Las preguntas que de verdad nos hacen.

Sí. Hay una prueba gratuita de 14 días con acceso completo, que se solicita a través del formulario de contacto. No necesita facilitar datos de pago.

Lo que cree durante la prueba gratuita pasa sin interrupciones al plan de pago. Si no elige ningún plan, la prueba finaliza automáticamente.

La parte técnica se resuelve en una tarde: crear la cuenta de la organización, invitar a los usuarios, activar el framework e indicar los responsables. Lo que lleva tiempo es completar el contenido, es decir, saber qué evidencias existen ya en su organización y cuáles hay que generar.

Una estimación realista para una primera certificación ISO 27001: entre tres y seis meses hasta estar listos para la auditoría, si alguien de la casa se ocupa del proyecto de verdad. Quien lo lleva en paralelo a otras tareas necesita entre nueve y doce.

Por el alcance, no por las medidas. Defina qué ubicaciones, sistemas y procesos forman parte de él y cuáles quedan expresamente fuera. Cada hora que invierta aquí le ahorrará el triple más adelante: un alcance demasiado amplio es la causa más frecuente de que los proyectos se alarguen.

Después: asignar responsables por bloque temático y, a continuación, hacer el inventario de la situación actual. Solo entonces, las medidas.

A menos personas de las que cree. Basta con un responsable por bloque temático; los demás reciben tareas asignadas y no necesitan acceso permanente. La edición Basic incluye cinco usuarios internos, Professional diez y Enterprise, según acuerdo.

No. Actualmente no es posible iniciar sesión mediante SAML u OIDC; el acceso se realiza con cuentas propias en Sightadel.

Si el inicio de sesión único es un requisito para usted, díganoslo antes de la prueba gratuita: así podremos valorar si es una opción para usted y cuándo, en lugar de sorprenderle con ello más adelante.

Sí, y es el caso habitual. Las hojas de Excel y los documentos de Word existentes se importan directamente; las políticas, los procedimientos y las evidencias se asignan a los requisitos correspondientes.

Lo que casi siempre sale a la luz: en la hoja de cálculo figuran estados que hace meses que no son ciertos. No es un argumento en contra de la migración, sino precisamente el motivo para hacerla.

Por marco normativo. Contrata ISO 27001, NIS2 o DORA por separado, cada uno en una de tres ediciones. Las ediciones se diferencian en capacidad y tiempo de respuesta (usuarios internos, almacenamiento de evidencias, activos supervisados, proveedores, soporte), no en el alcance del contenido del marco normativo.

En concreto: los requisitos, la estructura de evidencias y la exportación para la auditoría son los mismos en Basic que en Enterprise.

Si su licencia incluye ISO 27001 o ISO 9001, cada uno de los demás marcos cuesta de forma permanente un 5 % menos que el precio de lista. ISO 27001 e ISO 9001 quedan excluidas. Además hay descuentos por pago anticipado. Encontrará las condiciones exactas y una calculadora en nuestra página de precios.

Pero la verdadera ventaja del segundo marco normativo no está en el descuento, sino en que buena parte de las evidencias ya existe. Más información en el apartado sobre el uso múltiple.

Seis, y distinguen expresamente entre internos y externos:

Admin (Owner): gestiona la cuenta de la organización, los usuarios y las suscripciones.

Consultant, interno: trabaja en el contenido de todos los marcos normativos.

Contributor, interno: trabaja en los puntos que se le asignan.

Viewer: consulta sin modificar.

Consultant, externo: para las consultoras y los consultores que usted incorpore.

Auditor: siempre externo; lee, comenta, edita tras aprobación, nunca elimina.

La separación entre consultor interno y externo no es un detalle: en la auditoría debe quedar claro quién pertenece a su organización y quién no.

Sí. Basic incluye un marco normativo propio, Professional tres y Enterprise, todos los que necesite. Es la vía para las directrices del grupo, los requisitos contractuales de clientes o los estándares sectoriales para los que no existe un módulo predefinido.

