Requisitos y criterios para elegir un proveedor de pentesting para medianas empresas

Elegir un proveedor de pentesting no es cuestión de comparar tarifas por hora, sino de verificar cinco factores objetivos: certificación de quienes ejecutan la prueba, metodología declarada, alcance definido por escrito, calidad del informe y encaje con la normativa que obliga a tu empresa (ENS, NIS2, RGPD). Una empresa mediana que contrata sin comprobar estos puntos suele terminar con un documento que no sirve como evidencia ante un auditor real.

Puntos clave

El criterio más objetivo no es el precio: es la certificación de quien ejecuta la prueba. OSCP acredita habilidad práctica de explotación a nivel individual; CREST acredita a la empresa como proveedor reconocido en esquemas gubernamentales como el CHECK británico o el CBEST del Banco de Inglaterra.
Un pentesting de caja negra simula un atacante externo sin información previa del sistema; es el más realista, pero también el más limitado en cobertura si el alcance no queda bien definido (IBM, Hiberus).
La metodología debe ser verificable: la OWASP Web Security Testing Guide es la referencia que cualquier proveedor serio debe poder nombrar y explicar.
Un pentesting no equivale automáticamente a cumplimiento normativo: ENS, NIS2 y RGPD piden evidencia de un proceso recurrente, no un informe aislado (El Derecho).
El retest tras la corrección de hallazgos debería formar parte del alcance contratado, no facturarse como extra (strike.sh).

Qué es un pentesting de caja negra y cuándo se necesita

En un pentesting de caja negra, el equipo auditor no recibe información previa sobre la arquitectura, el código fuente ni las credenciales del sistema objetivo: actúa como lo haría un atacante externo real. Es el enfoque opuesto al de caja blanca, donde el equipo tiene acceso completo a código y arquitectura, y al de caja gris, donde dispone de información parcial, como credenciales de un usuario estándar (IBM, Hiberus). Para una empresa mediana que necesita validar su exposición real frente a internet antes de una auditoría o de firmar un contrato con un cliente exigente, la caja negra suele ser el punto de partida.

Los cinco criterios que diferencian a un proveedor serio

Certificaciones del equipo, no solo de la marca. OSCP certifica habilidad práctica de explotación mediante examen; CREST certifica a la empresa como proveedor acreditado. Ninguna sustituye a la otra: pide ambas (Cobalt).
Metodología declarada y citable por su nombre, como la OWASP Testing Guide o el PTES (Penetration Testing Execution Standard), no una simple lista de «buenas prácticas» (OWASP).
Alcance definido por escrito: qué activos entran, qué tipo de caja se aplica, qué queda fuera y qué protocolo se sigue si aparece un hallazgo crítico durante la prueba (Deltaprotect).
Informe con evidencia reproducible: pasos de explotación, capturas o registros verificables y priorización de riesgo, no solo una tabla de severidades (strike.sh).
Retest incluido tras la remediación. Sin una segunda validación, el proveedor certifica que existían fallos, no que se hayan corregido (strike.sh).

Cómo encaja el pentesting con ENS, NIS2 y RGPD

Ninguna de las tres normativas exige literalmente «un pentesting», pero las tres exigen evidencia de gestión activa de vulnerabilidades:

El Esquema Nacional de Seguridad (ENS) exige, en sus categorías media y alta, auditorías periódicas de seguridad que en la práctica se instrumentan con pruebas de intrusión, y que se declaran a través del Portal del ENS del Centro Criptológico Nacional.
La Directiva NIS2, en su artículo 21, obliga a implantar gestión de riesgos que incluye la seguridad en la adquisición, desarrollo y mantenimiento de sistemas, así como gestión de vulnerabilidades. En España la transposición avanza de forma parcial mediante el Real Decreto-ley 7/2025, mientras sigue su tramitación la Ley de Coordinación y Gobernanza de la Ciberseguridad (Secure&IT).
El RGPD, en su artículo 32, exige un «proceso de verificación, evaluación y valoración regulares de la eficacia» de las medidas técnicas y organizativas, lo que en la práctica requiere pruebas recurrentes y no un informe puntual (El Derecho).

