«Yo lo que quiero es alguien de aquí, que pueda venir a la oficina.» Lo escuchamos casi cada semana, y se entiende: cuando algo va mal, tener a quien mirar a la cara tranquiliza. El problema es que ese criterio, usado como filtro principal, deja fuera a buenos proveedores y deja dentro a otros que solo tienen a favor la distancia en coche.
Esta guía explica cómo elegir una empresa de ciberseguridad cuando eres una pyme de Valencia y no sabes por dónde empezar a comparar. Va de qué preguntar, qué verificar y en qué casos la cercanía física importa de verdad.
Los números de aquí, no los de un informe global
El Ministerio del Interior publicó en noviembre de 2025 su Informe sobre la Cibercriminalidad en España 2024. Dos datos que conviene tener presentes:
- En España se registraron 464.801 ciberdelitos en 2024, un 1,6 % menos que el año anterior. Es el primer descenso de la serie histórica, aunque cerca del 89 % siguen siendo fraudes informáticos.
- La provincia de Valencia registró 24.461 ciberdelitos, la tercera de España por detrás de Madrid (73.477) y Barcelona (55.965).
A eso súmale el dato estatal más reciente de INCIBE: 122.223 incidentes gestionados en 2025, un 26 % más que en 2024. Y el contexto local: según el DIRCE del INE, la Comunitat Valenciana tenía 372.121 empresas activas a 1 de enero de 2025, la inmensa mayoría micro y pequeñas: empresas con dos o tres personas en administración, sin departamento de sistemas y con un informático externo que viene cuando algo se rompe.
Ese es el perfil que ataca hoy el fraude del correo y el ransomware. No porque tenga mucho que robar, sino porque cuesta poco intentarlo.
Lo que de verdad se hace en remoto (y lo que no)
Antes de elegir por proximidad, conviene saber dónde ocurre el trabajo. La mayor parte de lo que hace una consultora de ciberseguridad no pasa en tu oficina:
- Auditoría de configuraciones y de identidades (Microsoft 365, servidores, copias de seguridad, permisos): se revisa conectado, no de pie junto al armario.
- Pentesting externo y de aplicaciones web: se hace desde fuera por definición. Es literalmente la posición del atacante.
- Monitorización 24/7: un SOC ve tus registros y tus equipos a través de agentes. Que esté a diez minutos en coche no acorta ni un segundo la respuesta a las cuatro de la mañana.
- Consultoría de cumplimiento (ENS, ISO 27001, NIS2): es análisis de riesgos, políticas, evidencias y reuniones. Las auditorías de certificación en remoto son además una práctica reglada: ENAC tiene publicada su guía G-ENAC-23 sobre auditorías en remoto, con condiciones de viabilidad técnica y análisis de riesgos.
¿Qué sí pide presencia? Poca cosa, pero real: la revisión física de un CPD o de un rack, las pruebas de wifi y de seguridad física in situ, la formación presencial cuando la plantilla la aprovecha mejor así, y las reuniones de arranque o de presentación de resultados con dirección, donde estar en la sala cambia la conversación. Nosotros tenemos la sede en Valencia precisamente para eso, y trabajamos en remoto para todo lo demás.
El criterio sensato, entonces, no es «¿vienen?» sino «¿vienen cuando hace falta y saben cuándo hace falta?».
Cómo elegir una empresa de ciberseguridad: doce preguntas antes de firmar
Copia esta lista y mándasela a los tres proveedores que estés valorando. Las respuestas, por escrito, te van a ordenar la decisión mejor que cualquier presentación comercial.
Sobre quién va a hacer el trabajo
- ¿Quién ejecuta el servicio, con nombre y certificaciones, y qué parte se subcontrata?
- ¿Podéis enseñarme un informe de ejemplo, anonimizado, del servicio que me estáis ofreciendo?
- ¿Qué metodología seguís y dónde puedo consultarla? (OWASP, NIST, PTES para pruebas técnicas; ENS o ISO 27001 para cumplimiento.)
Sobre el alcance y el precio
- ¿Qué entra exactamente y qué queda fuera del presupuesto? ¿Qué pasa si aparece algo grave a mitad?
- ¿El precio incluye la comprobación posterior de que lo corregido está bien corregido?
- ¿Qué me entregáis al terminar y en qué formato? ¿Hay un resumen que entienda dirección?
Sobre qué pasa cuando pasa algo
- Si hay un incidente un sábado por la noche, ¿a quién llamo y quién descuelga?
- ¿En cuánto tiempo hay una persona analizando, no un correo automático?
- ¿Qué podéis hacer vosotros directamente sin esperar mi autorización, y quién lo ha aprobado por escrito?
Sobre el contrato y la salida
- ¿Dónde se guardan mis registros, cuánto tiempo y quién de vuestro equipo puede acceder?
- Si un día me voy, ¿me llevo los registros, las reglas de detección y la documentación?
- ¿Firmáis acuerdo de confidencialidad y contrato de encargado del tratamiento según el artículo 28 del RGPD?
Un proveedor solvente responde a las doce sin incomodarse. Si alguna genera evasivas, ahí está tu respuesta.
Señales de alarma
- Llaman auditoría a un escaneo. Si el entregable es la salida de una herramienta sin validación humana, no es una auditoría. Lo explicamos en detalle en la guía sobre pentesting, auditoría y análisis de vulnerabilidades.
- Venden miedo con cifras redondas y sin fuente. El «60 % de las pymes cierra tras un ciberataque» circula desde hace años sin un estudio serio detrás. Quien lo usa para venderte, o no lo ha comprobado o le da igual.
