¿Cuánto Cuesta un Pentest? Precios y Presupuestos para Pymes 2026
Lectura 9 min · AstraLoop Studio
Si estás buscando cuánto cuesta un pentest, probablemente ya has recibido presupuestos que van de 1.500 a 20.000 euros por lo que parece el mismo servicio. No te estás volviendo loco. El mercado del pentest está lleno de ofertas que usan el mismo nombre para cosas profundamente distintas: una cosa es un escaneo automático reetiquetado, otra muy distinta es un test manual llevado a cabo por personas que realmente intentan vulnerar tus sistemas.
En esta guía encontrarás los rangos de precio reales para una pyme en 2026, qué mueve el presupuesto hacia arriba o hacia abajo y cómo distinguir un pentest de verdad de un producto disfrazado. El objetivo es que llegues al presupuesto con criterios claros, para que cuando pidas una oferta sepas exactamente qué estás comprando. Si quieres el panorama completo sobre cómo se estructura la seguridad de una empresa, este artículo forma parte de una guía completa de auditoría de ciberseguridad para pymes a la que puedes volver cuando quieras.
Los rangos de precio reales de un pentest para pymes
Empecemos por las cifras concretas. Para una pyme, un pentest serio se sitúa en los rangos que ves a continuación en 2026. Son precios de mercado para trabajo manual realizado por profesionales certificados, no para escaneos automáticos.
| Tipo de test | Alcance típico | Rango de precio | Duración |
|---|---|---|---|
| Pentest de aplicación web (un único sitio o software de gestión) | 1 aplicación, pocos roles de usuario | 3.500 - 7.000 EUR | 3-6 días/persona |
| Pentest de infraestructura externa | IPs públicas, servicios expuestos, VPN | 4.000 - 9.000 EUR | 4-8 días/persona |
| Pentest interno (post-compromiso) | Red LAN, Active Directory, segmentación | 5.000 - 12.000 EUR | 5-10 días/persona |
| Pentest combinado (web + infraestructura + interno) | Perímetro completo de una pyme estructurada | 10.000 - 15.000 EUR | 10-18 días/persona |
| Test específico/re-test tras correcciones | Verificación de correcciones previas | 1.200 - 3.000 EUR | 1-3 días/persona |
Para la mayoría de las pymes, el presupuesto realista para un trabajo bien hecho cae en el rango de 5.000 a 15.000 euros. Por debajo de 3.000 euros difícilmente estás comprando un pentest manual completo: casi siempre es un vulnerability assessment automatizado con un informe maquillado. No tiene por qué ser inútil, pero no es lo mismo. Volvemos sobre esto enseguida.
El coste se calcula casi siempre en días/persona. Un día de un pentester certificado cuesta entre 700 y 1.200 euros, según la seniority y la estructura del proveedor. Multiplicas los días por la tarifa y llegas al presupuesto. Esto te da una forma sencilla de saber si una oferta tiene sentido: pregunta siempre cuántos días están previstos y quién los ejecuta.
Qué hace variar el coste de un pentest
Dos presupuestos pueden diferir el triple por motivos totalmente legítimos. Estas son las palancas que realmente mueven el precio, por orden de impacto.
1. Amplitud del alcance (scope)
Es la variable número uno. Un test sobre una sola aplicación web es un trabajo contenido. Testear toda la infraestructura expuesta, más la red interna, más las aplicaciones en la nube multiplica los días. Antes de pedir un presupuesto, define qué quieres testear: un sitio, un software de gestión, el perímetro externo, la red interna, todo junto. Cuanto más claro esté el alcance, más fiable será el presupuesto.
2. Profundidad del test (black, grey o white box)
- Black box: el tester parte sin información, como un atacante externo real. Realista pero más lento, por lo que resulta más caro para la misma cobertura de resultados.
- Grey box: el tester tiene las credenciales de un usuario estándar. Es la mejor relación coste/cobertura para la mayoría de las pymes y la opción más habitual.
- White box: acceso completo al código, configuraciones y arquitectura. Cobertura máxima, coste más alto, ideal para aplicaciones críticas.
3. Manual frente a automático
Aquí se esconde la diferencia de precio más grande y más malinterpretada. Un escaneo automático cuesta poco porque lo ejecuta un software en pocas horas. Un pentest manual cuesta más porque una persona razona como un atacante: encadena vulnerabilidades, elude los controles y encuentra los fallos lógicos que ninguna herramienta automática detecta. La competencia que vende paquetes a 990 euros casi siempre está vendiendo lo primero. Si tu objetivo es saber de verdad si alguien puede entrar, necesitas lo segundo.
4. Complejidad tecnológica
Una aplicación a medida con lógica de negocio compleja, APIs, integraciones con terceros y varios roles de usuario requiere mucho más tiempo que una web escaparate. El entorno también cuenta: on-premise, cloud, entornos híbridos e infraestructuras segmentadas aumentan los días.
