El puerto de Bilbao movió en 2025 más de 32 millones de toneladas: cerca del 40% de las mercancías de toda la cornisa cantábrica, y sostiene de forma directa e indirecta más de 58.000 empleos. La propia Autoridad Portuaria anunció ese año un plan de transformación digital para modernizar sus sistemas. Detrás de esas cifras hay terminales, navieras, ingenierías, empresas de máquina-herramienta, entidades financieras nacidas aquí —como BBVA— y una industria que conecta sus plantas a internet para operar. Cada uno de esos sistemas es una puerta. La pregunta del Ethical Hacking en Bilbao no es si esas puertas existen, sino quién las va a probar primero: tu equipo, o un atacante.
Esta guía es lo que le diríamos a un director de una empresa bilbaína que nos pide presupuesto: cómo elegir proveedor, qué exigir en el alcance, qué señales indican que te venden humo y qué normativa española te aplica de verdad. Léela antes de firmar nada.
Tabla de Contenido
Antes de pedir presupuestos: qué necesita proteger una empresa bilbaína
Bilbao no es una ciudad de oficinas genéricas. Su tejido empresarial tiene un perfil de riesgo propio, y un alcance de pentesting que lo ignore es dinero tirado:
- Convergencia OT/IT en planta: equipos de producción conectados y datos de operación compartidos con terceros. Un ataque que entra por la red corporativa puede terminar parando una línea de producción.
- Cadena de suministro industrial: si eres proveedor de un gran grupo energético o de automoción, tus sistemas forman parte de su superficie de ataque. Un incidente tuyo es un problema de confianza para toda la cadena.
- Información técnica como activo: planos, diseños, procesos de fabricación. El robo de propiedad industrial no hace ruido como el ransomware, pero erosiona ventajas competitivas construidas durante años.
- Operativa financiera: banca, seguros y servicios con fuerte arraigo en la ciudad procesan datos sensibles sometidos a regulación estricta.
Si el proveedor al que pides presupuesto no te pregunta por tu planta, tus proveedores y tus clientes industriales, no entiende Bilbao.
Cómo elegir un proveedor de ethical hacking en Bilbao
En nuestra experiencia, la diferencia entre un buen pentest y uno inútil no está en el precio: está en la metodología. Exige esto, lo contrates con quien lo contrates:
1. Pruebas manuales, no solo un escáner con informe bonito
Un análisis automatizado encuentra lo conocido. Un pentesting real lo explota de forma controlada para demostrar qué obtendría un atacante: datos, accesos, control de sistemas. Si la propuesta no distingue ambas cosas ni dice quién ejecuta las pruebas, descártala.
2. Informe en dos niveles: técnico y ejecutivo
Tu equipo de sistemas necesita el detalle técnico para corregir. Tu dirección necesita entender el impacto en el negocio: qué se podría parar, qué datos se podrían filtrar, cuánto costaría. Un informe que solo lista vulnerabilidades sin traducirlas a riesgo de negocio no sirve para decidir.
3. Re-tests incluidos hasta cerrar los hallazgos
El valor de un pentest no está en el informe, está en verificar que las correcciones funcionaron. Exige por escrito cuántos re-tests incluye la propuesta y en qué plazo. En DragonJAR los re-tests son ilimitados: seguimos probando hasta que cada vulnerabilidad queda corregida.
4. Cero falsos positivos verificables
Cada falso positivo es una hora de tu equipo investigando algo que no existe. Pregunta cómo validan manualmente cada hallazgo antes de reportarlo.
5. Confidencialidad contractual desde el día uno
Un pentester va a ver tus peores secretos técnicos. Exige acuerdo de confidencialidad firmado antes de la primera prueba, definición clara de quién accede a la información y compromiso de borrado de evidencias al cerrar el proyecto.
6. Equipo real y referencias comprobables
Pide quién va a ejecutar la prueba —no quién la vende—, su experiencia demostrable y referencias de empresas de tu sector que puedas contactar. Desconfía de quien no puede nombrar a su equipo técnico.
