Guía · 4 min de lectura
¿Cuánto cuesta una auditoría de ciberseguridad para una pyme?
Los presupuestos de ciberseguridad pueden ir de gratis a decenas de miles de euros, y no siempre se entiende por qué. Aquí tienes de qué depende el precio, qué tipos de revisión existen, qué preguntar y cómo comparar dos ofertas.
Por Hugo Arribas Muñoz · Actualizado el
Qué tipos de revisión existen
- Comprobación automática y pasiva: mira lo público (DNS, correo, certificado, cabeceras). Es lo que hace la comprobación gratuita de Adarve. Cuesta nada o muy poco, pero no ve lo que hay dentro.
- Revisión externa por una persona: alguien interpreta los resultados, los prioriza para tu caso y te los explica en una reunión. En Adarve, la Revisión de seguridad cuesta 250 € + IVA como precio de lanzamiento para los primeros clientes, y 390–490 € + IVA después.
- Análisis de vulnerabilidades: un escáner recorre tus servidores, tu web y tu red para encontrar fallos conocidos. Es más profundo y se repite con el tiempo.
- Auditoría interna: se revisa por dentro (Active Directory, servidores, configuración de equipos) para ver qué podría hacer alguien que ya hubiera entrado. Requiere acceso y un acuerdo previo.
- Prueba de intrusión (pentest): un experto intenta entrar como lo haría un atacante, con tu permiso por escrito. Es lo más caro y lo que menos necesita una pyme al principio.
De qué depende el precio
- El alcance: cuántos dominios, webs, servidores y equipos entran. Cada elemento más es más tiempo.
- La profundidad: una revisión de superficie frente a otra que comprueba a mano cada hallazgo.
- Quién lo hace: una persona con experiencia cobra más que un servicio automático, pero también interpreta y prioriza.
- El entregable: un listado técnico no es lo mismo que un informe con resumen para dirección, plan por prioridades y reunión de explicación.
- La repetición: una revisión única o una vigilancia continua con avisos tienen modelos de precio distintos (pago único frente a cuota mensual).
- El seguimiento: si el precio incluye volver a revisar cuando hayas arreglado lo detectado.
Qué debe incluir una buena oferta
- Alcance por escrito: qué se revisa y qué queda fuera.
- Autorización firmada si se va a probar algo más que lo público. Sin permiso del titular, probar sistemas ajenos puede ser un delito.
- Confidencialidad: quién verá tus datos y cómo se guardan.
- Informe en lenguaje claro con qué arreglar primero y a quién pedírselo.
- Una sesión para explicarlo, y cuánto dura el soporte después.
- Qué pasa si encuentran algo grave: plazo de aviso y cómo te lo comunican.
Por dónde empezar sin gastar de más
- Haz primero la [comprobación gratuita](/comprobar) y el test de ciberseguridad para saber en qué punto estás.
- Arregla lo básico: copias 3-2-1, doble factor y protección del correo. Esto suele costar tiempo, no dinero.
- Contrata una revisión externa cuando quieras que alguien te lo priorice y te lo explique.
- Deja la auditoría interna y el pentest para cuando tengas un servidor propio, muchos equipos o un cliente que te lo exija.
Preguntas frecuentes
¿Cuánto cuesta una auditoría de ciberseguridad para una pyme?
Depende del alcance, la profundidad y quién la haga. Una revisión externa de dominio y correo es la opción más económica; una auditoría interna o una prueba de intrusión cuesta bastante más. Pide siempre el alcance por escrito para poder comparar.
¿Es obligatorio hacer una auditoría de ciberseguridad?
Con carácter general, no para una pyme. Pero el RGPD exige medidas de seguridad adecuadas al riesgo si tratas datos personales, y algunos clientes o aseguradoras piden pruebas de que las tienes. Una auditoría es una forma de demostrarlo.
¿Qué diferencia hay entre un análisis de vulnerabilidades y un pentest?
El análisis de vulnerabilidades busca fallos conocidos de forma sistemática. El pentest va más allá: una persona intenta aprovecharlos para ver hasta dónde se podría llegar. Lo segundo es más caro y más específico.
¿Puedo hacer la auditoría yo mismo?
Sí, hasta cierto punto: la comprobación gratuita, el test de ciberhigiene y revisar copias, accesos y actualizaciones lo puedes hacer tú. Para interpretar y priorizar, o probar sistemas por dentro, conviene ayuda de un profesional.
¿Cada cuánto hay que repetirla?
Cuando cambie algo importante (nuevo servidor, nuevo proveedor, cambio de web) y, como mínimo, una vez al año. Una vigilancia continua evita depender de una foto puntual.
Sigue leyendo
- Ciberseguridad para gestorías y asesorías: cómo proteger los datos de tus clientes5 min de lectura
- Phishing en tu empresa: cómo detectar un correo falso y qué hacer si has picado9 min de lectura
- Ransomware en tu empresa: qué hacer en las primeras 24 horas6 min de lectura
Fuentes y más información
- Reglamento General de Protección de Datos (RGPD), art. 32
- INCIBE: ciberseguridad para empresas
- AEPD: Agencia Española de Protección de Datos
Esta guía es orientativa y no sustituye el asesoramiento técnico o legal de un profesional. Se actualiza cuando cambian los hechos.