Cuándo conviene hacer un curso de ciberseguridad con salida laboral (y cuándo no)

Respuesta corta: un curso de ciberseguridad con salida laboral conviene cuando ya tienes, o estás dispuesto a construir, una base de redes, sistemas operativos y algo de programación; cuando sabes a qué puesto de entrada apuntas (analista SOC, técnico de respuesta a incidentes, pentester júnior o consultor de cumplimiento), y cuando el programa te obliga a practicar en laboratorios y te deja pruebas que puedes enseñar en una entrevista. No conviene si esperas que el diploma, por sí solo, te consiga el empleo, si el centro no publica su temario ni quién lo imparte, o si existe una alternativa oficial o gratuita que cubre lo mismo y todavía no la has mirado.

Esta guía está pensada para decidir con calma. Verás qué dicen los datos públicos sobre la demanda de perfiles en España, qué puestos existen de verdad para alguien que empieza, qué certificaciones reconoce el mercado (con enlace a la web de quien las emite), qué formación oficial y gratuita conviene revisar antes de pagar, cómo interrogar a una academia y qué señales deberían hacerte cerrar la pestaña.

Cuándo conviene y cuándo no: la respuesta en dos listas

La pregunta «¿merece la pena un curso de ciberseguridad?» no tiene una respuesta general, porque depende de dónde partes y de qué te ofrece el curso. Lo que sí se puede hacer es separar las situaciones en las que pagar tiene sentido de las que conviene esperar o buscar otra vía.

Conviene si…

• Ya trabajas en informática (soporte, sistemas, redes, desarrollo) y quieres especializarte. Es el caso con mejor retorno: tu experiencia previa cuenta y el curso te da el vocabulario, las herramientas y, a veces, la certificación que filtra los currículos.
• Tienes claro el puesto al que apuntas y el temario cubre justo lo que piden las ofertas de ese puesto en tu provincia o en remoto.
• El programa tiene horas de laboratorio medibles: entornos donde atacas, defiendes, analizas registros o respondes a un incidente simulado, y de los que sales con informes o ejercicios resueltos que puedes enseñar.
• Prepara una certificación reconocida que aparece en las ofertas que te interesan, y dice con claridad si el examen está incluido o se paga aparte.
• Ofrece prácticas con convenio firmado o una bolsa de empleo con datos que puedes comprobar, no solo una promesa genérica.
• Ya has probado la formación gratuita (plataformas de retos, cursos abiertos, recursos de INCIBE) y sabes que te gusta el trabajo real, que es mucho menos cinematográfico de lo que parece: leer registros, documentar, revisar configuraciones y escribir informes.

No conviene (todavía) si…

• Nunca has configurado una red ni usado una terminal de Linux. Un curso avanzado sin esa base se convierte en memorizar comandos. Primero, fundamentos; después, especialización.
• El único argumento de venta es la empleabilidad («salida laboral garantizada», «el sector necesita miles de profesionales») sin temario detallado ni horas de práctica.
• No sabes quién imparte las clases o los docentes no tienen un perfil profesional que puedas comprobar.
• Existe una vía oficial que encaja contigo, como el curso de especialización de FP en ciberseguridad o un certificado de profesionalidad gratuito para personas desempleadas, y aún no has mirado si tienes plaza.
• Te piden firmar un préstamo en el momento para aprovechar un descuento que caduca hoy.
• Buscas un atajo. La ciberseguridad premia la constancia: el curso te ordena el camino, pero las horas de práctica las pones tú.

El punto intermedio, y el que recomendamos a casi todo el mundo, es empezar con recursos gratuitos durante unas semanas. Si al cabo de ese tiempo sigues con ganas y ya sabes qué parte del sector te atrae, el curso de pago se elige mucho mejor, porque sabrás qué preguntar y qué te sobra.

Qué dice el mercado laboral, con datos que se pueden comprobar

La cifra pública más citada sobre talento en ciberseguridad en España procede del informe Análisis y diagnóstico del talento de ciberseguridad en España, elaborado por INCIBE y el ONTSI y presentado el 1 de marzo de 2022. Según la nota de prensa de INCIBE, en 2021 la fuerza laboral del sector rondaba los 149.774 trabajadores, se estimaba una brecha de 24.119 profesionales, la demanda alcanzaba 63.191 empleos y la proyección para 2024 superaba los 83.000. La misma nota recoge que el 40,1 % de las organizaciones consultadas recicla hacia ciberseguridad a personal de otros departamentos, pero que solo 2 de cada 10 de esas posiciones internas reciben formación o tienen los conocimientos necesarios, y que solo el 18 % de las personas graduadas especializadas en la materia son mujeres.

