Qué hace una plataforma GRC por una pyme, y qué deja en tus manos
Una plataforma GRC (gobierno, riesgo y cumplimiento) es el sistema donde una empresa reúne su programa de seguridad y cumplimiento: el registro de riesgos, las políticas, los controles que pide cada marco, las evidencias de que esos controles funcionan, los proveedores y el historial de auditorías. Para una pyme o una empresa mediana que ha llevado la ISO 27001 o una primera evaluación de NIS2 con hojas de cálculo y carpetas compartidas, pasar a una plataforma suele ser el primer paso real hacia un programa que sobrevive a los cambios de equipo y a los ciclos de auditoría.
Un buen software GRC hace bien tres cosas. Asocia un mismo control a varios marcos, de modo que una política de contraseñas escrita para la ISO 27001 también cuenta para NIS2 o DORA sin reescribirla. Asigna a cada control, riesgo y documento un responsable y una fecha de revisión, para que nada caduque sin que nadie lo vea. Y conserva un rastro de auditoría de quién aprobó qué y cuándo, que es lo primero que pide un auditor o un supervisor.
Lo que una plataforma GRC no hace por sí sola es operar los controles que registra. Puede mostrar que existe un procedimiento de gestión de vulnerabilidades y que alguien subió el informe del análisis del último trimestre; no ejecuta el análisis, no interpreta los resultados ni parchea el servidor. Lo mismo ocurre con las revisiones de accesos, las copias de seguridad, la protección de los equipos y la respuesta a incidentes. Nuestro artículo sobre lo que no cubre la licencia de una plataforma de compliance explica esa diferencia en detalle. Es también la mejor forma de comparar Formalize, Copla y Qalea, porque cada una traza la línea entre software y trabajo operado en un punto distinto.
Formalize: amplitud normativa para pymes europeas
En qué destaca
Formalize es una empresa danesa con sede en Copenhague y oficinas que incluyen Madrid, según el anuncio de su ronda de financiación de octubre de 2025. Empezó con software de canal de denuncias, y ese producto sigue enlazado desde su plataforma. Hoy se presenta como una plataforma GRC conectada, con módulos de gestión de riesgos, gestión de políticas, gestión de terceros, gobierno del dato, continuidad de negocio y resiliencia, y auditorías planificadas y ejecutadas sobre los controles y las evidencias existentes.
Su principal argumento es la amplitud normativa. Formalize publica flujos de trabajo para DORA (incluido el registro de información), NIS2, el Reglamento de IA, el RGPD, la ISO 27001, la ISO 22301, el BSI IT-Grundschutz alemán, el CyFun belga, el Modello 231 italiano y el ENS español a través de la metodología Magerit. Para España en concreto, Formalize anunció un acuerdo de licencia con UNE, el organismo español de normalización, que la convierte en colaborador oficial de ISO, y se describe como el primer proveedor GRC en España con ese estatus. Su web está disponible en ocho idiomas, español incluido, y declara más de 8.000 empresas clientes.
Para quién está pensada
Formalize encaja con una empresa que necesita cubrir muchas normativas desde un mismo sitio y tiene personas para llevar el programa internamente: un área de cumplimiento o legal, un delegado de protección de datos, un equipo de sistemas responsable de los controles técnicos. La amplitud es especialmente útil para grupos con sociedades en varios países de la UE, donde marcos nacionales como IT-Grundschutz, CyFun o Modello 231 conviven con la ISO 27001 y el RGPD, y para empresas que además necesitan un canal de denuncias conforme a la Directiva europea de protección del informante.
Sus páginas publicadas describen software, no seguridad operada. No mencionan horas de asesoramiento, detección y respuesta en los equipos (EDR), un SIEM ni un equipo que revise alertas. Un comprador que necesite esas funciones las cubrirá con personal propio o con otro proveedor, y conviene preguntar en la demo cómo importa la plataforma las evidencias de esas herramientas.
Copla: software GRC con apoyo de CISO, pensado para servicios financieros
En qué destaca
Copla es una empresa regtech fundada en 2023 con sede en Vilna (Lituania), que cerró una ronda Serie A de 6 millones de euros en febrero de 2026. Su software GRC se organiza en módulos de gestión del cumplimiento, gestión de riesgos, gestión de riesgos de terceros, gestión documental, un SGSI y un registro de información específico para DORA. También cubre gestión de incidentes, notificación de incidentes DORA, análisis de impacto en el negocio y formación en concienciación, con un asistente de IA que redacta riesgos y políticas para que una persona los revise.
