directiva NIS2. El 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE, junto a Irlanda, Francia y Países Bajos, por no haber notificado la trasposición, y pidió una cantidad a tanto alzado y multas diarias hasta que lo haga. El plazo acababa el 17 de octubre de 2024.
El Gobierno aprobó en enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que es el texto llamado a trasponerla, pero en la fecha de redacción de este artículo no se ha publicado ninguna ley en el BOE. Mientras tanto sigue vigente el Real Decreto-ley 12/2018, que traspuso la directiva anterior y fija a INCIBE-CERT como equipo de respuesta de referencia para las entidades privadas y a CCN-CERT para el sector público.
Que la ley no haya llegado no quiere decir que puedas olvidarte. La Directiva (UE) 2022/2555 ya marca lo que vendrá, y un cliente de otro país europeo que sí la aplica puede trasladarte sus exigencias por contrato. Lo esencial:
- A quién se aplica. Con carácter general, a medianas y grandes empresas de los sectores de sus anexos I y II (energía, transporte, banca, sanidad, agua, infraestructura digital, servicios postales, gestión de residuos, fabricación de ciertos productos, alimentación…), según el artículo 2. Algunas entidades entran sea cual sea su tamaño.
- Qué medidas pide. El artículo 21 enumera, entre otras, análisis de riesgos, gestión de incidentes, continuidad y copias de seguridad, seguridad de la cadena de suministro, gestión de vulnerabilidades, formación, cifrado y autenticación multifactor.
- Cuándo notificar. El artículo 23 exige una alerta temprana en 24 horas desde que se tiene constancia de un incidente significativo, una notificación en 72 horas y un informe final como máximo un mes después de esa notificación.
- Multas. El artículo 34 fija topes de al menos 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales, y de 7 millones o el 1,4 % para las importantes, la cifra que sea mayor.
Para que veas lo justo que va el calendario: si detectas un incidente significativo un viernes a las 18:00, la alerta temprana vence el sábado a las 18:00 y la notificación completa, el lunes a la misma hora. El informe final, si notificaste ese lunes 16 de noviembre de 2026, tendría que estar entregado el 16 de diciembre. Con un SOC detrás, esa cronología la tiene escrita alguien. Sin él, la estás reconstruyendo de memoria.
Un detalle que pocos comentan: la directiva incluye en su anexo I a los proveedores de servicios de seguridad gestionados, es decir, a las propias empresas que venden SOC o MDR. Si tu proveedor es mediano o grande, estará sujeto a esas mismas obligaciones cuando llegue la ley española. Pregúntale cómo se está preparando.
Qué preguntar al proveedor antes de firmar
INCIBE, en su análisis sobre las ventajas e inconvenientes de subcontratar ciberseguridad, recomienda empezar por un análisis de tus propias necesidades, cerrar la relación con contrato y acuerdos de nivel de servicio, proteger la información a la que accede el tercero y comprobar la trayectoria del proveedor en tu sector. A partir de ahí, estas son las preguntas que conviene llevar escritas, agrupadas según el servicio.
Si contratas SOC o MDR
- ¿Hay analistas despiertos de madrugada y en festivos, o fuera de horario solo saltan alertas automáticas?
- ¿Qué fuentes vais a vigilar exactamente: equipos, servidores, cortafuegos, correo, cuentas en la nube? ¿Cuáles quedan fuera?
- ¿Podéis aislar un equipo o bloquear una cuenta sin pedirme permiso? ¿Quién lo autoriza y cómo queda registrado?
- ¿Cuál es el tiempo de respuesta comprometido para una alerta crítica y qué compensación hay si no se cumple?
- ¿El SOC es vuestro o lo subcontratáis a otra empresa? ¿Dónde se guardan mis registros, cuánto tiempo y quién es su dueño?
- Si dejo el servicio, ¿qué me entregáis y cómo desinstaláis los agentes?
Si contratas pentest o auditoría
- ¿Qué alcance exacto se prueba y con qué metodología?
- ¿Lo hacen personas con nombre y apellidos o es un escaneo automático?
- ¿Incluye una segunda prueba gratuita para confirmar que lo corregido está bien corregido?
- ¿Firmamos una autorización y un acuerdo de confidencialidad antes de empezar?
Para cualquier proveedor
- ¿Qué certificaciones tiene la empresa (ISO 27001, conformidad con el ENS) y para qué alcance? Pide el certificado y comprueba que cubre el servicio que te venden, no otra línea de negocio.
- ¿Tiene seguro de responsabilidad civil profesional que cubra errores en tus sistemas?
- ¿Quién será tu interlocutor y cómo se le localiza en una emergencia: teléfono o solo formulario?
- ¿Puede darte referencias de clientes de tu tamaño y sector?
Desconfía de quien no pregunte nada sobre tu empresa antes de darte un precio. Un SOC bien dimensionado necesita saber cuántos equipos, usuarios y servicios en la nube tienes, y qué sistemas te cuesta dinero tener parados.
Lo que puedes hacer sin contratar a nadie
Bastante, y gratis. La Línea de Ayuda en Ciberseguridad 017 de INCIBE atendió 142.767 consultas en 2025, casi la mitad preventivas, y es un servicio gratuito y confidencial dirigido también a empresas y profesionales.
Activar la autenticación multifactor en el correo, separar las copias de seguridad de la red principal y revisar quién tiene acceso de administrador cuesta horas, no facturas. Si te falta la base, empieza por lo básico de la seguridad informática y deja la contratación para cuando sepas qué hueco quieres cubrir.
Preguntas frecuentes
¿Qué diferencia hay entre un SOC y un SIEM?
El SIEM es la herramienta que recoge y cruza los registros. El SOC es el equipo que la usa. Un SIEM sin nadie mirándolo es un almacén de alertas.
¿Una pyme pequeña necesita un SOC 24×7?
Depende de cuánto te cueste un día parado y de si alguien puede reaccionar fuera de horario. Para muchas pymes de menos de 20 personas es más realista un EDR gestionado o un MDR que incluya contención automática que un SOC completo con SIEM, porque cubre lo más frecuente (un equipo infectado, una cuenta robada) con menos infraestructura que mantener.
¿Qué es un CERT y en qué se diferencia de un SOC?
Un CERT o CSIRT se centra en la respuesta a incidentes y la coordinación. Los públicos (INCIBE-CERT para empresas privadas y ciudadanos, CCN-CERT para el sector público) no vigilan tus sistemas, pero sí reciben notificaciones y te orientan. Un SOC privado vigila de forma continua los sistemas de sus clientes.
¿Me afecta NIS2 si tengo 20 empleados?
De forma directa, en general no, salvo excepciones como los proveedores de servicios de confianza o de DNS. De forma indirecta, sí puede afectarte si vendes a una empresa obligada, porque ella tiene que vigilar la seguridad de su cadena de suministro y te trasladará requisitos por contrato.
Este artículo es información general. Si tu empresa puede estar dentro del ámbito de NIS2 o del ENS, confirma tu caso con un abogado especializado en derecho tecnológico o con un consultor de cumplimiento.
Fuentes
Consultadas el 6 de noviembre de 2026.
- Directiva (UE) 2022/2555 (NIS2), artículos 2, 6, 21, 23 y 34 y anexo I. EUR-Lex.
- INCIBE, «Principales ventajas e inconvenientes de subcontratar servicios de ciberseguridad». INCIBE Empresas.
