Presupuesto NIS2: cómo comparar propuestas sin equivocarte

Pedir un presupuesto NIS2 parece sencillo hasta que llegan tres propuestas y ninguna se parece a la otra. Una habla de auditoría, otra de consultoría, otra incluye herramientas, otra no menciona evidencias y otra promete una adaptación rápida sin explicar qué se revisará. Para dirección, el problema no es solo elegir proveedor: es tomar una decisión con impacto en continuidad, responsabilidad, proveedores, reputación y coste.

La clave está en no solicitar “un precio para cumplir NIS2”, sino una propuesta comparable. Eso exige definir qué se espera revisar, qué documentos se entregarán, qué evidencias quedarán preparadas y qué acompañamiento tendrá la empresa durante la adaptación.

Por qué muchos presupuestos NIS2 no son comparables

Dos propuestas pueden tener importes muy distintos y, aun así, ambas parecer razonables. El motivo suele estar en el alcance.

Una puede limitarse a un diagnóstico inicial. Otra puede incluir análisis de riesgos, plan de acción, revisión de proveedores, políticas, formación, seguimiento y preparación de evidencias. Una tercera puede añadir soporte para dirección, priorización por impacto y coordinación con IT, operaciones o calidad.

Si la solicitud inicial es demasiado genérica, cada proveedor interpreta el proyecto a su manera. El resultado son propuestas que usan palabras parecidas, pero cubren realidades diferentes.

Antes de comparar precio, conviene comparar contenido.

Qué debe aclarar la empresa antes de pedir presupuesto

Antes de solicitar un presupuesto, dirección debería tener una mínima visión interna. No hace falta tenerlo todo resuelto, pero sí evitar una petición incompleta.

Conviene preparar respuestas a preguntas como:

• Qué sociedades, sedes o centros de trabajo entran en el alcance.
• Qué procesos son críticos para la continuidad del negocio.
• Qué sistemas soportan ventas, producción, logística, administración o atención al cliente.
• Qué proveedores tecnológicos o servicios externos son relevantes.
• Qué documentación ya existe: políticas, procedimientos, inventario, contratos, planes de continuidad o registros de incidentes.
• Qué nivel de madurez tiene la empresa en ciberseguridad.
• Qué plazo interno maneja dirección para iniciar la adaptación.

Si la empresa todavía no tiene claro qué activos son críticos, puede ser útil revisar primero cómo construir un mapa inicial de activos NIS2 antes de decidir inversiones. En este punto, este artículo sobre mapa de activos NIS2 puede ayudar a ordenar prioridades.

Criterio 1: alcance real del proyecto

El primer elemento para comparar un presupuesto NIS2 es el alcance. No basta con que la propuesta diga “adaptación a NIS2”. Debe explicar qué áreas se revisarán y con qué profundidad.

Un presupuesto serio debería indicar si incluye:

• Diagnóstico inicial de situación.
• Identificación de brechas frente a buenas prácticas aplicables.
• Análisis de riesgos.
• Revisión de medidas organizativas y técnicas.
• Revisión de proveedores críticos.
• Continuidad de negocio y gestión de incidentes.
• Documentación de políticas y procedimientos.
• Plan de acción priorizado.
• Seguimiento de la implantación.

También debe aclarar qué queda fuera. Por ejemplo, implantación de herramientas, servicios gestionados, pruebas técnicas, auditorías específicas, formación ampliada o soporte continuado.

Una propuesta más barata puede ser suficiente si la empresa solo necesita un diagnóstico. Pero si dirección necesita avanzar hacia una adaptación ordenada, quizá no sea comparable con otra que incluye acompañamiento y documentación.

Criterio 2: entregables concretos, no conceptos genéricos

El segundo criterio son los entregables. Un entregable es aquello que la empresa recibirá al finalizar cada fase: informes, matrices, planes, políticas, registros o evidencias documentales.

Una propuesta poco precisa puede hablar de “asesoramiento en cumplimiento”. Una propuesta más útil debe concretar qué se entregará.

Por ejemplo:

Para dirección, esto es importante porque un informe sin plan, sin responsables y sin evidencias puede tener poco valor operativo. Sirve para conocer una situación, pero no necesariamente para transformarla.

Criterio 3: evidencias que quedarán preparadas

En NIS2 no basta con afirmar que se han tomado medidas. La empresa debe poder demostrar que ha evaluado riesgos, tomado decisiones, asignado responsabilidades y hecho seguimiento.

Por eso, al comparar presupuestos, conviene preguntar qué evidencias se generarán durante el proyecto. No se trata de acumular documentos, sino de conservar pruebas útiles de diligencia y gestión.

Algunas evidencias habituales pueden estar relacionadas con:

• Inventario o relación de activos y servicios relevantes.
• Análisis de riesgos y criterios de priorización.
• Actas de reuniones de seguimiento.
• Políticas aprobadas por dirección.
• Procedimientos de gestión de incidentes.
• Revisión de proveedores críticos.
• Planes de continuidad o recuperación.
• Registros de formación o concienciación.
• Plan de medidas con estado de avance.

