Todo lo que necesitas saber para trabajar como especialista en ciberseguridad

El empleo en ciberseguridad en España no lo crea la amenaza, lo crea la obligación legal. El Esquema Nacional de Seguridad obliga a todo el sector público y a sus proveedores, la directiva europea de ciberseguridad extiende deberes a sectores enteros de la economía privada, y el reglamento de resiliencia operativa digital hace lo propio en el sector financiero. Esas tres normas explican casi todas las ofertas que vas a ver.

Entenderlo cambia la forma de prepararse, porque las guías traducidas proponen un itinerario de certificaciones estadounidenses y una lista de herramientas, cuando lo que de verdad abre puertas aquí es saber trabajar dentro de un marco de cumplimiento concreto.

En concreto, este artículo explica qué certificaciones tienen valor en el mercado español, una vía de formación profesional que casi nadie menciona, las tres normas que están generando contratación y cómo se entra sin experiencia previa.

Las tres normas que generan el empleo

El Esquema Nacional de Seguridad

El Real Decreto 311/2022 regula el Esquema Nacional de Seguridad, que se aplica a las administraciones públicas y, por extensión, a las empresas privadas que les prestan servicios. Clasifica los sistemas en categorías básica, media y alta, con medidas de seguridad crecientes en cada una.

Para ti, eso tiene una consecuencia muy concreta: cualquier empresa que quiera contratar con la administración necesita personal que entienda ese esquema. La conformidad se acredita mediante declaración en categoría básica y mediante certificación por una entidad acreditada en las categorías media y alta.

Si tuviera que señalar un solo conocimiento que mejore la empleabilidad de un perfil junior en España, sería este. De hecho, hay mucha gente que domina herramientas y muy poca que sepa preparar una auditoría de conformidad.

La directiva europea de ciberseguridad

La Directiva (UE) 2022/2555, conocida como NIS2, amplía considerablemente el número de organizaciones sujetas a obligaciones de ciberseguridad. Distingue entre entidades esenciales e importantes en sectores como energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública, espacio, correos, residuos, química, alimentación, fabricación e investigación.

Las obligaciones que impone son las que crean puestos de trabajo: medidas de gestión de riesgos, cadena de suministro, notificación de incidentes en plazos tasados, formación de la dirección y responsabilidad de los órganos de gobierno. Conviene comprobar el estado y el detalle de su transposición en España, porque es la norma más dinámica de las tres.

El reglamento de resiliencia operativa digital

En el sector financiero se aplica además el Reglamento (UE) 2022/2554, conocido como DORA, que impone requisitos específicos de gestión del riesgo de las tecnologías de la información, pruebas de resiliencia, notificación de incidentes y control de los proveedores críticos.

A ello se suma, en el ámbito de los productos con elementos digitales, el Reglamento (UE) 2024/2847 de ciberresiliencia, con aplicación escalonada, que traslada obligaciones a los fabricantes. Si tu perfil es de desarrollo, ahí hay un nicho creciente.

Equivalencias: del esquema estadounidense al español

Referencia estadounidense	Equivalente real en España
Marco NIST y controles CIS	Esquema Nacional de Seguridad (RD 311/2022) e ISO 27001
CISA como agencia de referencia	INCIBE para empresa y ciudadanía, CCN para sector público
Notificación de incidentes federal	Notificación a los CSIRT de referencia y a la autoridad competente
HIPAA y normativa sectorial	RGPD y LOPDGDD, con notificación a la AEPD en plazo tasado
Clearance de seguridad	Habilitación de seguridad para manejo de información clasificada
Certificaciones como requisito de contratación	Requisito frecuente en pliegos públicos, no condición legal
Bootcamp con garantía de empleo	Formación privada sin título oficial
Community college	Cursos de especialización de FP en ciberseguridad

La última fila es, sin duda, la que menos gente conoce y la que más sentido tiene para quien empieza.

La vía de formación que casi nadie menciona

Aquí está el hallazgo más útil del artículo para alguien que quiere entrar sin pasar por la universidad.

El catálogo español de formación profesional incluye cursos de especialización en ciberseguridad, pensados como posgrado de FP para quien ya tiene un ciclo de grado superior. Hay dos orientaciones:

Ciberseguridad en entornos de las tecnologías de la información, centrada en sistemas, redes, análisis de vulnerabilidades y respuesta a incidentes en el entorno corporativo clásico.
Ciberseguridad en entornos de las tecnologías de la operación, orientada a sistemas de control industrial, que es un nicho con escasez severa de perfiles y condiciones notablemente mejores.

