Contratar una empresa de pentesting no española: qué dice la ley

Es la primera objeción de casi todas las conversaciones que tenemos con un comprador en España, y casi nunca se formula en voz alta. Aparece como una pregunta de procedimiento («¿estáis dados de alta en España?»), como una cláusula heredada de una plantilla de pliego, o como un comentario de pasillo del departamento jurídico. Detrás siempre está la misma creencia: que contratar a una empresa establecida en España es jurídicamente más seguro.

No lo es. Y no lo decimos como consigna comercial, sino porque los textos que regulan esta materia en España son pocos, están publicados y dicen algo bastante distinto de lo que el mercado repite.

Este artículo responde a una sola pregunta — ¿puede tu organización encargar trabajo de seguridad ofensiva a un proveedor que no está establecido en España, y qué se rompe si lo hace? — y la responde citando los textos en lugar de resumirlos. Si lo que buscas son los criterios para elegir entre dos proveedores cualesquiera (metodología, certificaciones nominales, informe de muestra, seguro, contraverificación), eso está en cómo elegir una empresa de pentesting, que es un artículo distinto. Aquí solo tratamos la cuestión de la nacionalidad y la legalidad.

Escribimos con nuestro interés a la vista: no estamos establecidos en España. Por eso hemos hecho dos cosas que casi nadie hace en este mercado. Citamos los artículos con su número, para que puedas abrirlos. Y publicamos la lista de lo que no podemos hacer, que es la parte del argumento que de verdad se puede comprobar.

La respuesta, en una frase

Ninguna norma española exige que quien realiza un test de intrusión esté establecido en España, inscrito en un registro español o acreditado por un organismo español. Lo que exige la ley es una autorización escrita del titular del sistema, y esa autorización no tiene nacionalidad.

Hay tres excepciones reales, las tres acotadas, y las tres nos excluyen a nosotros. Están enumeradas más abajo con su fundamento, sin rodeos.

Lo que hace lícito un pentest es la autorización escrita

Conviene empezar por aquí porque es la única parte de esta materia en la que España sí tiene una regulación dura, y es penal.

Los cinco artículos que importan

El Código Penal castiga el acceso y el daño informático. Lo relevante no es la pena, sino cómo está escrita la conducta típica en cada uno de ellos.

• Art. 197 bis.1: el acceso al conjunto o una parte de un sistema de información, o el mantenimiento en él, de quien actúa «sin estar debidamente autorizado» y vulnerando las medidas de seguridad establecidas para impedirlo.
• Art. 197 bis.2: la interceptación de transmisiones no públicas de datos informáticos, igualmente «sin estar debidamente autorizado».
• Art. 197 ter: la producción, adquisición o facilitación de programas o de contraseñas y códigos de acceso para cometer las conductas anteriores, de quien lo hace «sin estar debidamente autorizado».
• Art. 264.1: el borrado, daño, alteración, supresión o inaccesibilidad de datos, programas o documentos electrónicos ajenos, de quien actúa «sin autorización» y de manera grave.
• Art. 264 bis.1: la obstaculización o interrupción grave del funcionamiento de un sistema informático ajeno, de quien actúa «sin estar autorizado».
• Art. 264 ter: la producción o facilitación de los medios para cometer las conductas del art. 264 y del 264 bis, «sin estar debidamente autorizado».

Lee la estructura de esos seis supuestos y verás que todos giran sobre el mismo eje. El tipo penal no pregunta quién eres, ni dónde estás constituido, ni si figuras en un registro. Pregunta si estabas autorizado. Un pentest con encargo escrito y alcance definido queda fuera del tipo. Un pentest sin él queda dentro, lo ejecute una empresa de Valencia, de Lisboa o de Varsovia.

Por qué esto es un motivo para mirar con lupa a tu proveedor

Hay un corolario que casi nadie escribe y que conviene decir: los arts. 197 quinquies y 264 quater extienden la responsabilidad penal a la persona jurídica, por la vía del art. 31 bis del Código Penal. Es decir, la empresa que realiza el trabajo puede responder penalmente, no solo el consultor que tecleó.

Eso es una razón excelente para exigirle a tu proveedor un encargo impecable, una trazabilidad del alcance y una política de escalado seria. No es, en cambio, ninguna razón para preguntarle dónde tiene el domicilio social. El riesgo que describe el art. 31 bis se gestiona con documentos, no con banderas.

