¿Qué es la ciberseguridad gestionada?
La ciberseguridad gestionada es un servicio en el que un proveedor instala, vigila y mantiene la seguridad de tu empresa a cambio de una cuota periódica. La NIS2 lo define en su artículo 6.40: un proveedor de servicios gestionados que lleva a cabo actividades de gestión de riesgos de ciberseguridad o presta asistencia para ello.
Es la alternativa a contratar a una persona dedicada o a comprar herramientas sueltas que nadie revisa. La Directiva (UE) 2022/2555 distingue dos figuras que se suelen confundir: el proveedor de servicios gestionados, que mantiene tu informática, y el de seguridad gestionada, que es el que se ocupa de los riesgos. En inglés, este último es un MSSP (managed security service provider).
| Qué cambia | Proveedor de servicios gestionados (art. 6.39) | Proveedor de servicios de seguridad gestionados (art. 6.40) |
|---|---|---|
| Qué hace | Instala, gestiona, explota o mantiene productos, redes, infraestructuras o aplicaciones informáticas | Lo mismo, dedicado a gestionar los riesgos de ciberseguridad o a ayudar a hacerlo |
| Dónde | En tus instalaciones o a distancia | En tus instalaciones o a distancia |
| Escenario típico | El mantenimiento de equipos, servidores y red | Antivirus gestionado, vigilancia de alertas, copias probadas y documentación de la seguridad |
| En la NIS2 | Anexo I, punto 9 | Anexo I, punto 9 |
¿Quién hace qué en un servicio de ciberseguridad gestionada?
En la ciberseguridad gestionada, el proveedor instala y configura la protección, vigila las alertas, contiene los incidentes y reúne las pruebas. Tu empresa aprueba la política, lee el informe, decide cuando hay que elegir y mantiene a su informático para equipos y red. Aprobar las medidas sigue siendo cosa de la dirección.
| Tarea | El proveedor | Tu empresa |
|---|---|---|
| Instalar y configurar la protección | Sí | No |
| Vigilar las alertas | Sí | No |
| Responder a un incidente | Contiene lo que esté en marcha, comprueba las copias y te explica qué ha pasado | Decide lo que vaya más allá de la cuota, con presupuesto antes de tocar nada |
| Documentar y reunir las pruebas | Sí, cada mes, si el servicio incluye la documentación | Aprueba la política y lee el dossier |
| Formar al equipo | Formación y simulacros, con presupuesto aparte | Hace la formación |
| Mantener equipos y red | No | Su informático, como hasta ahora |
| Aprobar las medidas de seguridad | Las propone | La dirección las aprueba y las supervisa |
Lo de la dirección no es un detalle: si la NIS2 te aplica, su artículo 20 obliga a los órganos de dirección a aprobar las medidas, supervisarlas y formarse. Lo cuenta la responsabilidad de la dirección en la NIS2.
¿Qué incluye un servicio de ciberseguridad gestionada para una pyme?
Un servicio de ciberseguridad gestionada para pymes incluye antivirus gestionado en cada equipo, copia con restauración probada, filtro de correos trampa y una persona de contacto. Para demostrarlo ante clientes o la NIS2 se añaden vigilancia continua, seguridad documentada y un dossier de pruebas. En Talvit, lo esencial, 29 € por puesto y mes.
| Qué | Precio |
|---|---|
| Lo que frena el ransomware en cada equipo (antivirus gestionado), copia del puesto con restauración probada, filtro de correos trampa en Microsoft 365 y una persona de contacto con nombre, en horario laboral | 29 € por puesto y mes |
| Copia y archivo del correo de Microsoft 365, sistema de seguridad documentado con el dossier NIS2, formación y simulacros de correos trampa | Presupuesto aparte, antes de empezar |
Qué es un centro de vigilancia y quién mira las alertas, en qué es un SOC; la diferencia entre un antivirus y uno gestionado, en antivirus gestionado frente a antivirus.
¿Cómo se paga la ciberseguridad gestionada?