Sí. En él reúne lo que clientes y potenciales clientes le piden de todos modos (certificados, informes de atestación, datos sobre el alojamiento, subencargados del tratamiento) y remite a él en lugar de enviar cada vez el mismo adjunto.

La utilidad se nota con el tercer cuestionario de un cliente: lo que está en el Trust Center ya no hay que buscarlo para el cuestionario.

No del todo, y es intencionado. Para cada requisito hay plantillas adaptadas a su sector. La IA ayuda a redactar y propone textos; usted decide.

Lo que define a su empresa (objetivos, riesgos, responsabilidades) lo describe usted mismo. De lo contrario, la norma no cumple su finalidad, y en la auditoría se nota.

Pregunta directamente en el control. En las cuestiones importantes y los casos complicados responden consultoras y consultores reales con experiencia en auditorías, no un sistema de tickets.

Si incorpora su propia consultoría, esta recibe en la cuenta un rol propio y externo.

El foco está en la gestión de las evidencias en sí, no en una larga lista de integraciones predefinidas. Si una interfaz concreta es decisiva para usted, coménteloslo antes de la prueba gratuita.

Y una precisión que suele faltar en las comparativas de proveedores: las evidencias recogidas automáticamente no sustituyen una decisión. Una herramienta puede acreditar que el cifrado está activo; si es adecuado, lo sigue decidiendo usted, y eso es exactamente lo que pregunta el auditor.

Sí, previo acuerdo. Los requisitos muy específicos que el estándar no cubre los implementamos como adaptación a medida. El alcance y los costes los aclaramos antes con usted en una oferta. Más información en la página Adaptaciones a medida.

En alemán e inglés. Los materiales de trabajo del área de recursos (listas de comprobación, paquetes de evidencias, guías) están disponibles además en francés, español y portugués, tanto europeo como brasileño.

En el panel: avance del cumplimiento por framework, tareas abiertas con plazo y evidencias a punto de caducar. Lo útil no es tanto la cifra global como la tendencia: qué ha caducado desde el mes pasado y quién se ocupa de ello.

Dos cosas que a menudo se confunden. Primero, los capítulos 4 a 10: un sistema de gestión con contexto, liderazgo, planificación, operación, evaluación y mejora. Segundo, el anexo A: 93 controles en cuatro ámbitos temáticos (organizativos, de personas, físicos y tecnológicos).

Las organizaciones rara vez fracasan ante los auditores por el anexo A. Fracasan por los capítulos 9 y 10: auditorías internas, revisión por la dirección, acciones correctivas. Esa es la parte que no se puede comprar.

La declaración de aplicabilidad (en inglés, Statement of Applicability o SoA) es el único documento que la norma menciona expresamente como obligatorio y el que el auditor quiere ver antes que ningún otro. Para cada uno de los 93 controles indica si es aplicable o no, con su justificación y, si es aplicable, la referencia a su implantación.

Excluir un control está permitido. Excluirlo sin justificación es una no conformidad.

Sí, y tiene que ser repetible. La norma no prescribe ningún método, pero exige que los mismos datos de partida lleven a resultados comparables. Una valoración a ojo hecha por personas distintas cada vez no lo cumple.

Por cierto, el orden es el inverso al que sigue la mayoría al empezar: primero los riesgos, luego los controles y después la declaración de aplicabilidad. Quien empieza por el anexo A acaba justificando hacia atrás.

No, y tampoco puede incluirlo. Las normas ISO están protegidas por derechos de autor y se licencian por separado: en Alemania a través de Beuth, ahora DIN Media, o directamente a través de ISO. Sightadel contiene la estructura, los controles, la gestión de evidencias y nuestras propias explicaciones, no el texto literal de la norma.

Por tanto, necesita al menos un ejemplar de la norma en la organización. Esto vale para cualquier plataforma, también para las que no lo mencionan.

