Bloque común: toda la plantilla
La base de tu defensa.
Lo que cualquiera hace todos los días: el correo, las contraseñas, el ordenador portátil fuera de la oficina, los adjuntos y los enlaces. Y qué hacer en el segundo en que algo parece raro.
Concienciación en ciberseguridad
En casi todos los incidentes en los que entramos hay alguien a quien convencieron: de abrir un adjunto, de teclear la contraseña en una página que parecía la de siempre, o de cambiar un número de cuenta porque el correo venía de dirección. Ningún filtro de correo detiene una frase bien escrita.
Nuestras sesiones de concienciación en ciberseguridad las imparten en español las mismas personas que hacen nuestros test de intrusión el resto del año. Enseñan los correos, las llamadas y los pretextos que de verdad funcionan, y después las señales que permiten reconocerlos. Los resultados se entregan agregados: nadie de tu plantilla aparece con nombre, nota ni clasificación. La segunda medición va incluida en el precio.
Confían en nosotros
Objetivos: qué tiene que cambiar después de una sesión
Quien ataca ya no empieza por el cortafuegos. Escribe a administración, llama al soporte para que le reinicien una contraseña o cuela un enlace en una conversación de aspecto perfectamente normal. Por eso una campaña de concienciación no sirve para que tu equipo recite reglas: tiene que producir tres efectos que se puedan medir, y son menos clics, más avisos y avisos más rápidos.
La cifra que importa: la tasa de aviso
La tasa de clic es la que mira todo el mundo y es la menos útil. Lo que protege a una organización es cuánta gente avisa de un mensaje sospechoso y cuánto tarda en llegar ese primer aviso a quien puede cortar. Medimos las dos cosas, campaña tras campaña, y las comparamos con la medición anterior. Es lo que también mide un test de ingeniería social.
Evidencia para quien te audita
El art. 32.1.d) del RGPD exige un proceso de verificación, evaluación y valoración regulares. El Anexo II del Real Decreto 311/2022 dedica el control [mp.per.3] Concienciación exactamente a esto, y el control A.6.3 del Anexo A de la ISO/IEC 27001:2022 cubre lo mismo. Ninguno de los tres se acredita diciendo que se hace: se acredita con fechas, temario, asistencia y algún indicador de eficacia.
Protege la caja frente a la estafa del CEO
La estafa del CEO y el fraude en el cambio de cuenta bancaria no explotan ninguna vulnerabilidad técnica: un pretexto creíble, una urgencia, una jerarquía a la que no se contradice y, desde hace poco, una voz clonada. Las personas expuestas son pocas —administración, dirección financiera, secretaría de dirección, compras—, pero son las que pueden ordenar una transferencia el mismo día.
Una cultura que no dependa de una persona
Un programa que funciona se reconoce en un detalle: cualquiera sabe qué hacer con un mensaje raro y a quién mandarlo, sin miedo a la bronca. Una organización que sanciona los clics recibe menos avisos y descubre los incidentes más tarde. Esa condición la ponemos nosotros, por escrito, antes de la primera sesión.
Tipos de sesión: del bloque común a los talleres especializados
No vendemos un catálogo. El contenido, la duración y el formato se cierran en el alcance, según el tamaño de los equipos, lo que hacen de verdad cada día y los ataques que recibe tu sector. Estos cuatro formatos se combinan dentro de un mismo programa.
Phishing e ingeniería social
El ataque que más veces sale bien.
Taller interactivo sobre cómo construye un pretexto quien ataca, cómo elige a quién escribe y qué aprovecha de lo que tu organización ya tiene publicado. Si quieres, lo prolongamos con una campaña de phishing simulado dentro de un test de ingeniería social, o lo dejas en marcha todo el año con PhishGun.
Desarrollo seguro (OWASP Top 10)
Para quien construye.
Sesión técnica para tu equipo de desarrollo y de DevOps: enseñamos en directo la toma de control de una aplicación vulnerable y después la línea de código exacta que nos habría parado.
Dirección, finanzas y funciones expuestas
Estafa del CEO y fraude en las transferencias.
Sesión corta y a puerta cerrada para quienes pueden mover dinero o modificar datos bancarios. Repasamos escenarios recientes, incluidos los que se apoyan en una voz clonada, y escribimos contigo el procedimiento de contrallamada.
