¿Cuál es la mejor plataforma de concienciación en ciberseguridad para una pyme en 2026?

Riot es una empresa francesa y uno de los pocos proveedores del sector que publica su precio: 5,89 € por empleado al mes, con pago anual. Su página de precios no muestra mínimo de licencias. Para una pyme de 12 personas eso lo cambia todo: pagas 12 empleados, no 25. Puedes empezar gratis antes de pagar.

El corazón de Riot es Albert, un asistente que lleva la formación a donde ya trabaja tu equipo: Slack, Microsoft Teams o la web. Cada curso dura unos cinco minutos. El precio incluye el programa de concienciación, las simulaciones de phishing, la detección de nuevas filtraciones de contraseñas y una línea de asistencia en ciberseguridad. Riot sincroniza tu directorio de Google, Microsoft, Slack u Okta cuatro veces al día: quien entra en la empresa entra en el programa sin que hagas nada. El proveedor indica cumplimiento del RGPD y SOC 2 Tipo 2, y ofrece más de diez idiomas.

En las opiniones de usuarios, la integración con Slack y Teams es lo más valorado: la plantilla hace los cursos sin abrir otra herramienta más. Un usuario cuenta que Riot le sirve para cumplir el requisito de formación de ISO 27001. Se repiten dos quejas: no se puede elegir la hora de los recordatorios de Albert y falta un panel mensual listo para enviar a dirección.

KnowBe4 es el proveedor estadounidense que domina el mercado, y su tarifa es pública, algo poco habitual. El precio depende del número de licencias y del plan. Foundation va de 2,28 € por licencia al mes para un equipo pequeño a 1,55 € en los volúmenes más altos. Advanced va de 3,56 € a 2,65 €. Puedes pagar en euros y los impuestos van aparte.

Dos condiciones lo cambian todo para una pyme. Hay que comprar al menos 25 licencias. Y los precios públicos suponen un compromiso de 3 años. Una empresa de 12 personas paga 25 licencias durante tres años. Foundation da acceso a más de 200 contenidos y Advanced a más de 1 000. También ofrece un test de phishing gratuito, útil para medir tu punto de partida antes de comprar nada.

En los foros de administradores las opiniones están divididas. Unos ven los informes pobres y la herramienta como un trámite de cumplimiento. Otros dicen que el contenido se estanca al cabo de unos años. La interfaz se describe como algo anticuada, con poca flexibilidad para personalizar plantillas e informes, y la administración exige un buen nivel de inglés. A cambio, varios administradores cuentan descuentos importantes al negociar.

Mantra nació en Francia y hoy pasa a llamarse LibraCyber, el grupo europeo que nace de la unión de la italiana Cyber Guru y Libraesva, así que verás ese nombre en las propuestas comerciales. Para una pyme, lo que conviene vigilar es la renovación: pregunta qué producto y qué precio tendrás dentro de un año.

No hay precio público. La página de tarifas lleva a un formulario que calcula el precio según tres cosas: los productos que eliges, el tamaño de tu empresa (por tramos, el primero de 0 a 100 empleados) y los idiomas. La oferta se divide en módulos: simulaciones de phishing, concienciación, avisos dentro de los correos (Smart Banners) y una protección del navegador (Browser Defender). Los avisos en el correo son una buena idea para una pyme: recuerdan la consigna justo cuando el empleado lee un mensaje sospechoso, no tres semanas después.

El tramo de 0 a 100 empleados tiene una ventaja concreta: una empresa pequeña no está obligada a comprar 25 licencias como con los proveedores estadounidenses. A cambio, necesitas pasar por el formulario, y comparar varios presupuestos lleva tiempo.

Phished es un proveedor belga. Su tarifa tiene tres planes, Core, Advanced y All-in-One, pero los importes no aparecen: la casilla « desde » está vacía. Es, por tanto, bajo presupuesto, como casi todo el mercado.

Su punto fuerte es la automatización. Las simulaciones las genera la inteligencia artificial y se adaptan a cada empleado, se añade un botón para reportar correos en el buzón y llegan microformaciones justo después de un error. La página de precios destaca el cumplimiento de NIS 2, NIST, DORA e ISO 27001. El plan All-in-One añade una puntuación de riesgo de comportamiento por empleado y una conexión con Power BI, útil si dirección quiere seguir el indicador en sus propios paneles.

