Pentesting en España
Hacemos pentesting a empresas de toda España, de Madrid y Barcelona a Ceuta y Melilla. Lo ejecuta una persona, no un escáner. Lo que se puede explotar se explota, y cada hallazgo llega con su evidencia y los pasos para que tu equipo lo reproduzca.
Confían en nosotros
Dónde hacemos pentesting en España
Damos servicio en las 50 provincias y en Ceuta y Melilla. El grueso de un test de intrusión se ejecuta en remoto, porque lo que se prueba está publicado en internet: un dominio, una API, una aplicación móvil. Estar más cerca no cambia el alcance ni el precio.
Hay pruebas que sí piden estar dentro. La red interna, el WiFi y el escenario de un empleado con su portátil se hacen en tu sede. Eso se decide en el Kick-Off, entra en el plan de auditoría que firmas y sale con fecha antes de que empiece nada. No hay recargo por distancia.
Qué auditamos con un pentesting en España
No se prueba igual una API que un dominio de Windows: cada activo lleva su metodología y su lista de comprobaciones, y el alcance se cierra contigo en el Kick-Off. Estos son cinco de los trece tipos de auditoría del catálogo:
Equipo acreditado por
¿Qué te obliga a hacer un pentesting en España?
Depende de a quién le vendas, y conviene separarlo. Si trabajas para una administración pública, o le prestas servicio a alguien que sí, te aplica el Esquema Nacional de Seguridad (Real Decreto 311/2022). Su artículo 31 obliga a auditar la seguridad al menos cada dos años, y el alcance de esa auditoría lo fija la categoría del sistema: básica, media o alta. Quien lo vigila es el Centro Criptológico Nacional.
Si no es tu caso, sigue habiendo una obligación que casi nadie asocia con esto. El artículo 32.1.d del RGPD pide un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas. No dice «pentesting» en ninguna parte, y por eso se pasa por alto: lo que dice es que hay que comprobar que lo que has puesto funciona, y esa comprobación es esto.
| A quién le aplica | Norma | Qué pide |
|---|---|---|
| Si vendes a la Administración | ENS, Real Decreto 311/2022, artículo 31 | Auditoría de seguridad al menos cada dos años |
| Si tratas datos personales | RGPD, artículo 32.1.d | Verificar con regularidad que las medidas funcionan |
| Si estás en un sector esencial | Directiva NIS2 | Todavía no es ley española: sigue sin transponerse |
Fuente oficial: Real Decreto 311/2022 en el BOE
Seis pasos. Sin desviaciones.
El proceso no cambia según el cliente. Empieza con un kick-off donde fijamos alcance y reglas, sigue con un plan de auditoría firmado antes de tocar nada y termina con dos informes: el técnico, con la evidencia y los pasos para reproducir cada fallo, y el ejecutivo, que presentamos en directo. Tienes seis meses para pedir el retest.
Kick-Off
Definimos alcance, objetivos y reglas de juego contigo. Alineamos expectativas y accesos.
Lo que dicen nuestros clientes
Las de arriba son de la ficha de Legitec. PentestingTeam tiene la suya.
“Estos tíos saben lo que se hacen, se les ve apasionados por el servicio que tanto valor aporta a sus clientes”
“Equipo de profesionales totalmente recomendados, encantados de haber contratado sus servicios.”
“Nuestra experiencia con LEGITEC ha sido excepcional. Su equipo nos ha acompañado durante todo el proceso con un nivel de profesionalidad,…”Leer la reseña completa en Google
“Unos auténticos profesionales. Dudo encontrar una empresa con mejor atención al cliente, seguimiento y equipo de talento.”Leer la reseña completa en Google
“Excelente trabajo!!!”
“Son unos grandes profesionales, tanto su equipo legal como de ciberseguridad nos estuvieron asesorando de forma muy cercana desde el minuto uno,…”Leer la reseña completa en Google
Pentesting en las principales ciudades de España
Y en el resto de provincias del país. Ver toda la cobertura en España.
Preguntas frecuentes sobre pentesting en España
Sí. Damos servicio en las 50 provincias y en Ceuta y Melilla, y casi todo el encargo se ejecuta en remoto, porque lo que se audita está publicado en internet. Lo que exige presencia, como la red interna o el WiFi, se planifica con fechas en el Kick-Off y no lleva recargo por distancia.
Desde 450 € una auditoría de superficie externa y desde 1.140 € una de aplicación web. Lo que mueve la cifra es el número de activos, los roles de usuario que hay que probar y la profundidad acordada, nunca desde dónde nos escribes: cuesta lo mismo en Bilbao que en Sevilla. El presupuesto se cierra después del Kick-Off, ya sin variables abiertas.
El Kick-Off son 30 minutos y el plan de auditoría sale al día siguiente. La ejecución lleva de una a tres semanas según los activos que entren, el informe técnico entre uno y tres días más, y la presentación de resultados otros 30 minutos. A los seis meses viene el retest, que son uno o dos días.
Sí, cuando está autorizado por escrito y por quien puede autorizarlo. Esa autorización es el plan de auditoría que firmas en el Kick-Off: dice qué sistemas entran, qué pruebas se van a lanzar y en qué ventana horaria. Si algún activo está alojado en un proveedor externo, se le avisa antes, porque su contrato también manda.
La auditoría del ENS se repite al menos cada dos años y su alcance depende de la categoría del sistema. Nosotros cubrimos la parte que se demuestra con pruebas técnicas y evidencias, que es lo que el Centro Criptológico Nacional espera ver documentado. No sustituye a implantar las medidas ni a la asesoría jurídica: te damos el estado real y el plan para cerrarlo, con cada hallazgo priorizado.
Todavía no, porque NIS2 no es ley española. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en enero de 2025 y sigue sin llegar a las Cortes; en julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por el retraso. Cuando se transponga, la auditoría periódica pasará de recomendable a exigible en los sectores que cubra.
No hay una cifra única. Si te aplica el ENS, la auditoría se repite al menos cada dos años. Fuera de ahí lo que marca el ritmo son los cambios: una versión nueva de la aplicación, una migración de infraestructura o un proveedor que entra a tocar el sistema. Nuestro retest va a los seis meses y verifica lo corregido, que no es lo mismo que auditar de cero.
El escáner comprueba versiones y configuraciones conocidas, rápido y sobre todo el parque. Lo que no sabe hacer es encadenar: un permiso de más que por sí solo no es nada, y que junto a otro fallo pequeño abre la puerta a los datos que importan. Eso lo encuentra una persona que ha entendido tu negocio. Usamos las dos, y la que se entrega con evidencia reproducible es la segunda.
¿Hacemos pentesting a tu empresa en España?
Media hora de llamada para definir el alcance. De ahí salen las fechas, la ventana de pruebas y un presupuesto cerrado en 24 horas, sin variables abiertas.
- Respuesta en menos de 24 horas laborables
- Presupuesto cerrado, sin sorpresas
- Confidencialidad bajo acuerdo (NDA)