El cumplimiento normativo se ha convertido silenciosamente en una de las capacidades comercialmente más importantes que puede desarrollar un MSP. La combinación de una creciente complejidad normativa, mayores requisitos de contratación en las empresas y la toma de conciencia de los clientes sobre sus propias obligaciones de cumplimiento ha generado una demanda de servicios de gestión del cumplimiento que la mayoría de las PYMES y organizaciones medianas simplemente no pueden abordar internamente.

Según el informe de Kaseya sobre el estado de los MSP en 2026, el 71 % de los MSP afirma que los problemas de ciberseguridad son un reto comercial principal. La gestión del cumplimiento es cada vez más el medio por el cual los MSP demuestran que están abordando ese reto en nombre de sus clientes. Los MSP que entienden el panorama normativo, qué marcos se aplican, cómo se solapan y cómo ofrecer el cumplimiento como un servicio gestionado escalable, están ganando clientes empresariales, imponiendo precios prémium y construyendo relaciones de servicio de alta retención.

La plataforma de cumplimiento y seguridad de Kaseya es utilizada por miles de MSP en todo el mundo, lo que nos otorga una visión clara de dónde las prácticas de cumplimiento tienen éxito operativo y dónde se estancan.

Esta guía abarca todo en detalle: qué significa el cumplimiento normativo de TI para los MSP, los marcos de trabajo que usted y sus clientes deben conocer, y cómo construir una práctica de cumplimiento que genere un margen real.

¿Qué es el cumplimiento normativo de TI?

El cumplimiento normativo de TI se refiere a las políticas, controles y procesos que las organizaciones deben seguir para cumplir con los requisitos legales, regulatorios y contractuales sobre cómo gestionan y protegen los datos y los sistemas de TI. Los organismos reguladores a nivel federal, estatal e internacional establecen estos requisitos según la industria, el tipo de datos y la ubicación geográfica.

Para los MSP, el cumplimiento de TI opera en dos niveles simultáneamente. Primero, están las obligaciones de cumplimiento que aplican a su propio negocio como proveedor de servicios que gestiona datos de clientes. Segundo, están las obligaciones de cumplimiento que aplican a los negocios de sus clientes, con los cuales usted puede tener contratos o estar posicionado para ayudarles a cumplir.

A la mayoría de los MSP se les consulta sobre ambas cosas al mismo tiempo. Y cada vez más, la capacidad de responder a esas preguntas con pruebas en lugar de con meras garantías es lo que diferencia a los MSP que consiguen contratos empresariales de aquellos que quedan descartados desde el principio.

¿Cuál es el propósito del cumplimiento normativo de TI?

El objetivo es proteger la seguridad y la integridad de los activos digitales de una organización, y ofrecer a los reguladores, clientes y socios la confianza de que existen los controles adecuados. El incumplimiento no es solo un riesgo legal: genera una exposición comercial directa a través de multas, pérdida de contratos, exclusiones de seguros de ciberseguridad y daños a la reputación. Las violaciones del GDPR conllevan multas de hasta 20 millones de euros o el 4 % de la facturación global anual, la cifra que sea mayor. Las sanciones penales de la HIPAA pueden alcanzar los 250 000 dólares por infracción e incluir penas de cárcel. Las multas por brechas de seguridad de PCI DSS pueden llegar hasta los 500 000 dólares por incidente.

Más allá de las sanciones, los clientes y compradores en industrias reguladas no trabajarán con proveedores de servicios que no puedan demostrar prácticas conformes a las normativas. El cumplimiento es cada vez un requisito comercial fundamental, no solo uno de carácter regulatorio.

Por qué el cumplimiento se ha convertido en una oportunidad clave para los MSP

Varias tendencias convergentes han transformado el cumplimiento normativo de TI de ser una especialización a convertirse en una línea de servicio fundamental para los MSP competitivos.

Expansión regulatoria. CMMC pasó a ser un requisito contractual en las cadenas de suministro del Departamento de Defensa a partir de 2024. NIS2 entró en vigor en octubre de 2024, abarcando explícitamente a los MSP como entidades dentro de su alcance. PCI DSS v4.0 se volvió obligatorio en marzo de 2024. Las actualizaciones de la Regla de Seguridad de la HIPAA están en marcha. El panorama regulatorio sigue expandiéndose, no estabilizándose.

