Cumplimiento normativo en TI para MSP: crea un negocio que se pueda ampliar

El cumplimiento normativo se ha convertido, de forma discreta, en una de las capacidades más importantes desde el punto de vista comercial que un MSP puede desarrollar. La combinación de una complejidad normativa cada vez mayor, unos requisitos de contratación cada vez más exigentes por parte de las empresas y la mayor concienciación de los clientes sobre sus propias obligaciones en materia de cumplimiento ha generado una demanda de servicios de gestión del cumplimiento que la mayoría de las pymes y las organizaciones del mercado medio simplemente no pueden cubrir con recursos propios.

Según el informe «State of the MSP» de Kaseya de 2026, el 71 % de los MSP afirman que los problemas de ciberseguridad constituyen uno de los principales retos empresariales. La gestión del cumplimiento normativo se está convirtiendo, cada vez más, en la forma en que los MSP demuestran que están abordando ese reto en nombre de sus clientes. Los MSP que comprenden el panorama del cumplimiento normativo, qué marcos normativos se aplican, cómo se solapan y cómo ofrecer el cumplimiento normativo como un servicio gestionado escalable, están captando clientes empresariales, fijando precios más elevados y estableciendo relaciones de servicio con una alta tasa de retención.

La plataforma de cumplimiento normativo y seguridad de Kaseya es utilizada por miles de proveedores de servicios de gestión (MSP) en todo el mundo, lo que nos permite tener una visión clara de en qué aspectos las prácticas de cumplimiento normativo funcionan bien a nivel operativo y en cuáles se estancan.

Esta guía ofrece una visión completa: qué significa el cumplimiento normativo en materia de TI para los MSP, los marcos normativos que tanto usted como sus clientes deben conocer y cómo desarrollar una estrategia de cumplimiento normativo que genere un margen real.

¿Qué es el cumplimiento normativo en materia de TI?

El cumplimiento normativo en materia de TI hace referencia a las políticas, controles y procesos que las organizaciones deben seguir para cumplir los requisitos legales, normativos y contractuales relativos a la gestión y la seguridad de los datos y los sistemas de TI. Los organismos reguladores a nivel federal, estatal e internacional establecen estos requisitos en función del sector, el tipo de datos y la ubicación geográfica.

Para los MSP, el cumplimiento normativo en materia de TI se desarrolla en dos niveles simultáneamente. En primer lugar, están las obligaciones de cumplimiento que se aplican a su propia empresa como proveedor de servicios que gestiona datos de clientes. En segundo lugar, están las obligaciones de cumplimiento que se aplican a las empresas de sus clientes, a las que usted puede estar obligado por contrato o en condiciones de ayudar a cumplir.

A la mayoría de los MSP se les plantean ambas cuestiones al mismo tiempo. Y, cada vez más, la capacidad de responder a esas preguntas con datos contrastados, en lugar de simples promesas, es lo que distingue a los MSP que consiguen contratos con grandes empresas de aquellos que quedan descartados desde el principio.

¿Cuál es el objetivo del cumplimiento normativo en materia de tecnologías de la información?

El objetivo es proteger la seguridad y la integridad de los activos digitales de una organización, y transmitir a los organismos reguladores, clientes y socios la confianza de que se han establecido los controles adecuados. El incumplimiento no es solo un riesgo legal: supone un riesgo directo para el negocio debido a las multas, la pérdida de contratos, las exclusiones de los seguros cibernéticos y el daño a la reputación. Las infracciones del RGPD conllevan multas de hasta 20 millones de euros o el 4 % de la facturación global anual, lo que sea mayor. Las sanciones penales de la HIPAA pueden alcanzar los 250 000 dólares por infracción e incluyen penas de prisión. Las multas por violaciones de seguridad de la norma PCI DSS pueden alcanzar los 500 000 dólares por incidente.