¿Otro tema? Cuéntanos qué hace tu equipo cada día y construimos el programa que corresponda.
Un ritmo anual que aguanta una auditoría
El ENS pide concienciar «con regularidad» y recordar la normativa «periódicamente»; la ISO/IEC 27001 habla de concienciación continuada. Ninguna de las dos pone un número. Este es el calendario que proponemos por defecto para un primer año, y el que deja la documentación ordenada.
| Momento | Qué ocurre | Quién participa | Qué queda documentado |
|---|---|---|---|
| Mes 0 | Medición inicial: una campaña de phishing simulado breve, antes de contar nada | Toda la plantilla | Línea base con los cuatro indicadores: clic, introducción de credenciales, aviso y tiempo hasta el primer aviso |
| Mes 1 | Sesión del bloque común, repartida en dos o tres pases para no parar la operación | Toda la plantilla | Temario, fechas, ponente, material entregado y lista de asistencia |
| Mes 2 | Taller de dirección, finanzas y funciones expuestas | Comité de dirección, dirección financiera y contabilidad | Procedimiento de contrallamada y de doble validación de pagos, firmado |
| Mes 3 | Taller de desarrollo seguro con demostración en directo | Desarrollo, QA y DevOps | Temario OWASP y lista de lo que se reprodujo en la sesión |
| Mes 6 | Segunda medición: campaña equivalente, incluida en el precio inicial | Toda la plantilla | Diferencia medida frente a la línea base, por departamento |
| Mes 9 | Recordatorio breve y ficha de una página, sin sesión | Toda la plantilla | Registro de envíos y de lecturas |
| Mes 12 | Informe anual y propuesta para el ejercicio siguiente | Dirección y responsable de seguridad | Evolución de los cuatro indicadores a lo largo del año |
No hace falta contratarlo todo de golpe. Lo más habitual es empezar por la medición inicial y el bloque común, y decidir el resto con los primeros números encima de la mesa.
¿Cómo se desarrolla un programa de concienciación?
Cinco pasos, de la primera llamada a la segunda medición. Cuenta de seis a diez semanas de calendario para un primer ciclo completo.
1
Alcance
Media hora basta para cerrar lo esencial: cuánta plantilla y qué departamentos entran, qué ataques has sufrido ya, qué obligaciones contractuales hay que cubrir, qué herramienta de correo usas y cómo está el asunto con el comité de empresa. Después recibes un presupuesto cerrado, en jornadas, con el nombre de quien va a impartir las sesiones, en 24 horas laborables.
2
Diseño de contenidos y escenarios
Escribimos a partir de tu realidad: tus herramientas, tus dominios, tus proveedores habituales, tu calendario de facturación. Un escenario genérico no engaña a nadie dos veces; uno que se parece a tu día a día mide algo.
3
Sesiones
Las imparten nuestros consultores, los mismos que hacen los test de intrusión. Demostración en directo, casos reales anonimizados y una prueba corta al final para tener un punto de partida en cifras. En español, por videoconferencia o en tus oficinas.
4
Campaña de medición
La campaña de phishing simulado sale después de las sesiones, o antes si prefieres medir en frío. Los envíos se reparten en el tiempo, los escenarios cambian según el departamento y dejamos abierto un canal de escalado para distinguir al instante un incidente real de un correo nuestro.
5
Resultados y segunda medición
Recibes un informe en español y una sesión de presentación de resultados: tasa de clic, tasa de introducción de credenciales, tasa de aviso, tiempo mediano hasta el primer aviso, comparación entre departamentos y qué corregir tanto en el lado técnico como en el humano. La segunda medición, dentro de los 90 días siguientes, va incluida en el precio.
Entregables: informe, sesión de resultados y segunda medición
Lo que te queda cuando terminamos, y que tiene que poder enseñarse a la entidad auditora, a un cliente o a tu aseguradora.
Informe en español
Un documento redactado en español, no una traducción automática: dos páginas de resumen para dirección, cifras detalladas y recomendaciones ordenadas por esfuerzo y por efecto esperado.
Cifras utilizables
Tasa de clic, tasa de introducción de credenciales, tasa de aviso y tiempo mediano hasta el primer aviso, con la evolución de una campaña a la siguiente. Agregadas por departamento, por centro o por colectivo; nunca por persona.
Sesión de presentación de resultados
Una sesión dedicada con las personas que designes: qué ocurrió, por qué funcionó y las tres acciones por las que conviene empezar. Por videoconferencia o en tus oficinas.