Requisitos de adquisiciones empresariales. Los clientes empresariales exigen cada vez más pruebas documentadas de cumplimiento, informes SOC 2 Tipo II, certificación ISO 27001 y acuerdos de asociación comercial (BAA) de HIPAA antes de contratar a proveedores de servicios. Los MSP que no cuentan con estas credenciales quedan excluidos de los ciclos de ventas corporativas antes de que comiencen.

Requisitos de seguros de ciberseguridad. Las aseguradoras exigen ahora pruebas de controles de seguridad específicos (como MFA en todas las cuentas, detección y respuesta en endpoints [EDR], copias de seguridad probadas, gestión de parches y planes de respuesta a incidentes documentados) como condiciones para otorgar cobertura. Ayudar a los clientes a implementar y documentar esos controles es un servicio de cumplimiento con un valor financiero directo para ellos.

Concienciación de los clientes. Las organizaciones de industrias reguladas son cada vez más conscientes de que sus obligaciones de cumplimiento se extienden a sus proveedores de servicios. Están haciendo preguntas que nunca antes habían planteado, y los MSP que no pueden responderlas están perdiendo clientes frente a los que sí pueden.

Las obligaciones de cumplimiento propias del MSP

Antes de vender servicios de cumplimiento a los clientes, un MSP debe revisar su propia postura de cumplimiento. Las obligaciones son significativas y a menudo se subestiman.

HIPAA. Cualquier MSP que gestione TI para clientes del sector salud que manejen información médica protegida (PHI) actúa como un asociado comercial (business associate) bajo la HIPAA. Es legalmente obligatorio contar con un Acuerdo de Asociociación Comercial (BAA) firmado. La Regla de Seguridad, que abarca la autenticación multifactor (MFA), el cifrado, los registros de auditoría y la respuesta a incidentes, se aplica directamente a su entorno.

NIS2. Los MSP se incluyen explícitamente en el ámbito de aplicación de NIS2 como proveedores de Managed Services. Si tiene clientes en la UE en sectores cubiertos, o si opera dentro de la UE, las obligaciones de NIS2 se aplican directamente a su organización.

CMMC. Los MSP que prestan servicios de TI a contratistas del Departamento de Defensa en entornos que contienen información no clasificada controlada (CUI) pueden enfrentarse a requisitos de CMMC para sus propios sistemas, no solo para los de sus clientes.

PCI DSS. Los MSP cuyos servicios afectan a la seguridad de los entornos de datos de titulares de tarjetas están clasificados como proveedores de servicios bajo PCI DSS y tienen sus propias obligaciones de cumplimiento específicas según dicho estándar.

Requisitos contractuales. Los clientes empresariales y gubernamentales imponen habitualmente requisitos de cumplimiento a través de contratos. Estos son vinculantes independientemente de cualquier requisito regulatorio directo.

El programa de cumplimiento propio del MSP no es un proyecto independiente de los servicios de cumplimiento que vende; es la base de su credibilidad. Un MSP que no cumple con los estándares que comercializa a sus clientes se vuelve vulnerable comercialmente en el momento en que un cliente le pide pruebas de su propio cumplimiento. Empezar por poner orden en casa es tanto la decisión ética como la más inteligente desde el punto de vista comercial.

Marcos de cumplimiento normativo de TI que los MSP deben conocer

Comprender qué marcos aplican en cada caso es la base de cualquier servicio de cumplimiento. Aquí tiene una referencia práctica de los marcos que más importan en el contexto de los MSP.

HIPAA

La Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA) regula el manejo de información de salud protegida (PHI) por parte de cualquier organización, incluidos los MSP clasificados como asociados comerciales, en el sector de la salud de EE. UU. Las salvaguardas técnicas de la regla de seguridad de HIPAA abarcan controles de acceso, registro de auditoría, cifrado y controles de integridad. El cumplimiento de HIPAA no es opcional para los MSP que atienden a clientes del sector sanitario; el Acuerdo de Asociado Comercial lo convierte en una obligación contractual.