Más allá de las sanciones, los clientes de los sectores regulados no trabajarán con proveedores de servicios que no puedan demostrar que cumplen con la normativa. El cumplimiento normativo se está convirtiendo cada vez más en un requisito comercial imprescindible, y no solo en uno de carácter regulatorio.

Por qué el cumplimiento normativo se ha convertido en una oportunidad clave para los MSP

Varias tendencias convergentes han hecho que el cumplimiento normativo en materia de TI pase de ser una especialización a convertirse en una línea de servicios fundamental para los MSP competitivos.

Ampliación normativa. La certificación CMMC pasó a ser un requisito contractual en las cadenas de suministro del Departamento de Defensa a partir de 2024. La normativa NIS2 entró en vigor en octubre de 2024, incluyendo explícitamente a los proveedores de servicios de gestión (MSP) como entidades sujetas a su ámbito de aplicación. La norma PCI DSS v4.0 pasó a ser obligatoria en marzo de 2024. Se están llevando a cabo actualizaciones de la Norma de Seguridad de la HIPAA. El ámbito normativo está creciendo, en lugar de estabilizarse.

Requisitos de contratación de las grandes empresas. Los clientes empresariales exigen cada vez más pruebas documentadas de cumplimiento, informes SOC 2 Tipo II, la certificación ISO 27001 y acuerdos de socio comercial de la HIPAA antes de contratar a proveedores de servicios. Los proveedores de servicios gestionados (MSP) que no cuenten con estas acreditaciones quedan excluidos de los ciclos de ventas a grandes empresas antes incluso de que estos comiencen.

Requisitos del seguro cibernético. Las aseguradoras exigen ahora, como condiciones para la cobertura, pruebas de la existencia de controles de seguridad específicos, autenticación multifactorial (MFA) en todas las cuentas, sistemas de detección y respuesta en terminales (EDR), copias de seguridad comprobadas, gestión de parches y planes de respuesta ante incidentes documentados. Ayudar a los clientes a implementar y documentar dichos controles constituye un servicio de cumplimiento normativo que les aporta un valor económico directo.

Concienciación de los clientes. Las organizaciones de sectores regulados son cada vez más conscientes de que sus obligaciones de cumplimiento normativo se extienden a sus proveedores de servicios. Están planteando preguntas que nunca antes se habían planteado, y los proveedores de servicios gestionados (MSP) que no pueden responderlas están perdiendo clientes frente a aquellos que sí pueden hacerlo.

Las obligaciones de cumplimiento del propio MSP

Antes de ofrecer servicios de cumplimiento normativo a sus clientes, un MSP debe abordar su propia situación en materia de cumplimiento. Las obligaciones son importantes y, a menudo, se subestiman.

HIPAA. Cualquier proveedor de servicios gestionados (MSP) que gestione las TI para clientes del sector sanitario que manejen información sanitaria protegida (PHI) se considera un socio comercial a efectos de la HIPAA. La ley exige la firma de un acuerdo de socio comercial. La Norma de Seguridad, que abarca la autenticación multifactorial (MFA), el cifrado, los registros de auditoría y la respuesta ante incidentes, se aplica directamente a su entorno.

NIS2. Los MSP están incluidos explícitamente en el ámbito de aplicación de la NIS2 en calidad de proveedores de servicios de seguridad de la información ( managed services). Si tiene clientes de la UE en sectores afectados o opera dentro de la UE, las obligaciones de la NIS2 se aplican directamente a su organización.

CMMC. Los proveedores de servicios de TI (MSP) que prestan servicios a contratistas del Departamento de Defensa (DoD) en entornos que contienen información no clasificada controlada (CUI) pueden verse sujetos a los requisitos del CMMC en lo que respecta a sus propios sistemas, y no solo a los de sus clientes.

PCI DSS. Los MSP cuyos servicios afectan a la seguridad de los entornos de datos de los titulares de tarjetas se clasifican como proveedores de servicios según la norma PCI DSS y tienen sus propias obligaciones específicas de cumplimiento en virtud de dicha norma.

