El comprador se ha mudado al consejo de administración. La mayoría de los MSP siguen hablando con la sala de servidores.

Tras un evento reciente para proveedores de servicios gestionados, un experimentado director de seguridad de un distribuidor europeo me hizo una pregunta que se me quedó grabada. No cómo funciona la plataforma. No qué funciones importan. Me preguntó cómo un MSP construye un servicio en torno al cumplimiento en los primeros noventa días. Cómo conviertes un quebradero de cabeza normativo en una propuesta que puedas vender de verdad.

Esa pregunta revela más de lo que parece. Señala un cambio que la mayoría de los MSP pueden sentir pero aún no han trasladado a su modelo de negocio. La persona que compra ciberseguridad ha cambiado. La pregunta que hace ha cambiado. Y los MSP que no se muevan con ese cambio no van a perder clientes porque su ingeniería fuera floja. Van a perder clientes porque un competidor mantuvo una conversación que ellos no podían mantener.

El comprador ya no es el responsable de TI

Durante la mayor parte de la última década, la persona que compraba seguridad a un MSP era el responsable de TI. La conversación era técnica. El presupuesto estaba dentro de TI. La pregunta era alguna versión de “¿estamos parcheados, estamos cubiertos, estamos monitorizados?”.

Esa persona ya no es el único comprador, y cada vez menos el decisivo. La ciberseguridad ha subido de planta en el edificio, hasta el consejo de administración, y la ley la puso ahí. Bajo la directiva NIS2, la responsabilidad de la gestión del riesgo cibernético recae explícitamente en el órgano de dirección, y los directivos pueden ser considerados personalmente responsables por no gobernarlo. NIS2 va aún más lejos: obliga a los Estados miembros a garantizar que los miembros del consejo sigan formación en riesgo cibernético, un deber que ahora alcanza a directivos de toda la Unión Europea. ENISA, la agencia de la UE para la ciberseguridad, publicó orientaciones sobre estos roles y responsabilidades en junio de 2025, y las transposiciones nacionales están convirtiendo el principio en ley firme a distintas velocidades. Alemania se movió primero y con contundencia: la NIS2-Umsetzungsgesetz, la ley alemana de implementación, entró en vigor el 6 de diciembre de 2025 sin periodo de transición, lo que significa que las organizaciones que esperaron a que hubiera orientaciones de aplicación ya estaban incumpliendo el primer día. Los Países Bajos van justo detrás. Su parlamento adoptó la Cyberbeveiligingswet, la ley neerlandesa de implementación de NIS2, el 15 de abril de 2026, y se espera que la ley entre en vigor el 1 de julio de 2026. El decreto que la acompaña y que detalla las obligaciones, el Cyberbeveiligingsbesluit, deja explícito el deber de formación de los directivos.

Lee ese último punto otra vez. En toda Europa, y ahora inscrito en la ley nacional país por país, se exige que los miembros del consejo estén formados en riesgo cibernético. Cuando el legislador escribe un deber de formación para los directivos en una ley firme, el tema ha abandonado sin ambigüedad la sala de servidores.

Así que la pregunta que ahora hace el consejo de tu cliente no es “¿estamos parcheados?”. Es “¿podemos demostrar que somos resilientes y que cumplimos?”. Y esa única palabra, demostrar, lo cambia todo para ti como su MSP.

¿Por qué “demostrar” lo cambia todo?

Hay un mundo de diferencia entre ser seguro y poder demostrarlo. Decir “nos tomamos la seguridad en serio” bastaba antes para renovar una póliza de seguro cibernético o satisfacer al departamento de compras de un cliente. Ya no basta.

El seguro cibernético es el ejemplo más claro. La suscripción se ha convertido silenciosamente en una auditoría técnica. Según el informe de mercado cibernético de Aon de 2026, “aproximadamente tres de cada cuatro aseguradoras ejecutan ahora un escaneo externo de superficie de ataque durante la suscripción” en lugar de fiarse de una autodeclaración. Lo que está en juego a nivel financiero es importante: unos controles documentados pueden mover una prima entre un veinte y un cuarenta por ciento en la renovación, y S&P Global Ratings proyecta que las primas cibernéticas suban entre un quince y un veinte por ciento en 2026 tras dos años de abaratamiento. Una organización que no puede aportar evidencias no solo paga más. Puede encontrarse con que la cobertura no está disponible a ningún precio.