PCI DSS

El estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS) protege los datos de los titulares de tarjetas dondequiera que se almacenen, procesen o transmitan. Todos los comerciantes que aceptan tarjetas de pago deben cumplir con la norma, y los proveedores de servicios, incluidos los MSP, con acceso a dichos entornos tienen sus propias obligaciones de cumplimiento. PCI DSS v4.0 se convirtió en el estándar obligatorio en marzo de 2024. Las multas por infracciones pueden alcanzar los 500.000 dólares por incidente.

CMMC

El marco del Modelo de Madurez de Ciberseguridad (CMMC) protege la base industrial de defensa. A partir de 2024, CMMC es un requisito contractual en las cadenas de suministro del Departamento de Defensa (DoD). Los MSP que prestan servicios a contratistas de defensa deben comprender los requisitos del Nivel 1 de CMMC (ciberhigiene básica) y del Nivel 2 (alineado con NIST SP 800-171), tanto para sus clientes como potencialmente para sus propios entornos que manejan información no clasificada controlada (CUI).

El Reglamento General de Protección de Datos (RGPD) se aplica a cualquier organización que maneje datos personales de residentes de la UE, independientemente de dónde tenga su sede la organización. Para los MSP, esto suele traducirse en acuerdos de procesamiento de datos con clientes de la UE y el cumplimiento de los requisitos relacionados con la seguridad de los datos, la notificación de brechas y los derechos de los interesados. Las multas del RGPD alcanzan hasta 20 millones de euros o el 4 % de la facturación global anual.

NIS2

La directiva NIS2, que entró en vigor en los estados miembros de la UE en octubre de 2024, es especialmente significativa para los MSP porque incluye explícitamente a los proveedores de servicios gestionados dentro de su ámbito de aplicación. Los requisitos abarcan la gestión de riesgos, la notificación de incidentes, la seguridad de la cadena de suministro y los controles técnicos mínimos, incluidos MFA, el cifrado y la gestión de vulnerabilidades.

NIST CSF

El Marco de Ciberseguridad del NIST es un marco voluntario de EE. UU. estructurado en torno a cinco funciones: Identificar, Proteger, Detectar, Responder y Recuperar. Se cita ampliamente en contratos, solicitudes de ciberseguros y evaluaciones de seguridad de clientes. NIST SP 800-171 es la versión obligatoria aplicable a las organizaciones que manejan CUI para el gobierno federal y constituye la base del Nivel 2 de CMMC.

SOC 2

Los informes SOC 2 son elaborados por contadores públicos independientes (CPA) y evalúan los controles de un proveedor de servicios en materia de seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. El informe SOC 2 Tipo II, que cubre un período de tiempo en lugar de un punto específico, es cada vez más requerido por los clientes empresariales antes de contratar a un proveedor de servicios. Para los MSP, obtener su propio informe SOC 2 Tipo II constituye un importante elemento diferenciador comercial.

SOX

La Ley Sarbanes-Oxley regula la información financiera de las empresas cotizadas en EE. UU. y de algunas empresas privadas. Los MSP que atienden a clientes que cotizan en bolsa pueden encontrarse con requisitos de SOX relacionados con la integridad de los datos financieros, las pistas de auditoría y los controles de acceso a los sistemas financieros.

FISMA

La Ley Federal de Gestión de la Seguridad de la Información (FISMA) se aplica a las agencias federales de EE. UU. y a sus contratistas. Los MSP que atienden a clientes del gobierno federal deben comprender los requisitos de FISMA, que se alinean estrechamente con los estándares del NIST. Se requiere la autorización FedRAMP para los proveedores de servicios en la nube que prestan servicios a agencias federales.

Delimitación del cumplimiento para sus clientes

La prestación eficaz de servicios de cumplimiento comienza por determinar con precisión qué marcos se aplican a cada cliente. Un cuestionario de admisión sobre cumplimiento, realizado durante la incorporación, evita descubrir brechas de alcance durante un incidente o una auditoría.

