MagnoSec Blog
Qué documentación pide una licitación de ciberseguridad
El primer filtro es documental
Cuando una administración pública o una empresa sometida al régimen de contratación del sector público necesita servicios de ciberseguridad ofensiva, el primer filtro no es técnico sino documental. Antes de valorar una oferta, el órgano de contratación comprueba que el licitador ha presentado la documentación administrativa exigida en el pliego. Un expediente incompleto o mal formalizado puede dejar fuera una propuesta técnicamente sólida sin que llegue a evaluarse.
Los tres bloques de documentación
La documentación de una licitación de ciberseguridad se organiza en tres bloques que conviene distinguir desde el principio: documentación administrativa, documentación técnica y documentación específica de solvencia. El pliego de cláusulas administrativas particulares fija los requisitos formales, mientras que el pliego de prescripciones técnicas describe el alcance del servicio. Confundir ambos documentos genera errores frecuentes en la preparación de la oferta.
Documentación administrativa y solvencia
En el bloque administrativo aparecen los documentos acreditativos de la personalidad jurídica, la escritura de constitución y el poder del representante, la declaración responsable de no estar incurso en prohibiciones de contratar y el cumplimiento de obligaciones tributarias y con la Seguridad Social. También se exige la acreditación de la solvencia económica y financiera, que suele resolverse con cuentas anuales o un seguro de responsabilidad civil. Para contratar pentesting desde la administración pública, estos requisitos son idénticos a los de cualquier otro servicio, sin atajos.
Solvencia técnica y evidencias de pentesting
La solvencia técnica es donde la documentación de pentesting adquiere peso específico. El pliego de seguridad informática puede pedir relación de trabajos similares ejecutados en los últimos años, descripción de los medios materiales y humanos adscritos al contrato y una metodología de trabajo documentada. Es habitual que se solicite detallar las fases del pentesting, las herramientas previstas y el tratamiento de evidencias. Aquí no basta con declarar capacidades: hay que demostrarlas con documentos.
Memoria técnica del pliego de prescripciones
El pliego de prescripciones técnicas suele exigir una memoria técnica que responda punto por punto a los requisitos funcionales. En red team y auditoría de seguridad, esa memoria debe describir el alcance, los escenarios de ataque previstos, los criterios de reporte y el plan de coordinación con el cliente. También se pide habitualmente el compromiso de confidencialidad y el tratamiento de datos personales conforme al RGPD. La claridad en este documento reduce el riesgo de impugnaciones y preguntas en fase de aclaraciones.
Garantías, plazos y oferta económica
En licitaciones de contratar pentesting para administración pública conviene revisar además las garantías exigidas, los plazos de ejecución y el régimen de penalizaciones por incumplimiento. La documentación de la oferta económica debe seguir el modelo fijado en el pliego, sin modificaciones ni añadidos. MagnoSec trabaja este tipo de expedientes desde la fase de análisis del pliego hasta la entrega del informe final. Podemos preparar la documentación y la proforma para presentar a un pliego: contratar un pentesting.
Temas tratados
licitacion ciberseguridad · documentacion pentesting · pliego seguridad informatica · contratar pentesting administracion publica · licitacion pentesting · auditoria de seguridad
Preguntas frecuentes
¿Qué diferencia hay entre el pliego administrativo y el técnico en una licitación de ciberseguridad?
El pliego de cláusulas administrativas regula los requisitos formales, la solvencia y los criterios de adjudicación. El pliego de prescripciones técnicas define el alcance del servicio, la metodología exigida y los entregables esperados.
¿Qué documentación de pentesting suele pedirse para acreditar solvencia técnica?
Normalmente se solicita una relación de trabajos similares, la descripción de medios humanos y materiales y una metodología documentada con fases y herramientas previstas. El pliego concreta el formato y los umbrales mínimos.
¿Puede una empresa de ciberseguridad presentarse a una licitación de la administración pública sin experiencia previa en el sector?
Puede presentarse si cumple los requisitos de solvencia fijados en el pliego. Si no acredita trabajos similares suficientes, la oferta puede quedar excluida en la fase de valoración de solvencia técnica.
¿Qué debe incluir la memoria técnica para contratar pentesting en el sector público?
Debe responder punto por punto al pliego de prescripciones técnicas, describir alcance, escenarios de ataque, criterios de reporte y coordinación con el cliente. También conviene incluir el compromiso de confidencialidad y el tratamiento de datos personales.
Servicios relacionados
MagnoSec
Pentesting Web para Empresas
Pentesting web y hacking ético de aplicaciones y APIs según OWASP WSTG. Detectamos SQL Injection, XSS y fallos de autenticación. Informe con CVSS y remediación.
MagnoSec
Pentesting Móvil y Auditoría de Apps
Pentesting de apps Android e iOS: análisis estático y dinámico, almacenamiento, comunicaciones y autenticación. Basado en OWASP MSTG, con informe y re-test.
MagnoSec
Red Team y Simulación de Ataques Reales
Ejercicios Red Team con simulación realista de adversario. Basado en MITRE ATT&CK. Evaluamos detección, respuesta y contención. Incluye sesión Purple Team.
Servicios de ciberseguridad
Auditoría de Red e Infraestructura
Auditoría de infraestructura tecnológica: redes internas y externas, servidores y firewalls. Hallazgos con CVSS y plan de remediación. PTES y OSSTMM.
Auditoría de Active Directory
Auditoría de Active Directory: identificación de vectores de escalado, Kerberoasting, BloodHound, ACLs abusivas. Protege el núcleo de tu identidad corporativa.
Auditoría de Servicios Cloud
Auditoría de seguridad cloud en AWS, Azure y GCP. Revisión de IAM, almacenamiento, red, monitorización. Basado en CIS Cloud Benchmarks. Informe CVSS.
Auditoría WiFi para Empresas
Auditoría de redes WiFi corporativas. War driving, rogue AP, WPA2/WPA3 Enterprise, 802.1X. Detectamos configuraciones débiles y accesos no autorizados.
Auditoría de Código Fuente
Auditoría de código de aplicaciones: revisión manual (code review) y SAST para detectar vulnerabilidades OWASP/CWE en cualquier lenguaje. Alcance y precio.
Ingeniería Social
Auditoría de ingeniería social: phishing, pretexting y USB drops. Evaluamos el factor humano con campañas controladas, informe y concienciación.
Desarrollo Seguro
Desarrollo seguro de aplicaciones web y móviles: Security by Design, DevSecOps y CI/CD con SAST/DAST. Software protegido desde la primera línea de código.
Auditoría de Seguridad para MVP y Startups
Auditoría de seguridad para MVP y startups: autenticación, control de acceso, APIs, Supabase/RLS y cloud. Revisión corta y priorizada antes de lanzar.
¿Quieres saber si tu empresa tiene estas vulnerabilidades?
Auditamos la seguridad de empresas de toda España con alcance cerrado por escrito, informe técnico y ejecutivo, y retest de las correcciones. Presupuesto en 24 horas y primera consultoría sin coste. Si no sabes por dónde empezar, haz el test de seguridad de 15 preguntas.
Artículos relacionados
Recursos gratuitos
Guía completa
Guía de Pentesting Web: Metodología, Herramientas y Precios
Herramienta interactiva
Checklist de Seguridad Informática para Empresas
Referencia
Glosario de Ciberseguridad: 60+ Términos
Guía 2026
Certificaciones de Ciberseguridad: Precios y Comparativa
Herramienta
Calculadora de Precio de Pentesting
Cumplimiento
Pentesting para ISO 27001 y ENS: Qué Exige la Norma