Requisitos contractuales. Los clientes empresariales y públicos suelen imponer requisitos de cumplimiento a través de los contratos. Estos son vinculantes, independientemente de que exista o no un requisito normativo directo.

El programa de cumplimiento normativo propio del MSP no es un proyecto independiente de los servicios de cumplimiento normativo que vendes. Es la base de tu credibilidad. Un MSP que no cumpla con los estándares que vende a sus clientes se encuentra en una situación de vulnerabilidad comercial en el momento en que un cliente le pida pruebas de su propio cumplimiento normativo. Empezar por tu propia casa es una decisión tanto ética como comercialmente inteligente.

Marcos de cumplimiento normativo en materia de TI que los MSP deben conocer

Entender qué marcos normativos se aplican en cada caso es la base de cualquier proyecto de cumplimiento normativo. A continuación se ofrece una guía práctica sobre los marcos normativos más relevantes en el contexto de los MSP.

HIPAA

La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) regula el tratamiento de la información médica protegida (PHI) por parte de cualquier organización, incluidos los proveedores de servicios gestionados (MSP) clasificados como socios comerciales, en el sector sanitario de EE. UU. Las medidas de seguridad técnicas previstas en la Norma de Seguridad de la HIPAA abarcan los controles de acceso, los registros de auditoría, el cifrado y los controles de integridad. El cumplimiento de la HIPAA no es opcional para los MSP que prestan servicios a clientes del sector sanitario; el Acuerdo de Socio Comercial lo convierte en una obligación contractual.

PCI DSS

La Norma de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) protege los datos de los titulares de tarjetas independientemente de dónde se almacenen, procesen o transmitan. Todos los comerciantes que aceptan tarjetas de pago están obligados a cumplirla, y los proveedores de servicios —incluidos los MSP— que tengan acceso a dichos entornos tienen sus propias obligaciones de cumplimiento. La versión 4.0 de la PCI DSS pasó a ser la norma obligatoria en marzo de 2024. Las multas por incumplimiento pueden alcanzar los 500 000 dólares por incidente.

CMMC

El marco de certificación del Modelo de Madurez en Ciberseguridad (CMMC) protege la base industrial de defensa. A partir de 2024, el cumplimiento del CMMC será un requisito contractual en las cadenas de suministro del Departamento de Defensa (DoD). Los proveedores de servicios gestionados (MSP) que prestan servicio a contratistas de defensa deben conocer los requisitos del Nivel 1 del CMMC (prácticas básicas de ciberseguridad) y del Nivel 2 (alineados con la norma NIST SP 800-171), tanto para sus clientes como, potencialmente, para sus propios entornos en los que se maneja información controlada (CUI).

El Reglamento General de Protección de Datos se aplica a cualquier organización que trate datos personales de residentes en la UE, independientemente de dónde tenga su sede. Para los MSP, esto suele implicar la firma de acuerdos de tratamiento de datos con clientes de la UE y el cumplimiento de los requisitos en materia de seguridad de los datos, notificación de violaciones de seguridad y derechos de los interesados. Las multas previstas en el RGPD pueden alcanzar hasta 20 millones de euros o el 4 % de la facturación global anual.

NIS2

La NIS2, que entró en vigor en todos los Estados miembros de la UE en octubre de 2024, reviste especial importancia para los proveedores de servicios gestionados (MSP), ya que incluye explícitamente a estos proveedores en su ámbito de aplicación. Los requisitos abarcan la gestión de riesgos, la notificación de incidentes, la seguridad de la cadena de suministro y una serie de controles técnicos mínimos, entre los que se incluyen la autenticación multifactorial (MFA), el cifrado y la gestión de vulnerabilidades.