Preguntas clave de alcance a cubrir:

Sector: El sector sanitario se rige por HIPAA. Los servicios financieros en Nueva York se rigen por NY DFS. El procesamiento de tarjetas de pago se rige por PCI DSS. Los contratistas de defensa se rigen por CMMC. Las organizaciones que operan en la UE se rigen por NIS2. Cada sector tiene un marco principal y la mayoría de las organizaciones deben cumplir con más de uno.

Sujetos de los datos: El manejo de datos sobre residentes de la UE activa el RGPD. Los datos sobre residentes de California que superan los umbrales de la CPRA activan las obligaciones de la CPRA.

Tamaño del cliente y contratos: Los clientes empresariales casi siempre exigen pruebas de SOC 2 o ISO 27001 a sus proveedores de servicios. Los contratos federales introducen FISMA, FIPS y, potencialmente, FedRAMP en el ámbito de aplicación. Los contratos del Departamento de Defensa incorporan CMMC.

Ciberseguro: Revise detenidamente las pólizas de seguro de sus clientes. Las aseguradoras especifican ahora los controles técnicos como condiciones de cobertura. Omitir un requisito de MFA o EDR exigido por la aseguradora constituye una deficiencia de cumplimiento con consecuencias financieras directas para el cliente, al margen de cualquier requisito reglamentario.

Para un MSP típico que gestiona entre 40 y 60 clientes en el ámbito sanitario, de servicios financieros y de pymes en general, es posible que cuente con entre diez y 15 clientes con obligaciones activas de HIPAA, cinco o seis con exposición a PCI DSS y una creciente cartera de clientes empresariales que solicitan información sobre SOC 2. Delimitar cada uno adecuadamente desde el principio es lo que permite que una práctica de cumplimiento sea escalable en lugar de reactiva.

El cumplimiento como servicio gestionado: los 3 niveles de servicio

La mayoría de los MSP estructuran los servicios de cumplimiento en niveles que reflejan una mayor profundidad de compromiso y sus correspondientes precios.

Nivel 1: cimientos de cumplimiento

Implemente los controles de seguridad que abordan la mayoría de los requisitos en la mayoría de los marcos de manera simultánea. El conjunto de controles principales es coherente: autenticación multifactor (MFA) en todas las cuentas, gestión automatizada de parches, EDR, copias de seguridad y recuperación ante desastres con restauración probada, registro de auditoría conservado durante los períodos requeridos y formación en concienciación sobre seguridad con simulaciones de phishing.

Esta capa fundamental aborda los requisitos 6 a 10 de PCI DSS, las salvaguardas técnicas de la regla de seguridad de HIPAA, las medidas mínimas del artículo 21.2 de NIS2, los controles CIS IG1 y las funciones Protect and Detect de NIST CSF en una sola pasada. Para muchos clientes de pymes, el Nivel 1 proporciona la mayor parte de su postura de cumplimiento. También genera la evidencia que demuestra que dichos controles están operativos.

Nivel 2: evaluación de cumplimiento y gestión de deficiencias

Evaluación de deficiencias específica del marco en función de los requisitos aplicables del cliente. Un plan de seguridad del sistema (System Security Plan) o documentación equivalente. Un plan de acción y hitos (POA&M) para el seguimiento de la corrección. Reuniones trimestrales de revisión del cumplimiento. Recopilación organizada de evidencias para preparar auditorías. Este nivel está destinado a clientes que necesitan un programa de cumplimiento documentado, no solo controles de seguridad.

Considere el ejemplo de una firma contable de 200 empleados que acaba de perder a un cliente empresarial importante porque no pudo proporcionar evidencia de los controles de SOC 2. Un servicio de Nivel 2 les proporciona una evaluación de deficiencias frente a los Criterios de Servicios de Confianza (Trust Services Criteria), un sistema de seguimiento de correcciones y un programa de cumplimiento documentado que pueden mostrar al siguiente cliente potencial corporativo mientras trabajan para lograr una auditoría formal.