Son datos útiles para entender la tendencia, pero conviene leerlos con dos matices. El primero: es un estudio de 2022 y la cifra de 2024 era una proyección, no un recuento. El segundo: una brecha de talento no significa que haya decenas de miles de puestos esperando a cualquiera que termine un curso. Buena parte de esa demanda se concentra en perfiles con experiencia, y el primer empleo sigue siendo el cuello de botella para quien llega sin trayectoria técnica.

Brecha de talento no es lo mismo que empleo júnior

Cuando una academia te dice que «faltan profesionales», tiene razón a medias. Faltan, sobre todo, personas capaces de hacerse cargo de un área con autonomía: responsables de seguridad, arquitectos, auditores con experiencia, especialistas en respuesta a incidentes que ya han vivido uno real. Para los puestos de entrada hay más candidatos, y las empresas filtran con tres cosas: base técnica demostrable, alguna certificación que funcione como filtro y señales de práctica real (laboratorios, retos resueltos, informes, un repositorio con scripts propios).

Por eso el mejor curso no es el que más habla de la brecha, sino el que te ayuda a reunir esas tres pruebas en el menor tiempo posible.

Cómo medir la demanda tú mismo en media hora

No necesitas un informe para saber qué se pide en tu zona. Haz este ejercicio antes de pagar nada:

1. Entra en InfoJobs y en LinkedIn Empleos y busca por puesto, no por palabra genérica: «analista SOC», «técnico de ciberseguridad», «pentester», «consultor GRC», «ISO 27001», «ENS».
2. Filtra por tu provincia y, aparte, por teletrabajo. Anota cuántas ofertas salen en cada búsqueda.
3. Abre diez ofertas de cada puesto y copia en una hoja de cálculo los requisitos que se repiten: años de experiencia, certificaciones, herramientas (SIEM, EDR, cortafuegos, nube), idiomas y titulación.
4. Marca cuáles piden experiencia cero o de menos de dos años. Esas son tus puertas de entrada reales.
5. Si la oferta publica banda salarial, anótala también. Es el dato salarial más fiable que vas a encontrar, porque es lo que esa empresa está dispuesta a pagar hoy.
6. Compara tu hoja con el temario del curso que estás valorando. Si cubre menos de la mitad de lo que se repite en las ofertas, no es el curso adecuado para ese puesto.

Salarios: dónde mirarlos sin fiarte de la publicidad

En esta guía no damos una horquilla salarial propia, porque las cifras que circulan en webs de formación rara vez citan de dónde salen y varían mucho según ciudad, sector y tamaño de empresa. Si quieres una referencia, consulta la Guía del Mercado Laboral 2026 de Hays, que incluye en su versión web fichas de puestos como Cybersecurity Analyst, Pentesting o Ethical Hacker y Cybersecurity Consultant o IT Audit, y contrástala con las bandas que publican las propias ofertas. Si una academia te promete un sueldo concreto al terminar, pídele la fuente por escrito.

Los perfiles de entrada reales y qué te piden

«Trabajar en ciberseguridad» agrupa oficios muy distintos. La Agencia de la Unión Europea para la Ciberseguridad (ENISA) publicó en septiembre de 2022 el Marco Europeo de Competencias en Ciberseguridad (ECSF), que resume el sector en 12 perfiles de rol con sus responsabilidades y competencias. Es una buena herramienta para comprobar si un curso forma para un perfil concreto o para todos a la vez, que suele ser lo mismo que para ninguno.

Estos son los puestos por los que suele entrar la gente que empieza, y lo que las ofertas acostumbran a pedir:

Analista SOC: la puerta de entrada más habitual

El centro de operaciones de seguridad es, para mucha gente, el primer empleo del sector. El trabajo consiste en revisar alertas que generan las herramientas de monitorización, decidir cuáles son reales y escalarlas con un informe claro. Suele haber turnos, porque la vigilancia es continua. Un curso que prepare para este puesto debería incluir práctica con un SIEM, análisis de tráfico de red, lectura de registros de Windows y Linux, y ejercicios de clasificación de alertas. Si el temario no menciona ninguna de estas cosas, no forma para SOC por mucho que lo diga el título.

