Cumplimiento normativo en ciberseguridad

Si trabajas con la administración pública, el ENS. Si eres un sector esencial o importante bajo NIS2 —o proveedor de uno—, NIS2. Si eres entidad financiera o aseguradora, DORA. Si procesas pagos con tarjeta, PCI-DSS. Muchas empresas están sujetas a más de un marco a la vez.

En PCI-DSS, sí de forma explícita: el requisito 11.4 exige pruebas de penetración al menos una vez al año. DORA exige pruebas de resiliencia y, para las entidades significativas, pruebas avanzadas basadas en amenazas (TLPT). NIS2 y el ENS no nombran el pentesting de forma literal, pero exigen probar la eficacia de las medidas, y las evaluaciones periódicas son la forma estándar de hacerlo.

El ENS es específico de España y aplica al sector público y a quien le presta servicios. NIS2 es una directiva europea con alcance sectorial más amplio (energía, salud, industria, digital) y sanciones más duras. Si ya cumples el ENS en categoría ALTA tienes una base sólida para NIS2, pero no son sustitutivas: NIS2 añade requisitos de cadena de suministro y responsabilidad de la dirección que el ENS no cubre.

El pentesting en sí, entre 1 y 8 semanas según el tipo de auditoría. El proceso completo de certificación —gap analysis, remediación y evidencia documental— suele llevar de 3 a 8 meses según el marco y el punto de partida, y puede llegar a 12 si se parte de cero. Cuanto antes se detectan los huecos, menos presión hay cerca del plazo regulatorio.