// METODOLOGÍA //
Una metodología transparente y determinista, alineada con ISO 27001, NIS2, DORA y DORA-ICT (para proveedores externos de TIC). Mismas respuestas → misma calificación, siempre.
Puntuación agregada a partir de 3 marcos de ciberseguridad.
// VISIÓN GENERAL //
Finnovia evalúa a las organizaciones conforme a cuatro marcos de ciberseguridad: FR-Basic (alineado con ISO 27001), FR-NIS2, FR-DORA y FR-ICT (para proveedores externos de TIC que prestan servicios a entidades financieras reguladas por DORA). Cada evaluación se basa en un cuestionario estructurado, organizado por dominios, donde las respuestas se convierten en puntuaciones ponderadas para generar una calificación FR-Cyber.
Nuestra metodología está diseñada para ser transparente, reproducible y alineada con los requisitos regulatorios europeos. Las ponderaciones reflejan las prioridades de cada marco.
FR-Basic
Gestión de la seguridad de la información
56 preguntas · 10 dominios
FR-NIS2
Seguridad de redes y de la información
37 preguntas · 7 dominios
FR-DORA
Resiliencia operativa digital
38 preguntas · 7 dominios
FR-ICT
Proveedores terceros de servicios TIC — DORA art. 30
16 preguntas · 6 dominios
FR-ICT
Mide la capacidad de un proveedor TIC para cumplir los requisitos contractuales y operativos que sus clientes sujetos a DORA deben imponerle en virtud del artículo 30: cláusulas contractuales, seguridad de los datos, notificación de incidentes, continuidad y salida, subcontratación y aseguramiento independiente. 6 dominios, 14 preguntas. La exigencia se deriva de la relación con el cliente: un proveedor establecido fuera de la UE se evalúa exactamente igual que uno establecido en ella.
// Categorías //
No todas las organizaciones se evalúan con todos los marcos. Finnovia determina automáticamente qué marcos se aplican a partir de datos objetivos recogidos durante el registro: nunca se pide a una organización que se declare a sí misma entidad DORA, NIS2 o TIC.
Bancos e infraestructuras de los mercados financieros que además alcanzan los umbrales de tamaño mediano o grande de NIS2.
Evaluadas con: FR-DORA · FR-NIS2 · FR-Basic
Las demás entidades financieras sujetas a DORA —aseguradoras, empresas de servicios de inversión, gestoras de activos, entidades de pago y de dinero electrónico, proveedores de servicios de criptoactivos, entre otras—, sea cual sea su tamaño, así como los bancos y las infraestructuras de los mercados financieros por debajo de los umbrales de tamaño de NIS2.
Evaluadas con: FR-DORA · FR-Basic
Cualquier organización que suministre productos o servicios TIC a una entidad financiera sujeta a DORA, con independencia de su país, su tamaño o su sector. Un proveedor establecido fuera de la UE se evalúa exactamente igual que uno establecido en ella, porque la exigencia se deriva de la relación con el cliente, no de la situación regulatoria del proveedor. La pertenencia a la categoría 3 se determina mediante una única pregunta directa durante el registro: ¿suministra la organización al menos a una entidad financiera sujeta a DORA? Nunca se deduce del sector, el tamaño o el país. Una organización solo entra en la categoría 3 si lo confirma ella misma. Un proveedor que esté sujeto a NIS2 pertenece a la categoría 4 y se evalúa además con FR-ICT.
Evaluados con: FR-ICT · FR-Basic
Organizaciones de los sectores cubiertos por NIS2 (energía, transporte, sanidad, infraestructura digital, entre otros) que alcanzan los umbrales de tamaño de NIS2, o que están cubiertas con independencia de su tamaño, como los proveedores de servicios DNS o de servicios de confianza.
Evaluadas con: FR-NIS2 · FR-Basic — + FR-ICT si la organización también suministra productos o servicios TIC a una entidad financiera sujeta a DORA.
Organizaciones sin relación con DORA ni con NIS2, incluidas las establecidas fuera de la UE que no tienen clientes sujetos a DORA.
Evaluadas con: FR-Basic (la base universal)
// CÓMO FUNCIONA //
Para cada dominio, la puntuación es el promedio de las respuestas proporcionadas, convertido a porcentaje. Las respuestas «No aplicable» se excluyen. Un dominio donde todas las preguntas obtienen nivel 3 (Gestionado) tendrá una puntuación del 75 %.