Marco de Seguridad Informática del NIST (CSF)

El Marco de Ciberseguridad del NIST es un marco estadounidense de carácter voluntario que se articula en torno a cinco funciones: identificar, proteger, detectar, responder y recuperarse. Se cita ampliamente en contratos, solicitudes de seguros cibernéticos y evaluaciones de seguridad de clientes. La norma NIST SP 800-171 es la versión obligatoria aplicable a las organizaciones que manejan información controlada (CUI) para el Gobierno federal, y constituye la base del Nivel 2 del CMMC.

SOC 2

Los informes SOC 2 son elaborados por auditores públicos independientes y evalúan los controles de un proveedor de servicios en materia de seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. El SOC 2 Tipo II, que abarca un periodo de tiempo en lugar de un momento concreto, es un requisito cada vez más exigido por los clientes empresariales antes de contratar a un proveedor de servicios. Para los MSP, contar con su propio informe SOC 2 Tipo II supone un importante factor de diferenciación comercial.

SOX

La Ley Sarbanes-Oxley regula la información financiera de las empresas que cotizan en bolsa en EE. UU. y de algunas empresas privadas. Los proveedores de servicios de gestión (MSP) que prestan servicios a clientes que cotizan en bolsa pueden encontrarse con requisitos de la ley SOX relacionados con la integridad de los datos financieros, las pistas de auditoría y los controles de acceso a los sistemas financieros.

FISMA

La Ley Federal de Gestión de la Seguridad de la Información (FISMA) se aplica a los organismos federales de EE. UU. y a sus contratistas. Los proveedores de servicios gestionados (MSP) que prestan servicios a clientes del Gobierno federal deben conocer los requisitos de la FISMA, que se ajustan estrechamente a las normas del NIST. Se requiere la autorización FedRAMP para los proveedores de servicios en la nube que prestan servicios a organismos federales.

Evaluación del alcance del cumplimiento normativo para tus clientes

La prestación eficaz de servicios de cumplimiento normativo comienza por determinar con precisión qué marcos normativos se aplican a cada cliente. Un cuestionario de evaluación inicial de cumplimiento normativo, que se realiza durante el proceso de incorporación, evita que se detecten lagunas en el alcance durante un incidente o una auditoría.

Preguntas clave que deben abordarse para definir el alcance:

Sector sanitario: cumple con la HIPAA. Servicios financieros en Nueva York: cumplen con el NY DFS. Procesamiento de tarjetas de pago: cumple con la norma PCI DSS. Contratistas de defensa: cumplen con el CMMC. Organizaciones que operan en la UE: cumplen con la NIS2. Cada sector tiene un marco normativo principal, y la mayoría de las organizaciones deben cumplir con más de uno.

Afectados: El tratamiento de datos relativos a residentes de la UE da lugar a la aplicación del RGPD. Los datos relativos a residentes de California que superen los umbrales establecidos por la CPRA dan lugar a las obligaciones previstas en dicha ley.

Tamaño de los clientes y contratos: Los clientes empresariales casi siempre exigen a sus proveedores de servicios que acrediten el cumplimiento de las normas SOC 2 o ISO 27001. Los contratos federales incluyen en su ámbito de aplicación las normas FISMA, FIPS y, potencialmente, FedRAMP. Los contratos del Departamento de Defensa (DoD) incluyen la norma CMMC.

Seguro cibernético: Revisa detenidamente las pólizas de seguro de tus clientes. Las aseguradoras especifican ahora controles técnicos como condiciones para la cobertura. El incumplimiento de los requisitos de autenticación multifactorial (MFA) o de detección y respuesta ante incidentes (EDR) de una aseguradora constituye una falta de cumplimiento con consecuencias económicas directas para el cliente, independientemente de cualquier requisito normativo.

En el caso de un MSP típico que gestione entre 40 y 60 clientes en los sectores de la sanidad, los servicios financieros y las pymes en general, es posible que tenga entre diez y quince clientes con obligaciones activas en materia de la HIPAA, cinco o seis expuestos a la normativa PCI DSS y un número cada vez mayor de clientes empresariales que solicitan información sobre SOC 2. Definir adecuadamente el alcance de cada uno de ellos desde el principio es lo que hace que una práctica de cumplimiento normativo sea escalable, en lugar de reactiva.