La ciberseguridad gestionada se suele pagar con una cuota por puesto y mes. En Talvit, cada ordenador o portátil protegido es un puesto: 29 € al mes, IVA no incluido. No hay permanencia: cancelas avisando con un mes y pagas solo los meses usados.
| Qué | Cómo |
|---|---|
| Unidad | El puesto: cada ordenador o portátil de trabajo que protegemos |
| Precio | 29 € por puesto y mes, IVA no incluido; desde 50 puestos, el precio por puesto baja |
| Ejemplo | 25 puestos: 725 € al mes |
| Inversión inicial | Ninguna: no hay proyecto de implantación |
| Permanencia | Ninguna: cancelas avisando con un mes y pagas solo los meses usados |
| Un incidente que va más allá de la cuota | Se presupuesta antes de tocar nada |
Así no hay facturas sorpresa en el peor día. Las cuotas para otros tamaños, y la comparación con pagar por horas o por licencias sueltas, están en el precio de la ciberseguridad para una pyme.
¿Ciberseguridad gestionada o un informático por horas?
No son excluyentes. El informático por horas arregla lo que se rompe y mantiene equipos y red; la ciberseguridad gestionada vigila, responde y documenta de forma continua. Si tus clientes te piden pruebas, necesitas lo segundo. Según ENISA, el 94 % de las pymes tiene dificultades para contratar personal de ciberseguridad.
94 %
De las pymes de la encuesta de ENISA de 2025 tienen dificultades para contratar personal de ciberseguridad; el 90 %, para retenerlo.
El mismo informe de ENISA ve que el gasto en seguridad se orienta cada vez más a la tecnología y a la externalización, y menos a crecer los equipos propios. Si además de la cuota te falta quien prepare los informes para la dirección y siga el plan, eso es un CISO externo: un responsable de seguridad de fuera, por horas.
¿Qué tiene que entregarte cada mes tu proveedor de ciberseguridad gestionada?
Tu proveedor de ciberseguridad gestionada tiene que entregarte cada mes un informe que entienda la dirección, las pruebas de que los controles funcionan, con fecha y responsable, y una persona que responda. En Talvit, el dossier de evidencias se presupuesta aparte de la cuota, y el primero llega en el primer mes.
El informe
- Cuántos equipos hay, cuántos protegidos y cuántos al día
- Qué está bien, qué se ha arreglado y qué viene
- Los incidentes del mes, también cuando no ha habido ninguno
Las pruebas
- La prueba de restauración de las copias, firmada y fechada
- El informe de filtrado del correo: qué ha entrado, qué se ha retenido y por qué
- El registro de actualizaciones y el de accesos y permisos
- El fichero del mes del dossier de evidencias, con fecha
La persona
- Un nombre y una forma de contacto, la misma cada vez
- Quién decide en un incidente, y en cuánto tiempo responde, por escrito
Qué documentos tiene un dossier y qué hace que una prueba valga, en el dossier de evidencias; el índice entero, en el índice del dossier.
¿Le aplica la NIS2 a tu proveedor de ciberseguridad gestionada?
La NIS2 incluye a los proveedores de servicios gestionados y de seguridad gestionados medianos o grandes: están en su anexo I, punto 9, y el Reglamento de Ejecución 2024/2690 les fija requisitos técnicos. Y si la NIS2 te aplica a ti, su artículo 21.2.d te obliga a valorar la seguridad de ese proveedor.
El Reglamento de Ejecución (UE) 2024/2690 detalla, para los proveedores de servicios gestionados y de seguridad gestionados entre otros, los requisitos técnicos y metodológicos de las medidas del artículo 21.2. El artículo 21.3 te pide tener en cuenta las vulnerabilidades de cada proveedor directo y «la calidad general de los productos y las prácticas en materia de ciberseguridad» de tus proveedores.
En la práctica, a tu proveedor de seguridad le preguntas lo mismo que tus clientes te preguntan a ti: un cuestionario de seguridad. Qué cambia para una empresa de servicios informáticos, en la NIS2 para empresas de servicios informáticos. En España, a 18 de octubre de 2026, falta la ley de transposición: lo cuenta el estado de la NIS2 en España.
¿Se puede pagar la ciberseguridad gestionada con el Kit Digital?
No, a 18 de octubre de 2026: la web oficial Acelera pyme dice que «las convocatorias del Programa Kit Digital han finalizado». Siguen abiertas algunas convocatorias de Pyme Cibersegura en las cámaras de comercio y, en Euskadi, la ayuda de SPRI, que nombra los servicios de seguridad gestionados entre lo subvencionable.