DragonJAR trabaja con empresas españolas en remoto y con fases presenciales cuando el alcance lo requiere, operando desde Colombia. Somos la comunidad más influyente en seguridad informática de habla hispana, empresa constituida desde 2012, auditando sectores como el financiero, energético, automovilístico, salud, gobierno y telecomunicaciones.
Qué debe incluir el alcance mínimo de tu prueba
Un alcance mal definido es la causa más común de pentests decepcionantes. Antes de firmar, verifica que la propuesta cubre lo que aplique a tu caso:
- aplicaciones web y APIs expuestas: portales de clientes, intranets accesibles desde fuera, APIs de integración con proveedores.
- Infraestructura perimetral: qué ve un atacante desde fuera antes de tener credenciales.
- Red interna: qué puede hacer un atacante —o un equipo comprometido— una vez dentro.
- Correo y factor humano: phishing controlado dirigido a ingeniería y administración, por donde suelen entrar los ataques reales.
- Segmentación OT/IT: si tienes planta, verificar que la red de oficinas y la de producción están realmente separadas.
- Reglas claras: ventana horaria de pruebas, sistemas excluidos, procedimiento ante un hallazgo crítico en horario de producción.
Cinco señales de alerta en una propuesta de pentesting
Llevamos años viendo propuestas en el mercado español. Estas son las señales de que algo no cuadra:
- Te venden «pentest» y la metodología describe solo un escáner automatizado. Eso es un análisis de vulnerabilidades, no un pentest. Útil, pero distinto y más barato: no pagues precio de pentest por un escaneo.
- Precio cerrado sin haber visto tu infraestructura. Nadie puede presupuestar en serio sin conocer tu superficie: número de aplicaciones, IPs, sedes, si hay planta industrial. Un precio sin preguntas previas es un precio inventado.
- Sin re-test o con un solo re-test limitado. Significa que el proveedor cobra por el informe, no por dejarte seguro.
- Te habla de la NIS2 como obligación sancionadora ya vigente en España. A octubre de 2026 la ley de transposición de la NIS2 sigue sin publicarse en el BOE —España fue llevada ante el Tribunal de Justicia de la UE en julio de 2026 por el retraso—. Quien te vende miedo con una ley que aún no existe en el ordenamiento español no te está asesorando, te está presionando.
- Garantiza que quedarás «100% seguro». Ningún pentest serio promete eso. Un buen proveedor te dice qué cubrió, qué no cubrió y qué riesgo residual queda.
El panorama de amenazas para las empresas de Bilbao
Lo que vemos con más frecuencia en entornos industriales y de servicios del norte de España:
- Ransomware con doble extorsión: cifra la oficina y amenaza con filtrar los datos. En una empresa industrial, el coste no es solo el rescate: es la parada de producción y la pérdida de confianza de clientes que dependen de tus entregas.
- Compromiso de correo corporativo (BEC) y phishing dirigido: atacantes que se infiltran en tu correo para desviar pagos a proveedores, o que envían a ingenieros y administrativos mensajes diseñados con información real de sus proyectos. Es la vía de entrada más común que observamos.
- Ataques a la cadena de suministro: comprometer a un proveedor pequeño para llegar al cliente grande. Si trabajas para grupos energéticos o industriales, eres objetivo por quiénes son tus clientes.
- Robo silencioso de propiedad intelectual: sin cifrados ni notas de rescate; solo exfiltración de diseños y procesos durante meses.
Un ethical hacking bien enfocado reproduce estas vías de forma controlada: desde los sistemas expuestos a internet hasta la segmentación entre tu red de oficinas y tu planta.
Qué normativa te aplica en España (la real, no la de marketing)
En España no hay «normativa de pentesting para Bilbao»: hay normativa nacional y europea que, según tu sector, convierte las pruebas de seguridad en necesidad práctica o exigencia contractual:
- RGPD + Ley Orgánica 3/2018 (LOPDGDD): el artículo 32 del RGPD exige medidas técnicas y organizativas adecuadas y evaluar su eficacia periódicamente. Un pentest es la forma más directa de demostrar —ante la AEPD o ante un cliente— que tus medidas funcionan de verdad.
