Consultoría de ciberseguridad y gobernanza de IA para pymes: ISO 27001 y 42001, AI Act, NIS2, ENS, CISO externo, exposición digital y pentest OT.
Página actualizada el
Consultoría y auditoría de ciberseguridad para pymes, medianas y grandes empresas que necesitan cumplir, defenderse o gobernar la IA con criterio. Cinco capacidades: gobernanza de IA (ISO 42001 y AI Act), compliance (ISO 27001, NIS2 y ENS), dirección de seguridad fraccional (vCISO), diagnóstico de exposición y riesgo, y pentest OT/IoT. Cada una arranca con un diagnóstico, no con una propuesta a ciegas.
Uso IA donde ahorra horas: inventario, cruce de requisitos entre normas y primeros borradores. Lo que no delego: el juicio sobre cada evidencia y lo que firmo como Lead Auditor ISO 27001 e ISO 42001.
Contrato, NDA y SLA siempre antes de empezar. Servicios sueltos y packs con cuota cerrada por hitos; retainer vCISO con cuota mensual, alcance y horas tope. Foco: pymes industriales del norte de España (metal, alimentación, automoción, puertos) y proveedores tecnológicos que necesitan ENS, con trabajo presencial en Asturias y remoto para el resto de España y la Unión Europea.
Gobernanza de IA para pymes. Empieza con un diagnóstico AI Act de tres o cuatro semanas: inventario de la IA que usáis (también la que viene dentro de vuestro software), clasificación de cada sistema según el AI Act, qué obligaciones os tocan ya y un plan priorizado. Después, si hace falta, el sistema de gestión de IA bajo ISO 42001: controles de uso responsable, evaluación de proveedores de IA y evidencias auditables; la implantación lleva entre dos y seis meses. Detalle en ISO 42001; el orden de magnitud está publicado en cuánto cuesta la ISO 42001 en España.
Diseño, implantación y mantenimiento del SGSI bajo ISO 27001, ENS y NIS2, de cinco a nueve meses según madurez inicial. Como Lead Auditor certificado por AENOR/IQNET, también hago auditorías internas con la misma vara que un auditor externo, solo en empresas a las que no he implantado el sistema. Guías: cómo se certifica la ISO 27001, NIS2 para pymes y la guía del ENS, con categorías, declaración y certificación. Track récord: dos auditorías ISO 27001 consecutivas con cero no conformidades.
Para empresas que no necesitan, todavía, un CISO a tiempo completo: roadmap, comités, gestión de proveedores, supervisión del cumplimiento (ISO 27001/42001, ENS, NIS2) y respuesta ante incidentes. Cadencia mensual fija con alcance acotado. Qué incluye y cuándo compensa: CISO externo o externalizado (vCISO).
Foto fija, en cinco días, de qué expone tu organización a Internet y dónde están los riesgos prioritarios: subdominios, servicios olvidados, fugas, credenciales filtradas y huecos de cumplimiento. Informe ejecutivo y técnico con roadmap de 90 días.
Pentesting en entornos industriales y de operación: PLC, SCADA, redes OT e IoT con pivote a la red corporativa. Mismo método que en mi investigación técnica pública, con informe accionable y re-test incluido.
«Auditoría de ciberseguridad» nombra trabajos muy distintos. Antes de comparar presupuestos, comprueba que hablan del mismo. Estos son seis tipos y cuáles hago yo:
Si no sabes cuál te toca, empieza por otra pregunta: qué tienes que demostrar y a quién. Lo vemos en una llamada de 30 minutos, sin coste.
Sí. Si ya tienes el sistema montado, puedes contratar solo la auditoría interna que exige la cláusula 9.2 de la ISO/IEC 27001. La hago como Auditor Líder ISO/IEC 27001 (AENOR/IQNET), con la misma vara que un auditor externo, y sales con un informe de hallazgos y un plan de cierre antes de que llegue la certificadora. También hago la de la ISO/IEC 42001: llevo múltiples auditorías internas ISO/IEC 42001 para clientes (bajo NDA). Lo que no hago es certificar: el certificado lo emite una entidad de certificación acreditada, y a quien asesoro no lo audito después como tercera parte.
Sí, con un programa: es el formato que recomiendo a la mayoría de pymes y medianas. Implanto los marcos que te aplican (ISO 27001, NIS2, ENS o ISO 42001) y después sigo como CISO externo (vCISO), con cuota mensual, cadencia fija y alcance acotado. Antes va un diagnóstico, porque no todo te aplica: NIS2 no alcanza a todas las pymes, aunque puede llegarte por contrato si tu cliente sí está en su alcance. Qué incluye el vCISO y cuándo compensa: CISO externo o externalizado (vCISO).
Sí. A 7 de octubre de 2026, la ley española que transpone la Directiva (UE) 2022/2555 sigue sin publicarse en el BOE, pero la directiva ya dice qué se va a pedir. La dirección tiene que aprobar las medidas de gestión de riesgos, supervisar su aplicación y responder si no se cumplen (artículo 20). Esas medidas son al menos diez (artículo 21). Y hay que notificar los incidentes significativos: alerta temprana en 24 horas, notificación en 72 horas e informe final como tarde un mes después (artículo 23). Primero determino por escrito si estás en alcance, directamente o por contrato con un cliente que sí lo está. Después hago el análisis de diferencias contra el artículo 21. No existe un «certificado NIS2»: la directiva no crea ninguno para empresas. El detalle, en la guía de NIS2 para pymes.
Sí. Delimito el alcance, categorizo el sistema y hago el análisis de diferencias contra las medidas del anexo II del Real Decreto 311/2022 y el plan de adecuación. La auditoría interna previa la hago yo solo si no te he implantado el sistema; si te lo he implantado, la hace otro auditor independiente. Después te acompaño hasta la auditoría de certificación. La certificación no la emito yo: los sistemas de categoría media o alta necesitan una auditoría de certificación de una entidad acreditada por ENAC, y el CCN publica la lista. A los de categoría básica les basta una autoevaluación para declarar la conformidad (artículo 38). Las categorías y los pasos, en la guía del ENS. Qué pide el auditor y cómo es por dentro, en la guía de la auditoría del ENS.
Sí. Trabajo desde Oviedo, en remoto para toda España y la Unión Europea y en presencial cuando el proyecto lo pide. Sigo el orden de la norma: alcance del SGSI, análisis de riesgos, declaración de aplicabilidad, controles, auditoría interna y revisión por la dirección. La auditoría interna la hace otro auditor independiente, porque no audito lo que implanto. Después te acompaño hasta la auditoría de certificación, que hace una entidad de certificación acreditada. El plazo depende de la madurez de partida: antes de esa auditoría, el sistema tiene que funcionar unos meses y dejar evidencia. El detalle, en las guías de la ISO 27001 y de la declaración de aplicabilidad.