Pentesting: el perfil más deseado y el más competido

El hacking ético atrae a mucha gente, y por eso las ofertas de entrada son pocas y exigentes. Quien consigue el primer puesto suele llegar con meses de práctica en plataformas de retos, informes escritos de máquinas resueltas y, a menudo, experiencia previa en desarrollo o sistemas. Un curso de pentesting conviene cuando ya tienes esa base y necesitas estructura y método; no conviene como primer contacto con la informática.

GRC y cumplimiento: la vía menos conocida

La consultoría de gobierno, riesgo y cumplimiento es la opción más razonable para perfiles que vienen del derecho, la auditoría, la calidad o la gestión. Aquí pesa entender normas como ISO/IEC 27001, el Esquema Nacional de Seguridad o la directiva NIS2, saber hacer un análisis de riesgos y redactar políticas y procedimientos que alguien vaya a cumplir. La exigencia técnica de entrada es menor, pero no nula: tienes que entender de qué hablan los técnicos para auditar su trabajo.

Respuesta a incidentes: mejor como segundo paso

Responder a un ataque real exige sangre fría y experiencia. Es un perfil al que se llega habitualmente desde el SOC o desde la administración de sistemas, no desde cero. Si un curso te promete convertirte en especialista en respuesta a incidentes en pocas semanas y sin base previa, desconfía.

Certificaciones reconocidas: cuáles tienen sentido al empezar

Las certificaciones de ciberseguridad son credenciales privadas que emiten organizaciones internacionales o fabricantes. No son titulaciones oficiales del sistema educativo español, pero muchas ofertas las usan como filtro. Estas son las que más aparecen, con lo que publica cada emisor en su web a fecha de esta revisión:

Dos datos de calendario que conviene tener presentes si vas a por Security+: según CompTIA, la versión SY0-701 se lanzó el 7 de noviembre de 2023 y se retira el 11 de junio de 2027 en inglés y el 13 de agosto de 2027 en español. Si empiezas a estudiar ahora, pregunta a la academia qué versión prepara y si te da tiempo a examinarte antes del cambio.

No existen certificaciones «adaptadas a España»

Algunos folletos venden versiones de certificaciones internacionales «adaptadas a la normativa española» o «a la normativa europea». No existen como tales: el examen de CEH, Security+ o CISSP es el mismo en todo el mundo. Lo que sí es local es la normativa, y esa se aprende aparte: el Reglamento General de Protección de Datos, la Ley Orgánica 3/2018 de protección de datos y garantía de los derechos digitales, el Esquema Nacional de Seguridad y la trasposición de la directiva NIS2. Un buen curso para trabajar en España combina una certificación internacional con un módulo serio de normativa.

¿Y el ENS? Se certifican las organizaciones, no las personas

El Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad, obliga al sector público y a los proveedores que le prestan servicios. La certificación de conformidad con el ENS la obtienen sistemas y entidades, no profesionales. Lo que sí existe es formación específica: el Centro Criptológico Nacional mantiene el portal del ENS y la plataforma de formación ÁNGELES. Si un curso te vende una «certificación ENS» personal, pregunta quién la emite y qué valor tiene.

Un orden razonable

Para la mayoría de personas que empiezan, el orden que menos dinero desperdicia es: fundamentos de redes y Linux, una certificación de entrada (CC o Security+), práctica sostenida en laboratorios y, solo después, una certificación de especialidad según el perfil elegido. Pagar un CISSP o un CISM al principio no tiene sentido, porque no podrías acreditar la experiencia que exigen.

Formación oficial y gratuita que conviene mirar antes de pagar

Antes de comparar academias privadas, revisa lo que ofrece el sistema público. En España hay formación oficial específica de ciberseguridad, formación gratuita para personas desempleadas y recursos abiertos de calidad.

Curso de especialización de FP en ciberseguridad (tecnologías de la información)

El Real Decreto 479/2020 crea el Curso de especialización en ciberseguridad en entornos de las tecnologías de la información. Es formación oficial de grado superior, de 720 horas y 43 créditos ECTS, con seis módulos: incidentes de ciberseguridad, bastionado de redes y sistemas, puesta en producción segura, análisis forense informático, hacking ético y normativa de ciberseguridad. Entre las ocupaciones que recoge están experto, auditor y consultor de ciberseguridad y hacker ético.

