Cyber due diligence en M&A: qué revisa realmente el comprador

Por Kike Gandia · Co-Fundador y CEO, OSCP

Si estás en el lado comprador de una adquisición, el due diligence técnico de ciberseguridad es donde se descubren los problemas que ni el vendedor sabía que tenía: vulnerabilidades activas, cuentas de antiguos empleados que siguen con acceso, o un incidente de seguridad nunca reportado formalmente. Esta guía explica qué debe cubrir un cyber due diligence bien hecho y cómo traducir los hallazgos en decisiones de negocio (precio, condiciones, o retirarse).

Las cuatro áreas que cubre un cyber due diligence completo

Postura técnica: vulnerabilidades activas en infraestructura y aplicaciones mediante análisis y, si el plazo lo permite, un pentest acotado. Gestión de accesos: cuentas huérfanas, privilegios excesivos, credenciales compartidas o sin rotar. Historial de incidentes: brechas previas, si se notificaron correctamente a la AEPD cuando correspondía, y si quedaron remediadas de verdad. Cumplimiento normativo: exposición a sanciones pendientes de NIS2, RGPD u otras normativas del sector.

Por qué la deuda de seguridad es más cara después de cerrar

Un hallazgo descubierto durante el due diligence se negocia: ajusta el precio, se retiene parte del pago condicionado a la remediación, o se incluye como garantía en el contrato de compraventa. El mismo hallazgo descubierto después de cerrar la operación es responsabilidad íntegra del comprador, sin ninguna palanca de negociación. La diferencia de coste entre ambos escenarios puede ser sustancial.

Señales de alerta que justifican profundizar más

Ausencia total de documentación de seguridad (ni una política, ni un registro de incidentes), un equipo técnico que no puede explicar quién tiene acceso administrativo a los sistemas críticos, sistemas con software obsoleto sin plan de actualización, o reticencia a dar acceso completo para la revisión. Cualquiera de estas señales justifica ampliar el alcance del análisis antes de cerrar.

Cómo traducir los hallazgos en la negociación

No todos los hallazgos tienen el mismo peso: una vulnerabilidad crítica en el producto principal que genera los ingresos pesa mucho más que una debilidad menor en un sistema interno secundario. Un informe de due diligence útil no solo lista hallazgos, los prioriza por impacto en el valor real del activo que estás comprando, con una estimación del coste y tiempo de remediación de cada uno.

Del hallazgo al mecanismo contractual

La conversación útil con el asesor legal no es "hemos encontrado vulnerabilidades", sino qué mecanismo del contrato absorbe cada tipo de hallazgo. Este es el mapeo que se usa en la práctica:

Tipo de hallazgo	Qué significa para el valor	Mecanismo habitual
Vulnerabilidad explotable en el producto que genera ingresos	Coste de remediación cuantificable y riesgo de interrupción	Ajuste de precio o condición suspensiva antes del cierre
Brecha previa no notificada cuando tocaba	Exposición regulatoria y reputacional con cola larga	Manifestación y garantía específica, con indemnidad
Cuentas huérfanas y privilegios sin control	Deuda operativa, barata de arreglar, cara si se ignora	Compromiso de saneamiento en los primeros 90 días post-cierre
Dependencia crítica de una sola persona con todos los accesos	Riesgo de continuidad del negocio adquirido	Cláusula de permanencia y transferencia documentada de accesos
Software sin soporte en sistemas centrales	Inversión obligatoria a corto plazo no recogida en el plan	Retención de parte del precio (escrow) hasta la migración

La lectura general es que casi ningún hallazgo técnico rompe una operación por sí solo: lo que cambia el resultado es descubrirlo antes o después de firmar.

FAQ

¿Cuánto tiempo lleva un cyber due diligence en una operación de M&A?

Depende del alcance y del acceso que facilite el vendedor, pero un análisis razonablemente completo suele requerir entre 1 y 3 semanas.

¿Puedo pedirlo aunque el vendedor ya presente su propio informe?

Sí, y es recomendable. El informe del vendedor es un buen punto de partida, pero como comprador conviene validar los hallazgos de forma independiente, especialmente si hay mucho en juego en la operación.

¿Qué pasa si encuentro algo grave a mitad de la negociación?

Se convierte en materia de negociación: ajuste de precio, retención de parte del pago (escrow) condicionada a la remediación, o cláusulas de garantía específicas en el contrato de compraventa.

¿Se puede hacer el pentest sobre el entorno de producción del vendedor?

Se puede, y en muchas operaciones es la única opción porque no existe un entorno de preproducción comparable, pero requiere reglas por escrito antes de empezar: ventana horaria acordada, exclusión de pruebas de denegación de servicio y de cualquier acción destructiva, un contacto técnico del vendedor localizable durante toda la ventana y un criterio de parada inmediata. La parte que suele olvidarse es la autorización: hace falta el permiso escrito del titular del sistema y, si está alojado en un proveedor cloud, comprobar sus condiciones de pruebas de seguridad. Con esas condiciones, un análisis no intrusivo sobre producción es rutina; sin ellas, es un riesgo innecesario justo cuando la relación entre las partes es más delicada.

¿Qué accesos hay que pedirle al vendedor y en qué orden?

Por orden de menor a mayor fricción: primero lo que no requiere tocar sistemas —inventario de activos y proveedores, organigrama técnico, informes de auditoría previos, registro de incidentes—; después, acceso de solo lectura a la consola de administración del entorno de correo y colaboración y a la consola cloud, que es donde se ve de un vistazo el estado real de los accesos privilegiados; y por último, si el alcance lo justifica, las pruebas activas. Empezar por lo documental permite además detectar una señal importante: cuánto tarda el vendedor en aportar información que debería tener a mano.

¿Y si el vendedor no autoriza pruebas técnicas hasta después de firmar?

Es un escenario frecuente en operaciones competitivas, y tiene salida. Se sustituye el análisis activo por una revisión documental y de configuración en sesión asistida —el equipo del vendedor comparte pantalla y navega por las consolas mientras el analista pide evidencias concretas— y se complementa con reconocimiento desde fuera, que no necesita autorización porque solo usa información públicamente accesible. Lo que no cubra esa revisión se traslada al contrato como garantía específica, y se acuerda una verificación técnica completa en los primeros meses tras el cierre.

¿Qué entregable debería exigir al proveedor del due diligence?

Tres cosas, y conviene pedirlas antes de contratar: un resumen de dos páginas orientado al comité de inversión, con la decisión que se recomienda y por qué; el detalle técnico con evidencias por hallazgo; y una estimación de coste y plazo de remediación para cada hallazgo relevante, que es la pieza que de verdad se usa en la negociación. Un informe que no incluya esa estimación deja el trabajo a medias, porque nadie puede convertirlo en una cifra sobre la mesa.