Nivel 3: preparación para auditorías y soporte de certificación

Un compromiso profundo en el apoyo a evaluaciones de terceros. Esto incluye la preparación para una auditoría de Asesor de Seguridad Cualificado (QSA) para PCI DSS, una evaluación de C3PAO para CMMC Nivel 2, una auditoría de CPA para SOC 2 o una auditoría de certificación ISO 27001. La empaquetación de evidencias, las revisiones de preparación previa a la evaluación y el enlace con los auditores forman parte del ámbito. Este nivel requiere auténtica experiencia y permite aplicar tarifas prémium. No todos los MSP empiezan aquí, pero es un destino lógico para aquellos que desarrollan una práctica seria de cumplimiento.

La creación del motor de evidencias

La parte de la gestión del cumplimiento que exige más operaciones es la recopilación continua de evidencias. La evidencia es la documentación que demuestra que los controles están operativos y no solo diseñados. Sin ella, el cumplimiento existe únicamente sobre el papel y se desmorona ante cualquier escrutinio de un auditor.

Tipos de evidencia importantes en los marcos más comunes:

Evidencia de gestión de parches: Informes de cumplimiento de parches que muestran qué se parcheó, cuándo y qué sigue pendiente con la documentación de excepciones. VSA los genera automáticamente. Esta evidencia satisface el Requisito 6 de PCI DSS, los controles de salvaguarda técnica de la regla de seguridad de HIPAA y los estándares CMMC AC.1.001 y SI.1.210.

Evidencia de cobertura de MFA: Informes de autenticación que muestran el acceso protegido por MFA en todas las cuentas de usuario e interfaces administrativas. Esto es ahora un requisito básico para el ciberseguro y aparece explícitamente en NIS2, CMMC e HIPAA.

Verificación de copias de seguridad: Registros de finalización de copias de seguridad, resultados de verificación de capturas de pantalla y registros de pruebas de recuperación. Datto BCDR los genera automáticamente. La restauración probada es un requisito específico del artículo 21 de NIS2 y una condición estándar de los ciberseguros.

Resultados de análisis de vulnerabilidades: Informes que muestran las vulnerabilidades identificadas, el estado de corrección y la documentación de excepciones con justificación comercial. Requerido por PCI DSS, CMMC y NIST SP 800-171.

Registros de auditoría: Registros de acceso retenidos durante los períodos requeridos. HIPAA exige seis años. PCI DSS requiere 12 meses con 90 días disponibles de forma inmediata. Los períodos de retención de registros varían; conocer el requisito de cada marco al que está sujeto su cliente forma parte del servicio.

Registros de formación en concienciación sobre seguridad: Porcentajes de finalización de formación y resultados de simulaciones de phishing de BullPhish ID. Requerido por HIPAA, CMMC y NIS2. Las aseguradoras los solicitan de manera rutinaria.

Gestión de incidentes: Registros de incidentes, cronogramas de respuesta y revisiones posteriores al incidente. Requerido prácticamente en todos los marcos.

El elemento diferenciador de eficiencia en la prestación de servicios de cumplimiento es la automatización de la recopilación de evidencias en lugar de elaborar informes manualmente. Los MSP que extraen evidencias directamente de las herramientas operativas, RMM, plataformas de respaldo y herramientas de seguridad, hacia un flujo de trabajo de gestión de cumplimiento, tienen una ventaja de costo estructural sobre aquellos que ensamblan informes de evidencia a mano. Esa ventaja se multiplica en cada cliente y en cada ciclo de renovación.

Precios y empaquetamiento de los servicios de cumplimiento

Los servicios de cumplimiento command precios significativamente más altos que los Managed Services estándar porque ofrecen una reducción de riesgos mensurable y permiten actividades comerciales, elegibilidad para contratos y cobertura de seguros que los clientes necesitan y no pueden obtener en ningún otro lugar. Algunas bases prácticas sobre los precios:

Capa base de cumplimiento: Se agrupa en todos los clientes gestionados como un complemento de seguridad básico. Se tarifa como un incremento por dispositivo o por usuario sobre el contrato base. Posiciona los controles de cumplimiento como estándar en lugar de opcionales, lo cual es el enfoque comercial correcto.

Evaluación específica del marco: Proyecto con tarifa fija cuyo alcance se adapta al marco y entorno específicos. El rango típico es de $5,000 a $25,000 o más para una evaluación completa con documentación, según la complejidad del entorno y los requisitos del marco.

