Soluciones · Empresas de software y servicios TI
Quien ofrece software, servicios en la nube u operación de TI es evaluado antes de cada contrato importante. Cuestionarios, certificados, informes de auditoría, cláusulas contractuales. A ello se suma NIS2 para proveedores de nube, centros de datos y proveedores de servicios gestionados. Sightadel le guía por la ISO 27001, SOC 2 y el C5 de la Oficina Federal de Seguridad de la Información (BSI), reúne las evidencias a lo largo del periodo auditado y muestra su situación en el Trust Center.
Punto de partida
Para las empresas de software y servicios TI, la seguridad de la información forma parte del producto. Los clientes le confían datos, accesos o procesos de negocio completos. Antes de hacerlo, quieren saber cómo los trata. Esto se nota en las ventas: compras envía un cuestionario de seguridad con cien preguntas, el departamento jurídico exige anexos al contrato y el departamento de TI del cliente quiere ver certificados e informes.
Las preguntas son casi siempre las mismas, solo que formuladas de otra manera. Aun así, muchos proveedores responden cada cuestionario a mano, repartido entre desarrollo, operaciones y dirección. Eso cuesta un tiempo que falta en el producto, y surgen respuestas contradictorias. Un certificado o un informe de auditoría acorta estas rondas, pero no las sustituye del todo.
Qué evidencia es la adecuada depende de los clientes. En el mercado germanohablante y europeo, la ISO 27001 es la referencia habitual. Los clientes de EE. UU. preguntan por SOC 2. La sanidad y el sector público esperan de los proveedores de nube un informe de atestación conforme al BSI C5. Con el tiempo, muchos proveedores necesitan más de una de estas evidencias. Quien las construye sobre una base común hace la mayor parte del trabajo una sola vez.
Por qué ahora
El pedido está al alcance, pero compras exige un certificado o un informe de auditoría. Sin evidencia, el cierre se retrasa o fracasa por completo. La fecha suele figurar ya en la oferta.
Los clientes estadounidenses piden casi siempre un informe SOC 2. Un certificado ISO suele reconocerse, pero no responde a todas las preguntas de sus departamentos de seguridad.
Los organismos públicos y los prestadores de servicios sanitarios preguntan por el BSI C5 en los servicios en la nube. Para tratar datos de salud en la nube, un informe de atestación vigente es requisito.
Los proveedores de nube, los centros de datos y los proveedores de servicios gestionados pertenecen a los sectores de alta criticidad de la ley alemana del BSI (BSIG). A partir de un tamaño mediano son entidades importantes y, a partir de un tamaño grande, entidades esenciales.
Incluso quien no está afectado directamente recibe los requisitos a través de los clientes. Bancos, aseguradoras y empresas sujetas a NIS2 deben evaluar a sus proveedores de servicios y vincularlos contractualmente.
Inversores y compradores revisan la seguridad de la información de las empresas de software en la due diligence. Un SGSI actualizado responde a estas preguntas sin turnos extra.
Frameworks relevantes
Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.
El estándar de seguridad de la información en el mercado europeo y la base común para todas las demás evidencias. El certificado de un organismo acreditado es válido tres años, con auditorías de seguimiento anuales. Para muchos proveedores, el primer objetivo.
Ver el framework →Se pide en cuanto llegan clientes de EE. UU. o grupos con presencia internacional. El Type I describe el diseño de los controles en una fecha de referencia; el Type II, su eficacia a lo largo de un periodo. El informe lo elabora una firma de auditoría estadounidense (CPA). Con un SGSI conforme a la ISO 27001 ya existente, gran parte de los controles está implantada.
Ver el framework →Para proveedores de nube con clientes de la sanidad, el sector público o sectores regulados. Desde la primavera de 2026 rige el C5:2026. Para los periodos auditados que comiencen a partir del 1 de junio de 2027 solo se admite la nueva versión. El informe de atestación lo emite un auditor independiente (auditor de cuentas) conforme a la ISAE 3000.
Ver el framework →Los proveedores de servicios en la nube y de centros de datos pertenecen a la infraestructura digital; los proveedores de servicios gestionados y de servicios de seguridad gestionados, a la gestión de servicios TIC. Ambos sectores figuran en el anexo 1 de la BSIG. Los mercados en línea, los motores de búsqueda y las redes sociales están incluidos como proveedores de servicios digitales en el anexo 2. Algunos servicios están incluidos con independencia del tamaño.