Qué debe contener el encargo para que sirva

Un encargo utilizable — nosotros lo llamamos autorización de pruebas, y va firmado antes de tocar nada — contiene como mínimo:

• El alcance identificado con precisión: dominios, rangos de direcciones IP, aplicaciones, cuentas de prueba, límites del entorno. «La infraestructura de la compañía» no es un alcance.
• La ventana de ejecución, con fechas y franjas horarias.
• Las técnicas excluidas: denegación de servicio, acciones destructivas, ingeniería social no consentida. Si el encargo incluye pruebas sobre personas y no solo sobre máquinas, hay una capa adicional de derecho laboral y de protección de datos que tratamos aparte en simulación de phishing y derechos de los trabajadores.
• El procedimiento de escalado y un contacto localizable durante toda la ventana.
• La firma de quien tiene poder para obligar a la organización.

Y una advertencia que muchas empresas descubren tarde: solo puedes autorizar lo que es tuyo. Si tu aplicación está alojada en un tercero, revisa qué prevén sus condiciones en materia de pruebas de seguridad. Una autorización firmada por ti no cubre la infraestructura de otro.

¿Existe un registro español de empresas de ciberseguridad?

No. Y esta es la parte donde el mercado español se equivoca con más frecuencia, porque la ley sí anunció uno.

Lo que dice la Ley 5/2014

La Ley 5/2014, de 4 de abril, de Seguridad Privada (BOE-A-2014-3649) hizo tres cosas relevantes:

• Art. 3.2 — extendió el ámbito de la ley, a determinados efectos, a «las empresas prestadoras de servicios de seguridad informática».
• Art. 6.6 — previó que a esas empresas «se les podrán imponer reglamentariamente requisitos específicos» para garantizar la calidad de los servicios.
• Art. 11.4 — anunció que en el registro correspondiente «se anotarán también los datos de las empresas que realicen actividades de seguridad informática, de acuerdo con lo que reglamentariamente se determine».

Fíjate en la construcción de las tres: reglamentariamente, reglamentariamente, de acuerdo con lo que reglamentariamente se determine. La ley no impuso requisitos ni creó un registro. Habilitó al Gobierno para crearlos por reglamento.

Lo que nunca llegó

Ese reglamento de desarrollo no se ha aprobado. El reglamento de seguridad privada que sigue vigente es el RD 2364/1994 (BOE-A-1995-608), cuya nota de vigencia se limita a señalar que, a partir del 5 de junio de 2014, mantiene su vigencia en lo que no contravenga a la Ley 5/2014. Ese texto no contiene nada sobre seguridad informática, porque es de 1994.

La consecuencia es sencilla y es verificable en el BOE: a 12 de septiembre de 2026 no existe en España un registro de empresas de ciberseguridad, ni una licencia, ni una habilitación previa para prestar servicios de seguridad informática. El régimen del art. 3.2 está, en la práctica, en suspenso.

Esto sitúa a España en un lugar distinto al de otros mercados europeos, y merece la pena decirlo porque muchos compradores importan intuiciones de fuera. Francia tiene un dispositivo de cualificación de prestatarios de auditoría (PASSI) gestionado por su agencia nacional; Hungría mantiene un registro sectorial. España no tiene ninguna de las dos cosas. El equivalente funcional español más cercano — la acreditación de entidades de certificación del ENS — no regula quién puede hacer un pentest, sino quién puede emitir un certificado de conformidad, que es otra cosa y la vemos más abajo.

Haxoris presta servicios de seguridad informática.
Esta actividad no figura entre las reservadas del art. 5.1 de la Ley 5/2014 y no requiere autorización del Ministerio del Interior.

Lo que podría cambiar, dicho en condicional

Sería deshonesto no mencionarlo. Existe un proyecto de reglamento de desarrollo de la Ley 5/2014 que, de aprobarse y publicarse en el BOE, podría introducir requisitos e inscripción para determinadas actividades de seguridad informática. Mientras eso no ocurra, no genera obligación alguna: un proyecto normativo no es derecho vigente, y quien te lo presente como si lo fuera te está vendiendo una interpretación, no una norma.