Para acceder necesitas uno de estos títulos de técnico superior: Administración de Sistemas Informáticos en Red, Desarrollo de Aplicaciones Multiplataforma, Desarrollo de Aplicaciones Web, Sistemas de Telecomunicaciones e Informáticos o Mantenimiento Electrónico. La ficha de TodoFP añade que, si no tienes esa titulación, hay plazas disponibles y la administración lo contempla, se puede acceder por otras vías (prueba, entrevista, currículo o experiencia laboral) hasta un máximo del 20 % de las plazas. Al terminar recibes una certificación académica que sustituirá al título de Máster de Formación Profesional. Los centros que lo imparten están en el apartado ¿Dónde estudiar? de la misma web.

Si tienes el título de técnico superior que da acceso, esta es probablemente la opción con mejor relación entre coste, reconocimiento y contenido práctico: es oficial, tiene temario público y, en centros públicos, el coste es muy inferior al de un bootcamp privado.

La variante industrial (tecnologías de operación)

El Real Decreto 478/2020 regula el curso equivalente para entornos industriales, también de 720 horas y 43 ECTS. Sus módulos son ciberseguridad en proyectos industriales, sistemas de control industrial seguros, redes de comunicaciones industriales seguras, análisis forense en ciberseguridad industrial y seguridad integral. Dan acceso los títulos de técnico superior en Sistemas Electrotécnicos y Automatizados, Mecatrónica Industrial, Automatización y Robótica Industrial, Sistemas de Telecomunicaciones e Informáticos y Mantenimiento Electrónico. Es una vía muy interesante para perfiles de electricidad y automatización, que suelen tener menos competencia en este nicho.

Certificado de profesionalidad de seguridad informática

Dentro de la formación para el empleo existe el certificado de profesionalidad IFCT0109, Seguridad informática, de nivel 3 de la familia de informática y comunicaciones. Es una acreditación oficial que se imparte en centros acreditados y que, para personas desempleadas, suele ofrecerse gratis a través del servicio público de empleo de cada comunidad autónoma. Puedes consultar las especialidades en el Catálogo de Especialidades Formativas del SEPE y preguntar en tu oficina de empleo por las convocatorias abiertas en tu zona.

INCIBE: catálogos y formación gratuita

El Instituto Nacional de Ciberseguridad tiene varios recursos que conviene conocer:

• Catálogos de formación en ciberseguridad: tres directorios con la oferta de formación profesional, formación universitaria y formación de entidades especializadas. Sirven para ver qué centros de tu comunidad imparten qué, antes de fiarte de la publicidad.
• Academia Hacker: recursos y programas formativos gratuitos, con talleres temáticos, entrenamientos y competiciones para medir tu nivel.
• Formación especializada y cursos en abierto de INCIBE, y el evento CyberCamp, útil para conocer el sector y hacer contactos.

Plataformas abiertas para practicar

Para construir la base y el portfolio sin gastar mucho, estas plataformas son referencias habituales del sector: Cisco Networking Academy para redes y fundamentos de ciberseguridad; el certificado profesional de ciberseguridad de Google en Coursera como introducción estructurada; TryHackMe y Hack The Box para laboratorios guiados y retos; y OverTheWire para aprender Linux a base de juegos de guerra en la terminal. Revisa en cada una qué parte es gratuita y qué parte es de pago, porque cambia con frecuencia.

Si trabajas o si estás en paro

Si tienes empleo, pregunta en tu empresa por la formación programada que se bonifica a través de FUNDAE, y por los permisos individuales de formación, que permiten dedicar horas de trabajo a formación reconocida con una titulación o acreditación oficial. Si estás en desempleo, la vía es el servicio público de empleo de tu comunidad, que publica los cursos gratuitos y los certificados de profesionalidad en convocatoria. Las ayudas y becas cambian con cada convocatoria: no te fíes de importes que veas en la publicidad de una academia y comprueba siempre la convocatoria vigente en la web oficial.

Cómo evaluar un curso antes de pagar

Una vez que sabes a qué puesto apuntas y qué alternativas públicas tienes, toca examinar el curso concreto. Estas son las cinco áreas que más dicen de un programa.

1. Temario y horas de práctica

Pide el temario completo, módulo a módulo, con las horas de cada uno, y pregunta cuántas son de laboratorio. «Incluye laboratorios» no es una respuesta: quieres saber cuántas horas, en qué entorno (máquinas virtuales propias, plataforma en la nube, entorno de un tercero) y si el acceso sigue abierto cuando termina el curso. Comprueba que los contenidos coinciden con lo que se repite en las ofertas que analizaste.