- Prometen seguridad total. Nadie puede. Lo que se puede prometer es reducir el riesgo, detectar antes y responder mejor.
- Un SLA sin cifras. «Atención prioritaria» no es un compromiso; «análisis humano en 30 minutos para incidentes críticos, 24×7» sí lo es.
- Precio muy por debajo del resto. En este sector el precio es sobre todo horas de personas cualificadas. Si una oferta vale la mitad, casi siempre lleva la mitad de horas o la mitad de nivel.
- Solo hablan de productos. Un antivirus nuevo no es una estrategia. Si nadie te ha preguntado aún qué te dejaría sin facturar, todavía no están hablando de tu seguridad.
Cómo comprobar lo que te cuentan
- Certificaciones de las personas, no solo del logotipo de la web: CISM y CISSP para gestión, ISO 27001 Lead Auditor para auditoría de sistemas de gestión, OSCP y similares para la parte ofensiva. Pide nombre y número, que son verificables.
- Certificación de la empresa. Si dicen estar certificados en ISO 27001, pide el certificado y mira quién lo emite: debe ser una entidad de certificación acreditada por ENAC, y en el certificado figura el alcance exacto, que a veces es muchísimo más pequeño de lo que sugiere el sello.
- Presencia en fuentes oficiales. INCIBE mantiene un catálogo de empresas y soluciones de ciberseguridad donde puedes contrastar proveedores.
- Referencias reales. Pide hablar con un cliente de tamaño y sector parecidos al tuyo. Quien tiene clientes contentos lo organiza en dos días.
Ayudas: mira el estado antes de contar con ellas
El Kit Digital tiene una categoría de ciberseguridad que financia soluciones concretas (antimalware, correo, comunicaciones seguras, análisis básico de vulnerabilidades), no consultoría a secas. Ojo con el calendario: el plazo de solicitud del último tramo, el de microempresas y autónomos, terminó el 31 de octubre de 2025, así que hoy solo sirve a quien ya tenga el bono concedido. En la Comunitat Valenciana, el IVACE convoca ayudas de digitalización que suelen admitir gasto en ciberseguridad, con plazos anuales y condiciones que cambian cada convocatoria. Los importes y los plazos se mueven, así que comprueba el estado en la web oficial antes de construir el presupuesto sobre ellos. Y una advertencia práctica: elegir proveedor solo porque es agente digitalizador es dejar que la subvención decida tu seguridad.
Y si tienes un incidente hoy
Dos teléfonos que conviene tener apuntados antes de necesitarlos: el 017 de INCIBE, gratuito y también para empresas, y la denuncia ante Policía Nacional o Guardia Civil, que es requisito para cualquier reclamación posterior y para el seguro. La Generalitat cuenta además con su propio equipo de respuesta, el CSIRT-CV. El orden de las primeras horas lo contamos en la guía sobre qué hacer en las primeras 24 horas de un ransomware.
Preguntas frecuentes
¿Es mejor una empresa de ciberseguridad local o una que trabaje en remoto?
Lo que decide la calidad es el equipo y el alcance del servicio, no los kilómetros. La cercanía aporta en las reuniones con dirección, en la formación presencial y en las revisiones físicas de instalaciones. El resto del trabajo, incluida la respuesta a un incidente de madrugada, ocurre conectado.
¿Cuánto debería invertir una pyme de Valencia en ciberseguridad?
No hay porcentaje mágico. El punto de partida útil es calcular cuánto pierdes por cada día parado y cuánto te costaría perder los datos de tus clientes. Con esa cifra encima de la mesa, las decisiones de presupuesto se toman solas y en el orden correcto.
¿Por dónde empiezo si no tengo nada montado?
Por lo básico y verificable: copias de seguridad probadas de verdad, doble factor en el correo y en los accesos remotos, equipos y servidores actualizados, y un plan escrito de qué hacer si pasa algo. Nuestro checklist de 25 controles sirve como primera foto sin gastar un euro.
Somos una empresa pequeña, ¿de verdad nos van a atacar?
La mayoría de los ataques no eligen víctima: buscan la que esté abierta. Los 24.461 ciberdelitos registrados en la provincia de Valencia en 2024 no se reparten solo entre grandes empresas.
¿Necesito cumplir alguna normativa?
Depende de a quién vendas. Si trabajas con la Administración, probablemente el ENS. Si tu cliente es una empresa sujeta a NIS2, te llegarán exigencias por contrato aunque a ti no te aplique la norma: lo explicamos en el test de aplicabilidad de NIS2. Y el RGPD aplica a todos desde el primer dato personal.
¿Cuánto tarda en verse el resultado?
Las medidas básicas se notan en semanas: menos correo fraudulento que llega, accesos protegidos, copias que se restauran bien en una prueba. La parte de cumplimiento se mide en meses. Desconfía de quien te prometa estar «seguro» en quince días.
Elegir bien no consiste en encontrar al proveedor más cercano ni al más barato, sino a quien te explique con claridad qué va a hacer, qué no va a hacer y qué pasa el día que algo salga mal. Si al terminar la reunión no has entendido el plan, el problema no es tuyo.
En CiberPYME somos una empresa de ciberseguridad con sede en Valencia especializada en pymes: auditoría y pentesting, consultoría GRC para ENS, ISO 27001 y NIS2, y monitorización 24/7. Cuéntanos tu caso y te damos una valoración honesta, sin compromiso, aunque acabes contratando a otro.