El cumplimiento normativo como servicio gestionado: los tres niveles de servicio

La mayoría de los MSP estructuran sus servicios de cumplimiento normativo en niveles que reflejan un grado cada vez mayor de implicación y los precios correspondientes.

Nivel 1: Fundamentos del cumplimiento normativo

Implemente los controles de seguridad que cubran simultáneamente la mayoría de los requisitos de la mayoría de los marcos normativos. El conjunto de controles básicos es coherente: autenticación multifactorial (MFA) en todas las cuentas, gestión automatizada de parches, EDR, copias de seguridad y recuperación ante desastres con pruebas de restauración, registros de auditoría conservados durante los periodos exigidos y formación en concienciación sobre seguridad con simulaciones de phishing.

Esta capa fundamental cumple, en una sola fase, los requisitos del 6 al 10 de la norma PCI DSS, las medidas de seguridad técnicas de la Norma de Seguridad de la HIPAA, las medidas mínimas del artículo 21.2 de la NIS2, el control IG1 del CIS y las funciones «Proteger» y «Detectar» del Marco de Seguridad Cibernética (CSF) del NIST. Para muchos clientes de pymes, el Nivel 1 garantiza la mayor parte de su cumplimiento normativo. Además, proporciona pruebas que demuestran que dichos controles están en funcionamiento.

Nivel 2: evaluación del cumplimiento y gestión de las deficiencias

Evaluación de las deficiencias específicas del marco de referencia en relación con los requisitos aplicables del cliente. Un Plan de Seguridad del Sistema o documentación equivalente. Un Plan de Acción y Hitos (POA&M) que permita realizar un seguimiento de las medidas correctoras. Reuniones trimestrales de revisión del cumplimiento. Recopilación organizada de pruebas para estar preparados para la auditoría. Este nivel está dirigido a clientes que necesitan un programa de cumplimiento documentado, no solo controles de seguridad.

Tomemos como ejemplo una empresa de contabilidad con 200 empleados que acaba de perder a un cliente corporativo importante por no haber podido aportar pruebas de los controles SOC 2. Un encargo de Nivel 2 les proporciona una evaluación de las deficiencias con respecto a los Criterios de Servicios de Confianza, un sistema de seguimiento de las medidas correctivas y un programa de cumplimiento documentado que pueden mostrar al próximo cliente corporativo potencial mientras se preparan para una auditoría formal.

Nivel 3: preparación para la auditoría y apoyo en la certificación

Compromiso profundo en el apoyo a evaluaciones realizadas por terceros. Esto incluye la preparación para una auditoría de un evaluador de seguridad cualificado (QSA) para PCI DSS, una evaluación de un C3PAO para el Nivel 2 del CMMC, una auditoría de un CPA para SOC 2 o una auditoría de certificación según la norma ISO 27001. La recopilación de pruebas, las revisiones de preparación previas a la evaluación y la coordinación con los auditores forman parte del alcance de este servicio. Este nivel requiere una auténtica experiencia y conlleva unos precios más elevados. No todos los MSP comienzan aquí, pero es un destino lógico para aquellos que desarrollan una práctica de cumplimiento normativo seria.

Creación del motor de pruebas

La parte más exigente desde el punto de vista operativo de la gestión del cumplimiento normativo es la recopilación continua de pruebas. Las pruebas son la documentación que demuestra que los controles están en funcionamiento, y no solo que están diseñados. Sin ellas, el cumplimiento normativo solo existe sobre el papel y se desmorona ante cualquier escrutinio de los auditores.

Tipos de pruebas que son relevantes en los marcos más habituales:

Pruebas de gestión de parches: informes de cumplimiento de parches que muestran qué parches se han aplicado, cuándo y cuáles quedan pendientes, junto con la documentación de las excepciones. VSA los genera automáticamente. Estas pruebas cumplen el requisito 6 de la norma PCI DSS, los controles técnicos de seguridad de la Norma de Seguridad de la HIPAA y los requisitos AC.1.001 y SI.1.210 del CMMC.