Carpeta de evidencias
Temario, fechas, ponente, lista de asistencia, material entregado y certificado de asistencia propio, en el formato que reclama una auditoría del ENS o de la ISO/IEC 27001. Es la parte que casi nadie prepara y la primera que te piden.
Segunda medición incluida
Una campaña equivalente dentro de los 90 días siguientes a la entrega, dentro del precio inicial. Escenarios de dificultad comparable sobre el mismo colectivo, para que la diferencia esté medida y no supuesta.
El temario impartido y la lista de asistencia son tuyos y son tus justificantes ante una auditoría. Los resultados de las campañas simuladas se quedan siempre en agregado.
Nuestra metodología
Una sesión vale lo que vale quien la imparte. Los contenidos se apoyan en referencias públicas, que tu entidad auditora conoce, y en nuestros propios proyectos, que tu equipo no ha visto nunca.
- El Anexo II del Real Decreto 311/2022 — el bloque común sigue el orden y el vocabulario del ENS, porque es el documento que citan tus clientes del sector público y quien te audita. Cuando aplica, nuestros informes referencian además las guías CCN-STIC públicas correspondientes a tu categoría.
- OWASP Top 10 y OWASP WSTG — para la sesión de desarrollo: las categorías de vulnerabilidad por un lado y el método de prueba por otro. Están en OWASP y en OWASP WSTG.
- OWASP MASTG — si tu equipo publica aplicaciones móviles: almacenamiento local, fijación de certificado y comunicación con la API.
- PTES — las fases de pre-engagement e intelligence gathering del Penetration Testing Execution Standard ordenan la preparación de las campañas simuladas: alcance, reglas de enfrentamiento, reconocimiento en fuentes abiertas, ejecución y presentación de resultados.
- Los materiales públicos de INCIBE y de la OSI — son buenos, están en español y son gratuitos. Cuando lo que necesitas es exactamente eso, te lo decimos y te ahorras el presupuesto. Lo que esos materiales no dan es una medición de tu organización ni un escenario escrito con tus proveedores y tus dominios.
Lo que no da ninguna referencia son los ejemplos. Los nuestros vienen de proyectos del año, anonimizados: un correo que funcionó en una industria, una llamada al soporte que consiguió el reinicio de una contraseña, una memoria USB olvidada en un aparcamiento. En una campaña simulada la herramienta sirve para enviar y para contar: escribir los escenarios, reconocer y dar la sesión es trabajo manual.
Alcance y planificación: qué se cierra antes de la primera sesión
Un programa de concienciación se cierra como un proyecto técnico. Todo esto queda escrito en el documento de alcance, firmado antes de la primera sesión y antes del primer envío.
- Colectivos y número de sesiones. Cuánta gente, en qué departamentos, en cuántos pases y con qué duración. Un pase de más de cuarenta personas deja de ser un taller y pasa a ser una conferencia; lo decimos antes de que lo descubras el día de la sesión.
- Formato e idioma. Videoconferencia o tus oficinas, en español. Si parte de la plantilla no habla español, esa sesión se imparte en inglés y se acuerda al presupuestar.
- Si hay campaña simulada y con qué volumen. Número de destinatarios, canales (correo, teléfono, SMS), número de escenarios, grado de personalización y ventana de envío.
- Qué queda fuera. Buzones compartidos, direcciones genéricas, personal de baja, centros en obras y cualquier colectivo que prefieras dejar al margen. Se escribe en el alcance, no se decide sobre la marcha.
- Ventana y calendario. Fechas de sesiones y de envíos, esquivando cierres contables, campañas comerciales y periodos de vacaciones.
- Reglas de enfrentamiento. Una persona de contacto tuya localizable durante toda la ventana, un canal de escalado para distinguir un incidente real de un correo nuestro y una palabra de parada que detiene la campaña al instante.
- Criterio de no sanción, por escrito. Ningún resultado nuestro puede servir de base para una medida disciplinaria. Es la condición que hace subir la tasa de aviso, y la ponemos nosotros.
Del alcance salen las jornadas, el precio, la fecha de entrega y el plazo de la segunda medición. La parte laboral y de protección de datos —información previa a la plantilla, criterios de uso de los dispositivos digitales del art. 87.3 de la LOPDGDD e informe previo del comité de empresa del art. 64.5.f) del Estatuto de los Trabajadores— está desarrollada en test de ingeniería social y, con más detalle, en simulación de phishing y derechos de los trabajadores.