Lo que distingue a Copla de un proveedor de software puro es la capa de servicios humanos y técnicos. Vende CISO como servicio como complemento de cualquier plan, análisis de vulnerabilidades gestionado y pruebas de intrusión. Su lista de marcos incluye DORA, NIS2, ISO 27001, SOC 2, PCI DSS, Cyber Essentials, el Reglamento de Ciberresiliencia, la PS26/2 de la FCA británica y el RGPD, y afirma tener más de 50 marcos disponibles, con controles que se definen una vez y se reutilizan entre ellos.
Para quién está pensada
Las páginas de Copla se dirigen a equipos de gobierno, riesgo y cumplimiento de entidades financieras de cualquier tamaño, y su objetivo declarado es ser la capa de ejecución del cumplimiento para las finanzas reguladas en Europa. Sus referencias de clientes son bancos, empresas de pagos y empresas cripto. Para una fintech, una aseguradora o una entidad de pago que se prepara para la supervisión de DORA, el registro de información y la notificación de incidentes DORA son directamente útiles, y las horas de CISO ayudan a un equipo pequeño que aún no tiene un responsable de seguridad sénior.
Sus páginas publicadas no incluyen el ENS español entre sus marcos. Su monitorización continua se refiere a que las evidencias de cumplimiento se mantengan al día, no a un equipo que vigile los sistemas ante ataques, y no describen EDR ni un SOC. Una empresa española que vende al sector público tendría que confirmar directamente la cobertura del ENS, y cualquier empresa tendría que decidir quién atiende las alertas de seguridad.
Qalea: una plataforma de cumplimiento unida a seguridad operada
En qué destaca
Qalea es una empresa de Barcelona que combina una plataforma de cumplimiento con trabajo de seguridad que opera su propio equipo. La plataforma cubre la parte de procesos: la ISO 27001, el ENS, SOC 2, la ISO 42001, NIS2 y DORA funcionan sobre un único conjunto de controles y evidencias, de modo que una empresa que añade un segundo marco reutiliza lo que ya tiene en lugar de empezar de nuevo. Las políticas, el registro de riesgos, el inventario de activos, la revisión de proveedores y la preparación de auditorías están en el mismo sitio, con el equipo de Qalea guiando el trabajo junto al cliente.
Alrededor de esa plataforma, Qalea cubre personas e infraestructura. En personas, eso significa formación en concienciación, simulaciones de phishing, protección de los portátiles, gestión de dispositivos y un gestor de contraseñas. En infraestructura, significa visibilidad de la superficie de ataque externa e interna, de la configuración cloud y del código de las aplicaciones, con análisis de vulnerabilidades recurrentes y hallazgos priorizados por riesgo real. Una capa de monitorización con EDR, un SIEM y un SOC revisa alertas y responde a incidentes. Cuando una empresa ya tiene certificaciones o usa otra plataforma, Qalea migra ese trabajo a su plataforma.
Para quién está pensada
Qalea está pensada para pymes y empresas medianas que necesitan una certificación o un programa regulatorio y además quieren que la seguridad que hay detrás esté operada, no solo documentada. Muchos de sus clientes tienen su propio equipo de seguridad, y Qalea trabaja junto a él en cumplimiento, monitorización, superficie de ataque y concienciación. Para las empresas españolas, el ENS forma parte del mismo programa que la ISO 27001, algo relevante para los proveedores del sector público.
Qalea cubre menos marcos nacionales que Formalize y no es una herramienta de canal de denuncias. Tampoco es una entidad de certificación: la auditoría de certificación la realiza siempre un organismo independiente y acreditado, igual que con cualquiera de las tres plataformas.
Cómo se comparan las tres
El resumen siguiente recoge lo que publica cada empresa, revisado el 10 de noviembre de 2026. Refleja las páginas de los propios proveedores, no pruebas independientes, y todos añaden funciones con frecuencia, así que conviene confirmar cada punto en una demo.