Si se aprueba, cambiará el análisis de este artículo y lo reescribiremos con la referencia del BOE en la mano. Hasta entonces, la formulación correcta es «el proyecto de reglamento prevé», nunca «la ley exige».

Tres afirmaciones que circulan, y lo que dicen los textos

Estas tres aparecen en pliegos, en cuestionarios de homologación de proveedores y en páginas comerciales. Ninguna resiste la lectura del instrumento que invoca.

El Catálogo de INCIBE es un directorio

El Catálogo de Empresas y Soluciones de Ciberseguridad es una herramienta de visibilidad útil, y quien figura en él hace bien en decirlo. Lo que no es, según las condiciones publicadas del propio programa, es una acreditación: INCIBE señala expresamente que figurar en el Catálogo no debe considerarse una certificación ni una acreditación. Sus condiciones, consultadas el 12 de septiembre de 2026, contemplan además la inscripción de empresas que operan en el mercado español a través de un representante, lo que por sí solo desmiente la lectura de «catálogo igual a licencia nacional».

Haxoris no figura en el Catálogo y no afirmamos ninguna relación con INCIBE. Cuando citamos materiales de INCIBE o de INCIBE-CERT lo hacemos como fuente pública de terceros, que es lo que son.

La conformidad con el ENS es del sistema del cliente

Este es el malentendido más caro de los tres, porque mueve dinero en licitaciones.

El Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad, se aplica a los sistemas de información del sector público. Su art. 2.3 extiende la aplicación a entidades privadas en un supuesto delimitado: cuando, en virtud de una relación contractual, presten servicios o provean soluciones a entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas. No es «todo proveedor». No es «todo contrato». Y el requisito concreto llega al proveedor por los pliegos, que es donde el órgano de contratación lo escribe.

Hay un segundo matiz que casi siempre se omite: el traslado de exigencias a la cadena de suministro procede «en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos». Es decir, es una decisión motivada del responsable del sistema, no un automatismo que se propague hasta el quinto subcontratista.

Y el punto que cierra el argumento: la conformidad con el ENS se predica del sistema de información del cliente, no del proveedor que ejecuta una prueba técnica sobre él. Un test de intrusión es un insumo de evidencia para la auditoría del art. 31; no es el certificado, ni lo sustituye, ni lo condiciona. Desarrollamos qué exige realmente el decreto en qué exige realmente el ENS sobre pentesting y quién puede firmar cada cosa en quién puede auditar el ENS.

El art. 122.2.c) de la LCSP es un deber de declaración

El artículo se cita con frecuencia como si prohibiera alojar datos fuera de España. Su letra dice otra cosa. Los pliegos de cláusulas administrativas particulares deben recoger, «en aquellos contratos cuya ejecución requiera el tratamiento por el contratista de datos personales por cuenta del responsable del tratamiento», esta obligación:

«La obligación de la empresa adjudicataria de presentar antes de la formalización del contrato una declaración en la que ponga de manifiesto dónde van a estar ubicados los servidores y desde dónde se van a prestar los servicios asociados a los mismos.»

Tres lecturas que se derivan directamente del texto:

1. Es condicional. Solo aplica a contratos que impliquen tratamiento de datos personales por cuenta del responsable. No es una regla general de la contratación pública.
2. Es una declaración. Manda decir dónde. No manda que ese dónde sea España, ni la Unión Europea, ni ningún territorio concreto.
3. Es exigible y tiene consecuencias. El mismo art. 122.2 añade el deber de comunicar cualquier cambio a lo largo de la vida del contrato y de identificar a los subcontratistas; y esas obligaciones deben calificarse como esenciales, con el efecto resolutorio del art. 211.1.f).

Un órgano de contratación sí puede exigir localización de servidores, o conformidad con el ENS, o cualquier otra condición lícita de solvencia y ejecución. Cuando lo hace, la exigencia nace del pliego y es perfectamente legítima: hay que cumplirla, y si no se cumple, la oferta se excluye con razón. Lo que no es correcto es atribuirle a la LCSP una regla de localización que no contiene, y después aplicarla a contratos privados donde no hay pliego ninguno.

Sector regulado: «una entidad externa, solvente e independiente»

Si tu organización es operador de servicios esenciales o proveedor de servicios digitales, el régimen que se te aplica hoy en España es el del Real Decreto-ley 12/2018 y su desarrollo, el RD 43/2021. Ambos siguen vigentes y no han sido sustituidos.

