Telefónica ha lanzado en España un servicio de ciberseguridad gestionada dirigido al midmarket, un segmento que la compañía acota a organizaciones con entre 150 y 1.000 dispositivos. La propuesta, operada por Telefónica Tech, combina la plataforma Falcon de CrowdStrike con la capacidad de análisis de los Centros de Operaciones de Seguridad (SOC) de la operadora. La lectura empresarial va más allá del anuncio de un nuevo servicio: apunta a una zona del mercado que acumula exposición digital, presión regulatoria y, a menudo, menos recursos internos que una gran corporación.
Ciberseguridad gestionada para empresas con menos margen operativo
El servicio se presenta como una solución MxDR, detección y respuesta gestionadas y extendidas, capaz de monitorizar de forma continua puestos de trabajo, servidores, identidades, cloud, correo y red. Telefónica lo ha estructurado en tres modalidades, Essential, Advanced y Premium, con el objetivo de adaptar el nivel de cobertura a organizaciones que no siempre pueden sostener un SOC propio ni equipos especializados disponibles durante todo el día.
Ese punto resulta relevante. Muchas empresas medianas han avanzado en digitalización, migración a la nube y trabajo distribuido sin reproducir la arquitectura de seguridad de una gran entidad financiera, energética o industrial. Tienen activos conectados, datos críticos y proveedores tecnológicos integrados en su operativa, aunque no necesariamente una función de ciberseguridad madura. Ahí aparece una brecha de mercado: organizaciones demasiado complejas para depender solo de herramientas aisladas, pero sin escala suficiente para internalizar todas las capacidades de vigilancia, investigación y respuesta.
La diferencia que Telefónica subraya está en la respuesta. Alejandro Ramos, director de ciberseguridad de Telefónica Tech, sostiene que el servicio MxDR «no envía alertas» como único resultado, sino que entrega al cliente una situación ya resuelta por un equipo experto o indicaciones para actuar con rapidez. La frase marca una tensión conocida en los departamentos tecnológicos: recibir más alertas no equivale a reducir el riesgo si no hay capacidad para priorizarlas, investigarlas y contenerlas.
Falcon y los SOC elevan la presión sobre el modelo tradicional
La plataforma Falcon de CrowdStrike aporta análisis en tiempo real, automatización y visibilidad unificada sobre dominios como endpoints, identidades, cloud, SaaS e inteligencia artificial. Telefónica añade a esa capa su conocimiento de red y la operación de sus SOC, lo que sitúa el servicio en un terreno híbrido: software de seguridad con automatización avanzada, pero también intervención humana para investigar alcance, origen y respuesta ante incidentes.
El movimiento encaja con una evolución más amplia del mercado. Las compañías han acumulado soluciones de seguridad durante años: antivirus de nueva generación, protección del correo, firewalls, herramientas cloud, sistemas de identidad y plataformas de monitorización. Sin embargo, la dispersión tecnológica puede convertirse en una carga si cada sistema genera señales separadas. El valor comercial del MxDR reside precisamente en reducir esa fragmentación operativa, aunque su eficacia dependerá de la integración real con los sistemas del cliente y de la calidad de la respuesta en incidentes complejos.
La promesa de visibilidad completa debe leerse con cautela. En entornos medianos hay heredados, aplicaciones verticales, proveedores externos y configuraciones cloud que no siempre están documentadas con precisión. La monitorización continua exige inventario, permisos, despliegue técnico y gobierno interno. Sin esa base, incluso una plataforma avanzada puede operar con zonas ciegas. El servicio de Telefónica entra, por tanto, en un punto sensible: no solo vender protección, sino ordenar una superficie de ataque que a menudo ha crecido más rápido que los procesos internos.
NIS2 y DORA convierten la respuesta en una obligación de gestión
La oportunidad comercial también llega condicionada por la regulación europea. La Directiva NIS2 refuerza los requisitos de seguridad, notificación de incidentes, gestión de riesgos y cadena de suministro para entidades esenciales e importantes. DORA, aplicable al sector financiero, establece normas uniformes para que las entidades financieras puedan afrontar, responder y recuperarse de perturbaciones o amenazas relacionadas con tecnologías de la información y la comunicación.
Pese a que no todas las empresas del midmarket quedan afectadas de la misma forma por estas normas, el efecto de arrastre es evidente. Una compañía mediana que presta servicios a sectores regulados puede recibir exigencias contractuales superiores a las que tenía hace unos años. La ciberseguridad deja de funcionar solo como una partida técnica y pasa a formar parte de auditorías, continuidad de negocio, seguros, compras corporativas y relaciones con grandes clientes.
El dato de actividad refuerza esa presión. INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26% más que el año anterior. El malware sumó 55.411 casos, incluidos 392 ataques de ransomware, una categoría especialmente crítica para empresas medianas por su capacidad de bloquear sistemas, interrumpir servicios y tensionar la caja en cuestión de horas.
En esa coyuntura, el atractivo del servicio no está solo en detectar amenazas. La continuidad del negocio se ha convertido en el argumento que conecta la ciberseguridad con la dirección general. Un incidente ya no se mide únicamente por el número de equipos afectados, sino por la parada de una planta, la interrupción de ventas, el incumplimiento contractual o la exposición de datos personales. Las empresas medianas suelen tener menos colchón organizativo para absorber ese impacto.
El midmarket entra en una fase de seguridad externalizada
Telefónica sitúa su propuesta en una franja donde la externalización puede ganar terreno con rapidez. Para muchas compañías, contratar analistas expertos, mantener turnos 24/7, actualizar reglas de detección, investigar incidentes y documentar evidencias para auditoría no resulta viable con equipos internos reducidos. Un MxDR gestionado traslada parte de esa carga a un proveedor especializado, aunque también introduce dependencias que deben gobernarse con contratos, métricas de servicio y claridad sobre responsabilidades.
La competencia en este espacio será intensa. Integradores, operadores, fabricantes de ciberseguridad y proveedores cloud están ampliando servicios gestionados porque el mercado demanda resultados medibles, no solo licencias. Telefónica parte con una ventaja en conocimiento de red y presencia empresarial en España, mientras CrowdStrike aporta una plataforma con reconocimiento internacional en protección de endpoints, identidades y entornos cloud. El encaje entre ambas capacidades determinará el valor percibido por los clientes más que la etiqueta tecnológica del servicio.
Para los directivos, la decisión no se reducirá a comprar una solución más. Habrá que valorar tiempos de respuesta, cobertura real de activos, integración con herramientas existentes, capacidad de contención, trazabilidad de incidentes y soporte ante requisitos de cumplimiento. También aparecerá una cuestión menos visible: hasta qué punto la empresa está dispuesta a permitir que un tercero intervenga activamente en sus sistemas cuando se detecte una amenaza.
La expansión de servicios MxDR en el midmarket español refleja una maduración del riesgo digital. Las empresas medianas ya no pueden operar como si la ciberseguridad avanzada fuera patrimonio de las grandes corporaciones, pero tampoco pueden replicar sus estructuras internas. Entre ambas opciones se abre un modelo gestionado donde la tecnología, la operación experta y la confianza contractual tendrán que funcionar al mismo tiempo. Ahí se jugará buena parte del valor operativo del nuevo servicio.
