Ciberseguridad para SaaS B2B y tecnología — ISO 27001 como base, ENS para sector público, DORA y NIS2 cuando el cliente lo exige

Antes de buscar el primer cliente enterprise, no después. La ISO 27001 es la primera puerta del onboarding corporativo y, en muchos pliegos del sector público y financiero, es requisito eliminatorio. Los SaaS que la dejan para «cuando llegue el cliente grande» suelen perder entre seis y doce meses de actividad comercial cuando aparece el primer cliente potencial serio. Es mejor anticipar y tener el SGSI funcionando antes de que llegue el cuestionario.

No. La auditoría SOC 2 Type II la realiza un CPA (Certified Public Accountant) acreditado por la AICPA: es una regulación profesional contable estadounidense. Hard2bit acompaña la fase de readiness y el mantenimiento posterior del marco (controles alineados con los Trust Services Criteria, evidencias auditables, automatización de la captura de evidencia donde es posible y preparación de la auditoría). La auditoría oficial la firma el CPA acreditado.

Comparten muchos controles, pero no son intercambiables. La ISO 27001 es un estándar internacional y el modelo dominante en Europa y el resto del mundo; SOC 2 Type II es un informe estadounidense, regido por los Trust Services Criteria de la AICPA, y dominante en EE. UU. Para un SaaS español que vende en Europa, la ISO 27001 va primero. Si el SaaS quiere expandirse a EE. UU. o ya tiene clientes allí, añadir SOC 2 Type II con la readiness sobre la base de ISO 27001 reduce mucho el coste incremental.

DORA aplica cuando el SaaS actúa como proveedor TIC del sector financiero; el grado de obligación depende del tamaño y de la criticidad. La figura de tercero TIC crítico (CTPP), bajo supervisión directa de las autoridades europeas, sólo afecta a un subconjunto pequeño pero muy relevante. NIS2 puede aplicar cuando el SaaS es proveedor de un sector esencial (sanidad, energía, transporte, agua, gobierno digital). En ambos casos, el cliente final acaba pidiendo evidencias en el cuestionario, así que conviene anticipar.

Los cuestionarios SIG (Standardized Information Gathering, de Shared Assessments) y CAIQ (Consensus Assessments Initiative Questionnaire, de la CSA) son los más habituales en la due diligence enterprise. La práctica recomendada es mantener una versión maestra siempre actualizada del SIG y del CAIQ, con respuestas alineadas a la ISO 27001 y, cuando aplica, a SOC 2; mantenerla viva con cada cambio del SGSI; y revisarla antes de cada nuevo onboarding. Reduce drásticamente el tiempo de cierre del cuestionario.

El Reglamento (UE) 2024/1689 clasifica los sistemas de IA en cuatro niveles de riesgo (inaceptable, alto, limitado o mínimo) y las obligaciones cambian radicalmente entre niveles. Para un SaaS B2B, lo crítico es clasificar el producto correctamente, documentar el sistema y los datos de entrenamiento, garantizar la transparencia y la supervisión humana cuando aplica y, en sistemas de alto riesgo, registrar el producto en la base de datos europea. Los plazos son progresivos hasta 2027; los hitos relativos a las prohibiciones y a los modelos de propósito general ya están en aplicación.

El CRA — Reglamento (UE) 2024/2847 aplica a los productos con elementos digitales puestos en el mercado de la UE. Exige marca CE con requisitos de ciberseguridad, gestión de vulnerabilidades durante toda la vida útil del producto y notificación a ENISA de las vulnerabilidades que estén siendo explotadas activamente. La aplicación es progresiva, con hitos en 2026 y aplicación plena a finales de 2027. Para los fabricantes de software embebido y de producto IoT industrial, conviene anticipar el roadmap antes de la fecha de obligatoriedad.

Tratándolo como un riesgo central, no como un detalle de implementación. La estrategia combina arquitectura (la elección del modelo de aislamiento —una sola fila con tenant_id en cada consulta, un esquema por tenant o una base de datos por tenant— con todas sus implicaciones), revisión de código sobre los filtros de tenant en el ORM o en la capa de acceso a datos, pruebas de seguridad específicas (tests de acceso cruzado entre tenants en cada pentest), monitorización del SOC sobre patrones de acceso anómalos entre tenants y, en sectores muy sensibles, cifrado por tenant con KMS dedicado.

Mantenemos un inventario continuo de dependencias (SBOM en formato CycloneDX o SPDX), integramos análisis composicional de software (SCA) en el pipeline para detectar vulnerabilidades en las dependencias antes de hacer merge, gestionamos las licencias open source y aplicamos políticas explícitas sobre qué dependencias se permiten. Cumple con las expectativas modernas del cliente enterprise y, cuando aplica, con el CRA. Lo trabajamos sobre el pipeline existente en lugar de sustituirlo.

Sí. El vCISO es un servicio recurrente para los SaaS que necesitan representación ejecutiva ante los clientes, un comité de seguridad propio, definición y mantenimiento del SGSI y gobierno general, pero sin la complejidad de contratar un CISO a tiempo completo. Resulta especialmente útil entre los 50 y los 250 empleados, donde la organización ya pide gobierno serio pero todavía no justifica un CISO interno a dedicación completa.

Adaptamos el servicio a los marcos de la matriz internacional (controles globales, frameworks propios, proveedores estratégicos del grupo) y, al mismo tiempo, cubrimos el marco español y europeo aplicable (ISO 27001, ENS si vende a la AAPP española, RGPD, y NIS2 o DORA cuando aplica). La interlocución técnica se mantiene en español o inglés según corresponda, y los entregables se preparan en un formato compatible con el comité de seguridad del cliente.

Para un SaaS B2B sin marco previo y con un alcance razonable (núcleo productivo y procesos críticos asociados), una primera certificación ISO 27001 suele llevar entre seis y nueve meses si el equipo dedica tiempo real, y entre nueve y doce si la atención es parcial. Las empresas con buena postura técnica pero sin documentar avanzan más rápido; las que parten de prácticas inmaduras tardan más. Lo determinamos con honestidad en el diagnóstico inicial — no vendemos plazos imposibles.