El artículo que interesa aquí es el art. 32.1: la autoridad competente puede auditar, o exigir al operador que someta la seguridad de sus redes y sistemas de información a «una auditoría por una entidad externa, solvente e independiente».

Léelo despacio, porque es el enunciado más claro de todo este artículo. El calificativo legal tiene tres elementos y ninguno es la nacionalidad. La entidad ha de ser externa, solvente e independiente. No dice acreditada. No dice inscrita. No dice española. Si el legislador hubiera querido un filtro de establecimiento, ese es el sitio donde lo habría escrito y no lo escribió.

Los tres elementos sí son exigencias reales y se documentan:

• Externa — no perteneces a la organización auditada ni dependes de ella.
• Solvente — capacidad técnica y económica acreditable: metodología nombrada, personal con certificaciones verificables, seguro de responsabilidad civil profesional, referencias.
• Independiente — sin conflicto de interés con el objeto auditado. Esto tiene una consecuencia práctica que incomoda a parte del mercado: quien implanta no debería auditar lo implantado. En el ámbito del ENS esa incompatibilidad está escrita de forma expresa en la Instrucción Técnica de Seguridad de Auditoría (Res. de 27 de marzo de 2018, BOE-A-2018-4573), apartado IV.2, que excluye del trabajo de auditoría «en ningún caso la ejecución de acciones que puedan ser consideradas actividades de consultoría o similares».

Sobre NIS2 conviene una precisión de estado, porque el mercado la maneja mal: a 12 de septiembre de 2026 la Directiva (UE) 2022/2555 no está transpuesta en España. El vehículo es un anteproyecto y las obligaciones que leas atribuidas a «la ley española de NIS2» todavía no existen como derecho interno. Lo que sí está en vigor es el RDL 12/2018. Lo contamos con detalle en NIS2 en España: qué obliga hoy y qué no, y el enfoque técnico está en la página de pentesting para NIS2.

Sector financiero: DORA admite un organismo de acreditación de cualquier Estado miembro

Aquí hay un dato que conviene tener a mano, porque es el texto europeo más explícito sobre quién puede ejecutar un ejercicio ofensivo, y dice exactamente lo contrario de lo que la intuición sugiere.

El Reglamento (UE) 2022/2554 (DORA) regula en su art. 26 el ejercicio que denomina, en su versión española oficial, «pruebas de penetración guiadas por amenazas» (TLPT). Y su art. 27.1.c) exige que quienes las realizan estén «certificados por un organismo de acreditación de un Estado miembro» o se atengan a códigos de conducta o marcos éticos formales.

Un Estado miembro. Cualquiera. El texto europeo que más lejos llega en exigir credenciales a un equipo ofensivo no pide un organismo del país donde está la entidad financiera: pide un organismo de acreditación de la Unión. Es difícil imaginar un desmentido más directo de la idea de que estos servicios tienen frontera nacional.

Dicho lo cual, y para que quede claro dónde está nuestro límite: el TLPT no es un producto de catálogo. Se dirige a entidades financieras designadas, se ejecuta bajo el marco TIBER-ES que coordina el Banco de España, y Haxoris no lo presta. Un ejercicio de Red Team nuestro puede ser una preparación previa razonable a un TLPT formal, pero no lo sustituye ni lo realizamos: ese ejercicio exige proveedores que cumplan el art. 27 de DORA.

RGPD: con un proveedor de la UE no hay transferencia internacional

Esta es la parte del expediente donde el establecimiento del proveedor sí cambia algo material — y lo cambia a favor de un proveedor europeo, no en contra.

Lo que desaparece del expediente

El capítulo V del RGPD (arts. 44 y siguientes) se activa ante una sola cosa: la transferencia de datos personales a un tercer país o a una organización internacional. Mientras el tratamiento permanezca en la Unión Europea y en el Espacio Económico Europeo, ese capítulo sencillamente no entra en juego.

En términos de expediente, con un proveedor establecido en la Unión:

• no hay decisión de adecuación que comprobar;
• no hay cláusulas contractuales tipo que anexar — las adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021;
• no hay evaluación de impacto de la transferencia, el ejercicio adicional que se impuso tras la sentencia del TJUE de 16 de julio de 2020 (asunto C-311/18);
• no hay normas corporativas vinculantes que instruir.