Pruebas de la aplicación de la autenticación multifactorial (MFA): Informes de autenticación que demuestren que todas las cuentas de usuario y las interfaces administrativas cuentan con acceso protegido mediante MFA. Este es ahora un requisito básico para los seguros cibernéticos y aparece de forma explícita en la NIS2, el CMMC y la HIPAA.

Verificación de las copias de seguridad: registros de finalización de las copias de seguridad, resultados de la verificación mediante capturas de pantalla y registros de las pruebas de recuperación. Datto BCDR los genera automáticamente. La restauración probada es un requisito específico del artículo 21 de la NIS2 y una condición estándar de los seguros cibernéticos.

Resultados del análisis de vulnerabilidades: Informes en los que se muestran las vulnerabilidades detectadas, el estado de su corrección y la documentación de las excepciones, junto con la justificación empresarial correspondiente. Requeridos por las normas PCI DSS, CMMC y NIST SP 800-171.

Registros de auditoría: Conservación de los registros de acceso durante los plazos exigidos. La HIPAA exige seis años. La norma PCI DSS exige 12 meses, de los cuales 90 días deben estar disponibles de forma inmediata. Los plazos de conservación de los registros varían; conocer los requisitos de cada marco normativo al que está sujeto su cliente forma parte del servicio.

Registros de formación en concienciación sobre seguridad: porcentajes de finalización de la formación y resultados de las simulaciones de phishing de BullPhish ID. Obligatorios según la HIPAA, el CMMC y la NIS2. Las aseguradoras los solicitan habitualmente.

Respuesta ante incidentes: registros de incidentes, plazos de respuesta y análisis posteriores al incidente. Es un requisito en prácticamente todos los marcos de trabajo.

El factor diferenciador en cuanto a la eficiencia en la gestión del cumplimiento normativo es la automatización de la recopilación de pruebas, en lugar de la elaboración manual de informes. Los MSP que extraen las pruebas directamente de las herramientas operativas, RMM, plataformas de copias de seguridad y herramientas de seguridad, y las incorporan a un flujo de trabajo de gestión del cumplimiento normativo, cuentan con una ventaja estructural en términos de costes frente a aquellos que elaboran los informes de pruebas manualmente. Esa ventaja se acumula con cada cliente y en cada ciclo de renovación.

Servicios de cumplimiento normativo en materia de precios y presentación de productos

Los servicios de cumplimiento normativo ofrecen unas primas significativamente superiores a las de los servicios de « managed services » estándar, ya que proporcionan una reducción cuantificable del riesgo y facilitan las actividades empresariales, la elegibilidad contractual y la cobertura de seguros que los clientes necesitan y no pueden obtener en otros lugares. Algunos puntos de referencia prácticos para la fijación de precios:

Nivel básico de cumplimiento normativo: se incluye en todos los clientes gestionados como un complemento de seguridad básico. Su precio se calcula como un incremento por dispositivo o por usuario añadido al contrato base. Posiciona los controles de cumplimiento normativo como algo estándar en lugar de opcional, lo cual constituye el marco comercial adecuado.

Evaluación específica del marco: proyecto con tarifa fija cuyo alcance se ajusta al marco y al entorno específicos. El rango habitual oscila entre 5.000 y 25.000 dólares, o más, para una evaluación completa con documentación, dependiendo de la complejidad del entorno y de los requisitos del marco.

Gestión continua del cumplimiento normativo: Honorarios mensuales por la gestión continua del programa, la recopilación de pruebas, el seguimiento de las deficiencias, el mantenimiento de las políticas y las revisiones trimestrales. El precio se basa en el número de marcos gestionados y en el tamaño del entorno del cliente.