Los usuarios destacan una puesta en marcha rápida. Se repiten tres quejas: demasiados correos a la plantilla, no poder asignar a mano un curso concreto a una persona, y una terminología a veces confusa en la interfaz.

Hoxhunt es un proveedor finlandés y su página de precios es directa: el presupuesto depende de cuántos empleados tienes y de las funciones que necesitas. No hay precio público ni prueba gratuita, solo una demo.

Sus usuarios le dan de las mejores notas del sector en las webs de opiniones. Lo que se repite en sus opiniones: un programa que funciona solo y una plantilla que participa con más ganas que con los vídeos clásicos. Los administradores que lo han comparado con KnowBe4 lo describen, eso sí, como bastante más caro. Para una pyme es una compra de comodidad, no de ahorro.

Las opiniones señalan tres límites: las simulaciones se vuelven previsibles con el tiempo, la frecuencia acaba cansando a parte de la plantilla y la extensión para Outlook se describe como lenta. Para una empresa de 30 personas, el precio y la falta de prueba lo hacen difícil de justificar.

SMARTFENSE es una plataforma de concienciación con simulaciones de varios tipos de ataque. Además de las simulaciones de phishing clásicas, simula ataques de ransomware, el secuestro de datos que bloquea los equipos hasta pagar un rescate. Para una pyme, ese escenario es el más temido, y entrenarlo tiene sentido.

Además del phishing y del ransomware, simula ataques con códigos QR y el USB abandonado, y asigna a cada organización una puntuación de riesgo. Cada acción del empleado queda en un registro de auditoría, con la IP y el navegador, listo para enseñarlo en una auditoría. La empresa dice trabajar con más de 1 000 organizaciones en Latinoamérica y Europa, y su web está en español de España y de Latinoamérica, inglés, italiano y portugués.

Los planes van por niveles: Simulaciones, Básico, Estándar y Advanced 360. La importación de usuarios desde Microsoft Entra ID o Google va incluida en la base. Las integraciones con Slack, Microsoft Teams, Moodle o Vanta llegan con el plan Estándar, junto a los recorridos personalizados por persona y los cursos con certificado.

El precio no está publicado: hay que pasar por el equipo comercial. Es la principal pega frente a Riot o KnowBe4, porque no puedes comparar sin pedir presupuesto.

Kymatio es una empresa española que plantea la concienciación como gestión del riesgo humano. En lugar de un curso igual para todos, propone un programa automático que se adapta a cada empleado. Simula ataques por varios canales: correo, SMS, llamada y ransomware. También detecta credenciales expuestas y tiene un módulo de bienestar digital.

Para una pyme que vende al sector público, dos datos pesan: Kymatio tiene la certificación del Esquema Nacional de Seguridad en categoría media y la ISO 27001. Además relaciona el riesgo humano con NIS 2, DORA e ISO, útil si un cliente te pide pruebas.

El enfoque encaja con una pyme que ya ha pasado la fase de « todos hacen el curso anual » y quiere saber qué personas o qué departamentos concentran el riesgo. Para un gerente, esa lectura por persona ayuda a decidir dónde poner el esfuerzo: contabilidad, recepción, comerciales.

El precio no está claro en ninguna fuente pública: hay que pedir presupuesto. Las opiniones de usuarios también son escasas, así que pide una demo con tus propios casos y referencias de clientes de tu tamaño.

Microsoft incluye una función de simulación de ataques en Defender for Office 365. La trampa está en la licencia: exige Microsoft 365 E5 o Defender for Office 365 Plan 2. Business Premium, la licencia más habitual en las pymes, incluye el Plan 1, no el Plan 2. Si estás en Business Premium, no la tienes.

Cuando la tienes, es completa. Simula el robo de credenciales, el adjunto malicioso, el enlace a malware, la petición fraudulenta de permisos de una aplicación y el código QR falso. Está disponible en español. Una prueba de 90 días del Plan 2 permite lanzar una primera campaña.

Los administradores no se ponen de acuerdo. Unos dicen que funciona muy bien, con buenos informes. Otros encuentran los vídeos de formación tremendamente aburridos. Ese es su límite principal: excelente para simular, mucho menos para dar ganas de aprender.