Queda el contrato de encargo del art. 28 del RGPD, que tendrías que firmar igualmente con un proveedor establecido en Madrid. En materia de transferencias, un proveedor establecido en Dublín, en Milán o en Sevilla se trata exactamente igual.

El RGPD no conoce la nacionalidad de un proveedor.
Conoce el lugar del tratamiento y la existencia, o no, de una transferencia fuera de la Unión.

Una precisión que también corresponde hacer, porque circula en sentido contrario: el art. 32.1.d) del RGPD exige «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas». No nombra el pentest. Un test de intrusión es una forma sólida y habitual de cumplir ese proceso, y así se documenta; pero quien te diga que «el RGPD obliga a hacer un pentest» está extrapolando.

Lo que no desaparece: la cadena

Sería tramposo parar aquí. Un proveedor establecido en la Unión puede organizar perfectamente una transferencia: alojando los informes en un servicio no europeo, usando una plataforma de gestión de hallazgos operada desde un tercer país, o incorporando un subencargado fuera de la Unión.

El establecimiento elimina la pregunta en el nivel del proveedor. Quedan tres preguntas operativas, y hay que hacerlas siempre:

1. ¿Dónde se alojan los informes, las evidencias y las comunicaciones? Un país y un prestatario, con nombre.
2. ¿Qué subencargados intervienen, dónde están establecidos y cómo se notifica un cambio?
3. ¿Qué herramientas tratan los datos y desde dónde lo hacen?

Un proveedor serio responde a las tres por escrito y antes de firmar. Quien responde «todo está en Europa» sin nombrar a nadie no te ha dado nada oponible.

La CLOUD Act mira la jurisdicción, no la bandera

La preocupación por la extraterritorialidad estadounidense es legítima, y su criterio de conexión conviene entenderlo bien: la norma alcanza a los prestadores sometidos a la jurisdicción de los Estados Unidos, por establecimiento, por matriz o por el ejercicio de una actividad que los somete a ella. No alcanza a las empresas «extranjeras» en el sentido español de la palabra.

De ahí salen dos consecuencias que van justo al revés de la intuición:

• una empresa establecida en España que aloje tus datos en un prestatario sometido a la jurisdicción estadounidense, o que gestione sus informes en una plataforma estadounidense, te expone;
• una empresa establecida en otro Estado miembro, sin vínculo estadounidense y sin herramientas estadounidenses en la cadena, no te expone más que un proveedor equivalente establecido en España.

El rótulo no es el criterio. La cadena de tratamiento sí lo es. Por eso la respuesta honesta a «¿estáis expuestos a la CLOUD Act?» nunca es un «no» a secas, sino la lista de eslabones: quién aloja, quién opera, quién accede.

Tu autoridad de control sigue siendo la AEPD

La inquietud que sigue es previsible: «si el proveedor está fuera, ¿quién controla?».

La respuesta tranquiliza a un comprador español. Tu organización sigue siendo responsable del tratamiento, establecida en España, sujeta al Reglamento (UE) 2016/679 y a la LO 3/2018 (LOPDGDD). La Agencia Española de Protección de Datos sigue siendo tu autoridad de control, y recurrir a un encargado establecido en otro Estado miembro no altera ni tus obligaciones, ni los derechos de las personas afectadas, ni la competencia de la AEPD respecto de ti.

Lo que sí cambia es menor y se contractualiza: el encargado lleva su propio registro de actividades del art. 30, responde ante su propia autoridad de control por sus tratamientos propios, y debe estar localizable si tienes que notificar una brecha. Exige un plazo de respuesta con número — las 72 horas del art. 33 corren desde que tú conoces los hechos, no desde que recibes el informe.

En tu registro de actividades el proveedor entra como destinatario, con su razón social, su Estado de establecimiento y la referencia del contrato de encargo. No hay que consignar transferencia alguna si no la hay.

Dónde sí hay una puerta nacional, y qué no hacemos

Hasta aquí, el argumento juega a nuestro favor. Esta sección no.

La sospecha de soberanía no es pura retórica: existe, es real y tiene un perímetro. Lo que hace inútil el debate en España es que ese perímetro casi nunca se dibuja. Aquí está, y con nuestra posición en cada uno.