Menos de los que sugieren los paquetes de plantillas. La norma exige expresamente un número reducido de información documentada: alcance, política, metodología de riesgos, plan de tratamiento de riesgos, declaración de aplicabilidad, evidencias de competencia, programa y resultados de auditoría, revisión por la dirección, no conformidades y acciones correctivas.

Todo lo demás es necesario cuando sin ello no puede demostrar que un control es eficaz. Una política que nadie lee no es una evidencia, sino lastre.

Eso casi siempre lo decide el cliente, no la norma. ISO 9001 es neutral en cuanto al sector, y la certifican tanto empresas de servicios como fabricantes. El desencadenante habitual es una licitación o un acuerdo marco en el que el certificado figura como requisito de acceso.

Sí, y ese es el verdadero motivo para llevar ambas en una sola herramienta. Las dos normas siguen la misma estructura básica: contexto, liderazgo, planificación, apoyo, operación, evaluación y mejora.

En la práctica significa: un procedimiento de control de documentos, un programa de auditoría interna, una revisión por la dirección, un procedimiento de acciones correctivas, y no dos de cada. Muchos organismos de certificación permiten una auditoría combinada, lo que ahorra días de auditoría.

No. ISO 9001:2015 no exige un catálogo de procesos ni un manual de calidad; ambos proceden de versiones anteriores y siguen muy arraigados. Lo que se exige es que conozca sus procesos, los controle y mida su eficacia.

Si falta una descripción y el resultado es correcto de todos modos, no es un hallazgo. Si falta y por eso se repiten los errores, sí lo es.

La comprobación tiene dos niveles. Primero, el sector: ¿entra su actividad en la lista de tipos de entidades? Segundo, el tamaño: a partir de 50 empleados o 10 millones de euros de facturación anual se le considera entidad importante; a partir de 250 empleados o 50 millones de euros, entidad esencial.

Con independencia del tamaño, la obligación se aplica a determinadas entidades, por ejemplo operadores de instalaciones críticas y proveedores de determinados servicios digitales. Nuestra lista de comprobación NIS2 incluye una hoja que calcula la clasificación.

Por regla general, no. Los umbrales están en 50 empleados o 10 millones de euros de facturación; una consulta individual o una consulta compartida pequeña queda por debajo. Lo vinculante en ese caso es la directriz de seguridad informática según el § 390 del Código Social alemán, libro V (SGB V), antes § 75b: se aplica a todas las consultas, con independencia de su tamaño, y exige, entre otras cosas, un cortafuegos de forma expresa.

Aun así, NIS2 puede alcanzarle de forma indirecta: si está conectado a un hospital, un laboratorio o un centro de atención médica (MVZ) que esté sujeto a la obligación, recibirá requisitos a través de su cadena de suministro.

Tres, y todos empiezan a contar desde el momento en que se tiene conocimiento. Alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas e informe final en el plazo de un mes. Si el incidente sigue en curso al vencer el plazo de un mes, presenta primero un informe de situación.

El error más frecuente no es el plazo incumplido, sino no haber dejado constancia del momento de inicio. Anote la fecha y la hora en que tuvo conocimiento antes de hacer cualquier otra cosa.

La dirección debe aplicar las medidas de gestión de riesgos, supervisar su aplicación y recibir formación. Puede repartir tareas, pero la responsabilidad sigue siendo suya y conlleva responsabilidad personal.

En la práctica significa: hace falta una decisión de la dirección con fecha y firma, no un correo electrónico que diga «está bien así». En nuestra lista de comprobación NIS2 hay una hoja propia para imprimirla.

No. NIS2 no es una norma certificable, sino una obligación sujeta a supervisión. La aplicación se acredita ante la autoridad competente, no ante un organismo de certificación.

Por eso la gestión de evidencias es aquí más importante que en ISO: no hay ningún certificado que pueda mostrar, solo su documentación. Quien le vende un «certificado NIS2» le vende un papel sin efecto jurídico.