Si la empresa ya se está planteando una revisión más formal, puede comparar también qué parte encaja mejor con una auditoría NIS2 interna o externa. No todas las necesidades requieren el mismo tipo de trabajo.

Criterio 4: acompañamiento a dirección y equipos

Un error frecuente es pensar que el proyecto NIS2 es solo técnico. En realidad, afecta a dirección, operaciones, compras, recursos humanos, legal, IT y responsables de proceso.

Por eso, el presupuesto debe aclarar cómo se acompañará a la organización. No es lo mismo recibir un documento final que tener sesiones de trabajo para tomar decisiones, priorizar inversiones y coordinar responsables.

Conviene revisar si la propuesta incluye:

• Reunión inicial con dirección.
• Entrevistas con responsables clave.
• Talleres para identificar riesgos y procesos críticos.
• Reuniones de seguimiento.
• Presentación ejecutiva de resultados.
• Soporte para resolver dudas durante la implantación.
• Revisión final de avances.

Este acompañamiento es especialmente relevante para CEOs y comités de dirección que necesitan aprobar presupuesto, entender riesgos y decidir por fases. Si ese es el caso, puede ser útil complementar la solicitud con estas preguntas clave para el CEO ante NIS2.

Criterio 5: relación entre precio, profundidad y fases

Un presupuesto NIS2 debería permitir entender qué se paga y por qué. El precio depende de factores como tamaño de la empresa, número de sedes, complejidad tecnológica, criticidad de procesos, madurez actual, volumen de proveedores y nivel de acompañamiento.

La recomendación no es elegir la propuesta más cara ni la más barata, sino la que mejor relacione alcance, entregables y capacidad de ejecución.

Puede tener sentido dividir el proyecto en fases:

Fase 1: diagnóstico y priorización

Permite conocer la situación real, identificar brechas y definir un plan de acción. Es útil cuando dirección necesita dimensionar el esfuerzo antes de comprometer una implantación completa.

Fase 2: documentación y medidas organizativas

Incluye políticas, procedimientos, roles, gestión de incidentes, proveedores y evidencias. Es clave para pasar de la intención a la gestión.

Fase 3: seguimiento e implantación

Acompaña la ejecución de medidas, revisa avances y ayuda a mantener trazabilidad. Reduce el riesgo de que el proyecto quede en un informe sin continuidad.

Si la preocupación principal es estimar inversión, puede consultarse también este contenido sobre coste de adaptación NIS2 para empresa o, en empresas de menor tamaño, la guía sobre precio NIS2 para empresas pequeñas.

Preguntas que conviene incluir en la solicitud de presupuesto

Para recibir propuestas comparables, la empresa puede enviar una petición estructurada. Estas preguntas ayudan a filtrar mejor:

1. ¿Qué alcance exacto incluye la propuesta?
2. ¿Qué áreas, sedes, procesos o sociedades se revisarán?
3. ¿Qué entregables se facilitarán en cada fase?
4. ¿Incluye análisis de riesgos? ¿Con qué enfoque?
5. ¿Se revisarán proveedores críticos?
6. ¿Qué evidencias quedarán documentadas?
7. ¿Qué participación se espera de dirección y equipos internos?
8. ¿Cuántas reuniones o sesiones de trabajo están incluidas?
9. ¿Qué queda expresamente fuera del presupuesto?
10. ¿Puede ejecutarse por fases?
11. ¿Cómo se priorizarán las medidas?
12. ¿Habrá presentación ejecutiva para comité de dirección?

Estas preguntas no buscan complicar la contratación. Buscan evitar malentendidos y asegurar que el proveedor entiende la realidad de la empresa.

Señales de alerta al comparar propuestas

Hay presupuestos que conviene revisar con especial atención. Por ejemplo, aquellos que prometen resultados absolutos, no explican metodología, no detallan entregables o reducen todo a instalar herramientas.

También deberían generar dudas las propuestas que no piden información previa sobre la empresa. Si el proveedor no pregunta por procesos, activos, proveedores, sedes o madurez actual, es difícil que el alcance esté bien dimensionado.

Otra señal de alerta es la ausencia de participación de dirección. NIS2 requiere decisiones de gestión: asignar responsabilidades, priorizar riesgos, aprobar medidas y mantener evidencias. Si el proyecto se plantea como una tarea aislada de IT, probablemente quedará incompleto.

Cómo tomar una decisión con criterio

La mejor propuesta no es necesariamente la que contiene más páginas, más anexos o más conceptos técnicos. Es la que permite a dirección responder a tres preguntas:

• ¿Qué vamos a revisar?
• ¿Qué vamos a recibir?
• ¿Cómo nos ayudará a reducir riesgo y avanzar de forma demostrable?

Un buen presupuesto NIS2 debe traducir la normativa y las buenas prácticas en un plan comprensible, ejecutable y proporcionado a la realidad de la empresa. Debe ayudar a priorizar, documentar y preparar evidencias sin sobredimensionar el proyecto ni prometer certezas que no existen.

Si tu empresa está comparando opciones y quiere recibir una propuesta clara, estructurada y orientada a dirección, puedes solicitar un presupuesto NIS2 adaptado a vuestro alcance, nivel de madurez y prioridades de negocio.