Construir una oferta de gobernanza cibernética recurrente

La mayoría de los prestadores informáticos ya venden seguridad. Pocos venden gobernanza. La diferencia no es semántica: separa un servicio puntual, renegociado cada vez, de un ingreso mensual respaldado por una obligación que el cliente no puede aplazar.

Este artículo describe cómo estructurar esa oferta — alcance, entregables, precio, industrialización.

¿Por qué la auditoría puntual toca techo?#

La auditoría vendida por unidades tiene cuatro defectos estructurales.

Se renegocia cada vez. Cada encargo vuelve a partir de una justificación comercial completa.

Es estacional. Llega después de un incidente, de una petición de un cliente o de un vencimiento de seguro. Entre medias, nada.

No se acumula. La segunda auditoría del mismo cliente repite en gran medida la primera, a falta de un estado conservado entre ambas.

No revaloriza la empresa. Una facturación de proyecto se valora mal; un ingreso recurrente contractualizado se valora bien. Para un director de MSP que contempla una venta a medio plazo, esa diferencia es determinante.

La gobernanza corrige las cuatro cosas: es un estado que hay que mantener, y por tanto una suscripción.

¿Qué contiene una oferta de gobernanza cibernética?#

Una oferta creíble cabe en cuatro entregables, todos ellos asociados a un ritmo.

1. El diagnóstico inicial y su repetición. El punto de entrada. Un referencial único — las 42 medidas de higiene de la ANSSI encajan bien —, una puntuación, una lista de carencias, un presupuesto.

Repetido cada año, se convierte en la demostración de progreso que justifica la renovación del contrato.

2. El plan de acción con seguimiento. Cada carencia se convierte en una acción con un responsable, un plazo y un coste. El plan se revisa en cada punto periódico. Es lo que distingue un informe de una dirección.

3. El registro de pruebas. El entregable más subestimado y el más defendible comercialmente. Cada medida aplicada va acompañada de una prueba fechada: captura de configuración, acta de prueba de restauración, certificado de formación, política firmada.

Es ese registro el que permite responder a un cuestionario de cliente en 48 horas en lugar de en tres semanas — y es exactamente lo que pedirá un cliente sujeto a la obligación NIS2 de seguridad de la cadena de suministro.

4. El informe de dirección. De una a cuatro veces al año según la modalidad: puntuación, evolución, incidentes, acciones realizadas, presupuesto comprometido, recomendaciones. Una página, dirigida al administrador.

Ese documento es lo que hace visible el servicio. Un servicio de gobernanza invisible es un servicio rescindido en la primera revisión presupuestaria.

¿Cuántos niveles proponer, y qué contiene cada uno?#

Tres niveles bastan. Más allá, el cliente compara líneas en lugar de elegir un resultado.

El nivel alto no está pensado para ser el más vendido: existe para que el nivel intermedio resulte razonable. Es el mecanismo de anclaje más fiable en la venta B2B.

¿Cómo tarificar una suscripción de gobernanza?#

El precio se construye sobre cuatro decisiones.

Indexarlo al número de usuarios. El número de usuarios es la variable que el cliente entiende, que no discute y que acompaña su crecimiento. Facturar por número de servidores o de sedes lleva a discusiones técnicas estériles.

Posicionarse frente al coste evitado, no frente al coste por hora. Una suscripción de gobernanza para una pyme de cuarenta personas se compara con una franquicia de seguro cibernético, con tres días de parada de la actividad o con una sanción normativa — no con una tarifa diaria.

Facturar el diagnóstico inicial por separado. Dos razones: representa una carga real no recurrente, y un cliente que ha pagado su diagnóstico se implica más en el plan de acción que viene después. El diagnóstico regalado es sistemáticamente el menos aprovechado.

No incluir la remediación. La gobernanza dirige; no ejecuta. Incluir la remediación en la suscripción hace imprevisible el margen y convierte un servicio de dirección en una tarifa plana de intervención ilimitada. Las acciones del plan se facturan sobre la marcha — y son la principal fuente de facturación adicional que genera la oferta.

¿Cómo industrializar la oferta para preservar el margen?#

Una oferta de gobernanza es rentable a partir del momento en que el vigésimo cliente no cuesta veinte veces el primero. Cuatro condiciones.

Un referencial único para toda la cartera. Un referencial por cliente impide cualquier comparación y cualquier reutilización.

Informes generados, no redactados. Si producir un informe de dirección lleva media jornada, la oferta no escalará. Es la tarea que hay que automatizar primero.

Una vista de cartera. Saber en una sola pantalla qué clientes tienen una puntuación a la baja, una acción atrasada o una prueba caducada. Sin esa vista, el seguimiento se degrada a partir de una decena de clientes.

Pruebas recogidas automáticamente cuando sea posible. Una parte del estado de seguridad — MFA activado, puestos actualizados, copias ejecutadas — se lee directamente desde las herramientas ya instaladas. Lo que se recoge automáticamente no se le vuelve a pedir al cliente.

¿Qué responder a las objeciones más frecuentes?#

«Mi cliente no va a pagar por informes.» No paga por informes, paga por no tener que responder él mismo a un cuestionario de cliente, a una aseguradora o a una autoridad. El informe es el soporte, no el producto.

«Ya hago todo eso, gratis.» Es el caso más frecuente — y el más costoso. El trabajo existe, simplemente no está ni registrado ni facturado. Formalizarlo no cambia la carga, cambia la factura.

«No tengo competencia en conformidad.» Las 42 medidas de higiene no exigen pericia jurídica. Para la ISO 27001 y NIS2, la competencia se adquiere con los primeros expedientes — y la auditoría final se subcontrata.