Cómo elegir consultora para adecuarte a NIS2 en España
Cuatro vías reales, siete preguntas que filtran de verdad y los rangos de coste de cada opción. Escrito para quien tiene que firmar la decisión, no para quien tiene que aprobar el presupuesto.
Si has llegado hasta aquí probablemente ya sabes qué es NIS2 y que te afecta. La pregunta que no encuentras respondida en ningún sitio es la siguiente: de todas las empresas que dicen poder ayudarte, ¿cuál te conviene?
Casi todo lo que se publica sobre NIS2 explica la norma. Muy poco explica el mercado de proveedores, que es donde de verdad se pierde el dinero: contratando a la escala equivocada para el problema que tienes.
Esta página no explica NIS2. Si necesitas eso, tengo una guía sobre a quién afecta la directiva y qué obliga a implementar y un checklist de medidas mínimas. Esta página trata solo de cómo elegir.
Las 4 vías reales para adecuarte a NIS2
No hay veinte opciones. Hay cuatro, y cada una falla por un motivo distinto cuando se elige mal.
1. Hacerlo con tu equipo interno
Tiene sentido si ya tienes un responsable de seguridad con tiempo asignado y la empresa está razonablemente madura: inventario de activos al día, gestión de accesos centralizada, backups probados.
Dónde falla: el trabajo de adecuación no es técnico, es documental y de gobernanza. Un equipo de sistemas competente puede tener las medidas implantadas y aun así no superar una inspección porque nada está documentado, versionado ni asignado a un responsable nominal.
2. Una gran consultora o integrador
Tiene sentido si eres una entidad esencial con obligaciones de reporte severas, operas en varios países, o necesitas un nombre reconocible que respalde la decisión ante un consejo o un cliente que te audita.
Dónde falla: el equipo que te vende no es el que ejecuta. En empresas medianas es habitual acabar con perfiles junior aplicando una metodología diseñada para organizaciones diez veces mayores, y pagando esa metodología entera.
3. Un MSSP (seguridad gestionada)
Tiene sentido cuando el problema es de operación continua: monitorización, detección y respuesta a incidentes 24/7. NIS2 exige capacidad de notificar en plazos muy cortos, y eso requiere que alguien esté mirando.
Dónde falla: un MSSP te vende operación, no adecuación. Puedes tener un SOC excelente y seguir sin el análisis de riesgos, las políticas y la cadena de responsabilidad que la norma pide. Son cosas distintas y se contratan por separado.
4. Un consultor independiente que coordina especialistas
Tiene sentido en la franja de 50 a 500 empleados: suficiente complejidad para necesitar método, insuficiente para justificar el coste de una gran firma. Una persona sénior responsable del resultado, apoyada en especialistas concretos donde hace falta.
Dónde falla: capacidad. Si necesitas veinte personas trabajando en paralelo en cinco países, esta vía no te sirve, y quien te diga lo contrario te está vendiendo algo que no puede entregar.
¿No tienes claro cuál de las cuatro vías te encaja?
Cuéntame el tamaño de tu equipo de sistemas y de qué punto partes. Te digo qué vía tiene sentido, aunque no sea la mía.
Las 7 preguntas que filtran de verdad
Hazlas en la primera llamada. Sirven para cualquiera de las cuatro vías y descartan más rápido que cualquier propuesta comercial.
- ¿Quién ejecuta, con nombre y apellidos? Si el perfil sénior de la reunión comercial no aparece en el plan de trabajo, no va a estar en el proyecto.
- ¿Qué me entregas exactamente al final? La respuesta correcta es una lista de artefactos concretos: análisis de riesgos, políticas, plan de respuesta a incidentes, registro de responsables. No «acompañamiento» ni «un roadmap».
- ¿Qué pasa si me inspeccionan seis meses después de acabar? Busca quién se compromete a que la documentación siga siendo defendible, no solo a entregarla.
- ¿Qué parte del trabajo tiene que hacer mi equipo? Siempre hay una parte. Quien diga que ninguna, o no lo ha hecho nunca o piensa rellenar plantillas sin hablar con nadie.
- ¿Me vendes también las herramientas? No es descalificatorio, pero cambia los incentivos. Pregúntalo abiertamente y decide con esa información.