- Marcos: Formalize recoge la mayor variedad de normativas europeas y esquemas nacionales, ENS incluido. Copla recoge más de 50 marcos con énfasis en servicios financieros, sin el ENS. Qalea cubre ISO 27001, ENS, SOC 2, ISO 42001, NIS2 y DORA sobre un único conjunto de controles.
- Apoyo de personas: Formalize describe software. Copla vende horas de CISO como complemento. El equipo de Qalea guía el programa como parte de la plataforma.
- Seguridad técnica: Formalize no describe seguridad operada. Copla ofrece análisis de vulnerabilidades gestionado y pruebas de intrusión. Qalea cubre protección de equipos, superficie de ataque, análisis recurrentes y una capa de monitorización con SOC.
- Pensada para: Formalize, pymes que cubren muchas normativas en varios países. Copla, entidades financieras reguladas. Qalea, pymes y empresas medianas que quieren certificación y seguridad operada a la vez.
Marcos cubiertos
Sobre el papel, Formalize es la que más abarca, y es la única de las tres que también ofrece canal de denuncias. Sus marcos nacionales son su rasgo distintivo: un grupo con una filial alemana que sigue IT-Grundschutz y otra belga que sigue CyFun puede tener ambas en el mismo sistema que su programa ISO 27001. La amplitud de Copla apunta en otra dirección, hacia la regulación financiera, con PCI DSS, la PS26/2 de la FCA y un módulo DORA detallado.
El número de marcos importa menos que la forma en que se comparten los controles entre ellos. Las tres describen la asociación de un control a varios marcos. La prueba práctica es elegir un control, como las revisiones de accesos, y pedir al proveedor que muestre dónde aparece la misma evidencia para la ISO 27001, NIS2 y, si aplica, el ENS o DORA, y qué ocurre en cada marco cuando esa evidencia caduca.
Quién opera los controles entre auditorías
Aquí es donde más se diferencian. Con Formalize, el equipo de la propia empresa opera los controles y los registra en la plataforma. Con Copla, también los opera el equipo de la empresa, con la opción de horas de CISO para orientarse y los análisis de vulnerabilidades y pruebas de intrusión que realiza Copla. Con Qalea, parte de la operación la hace el equipo de Qalea: monitorizar equipos y alertas, analizar la superficie de ataque, lanzar simulaciones de phishing y preparar con el cliente las evidencias de cada revisión.
Ninguno de estos modelos es erróneo. Una empresa con un equipo de seguridad interno sólido puede preferir un software que no se interponga. Una empresa con un único responsable de sistemas y una auditoría a la vista suele descubrir que lo difícil no es la documentación, sino mantener vivos los controles en marzo, julio y octubre, entre auditorías. Nuestro artículo sobre la monitorización continua del cumplimiento explica qué implica ese trabajo.
Seguridad técnica incluida
La oferta publicada de Formalize no incluye trabajo de seguridad técnica; la plataforma registra controles que ejecutan otras herramientas o equipos. Copla incluye dos servicios técnicos: análisis de vulnerabilidades gestionado y pruebas de intrusión, que dan una visión periódica de las debilidades y una prueba más profunda en un momento concreto. Ninguna de las dos describe detección y respuesta, es decir, un equipo que revise las alertas de los equipos y sistemas y actúe sobre ellas.
La oferta de Qalea incluye EDR en los portátiles, un SIEM y un SOC, junto con visibilidad de la superficie de ataque y análisis de vulnerabilidades recurrentes. Es la diferencia entre saber que existe una debilidad y tener a alguien que responda cuando se aprovecha. En marcos como NIS2, que exige la gestión de incidentes como medida propia, esa distinción influye en lo que pedirá ver un supervisor.
El contexto normativo español
Para las empresas españolas, el Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, suele ser el marco decisivo. Se aplica al sector público y a las empresas privadas que le prestan servicios o le proporcionan soluciones, y cada vez más licitaciones lo exigen en una categoría concreta. Nuestra guía sobre si el ENS aplica a tu empresa y en qué nivel explica cómo saberlo.