- Esquema Nacional de Seguridad (RD 311/2022): si provees servicios tecnológicos a la Administración pública, los pliegos te exigirán adecuación al ENS, con auditorías periódicas para sistemas de categoría media y alta. Más detalle en esta guía sobre el ENS y la contratación pública.
- DORA (Reglamento UE 2022/2554): aplicable desde el 17 de enero de 2025 al sector financiero y a sus proveedores críticos de TIC. Si das servicios tecnológicos a banca o seguros, tus clientes ya te piden evidencias de pruebas de seguridad.
- NIS2 (Directiva UE 2022/2555): pendiente de transposición en España —sin ley en el BOE a octubre de 2026—. Pero ya llega por vía contractual: clientes de países que sí la han transpuesto exigen cuestionarios de seguridad a sus proveedores. Sigue el estado de la transposición de NIS2 en España.
- PCI DSS (v4.0, requisito 11.3): si procesas pagos con tarjeta, las pruebas de penetración son obligatorias al menos una vez al año y tras cambios significativos en tu infraestructura.
Cuándo un pentest NO es lo que necesitas
Hay casos en los que contratar un pentest es tirar el dinero:
- Si nunca has hecho ni un análisis de vulnerabilidades. Empieza por ahí: es más barato y te dará la lista de lo obvio. El pentest viene después, para lo que el escáner no ve.
- Si no vas a corregir los hallazgos. Un informe que nadie ejecuta es un gasto, no una inversión. Asegúrate de tener equipo o proveedor que aplique las correcciones antes de pagar por encontrarlas.
- Si solo necesitas «el papel» para un cliente. Un pentest de cara a la galería, con alcance mínimo para tachar una casilla, no te protege de nada. Si tu cliente exige evidencias serias, hazlo bien; si no, no pagues por teatro.
Si estás en alguno de estos casos, dínoslo en el formulario: te diremos qué paso previo te conviene antes de un pentest. Esa honestidad es parte del servicio.
Preguntas frecuentes sobre ethical hacking en Bilbao
¿Cuánto cuesta un pentest para una empresa en Bilbao?
Depende del alcance, no de la ciudad. Una prueba seria se presupuesta por días de trabajo sobre tu superficie real: aplicaciones, IPs, sedes, planta industrial. Desconfía de precios cerrados sin fase previa de descubrimiento: pide siempre el desglose por días y qué incluye cada fase.
¿El pentest se hace en remoto o hay que desplazar a alguien a Bilbao?
La mayoría de las pruebas —web, infraestructura externa, APIs— se ejecutan en remoto. Para red interna y entornos OT/IT de planta combinamos fases remotas con presencia física cuando el alcance lo requiere. Se define en el descubrimiento, antes de presupuestar.
¿Qué recibo exactamente al terminar?
Dos informes: uno técnico con cada hallazgo, su evidencia, su criticidad y cómo reproducirlo; y uno ejecutivo que traduce esos hallazgos a riesgo de negocio para tu dirección. Más los re-tests para verificar cada corrección.
Mi empresa es una pyme industrial, ¿un pentest es para mí o solo para grandes corporaciones?
Es para ti precisamente por ser proveedor: tus clientes grandes te evalúan por tu seguridad. Un alcance acotado —web expuesta, correo, red interna— es asequible y suele ser lo que piden los cuestionarios de homologación de proveedores.
¿Cada cuánto deberíamos repetir la prueba?
Como mínimo una vez al año, y tras cambios significativos: migración a la nube, planta nueva conectada, aplicación expuesta a clientes o un incidente de seguridad. La normativa sectorial que te aplique —PCI DSS, DORA, ENS— también marca su cadencia.
Da el primer paso: descubre tu exposición real en Bilbao
El siguiente paso es una sesión de descubrimiento sin costo: revisamos tu superficie —web, infraestructura, planta si la hay—, te decimos qué alcance tendría sentido y qué normativa te toca, y te damos un presupuesto desglosado por días de trabajo. Sin compromiso y sin humo: si un pentest no es lo que necesitas ahora, te lo diremos. Cuéntanos en el formulario qué sistemas quieres evaluar.