Checklist: Planificar correctamente el presupuesto de seguridad para 2025

Ha comenzado la temporada de elaboración de presupuestos. Esta checklist ayuda a los CISO y a los responsables de TI a planificar de forma estructurada su presupuesto de seguridad para 2025: desde el análisis del estado actual, pasando por los requisitos de cumplimiento normativo, hasta la priorización de las inversiones.

En resumen

Fase 1: Análisis del estado actual (semanas 1-2)

Registrar los gastos actuales:

Licencias vigentes y contratos de mantenimiento, con sus fechas de caducidad
Costes de personal y formación
Proveedores externos (MSSP, pruebas de penetración, acuerdos de retención para respuesta a incidentes)
Gastos en seguridad en la nube (a menudo ocultos dentro de los presupuestos generales de nube)

Evaluar el uso efectivo:

¿Qué herramientas se utilizan activamente y cuáles están infrautilizadas?
¿Dónde existen solapamientos entre productos?
¿Qué contratos expiran en 2025 y ofrecen oportunidades de consolidación?

Fase 2: Definición de los requisitos (semanas 3-4)

Obligaciones regulatorias para 2025:

Implementación de la Directiva NIS2: obligaciones de notificación, gestión de riesgos y seguridad de la cadena de suministro
Reglamento DORA (sector financiero): pruebas de resiliencia y gestión de riesgos TIC
Reglamento de Inteligencia Artificial de la UE: cumplimiento para sistemas de IA de alto riesgo
Ley marco para infraestructuras críticas (KRITIS-Dachgesetz): seguridad física y cibernética para infraestructuras críticas

Brechas técnicas identificadas:

Resultados de pruebas de penetración y auditorías
Riesgos conocidos registrados en el registro de riesgos
Hallazgos derivados de los incidentes ocurridos en los últimos 12 meses

Fase 3: Priorización (semanas 5-6)

Clasifique cada inversión prevista en una de estas tres categorías:

Imprescindible (Must-Have): obligaciones de cumplimiento normativo, brechas críticas y contratos próximos a su vencimiento
Recomendable (Should-Have): ganancias de eficiencia, automatización y consolidación
Deseable (Nice-to-Have): tecnologías emergentes y proyectos innovadores

Orientaciones de coste para 2025

Presupuesto medio sectorial para seguridad TI: 6-14 % del presupuesto total de TI (Gartner)
Plataforma EDR/XDR: 15-40 EUR por endpoint/año
SIEM/SOC gestionado: 5.000-25.000 EUR/mes (según volumen de datos)
Prueba de penetración: 8.000-25.000 EUR por actuación
Formación en concienciación sobre seguridad: 20-50 EUR por empleado/año
Acuerdo de retención para respuesta a incidentes (IR-Retainer): 3.000-10.000 EUR/mes

Datos clave

El 6-14 % del presupuesto de TI es el promedio sectorial destinado a seguridad (Gartner, 2024)

NIS2, DORA y el Reglamento de IA generan nuevos gastos obligatorios en 2025

La consolidación de herramientas permite ahorrar, de media, un 15-25 % manteniendo el mismo nivel de cobertura

La detección y respuesta gestionadas (MDR) crecen como alternativa al SOC interno

Un presupuesto de seguridad sin un caso de negocio sólido pierde apoyo en la dirección general

Dato: Según IBM, el 95 % de todos los incidentes de ciberseguridad se deben a errores humanos.

Dato: Según IBM, los costes medios de una pérdida de datos ascendieron en 2025 a 4,88 millones de dólares.

Preguntas frecuentes

¿Cómo argumento ante la dirección general?

Con tres argumentos: obligaciones de cumplimiento normativo (con NIS2 existe el riesgo de responsabilidad personal), prevención de daños (los costes medios de un ataque de ransomware en los países DACH ascienden a 1,2 millones de EUR, según Sophos) y asegurabilidad (las compañías de seguros cibernéticos exigen cada vez más estándares mínimos).

¿Debería invertir en un SOC propio o en MDR?

Para empresas con menos de 1.000 empleados, MDR es casi siempre más rentable. Un SOC propio requiere al menos 5-7 analistas para operar las 24 horas del día, los 7 días de la semana – lo que supone costes salariales anuales superiores a 500.000 EUR.

Sobre el autor: Tobias Massow

Más artículos de Tobias Massow

También disponible en

Français English Deutsch