Concienciación y formación no son lo mismo, y en España la diferencia tiene consecuencias
Esto no es una cuestión de estilo. El propio ENS separa las dos cosas en el Anexo II del Real Decreto 311/2022: [mp.per.3] Concienciación obliga a recordar periódicamente al personal la normativa de seguridad, cómo identificar actividades o comportamientos sospechosos y por qué procedimiento se comunican los incidentes; [mp.per.4] Formación es una medida distinta, la parte lectiva dirigida a quien desempeña funciones concretas. Lo que nosotros prestamos es lo primero, y por eso la página se llama así.
La segunda consecuencia es más práctica y conviene saberla antes de pedir presupuesto. En España, la formación profesional para el empleo es un sistema regulado: impartir formación bonificable a la plantilla de una empresa exige ser entidad formativa acreditada o inscrita en el registro correspondiente, y expedir títulos o certificados de profesionalidad exige bastante más todavía. Haxoris no es entidad formativa acreditada ni inscrita, nuestras sesiones no son bonificables por FUNDAE y no expedimos ningún título oficial.
Lo que sí te llevas es un certificado de asistencia propio, el temario, las fechas, el nombre de quien impartió la sesión y la medición de antes y después. Eso es justo lo que reclama una auditoría del ENS o de la ISO/IEC 27001, y no coincide con lo que reclama el crédito formativo. Si lo que necesita tu departamento de recursos humanos es crédito, no somos el proveedor y lo diremos en la primera llamada, no en la factura.
Qué obliga realmente en España
El mercado repite dos errores: dar por hecho que NIS2 ya es ley aquí y anunciar sanciones que todavía no existen. Esto es lo que está en vigor, y lo que dice literalmente sobre concienciar a la plantilla.
El ENS: Real Decreto 311/2022
El Esquema Nacional de Seguridad es la norma que más pesa sobre el comprador español, y tiene un control dedicado exactamente a esto. En el Anexo II, [mp.per.3] Concienciación obliga a realizar las acciones necesarias para concienciar con regularidad al personal acerca de su papel y su responsabilidad, y a recordar periódicamente la normativa de seguridad, cómo identificar actividades o comportamientos sospechosos y el procedimiento por el que se comunican los incidentes, sean reales o falsas alarmas. [mp.per.4] Formación añade la parte lectiva para funciones concretas y [op.exp.7] la gestión de incidentes: sin las tres, la cadena de aviso no existe más que sobre el papel.
Por encima de ellos, el art. 31 somete los sistemas de categoría MEDIA y ALTA a una auditoría regular ordinaria al menos cada dos años, y el art. 38 separa los dos caminos de conformidad: autoevaluación en categoría BÁSICA, certificación en MEDIA y ALTA. Quien te audite va a pedir pruebas de que la concienciación se hace, no la afirmación de que se hace.
Lo que aportamos es esa evidencia. La conformidad la declara o la certifica quien corresponde: Haxoris no está acreditada por ENAC, no es entidad de certificación y no expide el certificado de conformidad con el ENS ni el Distintivo de Conformidad. Está desarrollado en quién puede auditar el ENS y en qué exige realmente el ENS sobre pentesting.
NIS2 todavía no es derecho español
La Directiva (UE) 2022/2555 debía estar transpuesta el 17 de octubre de 2024, y entre las medidas de su art. 21.2 cita expresamente las prácticas de ciberhigiene básica y la concienciación en materia de ciberseguridad. En España, el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad tuvo su primera lectura en el Consejo de Ministros el 14 de enero de 2025 y no ha llegado a las Cortes; el 9 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la Unión Europea por esa falta de transposición, en el procedimiento INFR(2024)0270. Quien hoy te venda «obligaciones NIS2 en España» te está vendiendo un texto que todavía no existe. Lo que sí obliga ahora mismo es la norma anterior: el Real Decreto-ley 12/2018 y su reglamento de desarrollo, el Real Decreto 43/2021.
Y hay una pieza que no depende de ninguna ley española, porque es un reglamento europeo y se aplica de forma directa: el Reglamento de Ejecución (UE) 2024/2690, que fija las medidas técnicas y metodológicas para proveedores de servicios en la nube, centros de datos, redes de distribución de contenidos, proveedores de servicios gestionados y de seguridad gestionados, mercados en línea, motores de búsqueda, plataformas de redes sociales y prestadores de servicios de confianza. Su Anexo dedica un apartado propio a las prácticas de ciberhigiene y a la concienciación del personal, y el punto 6.5 «Pruebas de seguridad» exige una política de pruebas documentada, un alcance y una frecuencia establecidos en función del riesgo, una metodología y unos resultados documentados y la corrección de los hallazgos críticos: una campaña simulada recurrente entra dentro de esa política, aunque no la agota. Si tu entidad está en esa lista, la obligación ya existe aunque la ley de transposición siga sin publicarse. Más detalle en pentesting para NIS2 y en NIS2 en España: qué obliga hoy y qué no.
RGPD
El art. 32.1.d) del Reglamento (UE) 2016/679 incluye entre las medidas apropiadas «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento». Y hay un artículo que menciona esta materia por su nombre: el art. 39.1.b) encomienda al delegado de protección de datos supervisar el cumplimiento, «incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes». Si tienes delegado de protección de datos, la concienciación es literalmente una de sus funciones, y nuestro informe es la prueba documental de que se ha ejecutado.
ISO/IEC 27001
Si tu sistema de gestión va por esta vía, el control A.6.3 del Anexo A de la norma de 2022 cubre la concienciación, la educación y la formación en seguridad de la información de toda la plantilla y, cuando proceda, de terceros que trabajen para la organización. Quien audite la certificación pedirá el plan, las evidencias de ejecución y alguna medida de eficacia: las tres cosas salen de aquí. El certificado lo expide un organismo de certificación acreditado; lo nuestro es la evidencia con la que se presenta. Está en pentesting para ISO 27001.
DORA y el sector financiero
El Reglamento (UE) 2022/2554 se aplica desde el 17 de enero de 2025. Su art. 13 obliga a las entidades financieras a incluir programas de concienciación en seguridad de las TIC y de resiliencia operativa digital como módulo obligatorio en los planes de formación del personal, incluida la alta dirección. Ahí encajan estas sesiones. El art. 26 es otra cosa: añade, para las entidades que designe la autoridad competente, pruebas avanzadas basadas en amenazas al menos cada tres años, que ejecutan proveedores que cumplen el art. 27. No prestamos ese servicio, y lo decimos antes del presupuesto y no después.
Tratamiento de datos y soberanía
Haxoris es una empresa establecida en la Unión Europea, con oficinas en Bratislava y Praga. El equipo interviene desde la Unión Europea, y todo lo que se genera durante un programa de concienciación —listas de asistencia, listas de destinatarios, marcas de tiempo, capturas, informes— se almacena y se respalda en la Unión Europea.
Aquí eso no es un detalle jurídico, porque lo que se trata son datos personales de tu plantilla. La consecuencia práctica se nota en cuanto tu departamento jurídico abre el contrato: el RGPD se nos aplica de forma directa, así que no hay transferencia internacional del capítulo V que justificar, ni cláusulas contractuales tipo que negociar, ni evaluación de impacto de transferencias que explicar al comité de empresa. Actuamos como encargado del tratamiento en el sentido del art. 28 y el contrato lo recoge; la relación de subencargados y los países desde los que operan se te comunica antes de firmar, y cualquier cambio se te notifica. Al no estar sometidos a la jurisdicción de Estados Unidos, no nos alcanza la CLOUD Act.
Tratamos el mínimo imprescindible: nombre, función y dirección de correo profesional. Las páginas que se usan en una campaña registran el hecho de que hubo una introducción de credenciales, nunca lo que se tecleó. Las sesiones no se graban salvo que lo pidas por escrito. Todo va cifrado en reposo y en tránsito, solo accede quien está asignado a tu proyecto y se borra en el plazo pactado en el contrato, por defecto al vencer el plazo de la segunda medición. El informe es tuyo: no lo reutilizamos y no mencionamos tu nombre sin autorización por escrito.
Si la duda de fondo es si tiene sentido contratar esto fuera de España, la respondemos con derecho aplicable en contratar una empresa de pentesting no española.
Testimonios
Lo que dicen nuestros clientes
Por qué Haxoris
Charlas de ciberseguridad da mucha gente. La diferencia está en quién se pone delante, en qué ejemplos enseña y en si al final hay un número que comparar. Haxoris es un proveedor europeo y no tiene ninguna acreditación ni habilitación expedida por una autoridad pública española, ni lo pretende: lo que ponemos en su lugar son estas cuatro cosas, y las cuatro puedes comprobarlas antes de firmar.
Certificaciones del equipo
Quien enseña ataca el resto del año
Las sesiones las dan las mismas personas que hacen nuestros test de intrusión, con sus certificaciones (OSCP, OSWE, CISSP) y con nombre y apellidos en el documento de alcance. Míralas en sobre nosotros.
Segunda medición incluida
Una campaña equivalente dentro de los 90 días siguientes a la entrega, en el precio inicial. Sin una segunda medida, la concienciación es un gasto cuyo rendimiento no conoce nadie.
Nuestros precios son públicos
Publicamos las horquillas y la unidad de cuenta, la jornada, antes de la primera reunión: en cuánto cuesta un pentest en España. Comparas con cifras, no con impresiones.
Agregado, nunca nominativo
Ni un nombre, ni una clasificación, ni una sanción individual posible a partir de nuestros entregables, más la documentación que necesitan tu comité de empresa y tu delegado de protección de datos.
Qué no hacemos
Decirlo en voz alta es lo que hace creíble el resto de la página. Hay cinco cosas que en España no podemos ofrecerte, y ninguna se arregla con una frase ambigua.
- No somos entidad formativa acreditada. Nuestras sesiones no son bonificables por FUNDAE, no expedimos títulos oficiales ni certificados de profesionalidad y no figuramos en ningún registro de entidades formativas. Entregamos certificado de asistencia propio, temario y medición; si lo que necesitas es crédito formativo, necesitas una entidad acreditada.
- No certificamos. Haxoris no es entidad de certificación acreditada por ENAC y no expide certificaciones de conformidad con el ENS, ni el Distintivo de Conformidad, ni certificados ISO 27001. Emitimos un informe técnico de resultados: la certificación la expide un organismo de certificación acreditado, y nuestro informe sirve de evidencia ante él.
- No realizamos pruebas avanzadas basadas en amenazas. Las del art. 26 del Reglamento (UE) 2022/2554 exigen proveedores que cumplan su art. 27, y el ejercicio lo dirige el supervisor, no el proveedor. Un ejercicio de Red Team nuestro puede servirte de preparación previa, pero no lo sustituye ni lo realizamos.
- No trabajamos con información clasificada. El acceso a esa información exige una habilitación de seguridad que no tenemos, y no nos presentamos a esos pliegos.
- No somos una empresa de seguridad privada ni un despacho de detectives. Prestamos servicios de seguridad informática; esta actividad no figura entre las reservadas del art. 5.1 de la Ley 5/2014 y no requiere autorización del Ministerio del Interior. Cuando una sesión se apoya en reconocimiento de fuentes abiertas, lo que levantamos es la superficie de exposición de la organización, dentro del alcance contratado y sin investigar a personas concretas.
Y una sexta, menos jurídica: no vendemos una plataforma de vídeos enlatados con un cuestionario al final. Las hay y algunas son razonables, pero lo nuestro son sesiones en directo que alguien prepara para tu organización, y eso tiene un límite de escala y un precio distinto. Si lo que buscas es cubrir el expediente al menor coste posible, te lo diremos en la primera llamada.
Preguntas frecuentes sobre concienciación
01 ¿Cuánto cuesta un programa de concienciación?
Se calcula en jornadas. Una sesión para un grupo arranca en torno a 1.200 € (IVA no incluido) cuando los contenidos ya existen; escribir escenarios propios de tu organización añade de una a dos jornadas. Un programa anual que combine el bloque común, dos talleres especializados y dos campañas de phishing simulado se mueve casi siempre entre 4.500 y 12.000 €, según el número de colectivos y el volumen de envíos.
Publicamos las horquillas y la unidad de cuenta, al contrario que la costumbre del mercado: el cálculo está detallado en cuánto cuesta un pentest en España. Tras una llamada de media hora recibes un presupuesto cerrado, sin compromiso, en 24 horas laborables.
02 ¿En qué idioma y dónde se imparten las sesiones?