El mismo patrón aparece en los cuestionarios a proveedores. Las empresas del mercado medio y las pymes reciben ahora estos cuestionarios por docenas, cada uno preguntando no si existen controles, sino la prueba de que existen. Como la propia comunidad de distribuidores y MSP ha documentado, la declaración de una página ha dado paso a cuestionarios detallados y, en algunos casos, evaluaciones externas antes de que se contrate una póliza. La evidencia continua supera a una instantánea anual, porque el comprador del otro lado ha aprendido que una declaración de un momento puntual le dice muy poco.

Este es el corazón del cambio. El mercado ha pasado de afirmar a demostrar. Y demostrar es un trabajo continuo, estructurado y que consume tiempo. Que es precisamente donde está la oportunidad, y el problema, para los MSP.

Por qué la mayoría de los MSP no se mueven con el comprador

Aquí está la parte incómoda. La mayoría de los MSP no pueden mantener hoy la conversación del consejo. No porque sean malos en su trabajo. Por dos cosas que no tienen nada que ver con la calidad de su ingeniería.

La primera son las herramientas. Un entorno típico de cliente tiene protección de endpoints, seguridad de Microsoft 365, herramientas de identidad, un gestor de contraseñas y copias de seguridad. Cada una de esas herramientas es excelente en su propia tarea. Pero cada una habla su propio idioma, produce su propio informe y vive en su propio panel. Cuando el director financiero entra y pregunta “¿podemos demostrar que cumplimos con NIS2?”, no hay un único lugar que responda a la pregunta. Alguien tiene que abrir una consola tras otra y ensamblar la respuesta a mano, mapeando hallazgos técnicos a controles de cumplimiento en una hoja de cálculo. Múltiples consolas, informes dispersos, ninguna respuesta única.

La segunda razón es el equipo, y es la más grave de las dos. Incluso si las herramientas pudieran ensamblar la imagen, el MSP no tiene las horas. Los buenos ingenieros son escasos y caros, y los que tienes están facturando en el trabajo que paga hoy: ciclos de parcheo, respuesta a incidentes, onboarding. El trabajo de evidencia que el consejo ahora exige no encaja en ninguna parte. Es demasiado estratégico para el servicio de soporte y demasiado detallado para la dirección, y nadie tiene una semana libre por cliente para hacerlo a mano. Así que incluso los MSP que ven claramente la oportunidad a menudo no pueden ejecutarla, porque el trabajo no escala con el equipo que tienen.

Dos brechas, entonces. Las herramientas no pueden traducir, y el equipo no puede seguir el ritmo. Juntas explican por qué tantos MSP capaces se han quedado ofreciendo un trabajo técnico excelente a un comprador que se ha marchado silenciosamente de la sala.

El cumplimiento no es un coste. Es tu mayor oportunidad de margen en una década.

La mayor parte del mercado trata NIS2, DORA y el resto como una carga. Un coste. Una obligación de marcar casillas que alguien, en algún sitio, tiene que absorber. Ese encuadre es comprensible, y también es por lo que la oportunidad se está dejando sobre la mesa.

Dale la vuelta al encuadre. Cada regulación que aterriza sobre tu cliente es una razón para que necesite un partner que pueda traducirla en algo sobre lo que el consejo pueda actuar. Eso no es un coste para ti. Es una línea de servicio. Y se apila en varias fuentes de margen a la vez.

Hay ingresos recurrentes de la plataforma que hace posible la evidencia continua, vendida con margen incorporado y creciendo a medida que crece el entorno del cliente. Hay una nueva capa de servicios de asesoramiento facturados a tarifas de asesoramiento en lugar de a tarifas de ingeniería: reporte trimestral al consejo, revisiones de preparación para NIS2, apoyo con los cuestionarios a proveedores, preparación de auditorías. Hay retención, porque una vez que eres el partner que produce el panel en el que se apoya el consejo, estás integrado estructuralmente y eres muy difícil de sustituir. Y hay negocio nuevo, porque el MSP que puede entrar a ver a un cliente potencial y abrir con la conversación del cumplimiento entra a un nivel donde el precio no es la primera pregunta.