5. Re-test e informe
Un buen presupuesto incluye al menos un re-test para verificar que las correcciones funcionan. Algunos proveedores lo excluyen para bajar la cifra en primera página y luego te lo cobran aparte. Comprueba siempre si el re-test y el informe ejecutivo (el que puede leer el gerente, no solo el técnico) están incluidos.
Pentest o vulnerability assessment: la diferencia que cambia el precio
Esta es la confusión que genera el 90% de las discrepancias en los presupuestos. Son dos servicios distintos, con costes distintos, que responden a preguntas distintas.
| Vulnerability Assessment | Pentest | |
|---|---|---|
| Pregunta que responde | ¿Qué vulnerabilidades conocidas tengo? | ¿Puede un atacante entrar de verdad? |
| Método | Escaneo automático, amplio | Test manual, específico, con explotación |
| Falsos positivos | Muchos, a validar | Cero: cada hallazgo está demostrado |
| Coste típico pyme | 800 - 3.000 EUR | 5.000 - 15.000 EUR |
| Frecuencia recomendada | Trimestral o continua | Anual o tras cambios importantes |
En la práctica: el vulnerability assessment te da una fotografía amplia y frecuente de las debilidades conocidas, el pentest verifica si esas debilidades (y otras que un escaneo no ve) son realmente explotables. Si un presupuesto de 900 euros promete un pentest, casi con toda seguridad estás comprando un VA con otro nombre. Hemos profundizado en el tema en un artículo dedicado: si quieres entender cuándo hace falta uno y cuándo el otro, lee la diferencia entre vulnerability assessment y pentest y el análisis sobre qué es un vulnerability assessment.
La estrategia más sensata para una pyme no es elegir entre los dos, sino combinarlos: vulnerability assessment recurrente para el monitoreo continuo, pentest una vez al año (o tras un cambio importante de infraestructura) para la verificación en profundidad.
Por qué cuesta el pentest: el contexto de 2026
El precio de un pentest no es un lujo, es el coste de saber de antemano lo que de otro modo descubrirías durante un ataque. Y 2026 no es un año tranquilo. Según el Rapporto Clusit, Italia concentra alrededor del 10% de los incidentes graves a nivel mundial, con un aumento de los ataques graves en el primer trimestre y una explotación de vulnerabilidades que ha crecido más de un 65% respecto a 2024. Las pymes no son un objetivo secundario: representan alrededor del 72% de los objetivos.
A esto se suma el marco normativo. Con la directiva NIS2 ya operativa, muchas empresas de la cadena de suministro deben demostrar que evalúan y testean su propia seguridad, y la responsabilidad recae directamente sobre el CEO y el consejo de administración, ya no delegable en el departamento de TI. Si estás dentro del perímetro de la NIS2, o trabajas como proveedor de empresas que lo están, un pentest documentado ya no es opcional: forma parte de lo que se te pide demostrar. Puedes verificar tu situación empezando por si la NIS2 se aplica a tu empresa.
También hay un factor económico directo. El coste medio de un ataque de ransomware para una pyme oscila entre 35.000 y 250.000 euros entre rescate, parón operativo y restauración. Compara esta cifra con un pentest de 8.000-10.000 euros y el cálculo del retorno se vuelve evidente. Lo hemos cuantificado en detalle en el análisis sobre el coste real de una brecha de datos y el ROI de la prevención.
¿Quieres saber cuánto costaría testear de verdad tus sistemas y cuáles son los puntos más expuestos? Solicita un análisis y un presupuesto a medida: definimos juntos el alcance y te decimos con claridad qué necesitas y qué no.
Cómo leer un presupuesto de pentest sin que te la cuelen
Un presupuesto serio se reconoce por algunos elementos. Si faltan, pide aclaraciones antes de firmar.
- Número de días/persona declarados y quién los ejecuta (junior, senior, certificaciones tipo OSCP, CEH, GWAPT). Un pentest real no se vende "a tanto alzado" sin decir cuánto tiempo requiere.
- Alcance por escrito: qué IPs, qué aplicaciones, qué entornos. Si el alcance es vago, el precio es arbitrario.
- Metodología declarada: OWASP, PTES, OSSTMM. Un proveedor serio te dice qué estándar sigue.
- Test manual explícito: la palabra "manual" debe aparecer. Si solo lees "escaneo" o "análisis automatizado", es un VA.
- Informe doble: uno técnico para quien debe corregir, uno ejecutivo para el gerente, con clasificación de los riesgos por gravedad.
- Re-test incluido: la verificación de las correcciones debería estar incluida, o al menos presupuestada aparte de forma transparente.
Una señal de alarma clásica es el precio demasiado bajo asociado a promesas demasiado grandes. Un "pentest completo de tu empresa por 490 euros" no existe como trabajo manual: esos días no se compran a ese precio. Si el coste es bajo, o el alcance es minúsculo o el trabajo es automático.