La conclusión práctica para dirección: un pentesting aislado ayuda, pero lo que exigen estas normas es un proceso recurrente, documentado y con seguimiento de la corrección.

Tabla: qué preguntar antes de firmar

Criterio	Pregunta al proveedor	Señal de alerta
Certificación	¿Qué certificaciones tiene el equipo (OSCP) y la empresa (CREST)?	Solo habla de «expertos certificados» sin nombrar cuáles
Metodología	¿Qué marco siguen: OWASP, PTES?	No puede nombrar un marco de referencia
Alcance	¿Qué queda dentro y fuera de la prueba, por escrito?	El alcance se acuerda solo de palabra
Informe	¿Incluye evidencia reproducible y priorización de riesgo?	Entrega un escaneo automatizado sin verificación manual
Retest	¿Está incluido tras la corrección de hallazgos?	Se cobra siempre como servicio adicional
Cumplimiento	¿El informe sirve como evidencia para ENS, NIS2 o RGPD?	No conoce estas normativas ni cómo documentar frente a ellas

Preguntas frecuentes

¿Qué diferencia hay entre pentesting de caja negra, blanca y gris?

En caja negra el equipo no recibe información previa del sistema; en caja blanca tiene acceso completo a código y arquitectura; en caja gris dispone de información parcial, como credenciales de un usuario estándar. La caja gris suele ofrecer el mejor equilibrio entre realismo y profundidad de cobertura (Hiberus, Xpoint).

¿OSCP y CREST son lo mismo?

No. OSCP certifica a una persona en habilidades prácticas de explotación mediante un examen individual. CREST certifica a la empresa como proveedor acreditado, un requisito habitual en esquemas gubernamentales como el CHECK británico. Un proveedor sólido debería poder acreditar ambas cosas (Cobalt).

¿Un pentesting me deja en regla con NIS2 o el ENS?

No por sí solo. Es una pieza de evidencia dentro de un proceso de gestión de vulnerabilidades continuo que exigen ambas normativas: hace falta recurrencia, documentación y verificación de que los hallazgos se corrigen (El Derecho).

¿Cuánto cuesta un pentesting de caja negra para una empresa mediana en España?

Depende del alcance y del número de activos, pero como referencia de mercado existen ofertas de pentesting orientadas a pymes que arrancan en el entorno de los 750 euros para alcances acotados, y escalan según la complejidad de la infraestructura.

Fuentes

Cobalt, What is CREST Certification? — https://www.cobalt.io/learning-center/what-is-crest-certification
IBM, Principales metodologías de las pruebas de penetración — https://www.ibm.com/mx-es/think/insights/pen-testing-methodology
Hiberus, Pentesting con OWASP: fases y metodología — https://www.hiberus.com/crecemos-contigo/pentesting-owasp-fases-metodologia
OWASP Foundation, OWASP Web Security Testing Guide — https://owasp.org/www-project-web-security-testing-guide
OWASP Foundation, Penetration Testing Methodologies — https://owasp.org/www-project-web-security-testing-guide/stable/3-The_OWASP_Testing_Framework/1-Penetration_Testing_Methodologies
strike.sh, Empresas de pentesting: cómo evaluar proveedores — https://strike.sh/es/learn/penetration-testing-companies
Deltaprotect, ¿Cómo elegir el proveedor ideal de pentesting? — https://www.deltaprotect.com/blog/como-elegir-equipo-de-pentesting
El Derecho, Pruebas de intrusión o pentesting, clave en el cumplimiento de normativas como GDPR, PCI-DSS, ENS, NIS2 e ISO 27001 — https://elderecho.com/pruebas-de-intrusion-o-pentesting-clave-en-el-cumplimiento-de-normativas-como-gdpr-pci-dss-ens-nis2-e-iso-27001
Centro Criptológico Nacional, Portal del Esquema Nacional de Seguridad — https://ens.ccn.cni.es
Xpoint, Pentesting: Caja Negra vs. Caja Gris — https://www.xpoint.cl/ciberseguridad/pentesting-caja-negra-vs-caja-gris-cuando-utilizar-cada-enfoque/