A las entidades financieras de la UE en sentido amplio (bancos, aseguradoras, empresas de servicios de inversión, proveedores de servicios de pago, proveedores de servicios de criptoactivos y otras), así como a los proveedores terceros críticos de servicios TIC que les prestan servicio. El reglamento es de aplicación directa desde el 17 de enero de 2025, sin acto nacional de transposición.

Si suministra software u operación a entidades financieras, los requisitos le llegan a través del contrato, aunque usted mismo no sea una entidad financiera.

De siete ámbitos: gestión del riesgo relacionado con las TIC, gestión y notificación de incidentes relacionados con las TIC, pruebas de resiliencia operativa digital, gestión del riesgo de terceros proveedores de TIC, registro de información, intercambio de información y supervisión de los proveedores terceros críticos.

Nuestra lista de comprobación DORA lo desglosa en 50 requisitos con referencia al artículo, evidencia esperada y estado.

En caso de incidente grave relacionado con las TIC: notificación inicial a más tardar cuatro horas después de su clasificación como grave y, en ningún caso, más de 24 horas después de haber tenido conocimiento. Notificación intermedia en un plazo de 72 horas y notificación final en el plazo de un mes.

La diferencia con NIS2 está en el punto de partida: DORA vincula el primer plazo a la clasificación; NIS2, al conocimiento. Quien aplica ambos debería separarlo con claridad en su proceso de gestión de incidentes.

Solo una parte de las empresas. Las pruebas de penetración basadas en amenazas conforme al marco TIBER-EU están previstas para determinadas entidades financieras designadas por la autoridad de supervisión, como mínimo cada tres años, y una de cada tres pruebas debe realizarla un proveedor externo.

Todas las demás necesitan un programa de pruebas, pero no TLPT: evaluaciones de vulnerabilidades, evaluaciones de la seguridad de la red, revisiones del código fuente y pruebas de penetración en el sentido habitual.

Un registro completo de todos los acuerdos contractuales sobre el uso de servicios TIC, a nivel de cada entidad y del grupo. Se remite periódicamente a la autoridad de supervisión; la fecha de referencia habitual es el 31 de diciembre del año anterior.

La experiencia muestra que este es el punto en el que los proyectos se estancan: los campos exigidos no están en ninguna carpeta de contratos, sino que hay que reunirlos a partir de los contratos, compras y operaciones.

ISO 27001, ISO 9001, ISO 42001, NIS2, DORA, RGPD, EU AI Act, BSI C5, SOC 2, NIST CSF 2.0, el § 390 del Código Social alemán, libro V (SGB V), para consultas médicas y odontológicas y HACCP, además de marcos normativos propios.

No, y las diferencias son mayores de lo que sugieren las tablas comparativas. ISO 27001 es una norma con certificado de un organismo acreditado. SOC 2 es un informe de auditoría de una firma de auditoría de cuentas según normas estadounidenses: no es un certificado, sino un informe que usted entrega a sus clientes.

El tipo I describe la idoneidad de los controles en una fecha de referencia; el tipo II, su eficacia durante un periodo, que suele ser de tres a doce meses. Para los clientes europeos suele contar ISO 27001; para los estadounidenses, SOC 2.

Es el catálogo de criterios de la Oficina Federal de Seguridad de la Información (BSI) para servicios en la nube. No se certifica, sino que se atesta: un auditor independiente (auditor de cuentas) lo examina conforme a ISAE 3000 y emite un informe de atestación, a elegir referido a una fecha concreta o a un periodo.

Lo necesitan casi exclusivamente los proveedores de servicios en la nube que suministran al sector público o a clientes regulados en Alemania. Si nadie se lo pide, no lo necesita.

En parte, y la laguna es la mitad interesante. ISO 27001 protege la información con independencia de a quién pertenezcan los datos. El RGPD pregunta por la base jurídica, la limitación de la finalidad, la minimización de datos, los derechos de los interesados, el registro de actividades de tratamiento y la evaluación de impacto relativa a la protección de datos.