1. La certificación de conformidad con el Esquema Nacional de Seguridad

Los sistemas de categoría MEDIA o ALTA precisan de una auditoría para la certificación de su conformidad; los de categoría BÁSICA, de una autoevaluación para su declaración de conformidad (RD 311/2022, art. 38.1). Y la Instrucción Técnica de Seguridad de Conformidad (Resolución de 13 de octubre de 2016, BOE-A-2016-10109), en su apartado VI.1, reserva la expedición de esas certificaciones a entidades que deberán estar acreditadas por la Entidad Nacional de Acreditación (ENAC) conforme a la norma UNE-EN ISO/IEC 17065:2012.

Dos precisiones para no exagerar el obstáculo, porque exagerarlo sería otra forma de engañar:

• El esquema de conformidad del ENS es específico de España, y la Instrucción Técnica nombra a ENAC como entidad acreditadora. No afirmamos que ninguna norma europea impida a una entidad de otro Estado miembro obtener esa acreditación; afirmamos lo que dice el texto, que es que el esquema es nacional y que la ITS nombra a ENAC.
• La auditoría del art. 31 y la certificación del art. 38 no son lo mismo. El art. 31.3 exige que la auditoría se realice conforme a «criterios, métodos de trabajo y de conducta generalmente reconocidos», y no exige acreditación alguna. Quién puede hacer qué en cada uno de los dos planos lo desglosamos en quién puede auditar el ENS.

Nuestra posición: Haxoris no está acreditada por ENAC, no es entidad de certificación y no expide certificaciones de conformidad con el ENS. Lo que sí hacemos es el trabajo técnico cuyos resultados sirven de evidencia ante la entidad certificadora que elija el cliente.

2. El TLPT en el marco TIBER-ES

Lo repetimos aquí porque es una exclusión, no una nota al pie: las pruebas TLPT se dirigen a entidades financieras designadas, se ejecutan bajo el marco que coordina el Banco de España y están sujetas a los criterios del art. 27 del Reglamento (UE) 2022/2554. Haxoris no las presta.

3. Información clasificada

Los trabajos que impliquen acceso a información clasificada exigen la habilitación de seguridad de empresa que expide la Oficina Nacional de Seguridad. No la tenemos, y ningún contrato de encargo ni ninguna cláusula de confidencialidad la sustituye. No aceptamos esos encargos. Si tu proyecto tiene ese componente, dínoslo en la primera llamada y te lo diremos en esa misma llamada, no después de tres reuniones de alcance.

Y una aclaración sobre seguridad privada

Las actividades reservadas del art. 5.1 de la Ley 5/2014 requieren autorización del Ministerio del Interior, y la propia ley prohíbe además anunciarlas sin tenerla (art. 10.1.a). Nosotros no las prestamos ni las anunciamos. Cuando un ejercicio de Red Team incluye un componente físico, lo que hacemos son pruebas de intrusión física autorizadas por escrito por el cliente sobre sus propias instalaciones, dentro del alcance contratado. Es otra cosa, y se contrata de otra manera.

Dónde no hay ninguna puerta

Fuera de esos tres supuestos, no hay filtro de nacionalidad en ninguna parte. Esta es la tabla que resume el artículo entero.

Dicho de otro modo: de nueve supuestos habituales, seis no tienen ninguna puerta nacional, uno la tiene de forma indirecta y acotada, y dos son perímetros cerrados en los que decimos que no.

Contratación pública: lo que un pliego sí puede exigir

Merece una sección propia porque es donde más se confunde «la ley lo exige» con «el pliego lo exige».

Un órgano de contratación puede exigir, con toda legitimidad, conformidad con el ENS, ubicación de servidores, medios personales concretos o cualquier otra condición lícita de solvencia y ejecución. Cuando esa línea está en el pliego, es exigible y punto: quien no la cumple queda fuera, y hace bien el órgano en excluirlo.

La consecuencia útil es la inversa, y es la que nadie escribe: una exigencia contractual no se transporta fuera del contrato. Que un pliego de una consejería la imponga no la convierte en derecho aplicable a la aplicación web de tu filial comercial. Y sin embargo esas líneas viajan: las plantillas circulan entre departamentos de compras, se copian a cuestionarios de homologación de proveedores privados y acaban apareciendo donde no hay ni administración ni potestades administrativas.