Formalize da soporte al ENS a través de Magerit, la metodología de análisis de riesgos publicada por la Administración española, y su acuerdo con UNE le da arraigo local. Copla no recoge el ENS. Qalea lleva el ENS sobre los mismos controles que la ISO 27001, y su monitorización y sus análisis generan evidencias para las medidas operacionales del ENS. El panorama de plataformas de cumplimiento en España sitúa estas opciones entre los demás proveedores activos en el mercado español.
El artículo 21 de NIS2 y el registro de información de DORA
El artículo 21 de NIS2
El artículo 21, apartado 2, de la Directiva NIS2 enumera diez medidas mínimas de ciberseguridad, desde el análisis de riesgos y la gestión de incidentes hasta la seguridad de la cadena de suministro, la ciberhigiene y la formación, el control de accesos y la autenticación multifactor. El artículo 20 hace responsable al órgano de dirección de aprobar esas medidas y supervisarlas. Una plataforma GRC ayuda con la primera mitad de esa obligación: documentar las medidas, asignar responsables y dejar constancia de la aprobación de la dirección. Nuestro artículo sobre las diez medidas del artículo 21 las recorre una por una.
La segunda mitad es demostrar que las medidas funcionan. Formalize y Copla publican programas de NIS2 que estructuran la documentación y las evidencias. Los análisis de vulnerabilidades y las pruebas de intrusión de Copla aportan evidencias para la gestión de vulnerabilidades y la evaluación de la eficacia. La capa de monitorización de Qalea, las simulaciones de phishing y la gestión de dispositivos operan directamente varias de las medidas, de modo que la evidencia sale del propio trabajo y no de una subida aparte.
El registro de información de DORA
El artículo 28, apartado 3, del Reglamento DORA obliga a las entidades financieras a mantener y actualizar un registro de información con todos los acuerdos contractuales sobre servicios TIC prestados por terceros proveedores, y a ponerlo a disposición de la autoridad competente. Las plantillas las fija el Reglamento de Ejecución (UE) 2024/2956, con tablas vinculadas para la entidad, sus proveedores, los acuerdos y las funciones a las que dan soporte. Mantener esas tablas coherentes en una hoja de cálculo es tedioso, y por eso Formalize y Copla publican herramientas específicas para el registro.
Para una entidad financiera, el registro es una parte de un proceso más amplio de riesgo de proveedores que incluye también la diligencia debida, el riesgo de concentración y los planes de salida. Nuestro artículo sobre la gestión de riesgos de terceros en DORA y NIS2 recoge todas las obligaciones. Al comparar plataformas, pide ver la exportación del registro en el formato oficial y cómo se mantiene alineada con las revisiones de proveedores que se guardan en otra parte de la plataforma.
Preguntas para cualquier proveedor GRC antes de firmar
Las demos suelen enseñar paneles. Estas preguntas sacan a la luz cómo se comporta la plataforma en los meses entre auditorías, que es donde fallan la mayoría de los programas:
- ¿Quién opera cada control entre auditorías: nuestro equipo, el vuestro o una herramienta, y qué evidencia genera cada uno?
- ¿Qué marcos están cubiertos hoy con su catálogo completo de controles y cuáles están previstos? Si el ENS aplica, ¿en qué categoría?
- ¿Cómo se recogen las evidencias: mediante integraciones, subidas manuales o trabajo que hace vuestro equipo, y qué pasa cuando caducan?
- ¿Qué ocurre antes de una auditoría de seguimiento: quién prepara la muestra y quién asiste a la auditoría?
- ¿Quién revisa y responde a las alertas de seguridad de los equipos y sistemas, y está incluido o se contrata aparte?
- ¿Se pueden importar nuestras políticas, riesgos y evidencias desde hojas de cálculo u otra plataforma, y quién hace la migración?
Las respuestas serán distintas en Formalize, Copla y Qalea, porque parten de ideas diferentes sobre cuánto trabajo debe asumir el proveedor. Ponerlas una al lado de otra, junto con las horas internas que seguiría necesitando cada modelo, da una base más clara para decidir que cualquier lista de funciones. Si la parte interna de esa decisión aún está abierta, nuestra guía sobre cuándo necesita una empresa un vCISO ayuda a dimensionar el liderazgo de seguridad que requiere el programa.
Más comparativas y guías sobre cómo llevar un programa en el día a día están reunidas en nuestra sección de operaciones de cumplimiento.