Las medidas técnicas y organizativas del artículo 32 se solapan en gran medida con el anexo A. Todo lo relacionado con la licitud y los derechos de los interesados no tiene equivalente en ISO 27001.

Como marco de referencia, no como objetivo de certificación. Las seis funciones (Govern, Identify, Protect, Detect, Respond, Recover) ofrecen un lenguaje con el que presentar el grado de madurez ante la dirección y el consejo de supervisión sin tener que leer en voz alta capítulos de ISO.

Además, resulta útil ante clientes estadounidenses y aseguradoras que lo piden. No existe ningún certificado.

ISO 42001 es la norma de sistemas de gestión para la inteligencia artificial, con la misma estructura que ISO 27001 y certificable. Quien ya tiene un SGSI puede reutilizar en gran medida el liderazgo, el proceso de riesgos, las auditorías internas y la revisión por la dirección.

No sustituye las obligaciones del Reglamento de IA de la UE, pero ayuda a cumplirlas de forma estructurada.

Todo aquello que permita a un tercero reconocer que algo se ha hecho realmente, con fecha y autor. Un acta, una captura de pantalla de una configuración, una aprobación en el sistema de tickets, una hoja firmada, un extracto de un registro.

Lo que no es una evidencia: una política que prescribe algo. Acredita la intención, no la aplicación. El hallazgo más frecuente en la primera auditoría es precisamente esta confusión.

Tan actuales como el ciclo que usted mismo haya fijado. Si su política prevé una revisión anual de los derechos de acceso y la última fue hace 18 meses, es una no conformidad, no porque la norma exija 12 meses, sino porque lo ha establecido usted.

De ahí la recomendación incómoda: fije ciclos que pueda cumplir. Semestral suena más riguroso y en el segundo año se convierte en una fuente de errores.

Tiene que poder valorar la eficacia, no leer cada detalle. Con contenidos personales o especialmente sensibles, lo habitual y aceptado son extractos anonimizados, muestreos o la consulta en pantalla sin copia.

Insista en que la forma de tratarlo se aclare antes de la auditoría, no en la sala de auditoría.

Menos de lo que se piensa, siempre que trabaje con referencias en lugar de copias. Basic incluye 1 GB, Professional 10 GB y Enterprise 100 GB. Quien guarda cada captura de pantalla en resolución completa llega antes al límite que quien enlaza con el sistema de tickets.

Que la misma cuestión se pregunta en varios marcos normativos y usted la acredita exactamente una vez. La gestión de accesos figura en el anexo A de ISO 27001, en la medida 9 de NIS2, en la gestión del riesgo TIC de DORA y en los criterios comunes de SOC 2. Son cuatro veces la misma pregunta.

Quien lleva una carpeta propia por marco normativo mantiene la misma evidencia varias veces y, al cabo de un año, la tiene en tres versiones distintas.

Una evidencia se guarda una sola vez y se vincula a todos los requisitos a los que da respuesta, más allá de los límites de cada marco normativo. Un cambio afecta a todos los requisitos vinculados; si la evidencia caduca, caduca en todas partes.

La diferencia con la solución basada en hojas de cálculo no se ve al crearla, sino un año después: allí la misma evidencia existe en tres versiones; aquí, en una.

Depende de la pareja, y con rigor solo puede decirse con sus datos. Valores orientativos aproximados: ISO 27001 y NIS2 se solapan mucho en el plano técnico y organizativo; ISO 27001 y SOC 2, también; ISO 27001 y el RGPD, solo en lo relativo al artículo 32.

No damos deliberadamente ningún porcentaje. Quien le dice que dos marcos normativos se solapan en un 80 % o no ha visto su alcance o cuenta requisitos en lugar de esfuerzo.

