Consultoría de ciberseguridad en España 2026: cómo elegir socio independiente
Lo que cambia entre una consultora que vende producto y una que sólo audita madurez. Marco de decisión para CISOs y comités regulados por NIS2, DORA y ENS.
La consultoría de ciberseguridad en España vive un momento de demanda inédita en 2026. NIS2 (transposición en curso), DORA (en vigor desde enero 2025), ENS (Real Decreto 311/2022), CRA y eIDAS están reescribiendo el marco regulatorio; los CISOs reportan presión presupuestaria y de comité; las empresas medianas se enfrentan por primera vez a obligaciones de notificación, supervisión proactiva y responsabilidad del órgano de dirección. La ISMS Forum Challenges 2026 confirma que el 78% de los CISOS españoles prioriza la gestión de IA y el 64% el cumplimiento normativo. En ese contexto, la decisión de contratar consultora deja de ser técnica y pasa a ser estratégica. Esta guía no rankea consultoras (la lista de empresas vive en su pieza separada): explica qué cambia entre tipos de consultora y cómo evaluar a quien firma su informe. Primedefence es Silver Support Partner de SOC-CMM y aplica el modelo a clientes finales. La perspectiva es la de quien audita, no la de quien comercializa.
Cómo se ha construido este ranking
Estructuramos la guía en cinco preguntas que un comité de dirección debería poder responder antes de firmar contrato. Cada pregunta aterriza en un dominio SOC-CMM (Business para gobierno, Process para metodología, Services para cobertura operativa) y en una consideración regulatoria (NIS2, ENS, DORA). El objetivo no es vender a Primedefence: es dar al comprador un marco para discriminar entre consultoras con metodología real y proveedores que venden producto envuelto en consultoría.
- Marco: SOC-CMM 2.4 + obligaciones NIS2/DORA/ENS + criterios de independencia.
- No es ranking de consultoras: es marco de decisión para CISOs y comités.
- Independencia: Primedefence es Silver Support Partner SOC-CMM; certificación con LRQA.
- Compromiso de actualización: trimestral. Próxima revisión 2026-08-21.
- Fuentes: ISMS Forum Challenges 2026, BOE transposición NIS2, ENISA Good Practice Guide, INCIBE, reportes anuales de consultoras referenciadas.
Tabla comparativa
| Tipo de consultora | Foco real | Independencia | Encaje típico |
|---|---|---|---|
| Big4 (Deloitte, PwC, EY, KPMG) | Cumplimiento regulatorio amplio | Limitada si hay auditoría financiera | Grandes empresas reguladas con escala global |
| Consultora boutique independiente (Primedefence y similares) | Madurez SOC, assessment, evidencia | Alta (sin venta de producto ni operación) | Mid-market y grandes con necesidad de auditoría independiente |
| Integrador / MSP (Telefónica, GTI, Innovery) | Implantación + servicios gestionados | Media (relación con vendors) | Empresas que necesitan operación, no auditoría |
| Consultora ligada a vendor (revendedora) | Venta + servicio sobre stack propio | Baja | Compradores con stack ya definido |
| Despacho legal-tech | Cumplimiento normativo y contratos | Alta en lo legal, baja en lo operativo | Lado jurídico-regulatorio puro |
Cinco preguntas antes de firmar
El comité debe poder responder cinco preguntas sobre la consultora antes de aprobar el contrato. Si tres o más quedan ambiguas, el riesgo es mayor del que parece.
| Pregunta | Por qué importa | Banderas rojas |
|---|---|---|
| ¿Quién firma el informe y con qué metodología declarada? | E-E-A-T y trazabilidad regulatoria | Sin nombre concreto, sin metodología documentada |
| ¿Tiene la consultora venta de producto o servicio MSSP relacionado? | Conflicto de interés estructural | Mismo proveedor opera el SOC y firma el assessment |
| ¿Qué evidencias se revisan y cuáles se entregan al cliente? | Defensibilidad ante auditor o regulador | Informes opacos, sin dossier de evidencia |
| ¿Qué versión del cuestionario SOC-CMM se aplica y por qué? | Comparabilidad con benchmark internacional | Cuestionario interno sin referencia pública |
| ¿Hay claim de certificación implícito o explícito? | Diferenciar assessment de certificación | Promesa de certificar sin proceso formal con entidad certificadora |
Cuándo NO elegir
Evitar contratar consultoría de ciberseguridad cuando no hay un sponsor ejecutivo con autoridad real sobre el plan de acción. Evitar contratar a quien opera su SOC también para auditar su madurez: el conflicto estructural sesga los hallazgos. Evitar a quien promete certificación SOC-CMM sin separar claramente assessment, partner status (Silver/Gold) y certificación formal vía entidad certificadora (LRQA). Y evitar a quien no publica metodología ni autor: en una conversación con regulador no podrá defender su informe.
Preguntas frecuentes
¿Listo para medir su SOC con la misma metodología con la que clasificamos el mercado?
Primedefence es Silver Support Partner oficial de SOC-CMM. Aplicamos el modelo 2.4 a su SOC, preparamos las evidencias por dominio y acompañamos la certificación formal a través de LRQA como entidad certificadora.
- Assessment SOC-CMM independiente, sin venta de producto.
- Cobertura de evidencia mapeada a NIS2 (Art. 21), DORA y ENS (RD 311/2022).
- Ruta clara hacia certificación oficial con LRQA.