2. Quién enseña

Un buen centro no tiene problema en decirte quién imparte cada módulo. Busca a esas personas: trayectoria profesional, charlas, publicaciones técnicas, repositorios. Desconfía de las fotos de banco de imágenes y de los perfiles docentes sin nombre completo. En ciberseguridad, aprender de alguien que ha trabajado en el puesto marca la diferencia.

3. Prácticas y bolsa de empleo

Aquí es donde más se exagera. Pregunta si las prácticas son curriculares (con convenio firmado entre centro y empresa), si están garantizadas o dependen de un proceso de selección, y en qué empresas se hicieron el último año. Si te hablan de una tasa de empleo, pide cómo se calcula: si es sobre matriculados o solo sobre quienes respondieron a una encuesta, en qué plazo desde que acabaron y en qué tipo de puesto. Un porcentaje sin metodología no es un dato.

4. Qué te llevas al terminar

Lo que abre puertas en una entrevista no es el diploma, sino lo que puedes enseñar: informes de pruebas de penetración sobre entornos de práctica, análisis de incidentes simulados, scripts, reglas de detección, un repositorio ordenado. Pregunta si el curso produce ese material y si incluye la preparación y el pago del examen de certificación o solo la preparación.

5. Carácter del título

En España, un máster universitario oficial debe figurar en el Registro de Universidades, Centros y Títulos (RUCT). Si no está ahí, es un título propio: puede ser muy bueno, pero no es oficial y no sirve para lo que exige una titulación oficial (algunas oposiciones, doctorado). Lo mismo con la FP: la titulación oficial la reconoce el Ministerio y las comunidades autónomas; un «diploma de técnico en ciberseguridad» de una academia es un certificado privado.

Un curso no te da trabajo: te da una forma ordenada de acumular pruebas de que sabes hacerlo. Elige el que más pruebas te deje, no el que más promete.

Diez preguntas para hacer por escrito antes de matricularte

1. ¿Cuál es el precio total, con tasas, materiales y examen de certificación incluidos o no?
2. ¿Cuántas horas del programa son de práctica en laboratorio y en qué plataforma?
3. ¿Quién imparte cada módulo y dónde puedo ver su trayectoria?
4. ¿El título es oficial, título propio universitario o diploma del centro?
5. ¿Qué certificación prepara exactamente, en qué versión y quién la emite?
6. ¿Las prácticas están garantizadas? ¿Con qué empresas hay convenio firmado ahora mismo?
7. ¿Cómo se calcula el dato de empleo que publicáis y puedo ver la metodología?
8. ¿Puedo hablar con antiguos alumnos que yo elija, no solo con los que me propongáis?
9. ¿Qué pasa si no puedo seguir el ritmo: hay aplazamientos, cambios de grupo, devoluciones?
10. ¿Qué condiciones de desistimiento y cancelación tiene el contrato, y qué pasa con la financiación si me doy de baja?

Si alguna respuesta llega tarde, es vaga o solo te la dan de palabra, ya tienes información sobre cómo te van a tratar cuando seas alumno.

Señales de alarma: cuándo un curso no conviene

Hay patrones que se repiten en la publicidad de formación en ciberseguridad. Cualquiera de ellos no invalida un curso por sí solo, pero dos o tres juntos deberían bastar para descartarlo:

• «Empleo garantizado» o «te devolvemos el dinero si no encuentras trabajo» sin condiciones claras por escrito. Lee la letra pequeña: suelen exigir requisitos que casi nadie cumple.
• «Certificación oficial» referida a un diploma del propio centro. En España, oficial es lo que reconoce el sistema educativo; las certificaciones de fabricantes o de organizaciones internacionales son credenciales privadas.
• «Máster» presentado como oficial que no aparece en el RUCT.
• Descuentos con cuenta atrás permanente o precios tachados que no cambian nunca.
• Temario genérico («ciberseguridad avanzada», «hacking profesional») sin módulos, horas ni herramientas concretas.
• Docentes anónimos o descritos solo como «expertos del sector».
• Promesas salariales concretas sin fuente, del tipo «cobrarás X al terminar».
• «Hacker profesional en pocas semanas» sin requisitos previos. Nadie aprende redes, sistemas, programación y seguridad ofensiva en tan poco tiempo.
• Presión para firmar la financiación en la misma llamada, antes de haber visto el contrato.
• Testimonios sin nombre completo ni perfil verificable, o logotipos de grandes empresas sin explicar qué relación hay con ellas.