Pentest y ciberseguro: la pieza que casi nadie conecta
Hay un motivo más para plantearse el pentest, y la mayoría de los proveedores no lo menciona: la asegurabilidad. Las pólizas de ciberseguro en 2026 exigen cada vez más, en el momento de la contratación, evidencia de pruebas de seguridad periódicas. Un pentest reciente y documentado puede reducir la prima, desbloquear la cobertura o evitar que un siniestro sea rechazado por "no haberse adoptado medidas adecuadas".
Dicho de otro modo, el gasto en el pentest se puede recuperar en parte en la prima del seguro y, sobre todo, te protege en el momento en que de verdad hace falta. Es un razonamiento que vale la pena plantear junto al corredor de seguros: llevar a la negociación un informe de pentest es un argumento concreto, no un formalismo. Para situar el tema más amplio de la defensa sigue siendo útil la guía de ciberseguridad para pymes 2026 y, si también estás evaluando el perímetro digital, el artículo sobre el coste de una auditoría de seguridad del sitio web.
Cuánto gastar de verdad: un criterio práctico
Si tienes una pyme y tienes que decidir el presupuesto, razona así. Una empresa con un único sitio o software de gestión expuesto parte de un pentest de aplicación web en el rango de 3.500-7.000 euros, quizá combinado con un vulnerability assessment recurrente. Una empresa estructurada, con red interna, varias aplicaciones y obligaciones NIS2, se sitúa en el rango de 10.000-15.000 euros para un test combinado anual.
La regla práctica es una sola: el coste del pentest debería ser una fracción mínima de lo que te costaría un incidente. Si un parón operativo de una semana te cuesta decenas de miles de euros, gastar 8.000-10.000 euros al año para saber de antemano dónde eres vulnerable es uno de los gastos de seguridad con el retorno más claro. El coste, dicho sea de paso, siempre hay que compararlo con la alternativa de descubrir el mismo fallo a través de una brecha de datos con las correspondientes obligaciones del RGPD.
El consejo final es sencillo: pide al menos dos o tres presupuestos, pero compáralos según los criterios de esta guía (días, alcance, manual frente a automático, re-test), no solo por la cifra. El presupuesto más bajo casi siempre es el que menos testea.
Preguntas frecuentes
¿Cuánto cuesta un pentest para una pyme en 2026?
Para una pyme, un pentest manual serio cuesta normalmente entre 5.000 y 15.000 euros. Un test sobre una única aplicación web parte de 3.500-7.000 euros, mientras que un test combinado de web, infraestructura y red interna llega a 10.000-15.000 euros. Por debajo de 3.000 euros suele tratarse de un escaneo automático, no de un pentest completo.
¿Por qué algunos pentest cuestan menos de 1.000 euros?
Porque no son pentest manuales. Una oferta muy económica casi siempre es un vulnerability assessment automatizado con un informe maquillado. Un escaneo automático cuesta poco porque lo ejecuta un software en pocas horas, mientras que un pentest real requiere días de trabajo de un tester certificado que intenta de verdad vulnerar los sistemas.
¿Cuál es la diferencia de coste entre vulnerability assessment y pentest?
El vulnerability assessment cuesta normalmente entre 800 y 3.000 euros porque es un escaneo automático amplio de las vulnerabilidades conocidas. El pentest cuesta entre 5.000 y 15.000 euros porque es un test manual que verifica si esas vulnerabilidades son realmente explotables. Son servicios complementarios: el VA para el monitoreo continuo, el pentest para la verificación anual en profundidad.
¿Qué es lo que más hace variar el precio de un pentest?
La amplitud del alcance es la variable principal: testear un solo sitio cuesta mucho menos que testear toda la infraestructura más la red interna. Le siguen la profundidad del test (black, grey o white box), que sea manual o automático, la complejidad tecnológica y si se incluye o no el re-test tras las correcciones.
¿Un pentest sirve para la conformidad con la NIS2?
Sí, en muchos casos. Con la NIS2 operativa, las empresas dentro del perímetro y sus proveedores deben demostrar que evalúan y testean su propia seguridad, con responsabilidad directa del CEO y el consejo de administración. Un pentest documentado es uno de los elementos que ayudan a demostrar la adopción de medidas adecuadas, aunque no es la única obligación prevista por la directiva.
¿Cada cuánto hay que repetir un pentest?
La frecuencia recomendada es anual, o tras cada cambio importante de la infraestructura o de las aplicaciones (nuevo software de gestión, migración a la nube, nuevo sitio web). En paralelo es buena práctica realizar vulnerability assessments recurrentes, incluso trimestrales o continuos, para detectar las nuevas vulnerabilidades conocidas entre un pentest y otro.
Antes de firmar un presupuesto de pentest, habla con nosotros: te ayudamos a leer la oferta, definir el alcance adecuado para tu pyme y entender si estás comprando un test de verdad o un escaneo disfrazado.