Apoyo en la preparación de auditorías: servicio con alcance específico para un proyecto previo a una auditoría realizada por terceros. El valor es elevado, el precio lo refleja y el resultado es tangible: un cliente que supera su auditoría.

Los proveedores de servicios de gestión (MSP) que presentan el cumplimiento normativo como un servicio de reducción de riesgos vinculado a resultados concretos (esto es lo que te permite seguir siendo asegurable, esto es lo que te permite seguir reuniendo los requisitos para ese contrato público) fijan los precios y conservan estos encargos con mucho más éxito que aquellos que lo presentan como un mero ejercicio de cumplir una lista de requisitos.

El conjunto de herramientas para garantizar el cumplimiento de los requisitos de MSP

Una pila completa de soluciones de cumplimiento normativo aúna cuatro capacidades.

Plataforma de gestión del cumplimiento normativo. Compliance Manager GRC De Kaseya, ofrece evaluación de múltiples marcos normativos, asignación de controles, gestión de pruebas, seguimiento de POA&M y generación de informes. Es compatible con HIPAA, RGPD, CMMC, NIST, PCI DSS, SOC 2, ISO 27001, CIS Controls, NY DFS, NIS2 y otros marcos normativos desde una única interfaz, diseñada específicamente para el modelo MSP multicliente.

Implementación de controles de seguridad. La plataforma « Kaseya 365 » proporciona las herramientas operativas que generan pruebas de cumplimiento normativo como resultado de la implementación de « managed services »: VSA para la gestión de parches y el análisis de vulnerabilidades, Datto EDR para la detección en terminales, Datto BCDR para copias de seguridad y recuperación, « BullPhish ID » para la formación en concienciación sobre seguridad e Inky para la seguridad del correo electrónico. Cada una de estas soluciones genera los registros de pruebas que exigen los marcos de cumplimiento normativo.

Documentación informática. IT Glue ofrece almacenamiento de políticas, documentación de control, registros de activos y documentación de configuración específica para cada cliente, tal y como exigen los marcos de cumplimiento como parte de un programa documentado.

Ventaja de la integración. La información recopilada por las herramientas operativas puede transferirse directamente a Compliance Manager GRC, convirtiendo los datos operativos en pruebas de cumplimiento sin necesidad de recopilarlas manualmente. Para un MSP que gestiona entre 30 y 40 clientes sujetos a programas de cumplimiento activos, esa integración es lo que hace que el modelo sea rentable.

Descubre la plataforma de cumplimiento normativo y seguridad de Kaseya

Puntos clave

El cumplimiento normativo en materia de TI para los MSP se articula en dos niveles: tus propias obligaciones de cumplimiento como proveedor de servicios y los programas de cumplimiento que ofreces a tus clientes. Ambos requieren atención.
El marco normativo se está ampliando, en lugar de estabilizarse. Las actualizaciones de CMMC, NIS2, PCI DSS v4.0 y la Norma de Seguridad de la HIPAA están en vigor y afectan a los clientes de los MSP en estos momentos.
Un modelo de servicio por niveles —que abarca desde los controles básicos, pasando por la evaluación y la gestión de deficiencias, hasta la preparación de auditorías— da respuesta a las distintas necesidades de los clientes con diferentes niveles de precios y permite adaptar los servicios de cumplimiento normativo a las necesidades de cada uno.
La recopilación automatizada de pruebas —que consiste en extraer los datos de cumplimiento normativo de las herramientas operativas y transferirlos a una plataforma de gestión del cumplimiento— es el factor diferenciador en materia de eficiencia que hace posible una gestión del cumplimiento a gran escala.
Los servicios de cumplimiento normativo alcanzan precios elevados porque reducen el riesgo cuantificable y permiten que los clientes lleven a cabo las actividades empresariales que necesitan. Preséntalos en esos términos.

Cumplimiento normativo en TI para proveedores de servicios gestionados (MSP): cómo crear una empresa que pueda crecer