Son títulos oficiales, duran menos que un máster y cuestan una fracción. Además, para acceder necesitas un ciclo de grado superior previo, habitualmente de la familia de Informática y Comunicaciones.

La segunda orientación merece una recomendación explícita: la ciberseguridad industrial combina dos mundos que casi nadie domina a la vez, y la industria española lleva años buscando ese perfil. Si vienes de automatización o mantenimiento, es tu puerta natural, como explicamos en la guía sobre cómo ser electricista industrial en España.

Las otras vías

Grado en Ingeniería Informática o en ingeniería de ciberseguridad, para una base teórica amplia.
Ciclos de grado superior de administración de sistemas en red o desarrollo de aplicaciones, que además dan acceso a los cursos de especialización. Los desarrollamos en la guía sobre trabajar como programador en España.
Másteres universitarios, oficiales o títulos propios, con la diferencia que conviene comprobar antes de pagar.
Certificados de profesionalidad de la familia de Informática y Comunicaciones.
Autoformación con laboratorio propio, que en este sector sí se valora, siempre que puedas enseñar resultados.

Qué certificaciones valen aquí y cuáles no

Las certificaciones internacionales se piden en España, aunque conviene entender su papel real: no son condición legal para ejercer, y su valor depende de a quién quieras vender tu perfil.

Certificaciones de fundamentos, útiles para superar el primer filtro en procesos junior y frecuentes en pliegos públicos como requisito del equipo.
Ofensivas con examen práctico, muy valoradas en consultoras de seguridad ofensiva porque acreditan que sabes hacer, no solo responder preguntas.
De gestión y gobierno, pensadas para perfiles con años de experiencia y orientadas a dirección, auditoría y cumplimiento.
De fabricante, imprescindibles si vas a trabajar con una tecnología concreta y habituales en los requisitos de los proyectos.
Auditor de sistemas de gestión de seguridad de la información, la vía de quien quiera dedicarse a auditoría e implantación de normas.

Hay un matiz español que marca la diferencia: en los pliegos de contratación pública las certificaciones no se piden porque sí, sino porque puntúan o porque son requisito de solvencia técnica. Así que saber eso te permite elegir cuál sacarte en función del tipo de empresa a la que quieras entrar.

Y hay una advertencia necesaria. Ninguna certificación sustituye a un portfolio demostrable, y las que prometen empleo garantizado no pueden comprometerlo. Si el contrato de un curso no concreta qué significa esa garantía, ya tienes la respuesta.

Dónde está realmente el empleo

El mercado español tiene seis circuitos, con perfiles y condiciones distintas:

Centros de operaciones de seguridad. Son la puerta de entrada más abierta, con turnos y mucha rotación, aunque enseñan en un año lo que otros puestos tardan tres en mostrar.
Consultoría y auditoría. Implantación de normas, auditorías de conformidad y adecuación a los marcos regulatorios. Es donde la demanda crece más rápido.
Seguridad ofensiva. Pruebas de intrusión y equipos de red team, un nicho exigente que tratamos en la guía sobre el hacker ético en España.
Seguridad en empresa final. Equipos internos en banca, seguros, telecomunicaciones, energía y grandes industriales.
Sector público. Acceso por oposición a cuerpos de tecnologías de la información, con un marco propio y estabilidad.
Ciberseguridad industrial. Protección de sistemas de control en fábrica, energía y agua. Es el nicho con mayor desajuste entre oferta y demanda.

La función concreta de cada perfil, con sus tareas diarias, la desarrollamos en la guía sobre qué hace un especialista en ciberseguridad.

Los organismos que conviene conocer

En una entrevista española, nombrar correctamente a los actores del ecosistema demuestra más criterio que recitar herramientas:

INCIBE, referencia para empresas y ciudadanía, con su equipo de respuesta a incidentes.
Centro Criptológico Nacional, referencia del sector público, responsable del Esquema Nacional de Seguridad y de sus guías.
Agencia Española de Protección de Datos, ante la que se notifican las brechas de datos personales en el plazo que fija el reglamento europeo.
Autoridades sectoriales, que en banca, energía o telecomunicaciones añaden sus propias obligaciones.

La parte que no conviene improvisar: el límite legal

Hay un punto en el que este sector se diferencia de cualquier otro perfil técnico. Las mismas habilidades que te hacen valioso pueden constituir delito si se ejercen sin autorización.