- ¿Puedes enseñarme un caso de mi tamaño y mi sector? Anonimizado está bien. Vago no: «una empresa industrial» no es un caso, es una categoría.
- ¿Qué NO vas a hacer? La respuesta más informativa de todas. Quien no sabe delimitar su alcance acabará facturándote las sorpresas.
Órdenes de magnitud de coste
Los precios varían mucho y quien te dé una cifra cerrada sin conocer tu inventario de sistemas se la está inventando. Lo que sí puede darse son órdenes de magnitud, útiles para detectar cuándo una propuesta se sale de rango.
| Vía | Adecuación inicial | Continuidad |
|---|---|---|
| Equipo interno | Coste de oportunidad de 2-4 meses de tu gente | Dedicación parcial permanente |
| Gran consultora | Decenas de miles de euros | Contrato de mantenimiento anual |
| MSSP | No cubre la adecuación | Cuota mensual por activo o usuario |
| Consultor independiente | Miles de euros, por fases | Retainer mensual opcional |
La comparación honesta no es precio contra precio: es precio contra alcance. Una propuesta barata que no incluye el análisis de riesgos documentado no es barata, es incompleta.
Cinco señales de alarma
- Te garantizan el cumplimiento. Nadie puede garantizarlo: depende de decisiones internas tuyas y del criterio de la autoridad competente.
- Te meten prisa con la sanción. El miedo es una técnica de cierre, no un método de trabajo.
- La propuesta no distingue entre adecuación y operación. Son dos contratos con dos lógicas de coste distintas.
- El certificado sustituye a la evidencia. Tener una certificación no equivale a haber hecho el trabajo en tu empresa.
- No te preguntan por tu inventario de sistemas antes de presupuestar. Sin eso, el número sale de una plantilla.
Cuándo no soy yo la opción correcta
Trabajo solo, apoyándome en especialistas cuando el proyecto lo pide. Eso encaja bien en empresas de 50 a 500 empleados con un problema acotado y mal en tres situaciones concretas:
- Necesitas monitorización 24/7. Eso es un MSSP, y te diré cuál mirar antes que intentar venderte otra cosa.
- Eres una entidad esencial con operación multipaís y obligaciones de reporte en varias jurisdicciones.
- Necesitas una firma reconocible por gobierno corporativo, no por capacidad técnica. Es una razón legítima; yo no la cubro.
Si tu caso es alguno de esos tres, te lo diré en la primera llamada y no habrás perdido más de veinte minutos.
Preguntas frecuentes
¿Puedo adecuarme a NIS2 sin contratar a nadie externo?
Sí, si tienes un responsable de seguridad con tiempo real asignado y la organización ya documenta sus procesos. El obstáculo habitual no es la capacidad técnica, sino que nadie tiene el proyecto como prioridad durante los dos o tres meses que dura.
¿Qué diferencia hay entre una consultora NIS2 y un MSSP?
La consultora te lleva de no cumplir a cumplir: análisis de riesgos, políticas, documentación y responsables. El MSSP opera tu seguridad día a día: monitoriza, detecta y responde. Necesitas ambas cosas, pero no al mismo proveedor ni al mismo tiempo.
¿Cuánto tarda una adecuación a NIS2?
En una empresa mediana que parte de una base razonable, entre dos y cuatro meses hasta tener el paquete documental defendible. Si el inventario de activos no existe, súmale un mes solo para construirlo, porque todo lo demás depende de él.
¿Sirve una certificación ISO 27001 para cumplir NIS2?
Ayuda mucho y cubre buena parte del trabajo, pero no es equivalente. NIS2 añade obligaciones propias, en particular de notificación de incidentes y de responsabilidad de la dirección, que un sistema de gestión certificado no garantiza por sí solo.
¿Cómo sé si una propuesta está sobredimensionada?
Compara el número de perfiles propuestos con el tamaño de tu equipo de sistemas. Si la consultora plantea más gente de la que tienes trabajando en IT, están aplicando una metodología de gran empresa a un problema que no lo es.
¿Quieres una lectura sin compromiso de por dónde estás?
Veinte minutos para situar tu punto de partida y decirte cuál de las cuatro vías te encaja. Si no soy yo, te lo digo y te oriento igual.