La puntuación compuesta se calcula como la suma ponderada de las puntuaciones de cada dominio. Cada dominio contribuye proporcionalmente a su peso, que refleja su importancia en el marco.
La puntuación compuesta se convierte en una calificación FR-Cyber mediante una escala fija de 8 niveles, desde FR-Cyber F (puntuación inferior al 20 %) hasta FR-Cyber A (puntuación igual o superior al 90 %). Cada nivel de calificación se determina mediante umbrales predefinidos e integrados en la metodología y nunca se ajusta a posteriori.
// ESCALA DE MADUREZ //
Cada pregunta se evalúa en una escala de madurez de 5 niveles, desde 0 (ninguna medida implementada) hasta 4 (proceso optimizado con mejora continua).
| Nivel | Madurez | Puntuación |
|---|---|---|
| 0 | Ninguno | 0% |
| 1 | Inicial | 25% |
| 2 | Definido | 50% |
| 3 | Gestionado | 75% |
| 4 | Optimizado | 100% |
| N/A | No aplicable | excluded |
// ESCALA FR RATING //
La calificación FR-Cyber convierte la puntuación global en una calificación comparable según la escala de calificación FR. Permite una lectura inmediata del nivel de madurez en materia de cumplimiento.
// BANDAS DE RIESGO FR-CYBER //
Los 8 niveles del Calificación FR-Cyber se agrupan en tres bandas de riesgo para el reporting de alto nivel y el benchmarking — definidas en el Methodology Book §5.1.
≥ 70 %
FR-Cyber A · FR-Cyber A- · FR-Cyber B+
Postura sólida de ciberseguridad con controles medidos, documentados y aplicados de forma consistente.
50 – 69 %
FR-Cyber B · FR-Cyber B-
Postura satisfactoria con áreas de mejora identificadas y riesgos residuales conocidos.
< 50 %
FR-Cyber C · FR-Cyber D · FR-Cyber F
Brechas significativas que requieren atención inmediata; los controles son parciales, ad hoc o inexistentes.
// PESOS POR DOMINIO //
Cada marco asigna diferentes pesos a sus dominios, reflejando las prioridades regulatorias. Los dominios con mayor peso tienen un mayor impacto en la calificación final.
56 preguntas · 10 dominios
37 preguntas · 7 dominios
38 preguntas · 7 dominios
16 preguntas · 6 dominios
// VALIDEZ //
Cada calificación lleva asociada una ventana de validez fija. Una vez caducada, deja de contar como credencial vigente y ya no figura en la página pública de calificaciones.
12 meses
Desde la fecha de envío
Refleja las respuestas enviadas por la organización. Sin revisión de analista en esta fase.
24 meses
Desde la fecha de firma del analista
Auditada control por control por un analista de Finnovia. Sólo se publican las calificaciones verificadas.
La revisión automatizada de Finnovia comprueba la coherencia y la verosimilitud de las respuestas enviadas frente a las evidencias aportadas; por ejemplo, señala una respuesta calificada como «Optimizado» sin ningún documento de respaldo, o una evidencia que no se corresponde con el nivel de madurez declarado. Se trata de un control de coherencia, no de una auditoría independiente: refuerza la confianza en la coherencia interna de la puntuación autodeclarada, pero no verifica las evidencias frente a la realidad.
Tres niveles de garantía: autoevaluación, revisión automatizada por IA y calificación verificada por un analista de Finnovia.
// NUESTROS COMPROMISOS //
La metodología de Finnovia se basa en la transparencia y el rigor:
Pesos públicos — las ponderaciones de cada dominio se comunican abiertamente.
Cálculo determinista — respuestas idénticas siempre producen puntuaciones idénticas. Sin factores subjetivos.
Alineación regulatoria — los cuestionarios cubren exhaustivamente los requisitos de cada marco.
Verificación independiente — las evaluaciones enviadas pueden ser verificadas por un analista de Finnovia antes de su publicación.
// LISTO PARA OBTENER SU CALIFICACIÓN //
Empiece con el plan gratuito Discovery. Actualice a una calificación verificada cuando esté listo.