La prueba cabe en una pregunta: ¿qué norma y qué artículo? Una exigencia real se puede señalar con el dedo; una exigencia heredada se reformula. Si es real, te lo diremos en el primer intercambio y te orientaremos hacia quien sí pueda cumplirla, en lugar de hacerte perder un ciclo de compra. Si viene de una plantilla, la pregunta útil vuelve a ser cuál es la evidencia que necesitas: un informe que un auditor entienda, hallazgos reproducibles y una traza de remediación.

Las preguntas que sustituyen a «¿sois españoles?»

Cinco preguntas contractuales. No son los criterios de selección técnica — esos están en cómo elegir una empresa de pentesting —, son específicamente las que resuelven el expediente jurídico que abre este artículo.

1. ¿Firmáis contrato de encargo del art. 28 del RGPD, y puedo ver el modelo antes de la licitación? Antes, no después de la adjudicación: si el modelo aparece tarde, aparecerá negociado a tu costa.

2. ¿Dónde se alojan el informe y las evidencias? Un país y un prestatario, nombrados. «En la nube europea» no es una respuesta.

3. ¿Qué subencargados intervienen y dónde están establecidos? Lista nominativa anexa al contrato y procedimiento de notificación de cambios.

4. ¿Hay transferencia fuera de la Unión Europea, y con qué instrumento del capítulo V se respalda? Esta pregunta discrimina mucho mejor que la nacionalidad, y se responde con documentos.

5. ¿Cuánto se conservan las evidencias y con qué certificado de destrucción? Un plazo con número y una fecha, no «al cierre del proyecto».

Y una que conviene hacer siempre, aunque no sea jurídica: ¿quién ejecuta, con nombre y con certificaciones verificables? Un «equipo de expertos certificados» sin un solo nombre no es una referencia. Nuestras metodologías de testing están publicadas página a página precisamente para que puedas compararlas.

Nuestra posición

La formulamos sin rodeos, porque en esta materia lo único que costaría más caro que tener exclusiones sería dejarlas en la ambigüedad.

• Haxoris es un proveedor europeo, establecido en la Unión Europea. Tenemos oficinas en Bratislava y en Praga. Tus datos y tus informes permanecen en la Unión, el RGPD se aplica de forma directa y nuestros subencargados están nombrados en el contrato.
• No estamos establecidos en España y no lo disimulamos: no publicamos dirección española, ni número español, ni ninguna inscripción que no tengamos.
• No estamos acreditados por ENAC, no somos entidad de certificación y no expedimos certificaciones de conformidad con el ENS. Hacemos el trabajo técnico que produce la evidencia; el certificado lo expide quien puede expedirlo.
• No realizamos pruebas TLPT bajo el marco TIBER-ES ni concurrimos a ellas.
• No aceptamos encargos con acceso a información clasificada.
• No prestamos ninguno de los servicios reservados del art. 5.1 de la Ley 5/2014 y no los anunciamos.

Para todo lo demás — un fabricante de software, una industria, una compañía de seguros, una pyme de servicios, un programa ISO/IEC 27001, una preparación para NIS2 en el sector privado —, ninguna norma española nos excluye ni te excluye a ti por contratarnos. Lo que ponemos enfrente no es un distintivo: son tarifas públicas, contraverificación incluida sin coste adicional dentro de los 90 días siguientes a la entrega del informe, y consultores con nombre a los que hablas directamente.

Puedes empezar por la página de test de intrusión, por la de auditoría de ciberseguridad o por quiénes somos.

Preguntas frecuentes

¿Tienes delante una cláusula que exige un proveedor establecido en España y no sabes de dónde sale? Mándanosla con el alcance del proyecto: te respondemos por escrito en 24 horas, también cuando la respuesta sea que debes dirigirte a otro. Solicita tu presupuesto, o empieza por la página de pentesting y test de intrusión.

Nuestros servicios relacionados: pentesting y tests de intrusión de tus aplicaciones e infraestructuras · auditoría de ciberseguridad de tu entorno tecnológico · Red Team: una simulación de ataque realista · pentesting para prepararte ante la Directiva (UE) 2022/2555 (NIS2) · pentesting para preparar tu certificación ISO 27001