Ver el framework →Quien trata datos personales por cuenta de clientes es encargado del tratamiento. Ello implica contratos conforme al art. 28 del RGPD, una lista de subencargados, medidas técnicas y organizativas y un procedimiento para violaciones de datos que informe también a los clientes a tiempo.
Ver el framework →Para proveedores cuyo producto incluye funciones de IA. Los clientes preguntan cada vez más cómo se eligen los modelos, cómo se usan los datos y cómo se evalúan los riesgos. Un sistema de gestión conforme a la ISO/IEC 42001 se basa en la misma estructura que la ISO 27001.
Ver el framework →Orden recomendado
¿Qué clientes quiere ganar y qué exigen? De ahí se deduce el orden. Normalmente la ISO 27001 es el primer paso; después siguen SOC 2 o C5. En paralelo comprueba si su operación entra en NIS2.
¿Qué producto, qué entornos, qué sedes y qué subcontratistas forman parte? Para SOC 2 y C5, de ahí surge la descripción del sistema. Un alcance estrecho y bien justificado es mejor que uno amplio que no se aplica en la práctica.
Análisis de riesgos, políticas, control de accesos, desarrollo seguro, gestión de cambios, registro de eventos, copias de seguridad y gestión de incidentes. Mucho de ello funciona ya en desarrollo y operaciones y solo necesita una evidencia con fecha.
Para SOC 2 Type II y C5 tipo 2 cuenta que los controles hayan sido eficaces durante meses. Las revisiones de accesos, las altas, las bajas y los cambios necesitan evidencias continuas. Quien empieza a recopilar poco antes de la auditoría no cubre el periodo.
El certificado ISO lo emite un organismo de certificación acreditado; el informe SOC 2, una firma de auditoría estadounidense (CPA); el informe de atestación C5, un auditor independiente (auditor de cuentas). Los auditores reciben en Sightadel un rol propio: leen, comentan y, tras su aprobación, editan, pero nunca eliminan nada.
Certificados, políticas aprobadas, medidas de seguridad y subcontratistas figuran en una página propia. Ventas remite a ella en lugar de responder cada cuestionario desde cero.
Enfoque
Para las empresas de software y servicios TI, los cuestionarios de seguridad forman parte de las ventas. No se pueden eliminar, pero sí responder mucho más rápido.
Las respuestas a las preguntas típicas de los clientes ya están en el SGSI: dónde están los servidores, quién tiene acceso, cómo se cifra, con qué frecuencia se hacen copias de seguridad, cómo se notifican los incidentes. Una vez revisadas y respaldadas con evidencias, nadie tiene que volver a redactarlas.
En el Trust Center muestra certificados, resúmenes de políticas, medidas de seguridad y subcontratistas. Lo confidencial, como los informes de auditoría o los planos de red, solo lo libera bajo petición.
Alojamiento, envío de correo electrónico, monitorización, herramientas de soporte. Los clientes quieren saber quién más ve sus datos. El módulo Proveedores gestiona sus subcontratistas con evaluación y evidencias; el Trust Center muestra la lista actualizada.
Algunos clientes envían catálogos de requisitos propios que se repiten. Los refleja como framework propio, también importándolos desde Excel o Word, y vincula las evidencias existentes en lugar de volver a buscarlas.
Cómo ayuda Sightadel
Una página propia con frameworks, documentos aprobados, medidas de seguridad y subcontratistas. El departamento de compras de sus clientes encuentra las respuestas por sí mismo, en lugar de esperar un cuestionario cumplimentado.
Más información →ISO 27001, SOC 2 y C5 se trabajan control a control. Donde los requisitos coinciden, una evidencia se vincula a varios frameworks, por ejemplo la revisión de accesos a la ISO 27001 y a SOC 2 a la vez.
Más información →Las evidencias llevan fecha, versión y fecha de caducidad. Los controles periódicos funcionan como ciclo; Sightadel avisa antes de que venza un plazo dentro del periodo auditado.