Todo lo que está vinculado a una consecuencia jurídica o a un procedimiento concretos. Los plazos de notificación de NIS2 y DORA no son idénticos. La decisión de la dirección exigida por NIS2 no sustituye la revisión por la dirección de ISO 27001. El registro de información de DORA no tiene equivalente en ISO 27001.

Precisamente estos restos son la razón por la que una simple tabla de correspondencias no basta.

Primero el más amplio, si puede elegir. ISO 27001 es el que más aporta a otros marcos normativos, porque se necesitan tanto el sistema de gestión como el catálogo de controles. Después, el segundo marco normativo es sobre todo un complemento y no una construcción desde cero.

Si un plazo aprieta, gana el plazo. NIS2 y DORA no preguntan si antes ha hecho ISO.

No. Las normas ISO son normas internacionales, y un certificado ISO 27001 o ISO 9001 se reconoce en todo el mundo siempre que el organismo de certificación que lo emite esté acreditado y la entidad de acreditación forme parte del acuerdo multilateral del International Accreditation Forum. En Alemania es la DAkkS.

Solo los actos jurídicos son puramente europeos: NIS2, DORA, el RGPD y el Reglamento de IA. También afectan a proveedores de fuera de la UE en cuanto suministran a la UE o tratan datos de personas que se encuentran en la UE. A la inversa, SOC 2 y NIST tienen un sello estadounidense y se demandan en todo el mundo.

En resumen: la norma es global; la obligación, regional.

No. Sightadel es software para la preparación y el mantenimiento: no certificamos ni realizamos auditorías de certificación. El certificado lo emite un organismo de certificación acreditado tras una auditoría.

Usted elige libremente el organismo de certificación. Puede contratar uno propio o dirigirse a uno de nuestra red de socios independiente. Por las auditorías no se paga ninguna comisión, ni a nosotros ni a los socios.

Esta separación no es reserva, sino un principio: según ISO 17021, un organismo de certificación debe ser imparcial y no puede asesorar y certificar a la misma organización. Quien ofrece software, consultoría y certificado de una sola mano crea un conflicto de intereses que, al final, hace que su certificado sea impugnable.

Sí. Hay un rol de Auditor propio, siempre externo: un usuario interno no puede tenerlo. El auditor lee y comenta, crea o edita entradas tras su aprobación y no puede eliminar nada. Así se evita enviar carpetas de evidencias por correo electrónico y queda constancia de lo que ha visto el auditor.

Para las consultoras y los consultores que incorpore hay un rol separado, para que en la auditoría no se difumine quién ha auditado y quién ha colaborado.

En dos fases. La fase 1 es básicamente una revisión documental: alcance, política, metodología de riesgos, declaración de aplicabilidad, programa de auditoría. La fase 2 comprueba la eficacia in situ o en remoto, con muestreos y entrevistas.

A continuación siguen dos auditorías de seguimiento en los años siguientes y, en el tercer año, la auditoría de recertificación. El ciclo dura tres años.

Depende del número de empleados y de la complejidad, y lo determina el organismo de certificación conforme a ISO 27006. Orden de magnitud para la primera certificación ISO 27001: unos cinco días con hasta diez empleados, entre ocho y diez con 50, y entre doce y catorce con varios centenares en la franja media.

Las auditorías de seguimiento suponen aproximadamente un tercio y la auditoría de recertificación unos dos tercios del tiempo de la auditoría inicial. Desde la versión de 2024, el cálculo está más basado en el riesgo: las cifras son orientativas, no un derecho.

Sí, siempre que la persona auditora no audite su propia área de trabajo. Aquí independencia significa objetividad, no que sea externa. En las organizaciones pequeñas, las áreas se auditan entre sí; si no es posible, lo habitual es recurrir a un auditor interno externo.

El trabajo que marca la diferencia. Un certificado es una instantánea con tres años de validez y dos auditorías de seguimiento entretanto. Entre auditorías, los ciclos continúan: revisiones de accesos, evaluaciones de proveedores, formaciones, pruebas de restauración, revisión por la dirección.