La regla práctica es sencilla y no admite matices: nunca pruebes nada sobre un sistema que no sea tuyo o para el que no tengas autorización escrita, con alcance y fechas. Por eso no basta con un correo informal ni con un permiso verbal del responsable de sistemas.

Ese marco, con los tipos penales implicados y la forma correcta de documentar una autorización, está desarrollado en las guías de hacker ético y de especialista en ciberseguridad enlazadas arriba. Aquí basta con la consecuencia práctica: un laboratorio propio, entornos de prueba legales y plataformas diseñadas para practicar son la única forma segura de aprender.

Cómo construir un perfil contratable sin experiencia

El contenido traducido recomienda un portfolio genérico. En el mercado español conviene afinar más, porque lo que se valora es distinto según el circuito al que apuntes.

Si apuntas a centro de operaciones

Demuestra que sabes analizar y correlacionar. Monta un laboratorio con un sistema de gestión de eventos, genera tráfico, provoca incidentes controlados y documenta la investigación: qué viste, qué descartaste y por qué concluiste lo que concluiste.

Ese documento vale más que una certificación, porque enseña tu razonamiento. Y el razonamiento es exactamente lo que evalúa quien contrata para un turno de vigilancia.

Si apuntas a consultoría y cumplimiento

Haz algo que casi nadie hace: coge el Esquema Nacional de Seguridad, elige una organización ficticia de categoría básica y prepara una evaluación de conformidad completa, con su análisis de riesgos, su declaración de aplicabilidad y su plan de adecuación.

Es trabajo de verdad, es decir, exactamente lo que harías en el puesto, y te sitúa por delante de candidatos con más certificaciones y ninguna práctica.

Si apuntas a seguridad ofensiva

Resuelve retos en plataformas legales de entrenamiento y, sobre todo, escribe los informes. En este oficio el entregable no es el acceso conseguido, sino el informe que permite arreglarlo: hallazgo, riesgo, evidencia reproducible y recomendación concreta.

Si apuntas a industrial

Aprende los protocolos de control industrial y la lógica de un autómata antes que cualquier herramienta de seguridad, porque en este nicho quien entiende el proceso que hay detrás del sistema tiene una ventaja difícil de alcanzar desde la informática pura.

Las habilidades que de verdad se evalúan

Más allá de la técnica, hay tres competencias que deciden las contrataciones y que conviene preparar:

Escribir. Buena parte del trabajo son informes, procedimientos y comunicaciones. Un técnico brillante que no sabe redactar un hallazgo pierde valor rápidamente.
Explicar riesgo en términos de negocio. La dirección no decide por la gravedad técnica, sino por el impacto y el coste. Traducir una cosa en la otra es lo que convierte a un técnico en asesor.
Soportar la ambigüedad. Muchos incidentes se gestionan con información incompleta y bajo presión. Mantener el método cuando faltan datos es la diferencia entre resolver y empeorar.

Sobre la carga mental que impone el trabajo por turnos y la respuesta a incidentes, en España existe un marco preventivo con obligaciones concretas para la empresa, incluida la evaluación de riesgos psicosociales y el derecho a la desconexión digital, que detallamos en la guía sobre trabajar en Meta en España.

Condiciones, convenio y guardias

La mayoría de los profesionales de ciberseguridad en España trabaja para consultoras y proveedores de servicios, lo que significa que se les aplica el convenio de consultoría y tecnologías de la información, no el de la empresa cliente para la que de hecho vigilan los sistemas.

Hay tres cosas que conviene negociar explícitamente y que casi nadie pregunta:

El régimen de guardias. Cómo se retribuye la disponibilidad, qué pasa si te llaman y cómo se compensa el tiempo de intervención.
El turno y su rotación, porque en un centro de operaciones determina tu vida mucho más que el salario base.
La formación y las certificaciones, quién las paga, si hay pacto de permanencia asociado y qué ocurre si te vas antes.

Ese último punto merece atención. Un pacto de permanencia vinculado a una certificación cara es legítimo si cumple los requisitos legales, aunque conviene leerlo antes de firmarlo y no después. El procedimiento para localizar el convenio aplicable y su tabla vigente está en la guía sobre trabajar en Amazon en España.