En español: sesión, materiales, escenarios, informe y presentación de resultados. Haxoris es un proveedor europeo, con oficinas en Bratislava y Praga, y no tiene oficina en España; las sesiones se dan por videoconferencia por defecto y en tus oficinas cuando el formato lo justifica. Si parte de la plantilla no habla español, esa sesión se imparte en inglés y se acuerda al presupuestar. Los datos generados se quedan en la Unión Europea.
03 ¿Son bonificables por FUNDAE?
No. Haxoris no es entidad formativa acreditada ni inscrita en el registro correspondiente, así que nuestras sesiones no entran en el sistema de formación profesional para el empleo y no generan crédito bonificable. Tampoco expedimos títulos oficiales ni certificados de profesionalidad.
Lo que te llevas es lo que reclama una auditoría, que no es lo mismo: certificado de asistencia propio, temario, fechas, nombre de quien impartió la sesión y la medición de antes y después. Si tu prioridad es el crédito de FUNDAE, dilo en la primera llamada y te ahorramos el presupuesto.
04 ¿Cada cuánto hay que repetirlo?
El ENS pide concienciar «con regularidad» y recordar la normativa «periódicamente», y la ISO/IEC 27001 habla de concienciación continuada; ninguna de las dos pone un número. Lo que sostiene una empresa mediana sin cansar a nadie es una sesión anual por colectivo y dos campañas simuladas al año, más un recordatorio breve a mitad de camino.
Lo que no funciona es la sesión única: el efecto de una charla se diluye en unos meses y, sin una segunda medición, no hay manera de saber si cambió algo.
05 ¿Cómo se mide que ha servido de algo?
Con cuatro indicadores, siempre los mismos y siempre agregados: tasa de clic, tasa de introducción de credenciales, tasa de aviso y tiempo mediano hasta el primer aviso. El que más importa es el tercero, porque un aviso rápido protege a toda la organización mientras que un clic no dado solo salva a quien no lo dio.
Una tasa de clic del 0 % no la consigue nadie, y desconfía de quien la prometa. Lo razonable es una bajada clara del clic entre la primera y la segunda campaña y, sobre todo, una subida grande del aviso y una caída del tiempo de reacción.
06 ¿Hay que informar a la plantilla y pasar por el comité de empresa?
Sí, y conviene resolverlo antes de fijar fechas. La plantilla debe saber de antemano —por la política de uso de los sistemas, por una circular interna o por el propio contrato— que la empresa realiza ejercicios de seguridad; lo que no se anuncia es el día ni el escenario, porque entonces el ejercicio deja de medir nada. El art. 87.3 de la LOPDGDD obliga a establecer los criterios de uso de los dispositivos digitales contando con la representación de la plantilla, y el art. 64.5.f) del Estatuto de los Trabajadores reconoce al comité de empresa el derecho a emitir informe previo sobre la implantación y revisión de sistemas de organización y control del trabajo.
Nosotros añadimos una condición: ningún resultado nuestro puede servir de base para una sanción individual. Está desarrollado en simulación de phishing y derechos de los trabajadores.
07 ¿Sirve esto para el ENS o para la ISO 27001?
Sirve como evidencia, no como certificado. En el ENS cubre el control [mp.per.3] Concienciación del Anexo II del Real Decreto 311/2022 y alimenta la auditoría regular del art. 31; en la ISO/IEC 27001:2022 cubre el control A.6.3 del Anexo A. Te entregamos el paquete en el formato que pide quien audita: plan, temario, fechas, asistencia e indicadores de eficacia.
Lo que no hacemos es certificar. Haxoris no está acreditada por ENAC y no expide el certificado de conformidad con el ENS, el Distintivo de Conformidad ni certificados ISO 27001.
08 ¿Hace falta una empresa acreditada en España para impartir estas sesiones?
No. Ninguna norma española exige una acreditación pública para concienciar a la plantilla de una empresa privada. La única reserva relevante es la del sistema de formación para el empleo, y afecta a la formación bonificable, no a esto.
Lo que sí conviene comprobar en cualquier proveedor: quién imparte la sesión de verdad y con qué experiencia ofensiva, si los escenarios se escriben para ti o se sacan de un catálogo, cómo se tratan los resultados a efectos del RGPD y si hay una segunda medición incluida. Respondemos a las cuatro por escrito, dentro del presupuesto. Y si tu proyecto tiene que pasar por una certificación del ENS o por información clasificada, no somos el proveedor y lo diremos en la primera conversación.