Tus derechos si contratas a distancia

Si contratas un curso por internet o por teléfono, como consumidor tienes en general 14 días naturales para desistir sin dar explicaciones, según los artículos 102 a 108 del texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios. Ojo con dos matices: si pides expresamente que el curso empiece durante ese plazo, puedes tener que pagar la parte ya prestada; y en los contenidos digitales, si aceptas su suministro inmediato reconociendo que pierdes el derecho, el desistimiento puede decaer. Lee esas casillas antes de marcarlas.

Si el curso se paga con un préstamo que te ofrece la propia academia, pide el contrato de crédito completo y su información precontractual antes de firmar. La normativa de crédito al consumo también contempla un plazo para desistir del préstamo. Guarda todos los correos y la publicidad que te llevó a matricularte: si el curso no cumple lo prometido, es tu prueba para reclamar ante los servicios de consumo de tu comunidad autónoma.

Decidir según tu punto de partida

La misma pregunta tiene respuestas distintas según de dónde vengas. Estas son las situaciones más frecuentes.

Si vienes de cero, sin formación en informática

No empieces por un curso de ciberseguridad. Empieza por la base: redes, Linux, Windows y algo de Python. Si tienes tiempo y puedes plantearte una formación larga, un grado superior de informática (ASIR es el más directo) y después el curso de especialización de FP es el camino oficial más sólido. Si necesitas algo más corto, un certificado de profesionalidad o una combinación de Cisco Networking Academy, plataformas de retos y una certificación de entrada te dan una base con la que valorar después un curso de pago con criterio.

Si ya trabajas en sistemas, redes o soporte

Es el momento en que un curso más compensa. Tu experiencia cuenta y el salto natural es hacia SOC, bastionado o respuesta a incidentes. Prioriza programas con mucha práctica y una certificación reconocida, y busca dentro de tu propia empresa: muchas organizaciones prefieren formar a alguien de sistemas que ya conoce su infraestructura. Pregunta por la formación bonificada antes de pagar de tu bolsillo.

Si eres desarrollador o desarrolladora

Tienes ventaja para la seguridad de aplicaciones y el pentesting web. Un curso centrado en desarrollo seguro, revisión de código y pruebas de aplicaciones web te rinde más que uno generalista. El módulo de puesta en producción segura del curso de especialización de FP va justo en esa línea.

Si vienes del derecho, la auditoría o la gestión

Mira hacia GRC y cumplimiento. Te conviene formación en ISO/IEC 27001, ENS, protección de datos y NIS2, más una base técnica suficiente para entender a los equipos que vas a auditar. Una certificación de entrada como ISC2 CC ayuda a demostrar esa base sin exigir experiencia técnica previa.

Si cambias de sector con experiencia laboral en otro campo

Tu experiencia previa no se pierde: sectores como la banca, la sanidad, la industria o la Administración necesitan perfiles que entiendan su negocio además de la seguridad. Busca el cruce entre lo que ya sabes y la ciberseguridad (por ejemplo, ciberseguridad industrial si vienes de mantenimiento o automatización) y elige una formación que te permita compaginar trabajo y estudio sin prometerte un cambio instantáneo.

La normativa que conviene conocer para trabajar en España

Buena parte del trabajo en ciberseguridad en España, sobre todo en consultoría y en el sector público, gira en torno a unas pocas normas. Un curso orientado al empleo en España debería tratarlas, aunque sea en un módulo breve:

• Protección de datos: el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018. La autoridad de control es la Agencia Española de Protección de Datos, que publica guías gratuitas muy útiles para formarte.
• Esquema Nacional de Seguridad: el Real Decreto 311/2022, de aplicación al sector público y a sus proveedores tecnológicos.
• Directiva NIS2: la Directiva (UE) 2022/2555 amplía las obligaciones de ciberseguridad a muchos más sectores y empresas. Los Estados debían trasponerla antes del 17 de octubre de 2024; comprueba en el BOE el estado de la norma española antes de dar nada por hecho.
• ISO/IEC 27001: la norma internacional de sistemas de gestión de seguridad de la información, base de muchas auditorías y certificaciones de empresa.