Gestión continua del cumplimiento: Tarifa mensual (retiner) para la gestión continua del programa, recopilación de evidencias, seguimiento de deficiencias, mantenimiento de políticas y revisiones trimestrales. El precio se basa en la cantidad de marcos gestionados y el tamaño del entorno del cliente.

Soporte de preparación para auditorías: Servicio enfocado a proyectos previos a una auditoría externa. El valor es alto, los precios lo reflejan y el resultado es tangible: un cliente que supera su auditoría.

Los MSP que presentan el cumplimiento como un servicio de reducción de riesgos vinculado a resultados específicos (esto es lo que le mantiene asegurable, esto es lo que le permite optar a ese contrato gubernamental) fijan los precios y retienen estos servicios con mucho más éxito que aquellos que lo presentan como un ejercicio de marcar casillas en una lista.

El conjunto de herramientas (tooling stack) para la prestación de servicios de cumplimiento por parte de los MSP

Un conjunto completo para la gestión del cumplimiento reúne cuatro capacidades.

Plataforma de gestión del cumplimiento. Compliance Manager GRC de Kaseya ofrece evaluaciones de múltiples marcos, asignación de controles, gestión de evidencias, seguimiento de POA&M y generación de informes. Es compatible con HIPAA, GDPR, CMMC, NIST, PCI DSS, SOC 2, ISO 27001, CIS Controls, NY DFS, NIS2 y otros marcos desde una única interfaz, diseñada específicamente para el modelo de MSP con múltiples clientes.

Implementación de controles de seguridad. La plataforma Kaseya 365 proporciona las herramientas operativas que generan evidencias de cumplimiento como subproducto de la prestación de Managed Services: VSA para la gestión de parches y análisis de vulnerabilidades, Datto EDR para la detección en terminales, Datto BCDR para copias de seguridad y recuperación, BullPhish ID para formación en concienciación sobre seguridad e INKY para la seguridad del correo electrónico. Cada una de estas herramientas genera los registros de evidencia que exigen los marcos de cumplimiento.

Documentación de TI. IT Glue proporciona almacenamiento de políticas, documentación de controles, registros de activos y documentación de configuración específica del cliente que los marcos de cumplimiento exigen como parte de un programa documentado.

Ventaja de integración. Las evidencias recopiladas por las herramientas operativas pueden fluir directamente hacia Compliance Manager GRC, convirtiendo los datos operativos en evidencias de cumplimiento sin necesidad de ensamblaje manual. Para un MSP que gestiona 30 o 40 clientes bajo programas de cumplimiento activos, esa integración es lo que hace que el modelo económico sea viable.

Explore la plataforma de seguridad y cumplimiento de Kaseya

Puntos clave

El cumplimiento de TI para los MSP opera en dos niveles: sus propias obligaciones de cumplimiento como proveedor de servicios y los programas de cumplimiento que ofrece a sus clientes. Ambos requieren atención.
El entorno normativo se está expandiendo, no estabilizando. CMMC, NIS2, PCI DSS v4.0 y las actualizaciones de la norma de seguridad de HIPAA están vigentes y afectan a los clientes de los MSP en este momento.
Un modelo de servicio por niveles, que va desde los controles fundamentales pasando por la evaluación y la gestión de deficiencias hasta la preparación para auditorías, satisface las diferentes necesidades de los clientes a distintos precios y permite que los servicios de cumplimiento puedan escalarse.
La recopilación automatizada de evidencias, que extrae datos de cumplimiento de las herramientas operativas para llevarlos a una plataforma de gestión de cumplimiento, es el factor diferencial de eficiencia que hace posible la prestación escalable de servicios de cumplimiento.
Los servicios de cumplimiento justifican precios prémium porque reducen riesgos cuantificables y permiten llevar a cabo actividades comerciales que los clientes necesitan. Preséntelos en consecuencia.

Cumplimiento normativo de TI para MSP: cómo crear una práctica que escale

¿Qué es el cumplimiento normativo de TI?

¿Cuál es el propósito del cumplimiento normativo de TI?

Las obligaciones de cumplimiento propias del MSP