Proforma de pentesting para una subvención: qué debe incluir y cómo pedirla

Por Kike Gandia · Co-Fundador y CEO, OSCP · Última actualización: noviembre de 2026

Cuando un proyecto se presenta a una convocatoria pública y su presupuesto incluye una prueba de seguridad, hace falta una proforma del proveedor para justificar esa partida. No compromete a contratar, pero tiene que aguantar la revisión del expediente y servir después, si el proyecto se aprueba, para ejecutar la prueba sin sorpresas. Esta guía explica qué datos debe llevar, cómo presupuestar algo que todavía no está desarrollado y qué documento te sirve luego como justificante.

Para qué sirve la proforma en el expediente

La proforma justifica que el importe que pides para la prueba de seguridad es razonable y está respaldado por un proveedor real. Quien evalúa la solicitud la compara con el resto del presupuesto y con lo que suele costar ese trabajo en el mercado.

Revisa además las bases reguladoras de tu convocatoria. La Ley General de Subvenciones (artículo 31.3) obliga al beneficiario a pedir como mínimo tres ofertas de proveedores distintos cuando el gasto supera el importe del contrato menor de la Ley de Contratos del Sector Público (15.000 euros en servicios), y muchas bases repiten o adaptan esa regla. Si tu partida está por encima, necesitarás varias proformas comparables.

Qué datos debe llevar

Una proforma que sirva para un expediente público tiene que identificar a las partes, el trabajo y el importe sin ambigüedades:

Dato	Por qué importa
Razón social, CIF y contacto del proveedor	Identifica a quien emite la oferta
Destinatario con razón social, CIF y domicilio	La proforma debe ir a nombre de quien solicita la ayuda
Alcance	Qué se prueba: aplicación web, API, número aproximado de endpoints, roles de usuario, IP públicas
Tipo de prueba y metodología	Caja negra o gris, y la referencia seguida (OWASP, OSSTMM, PTES)
Jornadas y plazos	Duración de la ejecución, plazo de entrega del informe y del retest
Entregables	Informe técnico, informe ejecutivo, retest y, si lo pides, carta de realización
Importe sin impuestos y el impuesto por separado	IVA o IGIC según dónde esté el destinatario
Validez de la oferta	Tiene que cubrir la resolución de la convocatoria y la ejecución
Certificaciones del equipo	Las que de verdad tenga, por ejemplo OSCP

Presupuestar algo que aún no existe: horquilla con supuestos

Lo habitual es que la prueba se haga cuando el desarrollo haya terminado, a veces un año después de la solicitud. El proveedor no puede ver la aplicación, así que la forma honesta de presupuestar es una horquilla con los supuestos escritos: número de endpoints de la API, pantallas, roles, entidades o clientes de prueba, integraciones, si hay un asistente de inteligencia artificial y si habrá un entorno de pruebas igual al de producción.

Con los supuestos escritos, ambas partes saben qué pasa si el producto final crece: se recalcula sobre lo que cambió, no sobre todo el proyecto. Comprueba antes si tu convocatoria admite una horquilla o exige un importe cerrado; en ese caso, pide el importe máximo de la horquilla como cifra de la proforma.

Validez y fechas

Pide una validez que cubra la resolución de la convocatoria y la ejecución del proyecto: si la prueba se hará en el segundo semestre del año siguiente, una validez de 12 meses o más evita tener que pedir otra proforma con importes distintos. Si el proveedor no puede mantener el precio tanto tiempo, que lo diga en la propia proforma con una cláusula de revisión, no después.

IVA o IGIC

La proforma debe mostrar el importe sin impuestos y el impuesto aplicable por separado, porque quien evalúa necesita saber qué parte es gasto subvencionable según las bases. Por regla general, un servicio entre empresas prestado desde la península a una empresa establecida en Canarias no lleva IVA, y el IGIC lo declara la propia empresa canaria por inversión del sujeto pasivo. Confírmalo con tu asesor fiscal para tu caso.

¿Existe un certificado de pentesting?

No existe un certificado oficial de haber superado un pentest. Lo que se aporta como justificante es una carta o certificado de realización emitido y firmado por el proveedor, que indica las fechas, el alcance, la metodología y el estado de los hallazgos tras el retest. No dice que el sistema sea seguro, porque nadie puede garantizarlo: dice qué se probó, cuándo y que lo crítico quedó corregido.

Tampoco hay que confundirlo con una certificación ISO 27001 o del ENS: esas certifican el sistema de gestión de la seguridad de una organización, las emite una entidad acreditada y un pentest solo es una de las evidencias que revisa su auditor.

FAQ

¿Pedir una proforma compromete a contratar?

No. La proforma es una oferta del proveedor con una validez determinada; no obliga a quien la pide. Lo razonable es que diga expresamente que se usa para la estimación y que el alcance y el calendario se concretarán si el proyecto se aprueba.

¿Cuántas proformas necesito?

Depende de las bases de tu convocatoria. Como referencia, la Ley General de Subvenciones exige al menos tres ofertas de proveedores distintos cuando el gasto supera el importe del contrato menor (15.000 euros en servicios). Por debajo, suele bastar con una, salvo que las bases digan otra cosa.

¿Qué pasa si el alcance cambia cuando llega la ejecución?

Si la proforma recoge los supuestos (endpoints, roles, entornos), el ajuste se hace solo sobre lo que cambió. Por eso es mejor una horquilla con supuestos escritos que un precio sin explicación: protege a las dos partes y facilita justificar la diferencia ante el organismo si hace falta.

¿El informe del pentest se entrega a la administración?

Normalmente no entero. El informe técnico contiene detalles de explotación que conviene tratar como información sensible; como justificante suele bastar la carta de realización, el informe ejecutivo y la factura. Revisa qué pide la justificación de tu convocatoria.