Empresas de pentesting en España: cómo elegir, y cuándo elegir a otro

Esta página no vende una respuesta única. Empieza por lo que su normativa exige de verdad, porque en España casi todo el gasto mal dirigido viene de ahí. El ENS obliga a auditar al menos cada dos años, pero solo impone pruebas de penetración en categoría ALTA y en servicios cloud de terceros. El catálogo de INCIBE es un directorio, no una acreditación. El Kit Digital no financia pentesting en ninguna de sus categorías. Debajo encontrará qué exige cada régimen, con el artículo citado, y los precios que publican los proveedores españoles, desde 1.490 € por una web sencilla y 800 € por jornada. Matproof Sentinel es una plataforma de IA: sin pentester humano, sin acreditación ENAC y sin cualificación para TIBER-ES. Lo decimos antes de que compre, no después.

Cómo elegir proveedor de pentesting en España: cinco preguntas que lo deciden

Empiece por el pliego, no por el proveedor. Lea su contrato de cliente, su pliego de licitación y su categorización ENS antes de pedir presupuestos, porque ahí suele estar ya la respuesta. Si su sistema es de categoría ALTA, el refuerzo R6 del control op.mon.3 nombra las pruebas de penetración y no tiene elección. Si es de categoría MEDIA, ese refuerzo no aplica y quizá esté a punto de pagar por algo que su norma no le pide, aunque su auditor sí pueda pedirlo. Si necesita certificar la conformidad, la entidad que firma tiene que estar acreditada por ENAC bajo UNE-EN ISO/IEC 17065:2012, y ese es un trabajo distinto del pentesting técnico. Si es una entidad financiera dentro del alcance de TLPT, TIBER-ES pide independencia y experiencia acreditada del proveedor, y el Banco de España remite a las guías de contratación del BCE. Aclarado eso, quedan cinco preguntas de mérito. Primera: ¿el proveedor demuestra cada hallazgo con una prueba de explotación, o le reenvía la salida de un escáner? Segunda: ¿el informe está mapeado a los controles que revisa su auditor, o tendrá que traducirlo usted? Tercera: ¿cuánto de actual será la evidencia? Un informe describe un día concreto. Cuarta: ¿el re-test tras corregir entra en el precio? Quinta: ¿puede conocer el precio sin una llamada comercial? En España la mayoría no lo publica, y esa opacidad le cuesta semanas. Elija la herramienta según el trabajo. Una plataforma cubre bien web, API y perímetro externo durante todo el año. Un equipo humano es la elección correcta para ingeniería social, intrusión física, Red Team y todo lo que exige improvisar.

• Lea primero su categorización ENS. Las pruebas de penetración solo son obligatorias en categoría ALTA, vía el refuerzo R6 del control op.mon.3, y en servicios cloud de terceros vía op.nub.1.2.
• No confunda auditoría con pentesting. El artículo 31 exige auditoría al menos cada dos años. Eso no es lo mismo que una prueba de intrusión técnica.
• Para certificar el ENS necesita una entidad acreditada por ENAC bajo UNE-EN ISO/IEC 17065:2012. Ese sello no lo da un equipo de pentesting.
• El catálogo de INCIBE no acredita a nadie. INCIBE lo define como «un servicio gratuito que recoge empresas proveedoras». Los criterios de entrada son tener presencia en el mercado y una web actualizada y sin malware.
• No existe ninguna acreditación estatal española de pentesters. OSCP, OSEP y CRTO son certificados privados de proveedor. No encontramos ningún esquema CREST en España.
• El Kit Digital no paga un pentesting. Su categoría de Ciberseguridad financia 125 € por dispositivo y la de Ciberseguridad Gestionada 200 € por dispositivo para EDR y MDR. Ninguna categoría nombra pruebas de penetración.
• Pida el precio del re-test por escrito. Ninguno de los proveedores españoles que revisamos publica una tarifa de re-test.
• El Red Team se cotiza siempre a medida. Incluso los proveedores que publican tarifa de pentesting lo declaran «sin precio público cerrado».
• Pregunte por el IVA. Todos los precios publicados que encontramos son sin IVA, y varios lo dicen expresamente.

Qué cubre Matproof Sentinel

• Reconocimiento: nmap, amass y httpx mapean la superficie antes de sondear nada.
• Web: cobertura del OWASP Top 10 con nuclei, sqlmap y OWASP ZAP.
• API: REST y GraphQL contra el OWASP API Security Top 10.
• Infraestructura: servicios expuestos, dispositivos de borde, TLS y DNS con testssl.sh.
• Cloud: configuración e IAM con Prowler, en el plan Growth.
• Móvil: paquetes iOS y Android con MobSF, en el plan Growth.
• Código fuente y cadena de suministro: Semgrep, Gitleaks y Trivy leen los repositorios que conecte.
• Validación: un ValidatorAgent reejecuta cada hallazgo y lo marca VALIDATED, UNVERIFIED o FALSE_POSITIVE.
• Informes: PDF, JSON y SARIF 2.1.0, mapeados a controles de ISO 27001, SOC 2, NIS2, DORA, ENS y PCI DSS.
• La propiedad del dominio se confirma por registro TXT de DNS o por un fichero HTTP antes de enviar tráfico.

Ejemplo de hallazgo

Escaneo gratuito, Matproof Sentinel y una empresa española tradicional

Precios de Matproof Sentinel (públicos, sin presupuesto)

Preguntas frecuentes sobre empresas de pentesting en España

Temas relacionados

• Servicios de pentesting de Matproof
• Pentesting, visión general
• Pentesting y Esquema Nacional de Seguridad
• Pentesting para ISO 27001
• TLPT y DORA
• Ver precios completos

Profundiza — artículos relacionados del blog

• Empresas de pentesting en España 2026, con fuentes
• Prueba de penetración: guía completa
• Pentest automatizado con IA

Cuándo no comprar Matproof Sentinel

Sentinel es una plataforma de pentesting con IA y nada más. Diez agentes prueban, y un ValidatorAgent reejecuta cada hallazgo antes de publicarlo. No hay ningún pentester humano detrás, y Matproof no tiene acreditación propia. Hay trabajos que quedan fuera de nuestro alcance, y preferimos decírselo antes que aceptar el encargo.

• Sin pentester humano. Los agentes de IA encuentran los problemas y otro agente de IA los verifica.
• Sin acreditación ENAC. Matproof no puede certificar la conformidad con el ENS ni firmar como entidad de certificación.
• Sin cualificación para TIBER-ES ni para ejercicios TLPT bajo DORA artículo 26.
• Sin CREST y sin testers certificados OSCP que anunciemos.
• Sin ingeniería social, sin campañas de phishing y sin intrusión física.
• Sin investigación de zero-days y sin Red Team a medida contra su lógica de negocio.
• Contrate a una empresa acreditada si su sistema es de categoría ALTA del ENS y su auditor exige un informe firmado, o si un pliego público nombra un requisito concreto.
• Contrate a un equipo humano para entornos OT y SCADA, mainframes y cualquier sitio donde alguien tenga que improvisar.

Empiece con un escaneo gratuito y decida después a quién necesita

Lance un escaneo gratuito para ver su superficie expuesta y el formato del informe. Un informe completo cuesta 149 €. Las pruebas continuas cuestan 299 € al mes. Si resulta que necesita una firma acreditada por ENAC, se lo diremos y le recomendaremos contratar a una entidad acreditada.