El error clásico es la pausa tras la primera auditoría. En la primera auditoría de seguimiento se nota, porque faltan evidencias de once meses.

Por tres vías: como aviso en el panel, en el boletín y en la sección de noticias de sightadel.com. El aviso en el panel es el más específico: solo aparece para los marcos normativos a los que está suscrito y no para todos los demás.

En cada caso se informa de qué ha cambiado, qué significa para sus controles y hasta cuándo hay que hacer algo.

No. Las nuevas versiones de los marcos normativos incluidos están disponibles sin recargo dentro de la suscripción en curso. En un cambio como el de ISO 27001:2013 a 2022, recibe la nueva estructura y la correspondencia de sus evidencias existentes.

La transición en sí sigue siendo trabajo, pero no le corresponde a usted volver a pagar por ella.

Lo fija el International Accreditation Forum para cada norma; lo habitual son tres años desde la publicación. Una vez vencido el plazo, los certificados de la versión antigua pierden su validez, con independencia de cuándo termine su propio ciclo.

En la práctica significa: la transición debe hacerse en una auditoría de seguimiento o de recertificación ordinaria, no en una auditoría extraordinaria poco antes de que venza el plazo.

En Alemania. El desarrollo, la operación y el soporte también están aquí. Sin desvíos por centros de datos en el extranjero ni accesos sujetos a legislación extranjera.

Para una parte de nuestros clientes, este es el motivo para hablar con nosotros; para todos los demás, al menos una pregunta menos en el cuestionario de proveedores.

Sí. Sightadel trata datos personales por cuenta de usted: cuentas de usuario, responsabilidades y, ocasionalmente, contenidos de las evidencias. El contrato de encargado del tratamiento conforme al artículo 28 del RGPD forma parte de la documentación contractual, junto con la relación de subencargados del tratamiento.

Sí. Las evidencias, los controles y los estados pueden exportarse: es el requisito para que un auditor pueda trabajar con ellos y su garantía frente a la dependencia del proveedor.

Por cierto, pregúnteselo a cualquier proveedor, también a nosotros, y pida que se lo muestren en lugar de que se lo prometan.

Tenga preparada una exportación actualizada antes de cada auditoría. No es desconfianza hacia nosotros, sino la misma precaución que su plan de recuperación le exige a usted mismo.

neonotu GmbH, que desarrolla y opera Sightadel, está certificada según ISO 9001 e ISO 27001. Tratamos los datos conforme al RGPD y cumplimos los requisitos de DORA para proveedores terceros de servicios TIC.

Gestionamos nuestro propio sistema de gestión en Sightadel: es la prueba más honesta que puede superar una herramienta de este tipo.

La licencia se contrata por marco normativo y edición (Basic, Professional, Enterprise) con un precio mensual fijo. Encontrará todos los precios y una calculadora en nuestra página de precios.

Hay descuentos por varios frameworks y por pago anticipado. Las condiciones y la comparativa de ediciones también están en nuestra página de precios.

Los contratos tienen una duración mínima de un año. Puede pagar mensual o anualmente: hay descuentos por pago anticipado; encontrará las condiciones en nuestra página de precios.

No. El organismo de certificación factura por separado y directamente a usted, y tiene que hacerlo así porque debe ser independiente. Nosotros no recibimos ninguna comisión por ello. Como orden de magnitud en Alemania: primera certificación ISO 27001, aproximadamente de 9000 a 13 000 € con hasta 50 empleados y de 15 000 a 22 000 € con hasta 250 (costes del organismo de certificación, no de Sightadel). Las auditorías de seguimiento son bastante más baratas.

Estos rangos son una observación del mercado, no una oferta: solicite dos o tres presupuestos, las diferencias son considerables.

Exporta sus evidencias y su estado de situación. Lo que se lleva es su trabajo.

Preferimos que se vaya con sus datos a que se quede por miedo a perderlos.