Errores comunes

Perseguir certificaciones antes de tener un laboratorio. Lo primero se compra, lo segundo demuestra.
Ignorar el Esquema Nacional de Seguridad. Es el conocimiento que más diferencia a un junior en el mercado español.
Confundir herramienta con criterio. Saber lanzar un escáner no es saber interpretar lo que devuelve.
Practicar sobre sistemas ajenos. Sin autorización escrita con alcance y fechas, es delito.
Pasar por alto la ciberseguridad industrial. Es donde hay menos competencia y mejores condiciones.
No preguntar por las guardias. En este sector condicionan la vida diaria más que el bruto anual.
Descuidar la escritura. El entregable del oficio es casi siempre un documento.
Asumir que te aplica el convenio del cliente. Te aplica el de quien te contrata.
Comprar un bootcamp por su garantía de empleo. Lee qué dice exactamente el contrato sobre esa garantía.

Preguntas frecuentes

¿Qué hay que estudiar para entrar en ciberseguridad en España?

Hay varias vías válidas. La universitaria pasa por un grado en informática o en ciberseguridad; la profesional, por un ciclo de grado superior de informática seguido de un curso de especialización en ciberseguridad, que es un título oficial de FP más corto y barato que un máster. También existen certificados de profesionalidad y la autoformación con laboratorio propio, que en este sector se valora si puedes enseñar resultados.

¿Qué son los cursos de especialización de FP en ciberseguridad?

Son titulaciones oficiales pensadas como posgrado de formación profesional, con dos orientaciones: ciberseguridad en entornos de tecnologías de la información y en entornos de tecnologías de la operación, esta última centrada en sistemas de control industrial. Requieren un ciclo de grado superior previo y son, probablemente, la vía de entrada con mejor relación entre coste, duración y empleabilidad.

¿Qué certificaciones piden las empresas españolas?

Depende del circuito. Las de fundamentos ayudan a pasar el primer filtro en procesos junior; las ofensivas con examen práctico se valoran en consultoras de seguridad ofensiva; las de gestión y gobierno se dirigen a perfiles con experiencia. Conviene saber que en el sector público muchas aparecen en los pliegos como requisito de solvencia o como criterio que puntúa, lo que explica por qué las piden.

¿Qué es el Esquema Nacional de Seguridad y por qué me interesa?

Es el marco regulado por el Real Decreto 311/2022 que se aplica al sector público y a sus proveedores, con categorías básica, media y alta. Interesa porque cualquier empresa que quiera contratar con la administración necesita personal que lo conozca, y porque hay mucha más gente que domina herramientas que gente capaz de preparar una auditoría de conformidad.

¿La normativa europea está creando empleo de verdad?

Sí, y es el motor principal. La directiva de ciberseguridad amplía las obligaciones a sectores enteros con deberes de gestión de riesgos, cadena de suministro y notificación de incidentes; el reglamento de resiliencia operativa digital hace lo propio en el sector financiero; y el reglamento de ciberresiliencia traslada requisitos a los fabricantes de productos con elementos digitales.

¿Puedo practicar hacking en casa?

Solo en tus propios sistemas, en laboratorios que montes tú o en plataformas legales diseñadas para entrenar. Nunca sobre sistemas ajenos sin autorización escrita que delimite alcance y fechas: un permiso verbal o un correo informal no sirven, y las consecuencias son penales.

¿Dónde hay más demanda y menos competencia?

En ciberseguridad industrial, es decir, protección de sistemas de control en fábrica, energía y agua. Combina dos mundos que casi nadie domina a la vez y la industria española lleva años buscando ese perfil. En segundo lugar, en consultoría de cumplimiento, por el empuje de las normas europeas.

¿Qué convenio se aplica en este sector?

Lo más habitual es el convenio de consultoría y tecnologías de la información, porque la mayoría de los profesionales trabaja para proveedores de servicios. Se aplica el convenio de quien te contrata, no el del cliente cuyos sistemas vigilas, y conviene negociar expresamente el régimen de guardias y la rotación de turnos.

¿Me pueden exigir devolver el coste de una certificación si me voy?

Puede existir un pacto de permanencia asociado a una formación costeada por la empresa, y es válido si cumple los requisitos legales de forma, duración y proporcionalidad. Conviene leerlo antes de firmar, comprobar el plazo y entender qué cantidad exacta se reclamaría, porque es un compromiso real y no una cláusula de adorno.

¿Sirve un bootcamp de ciberseguridad?

Puede servir como formación, aunque no otorga título oficial. Antes de pagar conviene preguntar qué construyes durante el programa, quién imparte, qué dice el contrato sobre la garantía de empleo y qué ocurre si no encuentras trabajo. Un centro serio responde a esas cuatro preguntas sin incomodarse.

TRABAJO MAS ACTUALES: