Ciberseguridad para empresas de desarrollo de software a medida

Si desarrolláis para bancos, aseguradoras, la Administración o empresas certificadas, la seguridad de lo que entregáis ya no es solo asunto vuestro: vuestro cliente tiene que poder demostrarla. Os ayudamos a llegar a cada entrega con un pentest que se puede enseñar, a responder los cuestionarios de seguridad y a montar un desarrollo seguro que aguante una auditoría.

Última actualización: noviembre de 2026

Antes de entregar — Pentest de la aplicación con un informe que vuestro cliente puede revisar
Re-test — Repetido por un agente y confirmado por un pentester tras cada corrección
DORA · ENS · ISO — Evidencias en el formato que pide el auditor de vuestro cliente
Marca blanca — Si queréis ofrecer el pentest a vuestros clientes con vuestra marca

Vuestros clientes ahora tienen que auditaros

Hace unos años bastaba con entregar una aplicación que funcionara. Hoy, cada vez más clientes tienen la obligación de controlar la seguridad de sus proveedores de software. Un banco o una aseguradora sujeta a DORA debe incluir en el contrato derechos de auditoría, cooperación en las pruebas de seguridad y un plan de salida. Una empresa certificada en ISO 27001 tiene que supervisar el desarrollo que externaliza (control 8.30). La Administración exige el Esquema Nacional de Seguridad a quien le presta servicios. Y si además vendéis un producto propio, el Cyber Resilience Act ya obliga a avisar a ENISA de las vulnerabilidades explotadas.

En la práctica eso se traduce en cuestionarios de seguridad antes de firmar, un pentest como condición de aceptación y hallazgos que aparecen la semana de la entrega, cuando corregirlos cuesta más. Os ayudamos a que la seguridad llegue antes: probada, documentada y en el formato que espera el auditor de vuestro cliente.

Qué hacemos con una empresa de desarrollo

Pentest de la aplicación antes de la entrega (web, API o móvil), con un informe que vuestro cliente final puede revisar
Re-test asistido por agentes tras las correcciones, con el antes y el después de cada hallazgo
Auditoría de código fuente de las partes críticas: autenticación, permisos, pagos e integraciones
Ciclo de vida de desarrollo seguro (SSDLC) adaptado a vuestro proceso: requisitos, revisión de diseño, análisis en el pipeline y pruebas antes de cada versión
Requisitos de seguridad pactados con el cliente sobre OWASP ASVS, para que «seguro» signifique lo mismo para las dos partes
Apoyo para responder cuestionarios de seguridad y procesos de due diligence de vuestros clientes
Evidencias para clientes sujetos a DORA, ENS o ISO 27001 (controles 8.25 a 8.30)
Si tenéis producto propio: SBOM, gestión de vulnerabilidades y obligaciones del Cyber Resilience Act

Cómo trabajamos con vosotros

Alcance por proyecto o por producto: Vemos qué tenéis que entregar, a quién y con qué exigencias contractuales. Si el cliente final tiene un cuestionario o una normativa concreta, partimos de ella.
Pentest antes de la entrega: Probamos la aplicación en un entorno de preproducción con datos de prueba, con agentes de IA para cubrir más superficie y un pentester que valida a mano cada hallazgo.
Dos informes: Uno técnico para vuestro equipo, con la prueba de concepto de cada fallo y cómo corregirlo, y uno ejecutivo pensado para entregarlo a vuestro cliente.
Re-test: Cuando corregís, un agente repite cada prueba con el payload original y el pentester confirma el cierre. Os queda el antes y el después documentado.
Desarrollo seguro continuo, si lo queréis: Pruebas en cada versión importante, revisión de código periódica y un plan de SSDLC que podéis enseñar a un auditor.

Qué recibís

Informe técnico con prueba de concepto reproducible de cada hallazgo, para vuestro equipo
Informe ejecutivo para entregar a vuestro cliente final
Re-test con el antes y el después de cada hallazgo, según el tipo de proyecto
Mapa de evidencias para el auditor de vuestro cliente: DORA, ENS o ISO 27001
Plan de desarrollo seguro adaptado a vuestro proceso, si lo contratáis

¿Cuándo encaja?

Empresas de software a medida que desarrollan para bancos, aseguradoras u otras entidades financieras sujetas a DORA
Proveedores de la Administración a los que el pliego exige el Esquema Nacional de Seguridad
Software houses con clientes certificados en ISO 27001 que las auditan como desarrollo externalizado
Empresas que, además de proyectos a medida, venden un producto propio (un ERP, una plataforma o un SaaS)
Equipos sin un perfil de seguridad propio que quieren dejar de improvisar en cada entrega
Empresas que quieren ofrecer el pentest a sus clientes con su propia marca

Preguntas frecuentes

¿Quién contrata el pentest, nosotros o nuestro cliente?

Las dos formas funcionan. Lo más habitual es que lo contratéis vosotros y lo incluyáis en vuestra propuesta, para llegar a la entrega con el informe hecho. También puede contratarlo directamente vuestro cliente, si lo exige su área de seguridad; en ese caso coordinamos las fechas con vuestro equipo para que el pentest no os pille a mitad de un sprint.

¿Podemos ofrecer el pentest a nuestros clientes con nuestra marca?

Sí. Es uno de los modelos de nuestro programa de partners: podéis derivarnos el proyecto, subcontratarlo en marca blanca o presentaros con nosotros en una propuesta conjunta. Las condiciones quedan por escrito antes del primer proyecto, con acuerdo de confidencialidad.

¿Qué nos va a exigir un cliente sujeto a DORA?

El artículo 30 de DORA obliga a la entidad financiera a recoger en el contrato con sus proveedores TIC, entre otras cosas, dónde se tratan los datos, los niveles de servicio, la cooperación con las autoridades, el derecho de acceso, inspección y auditoría y un plan de salida. Si vuestro software soporta funciones críticas o importantes, también la participación en sus pruebas de penetración. Un pentest previo y un desarrollo seguro documentado os dejan en buena posición para esa negociación.

¿Qué pide ISO 27001 sobre el desarrollo de software?

La versión de 2022 dedica varios controles del anexo A al desarrollo: ciclo de vida de desarrollo seguro (8.25), requisitos de seguridad de las aplicaciones (8.26), arquitectura segura (8.27), codificación segura (8.28), pruebas de seguridad (8.29) y desarrollo externalizado (8.30). Si vuestro cliente está certificado, el 8.30 le obliga a supervisaros, y lo hará pidiéndoos evidencias de los demás.

¿El pentest retrasa la entrega?

No si se planifica. Lo ideal es reservarlo dos o tres semanas antes de la fecha de entrega, sobre un entorno de preproducción estable. Cada hallazgo llega reproducible y con su corrección propuesta, y el re-test asistido por agentes acorta mucho la comprobación final.

¿Cuánto cuesta?

Depende del tamaño de la aplicación, del número de roles e integraciones y de si entra el código. Antes de empezar recibís una propuesta con precio cerrado. Para haceros una idea, tenéis rangos orientativos en nuestra guía de precios de pentesting y en la calculadora.

¿Y si además vendemos un producto propio?

Entonces os puede alcanzar el Cyber Resilience Act como fabricantes: desde el 11 de septiembre de 2026 hay que avisar a ENISA de las vulnerabilidades explotadas activamente, y en diciembre de 2027 se aplica el resto (requisitos de seguridad, SBOM, gestión de vulnerabilidades y marcado CE). El software que solo se presta como servicio en la nube queda en general fuera, salvo que sea parte de un producto. Os ayudamos a ver qué os aplica.

Recursos relacionados

Fuentes

Hablar de vuestro próximo proyecto