Más información →Proveedores de alojamiento, plataformas en la nube y otros subcontratistas se gestionan con criticidad, cuestionario y evidencias con fecha de validez. De ahí se nutre la lista del Trust Center.
Más información →Sightadel comprueba la superficie de ataque visible desde fuera de sus dominios y muestra cada problema con instrucciones para resolverlo. Es precisamente la vista que usan también los clientes cuando le evalúan desde fuera.
Más información →Los catálogos específicos de clientes y las directrices internas los crea como framework propio. Los archivos de Excel y Word existentes se pueden importar.
Más información →Vista desde fuera
Casi ningún cuestionario de seguridad prescinde de la pregunta de con qué frecuencia revisa sus aplicaciones en busca de vulnerabilidades y cuándo fue la última prueba de penetración. Junto con veyrisk ofrecemos las revisiones correspondientes. Los informes y los hallazgos resueltos los guarda como evidencia en Sightadel y, si es necesario, los libera a través del Trust Center.
Proveedores de software, nube y servicios gestionados
Las revisiones pueden contratarse con independencia de su licencia de Sightadel. Recibirá la oferta tras una breve conversación.
Solicitar consultoríaEsfuerzo y duración
Los intervalos son valores de experiencia, no un compromiso. Lo que más influye es el tamaño del alcance, el número de subcontratistas y cuánto tiempo pueden dedicar desarrollo y operaciones además del trabajo en el producto.
Qué licencia contrata · normalmente Professional
Un proveedor SaaS típico con clientes en Europa y EE. UU. gestiona ISO 27001 y SOC 2 en la edición Professional. Incluye diez usuarios, diez activos y 25 proveedores. Si la ISO 27001 está incluida, SOC 2 tiene un descuento permanente. Los equipos más pequeños con un solo producto suelen tener suficiente con Basic. El BSI C5 lo añade cuando los clientes lo exijan.
Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
Por la evidencia que exigen sus clientes más importantes. Para clientes en Alemania y Europa suele ser la ISO 27001; para clientes en EE. UU., SOC 2. Quien atiende ambos mercados suele empezar con la ISO 27001, porque el SGSI es la base de SOC 2. En Sightadel, ambos frameworks usan las mismas evidencias.
La parte de la que usted es responsable. El centro de datos y la seguridad física los cubre el proveedor de nube con sus propios certificados e informes. La configuración, los accesos, la seguridad de las aplicaciones, las copias de seguridad y la gestión de incidentes son cosa suya. Las evidencias del proveedor las guarda en el módulo Proveedores y remite a ellas.
Depende de cómo se clasifique su servicio y del tamaño de su empresa. Los servicios de computación en la nube, los centros de datos y los servicios gestionados figuran en el anexo 1 de la BSIG; los mercados en línea, los motores de búsqueda y las redes sociales, en el anexo 2. No todo software como servicio es automáticamente un servicio de computación en la nube en el sentido de la ley. La clasificación es una cuestión jurídica para su asesoría.
A partir de un tamaño mediano está afectado directamente, con registro ante el BSI, gestión de riesgos, obligaciones de notificación y responsabilidad de la dirección. En el punto de mira están sobre todo sus accesos a los sistemas de los clientes, porque un ataque contra usted afecta a muchos clientes a la vez. Además, sus clientes le exigen evidencias, porque deben evaluar su cadena de suministro.
Saca del proceso las preguntas recurrentes. Cuánto tiempo ahorra depende de sus clientes; no damos una cifra general. Por experiencia, quedan algunas preguntas individuales. Las preguntas estándar sobre certificados, alojamiento, cifrado y subcontratistas las encuentra el cliente por sí mismo.
El informe de atestación sigue siendo válido. Para los periodos auditados que comiencen a partir del 1 de junio de 2027 solo se admite el C5:2026. Planifique el trabajo de adaptación con tiempo antes del próximo periodo auditado. En Sightadel asigna las medidas existentes a los nuevos criterios y ve qué es nuevo o más exigente.
Trabajan como Contributor solo en sus tareas y suben allí las evidencias, por ejemplo un extracto del pipeline o un registro de la revisión de accesos. No hay integración con herramientas de desarrollo. Quien necesita más visión de conjunto ve en el panel la situación de todos los frameworks.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