Saber moverse en estas normas es lo que distingue a un perfil preparado para el mercado español de uno que solo conoce herramientas. Y es algo que puedes aprender gratis leyendo las propias normas y las guías de la AEPD y del CCN.

Preguntas frecuentes

¿Cuándo conviene hacer un curso de ciberseguridad con salida laboral?

Cuando ya tienes una base de redes y sistemas (o estás dispuesto a construirla), sabes a qué puesto de entrada apuntas y el curso tiene horas de laboratorio medibles, docentes identificables y prácticas o bolsa de empleo con datos comprobables. Si falta alguna de esas piezas, suele compensar empezar por formación gratuita u oficial.

¿Se puede entrar en ciberseguridad sin experiencia previa en informática?

Sí, pero no directamente. Primero necesitas fundamentos de redes, sistemas operativos y algo de programación. El camino oficial más sólido es un grado superior de informática seguido del curso de especialización de FP en ciberseguridad; la alternativa corta es combinar formación gratuita, práctica en plataformas de retos y una certificación de entrada.

¿Qué certificación conviene sacar primero?

Para empezar, las más razonables son ISC2 CC, que no exige experiencia, y CompTIA Security+, que recomienda cierta experiencia previa. CEH y OSCP son para cuando ya tienes base y te orientas al pentesting. CISSP y CISM exigen años de experiencia, así que no tienen sentido al principio.

¿Es mejor la FP oficial o un bootcamp privado?

Si cumples los requisitos de acceso, el curso de especialización de FP en ciberseguridad (720 horas, oficial, con temario público) suele ofrecer mejor relación entre coste y reconocimiento. Un bootcamp privado puede tener sentido si necesitas más intensidad o no tienes acceso a la FP, siempre que supere las preguntas de evaluación de esta guía.

¿Hay formación gratuita en ciberseguridad que sirva para trabajar?

Sí. INCIBE ofrece la Academia Hacker y otros recursos gratuitos, además de catálogos con la oferta formativa del país. Para personas desempleadas existe el certificado de profesionalidad de seguridad informática a través de los servicios públicos de empleo, y plataformas como Cisco Networking Academy, TryHackMe u OverTheWire tienen contenidos gratuitos para practicar.

¿Qué perfil de ciberseguridad tiene la entrada más fácil?

El analista SOC de primer nivel es la puerta de entrada más habitual para perfiles técnicos. Para quien viene del derecho, la auditoría o la gestión, la consultoría GRC y de cumplimiento suele ser más accesible. El pentesting es el perfil más deseado y también el más competido en los puestos de entrada.

¿Cuánto se cobra en ciberseguridad al empezar?

Depende mucho de la ciudad, el sector y el puesto, y en esta guía no damos una cifra propia. Para orientarte, consulta guías salariales publicadas con fecha, como la Guía del Mercado Laboral 2026 de Hays, y sobre todo las bandas salariales que publican las ofertas reales de tu zona.

¿Un máster en ciberseguridad es un título oficial?

Solo si es un máster universitario que figura en el Registro de Universidades, Centros y Títulos (RUCT). Si no aparece ahí, es un título propio: puede ser útil, pero no es oficial. El curso de especialización de FP, por su parte, da una certificación académica que sustituirá al título de Máster de Formación Profesional, oficial dentro de la FP.

¿Qué hago si un curso me promete empleo garantizado?

Pide por escrito las condiciones exactas de esa garantía, la metodología del dato de empleo y las empresas con convenio de prácticas vigente. Si no te las dan o las condiciones son imposibles de cumplir, trátalo como una señal de alarma y compara con otras opciones.

¿Puedo desistir de un curso online si me arrepiento?

Por regla general, en los contratos a distancia tienes 14 días naturales para desistir sin justificarlo. Si pides empezar antes de que acabe ese plazo, puedes tener que pagar la parte ya prestada, y en contenidos digitales el derecho puede perderse si aceptas su suministro inmediato. Revisa las condiciones antes de pagar.

Sigue leyendo en Aprende

• Cómo elegir cursos de ciberseguridad con salida laboral en España
• Cuál es el mejor curso de ciberseguridad con salida laboral
• Alternativas a los cursos de ciberseguridad con salida laboral
• Cursos de ciberseguridad online
• Curso gratis de ciberseguridad y ethical hacking
• Cursos gratis con certificado