Lo dice la página del Kit Digital en Acelera pyme. La ayuda Ciberseguridad Industrial de SPRI incluye, en el apartado «Detectar», los «servicios de seguridad gestionados (MSSP)» y la contratación de un centro de vigilancia (SOC), según el BOPV de 18 de mayo de 2026. Pyme Cibersegura, por su parte, no paga nada que ya se financiara con el Kit Digital.
Qué cubre cada una, quién puede pedirla y hasta cuándo, en las ayudas de ciberseguridad para pymes. Ninguna garantiza que una cuota mensual encaje en su anexo de gastos: lo confirma quien convoca.
¿Cómo eliges un proveedor de ciberseguridad gestionada?
Para elegir proveedor de ciberseguridad gestionada, pregunta qué te entregan cada mes, quién te atiende, qué pasa si hay un ataque y cuál es el precio cerrado por puesto. Desconfía de quien promete riesgo cero o de quien dice que con su servicio ya cumples la NIS2 sin que cambie nada en tu empresa.
¿Tienes en plantilla a alguien dedicado a la seguridad, con tiempo para vigilar alertas?
- Sí
- Quizá te basten herramientas y su tiempo; comprueba que deja pruebas.
- No
- Sigue.
¿Te piden pruebas tus clientes, tu aseguradora o la NIS2?
- Sí
- Necesitas documentación y evidencias cada mes: un plan con dossier.
- No
- Sigue.
¿Tu informático vigila y responde también fuera de horario?
- Sí
- Pregúntale cómo lo documenta y quién decide en un incidente.
- No
- Un servicio gestionado cubre ese hueco sin que contrates a nadie.
- Pregunta qué te entregan cada mes. Si no hay informe ni pruebas, no sabrás si funciona.
- Pregunta quién te atiende: una persona con nombre, no una cola de incidencias.
- Pregunta qué pasa si hay un ataque: quién responde, en cuánto tiempo y qué está incluido.
- Pide el precio cerrado por puesto y mes, y qué pasa si quieres irte.
Las diez preguntas completas, con lo que deberías oír, en cómo elegir proveedor de ciberseguridad. Por dónde empezar si partes de cero, en ciberseguridad para pymes. Y si quieres ver cómo encaja con tu empresa, cuéntanos tu caso.
Lo que esta guía no cubre
- El precio exacto para tu empresa: depende de cuántos puestos protejas y del plan.
- Qué es un SOC o un antivirus gestionado por dentro: lo cuentan sus guías.
- Las condiciones de cada convocatoria de ayudas, que fija quien la convoca.
Preguntas frecuentes
¿Hay permanencia en la ciberseguridad gestionada de Talvit?
No. Puedes cancelar cuando quieras avisando con un mes, y solo pagas los meses usados. Se paga por puesto y mes, y los puestos se suben o se bajan cuando cambia la plantilla.
¿Y si ya tengo un informático?
Seguimos trabajando con él. Tu informático mantiene los equipos y la red; nosotros ponemos la seguridad que se gestiona a diario —antivirus gestionado, copias con restauración probada, filtro de correo, vigilancia— y el papeleo que te piden.
¿Cuánto se tarda en poner en marcha?
En días, no en meses. No hay proyecto de implantación ni inversión inicial: se instala en los puestos y empieza a proteger. La documentación y el primer dossier de evidencias llegan en el primer mes.
¿Qué cuenta como puesto?
Cada ordenador o portátil de trabajo que protegemos.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), arts. 6.39, 6.40, 20 y 21 y anexo I, consultado el
- Reglamento de Ejecución (UE) 2024/2690, art. 1, consultado el
- ENISA, NIS Investments 2025 (8-12-2025), consultado el
- Acelera pyme, Kit Digital, consultado el
- BOPV n.º 91, de 18-5-2026, bases y convocatoria de Ciberseguridad Industrial 2026 (SPRI), consultado el
Registro de cambios
- : Publicación.
- : Reescrita entera, con fuentes: la definición de la NIS2, los tres planes tal como se contratan y la permanencia corregida. Decía «Sí, con permanencia»; no hay permanencia, se cancela avisando con un mes.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