Muchos proveedores en aquel evento hablaban de funciones. La conversación que de verdad le importa al propietario de un MSP es sobre margen, diferenciación, relaciones con los clientes y valor de negocio a largo plazo. El cumplimiento, reformulado, es donde viven esas cuatro cosas.

¿Cómo construyes esto en los primeros noventa días?

Esta era la pregunta del distribuidor, y merece una respuesta concreta en lugar de un eslogan.

No empieces con un gran programa de transformación. Empieza con un puñado de clientes existentes donde ya conoces el entorno y la relación es buena. Produce una cosa que nunca han tenido antes: una visión única, legible por el consejo, de dónde están frente a los marcos que les aplican, con los riesgos más importantes priorizados y un plan para abordarlos. Ese artefacto, la cosa que el consejo puede leer de verdad, es lo que convierte una relación técnica en una de asesoramiento.

Luego deja que el calendario haga la venta. La mayoría de tus clientes tienen una renovación de seguro cibernético a la vuelta de la esquina, y la comunidad de correduría es explícita en que la preparación debería empezar unos noventa días antes de la renovación. Muchos de ellos tienen un cuestionario a proveedores en una bandeja de entrada que nadie sabe cómo responder de forma eficiente. Cada uno de esos es una razón natural y con fecha límite para que el cliente diga sí ahora en lugar de más tarde. No estás inventando demanda. Estás cumpliendo un plazo que el cliente ya tiene, con un servicio que no sabía que podías ofrecer.

Construye el servicio recurrente en torno a ese ritmo: monitorización continua por debajo, un informe periódico al consejo por encima, horas de asesoramiento cuando algo necesita interpretación o remediación. Noventa días bastan para probar el modelo con unas pocas cuentas. No bastan para desplegarlo en toda tu base, y no deberías intentarlo.

No todos los MSP tienen que convertirse en una firma de asesoramiento

En honor a la verdad, este no es el único camino viable. Algunos MSP son operadores técnicos excepcionales, están a gusto en ese papel, y seguirá habiendo demanda real de entrega puramente técnica. Si eso es una elección estratégica deliberada, hecha con los ojos abiertos, es perfectamente defendible.

El riesgo no está en elegir quedarse en lo técnico. El riesgo está en no elegir en absoluto, y descubrir dentro de dieciocho meses que la relación de asesoramiento con tus mejores clientes se la ha llevado silenciosamente otro. Un MSP competidor que empezó dos años antes. Un especialista regional en seguridad que ahora se queda con tus cuentas del mercado medio porque puede responder a la pregunta del consejo. O una consultora que baja de segmento, que no tocará el trabajo técnico pero que con gusto se quedará con la conversación con el director financiero, y luego decidirá qué MSP se lleva la implementación, y en qué términos.

La elección

Tus clientes van a tener la conversación de resiliencia y cumplimiento. Esa parte ya no depende de ti; los reguladores, las aseguradoras y sus propios mayores clientes lo han zanjado. La única pregunta abierta es si tienen esa conversación contigo o con otro.

Por transparencia: mi propia empresa, Guardian360, es un proveedor de software independiente en este espacio. Construimos la plataforma Lighthouse y vendemos solo a través de partners, nunca de forma directa, así que tengo un interés claro en que los MSP ganen este cambio. Pero el argumento se sostiene sin nosotros. Los MSP que desaparezcan en los próximos años no desaparecerán porque su ingeniería se quedara corta. Desaparecerán porque un competidor mantuvo una conversación que ellos no podían mantener.

Así que vale la pena hacerte la pregunta sin rodeos. ¿Estás en el negocio de las funciones, o en el negocio de hacer felices a tus clientes? Uno de esos es fácil de copiar en tres años. El otro no.