En resumen: la VdS 10000 es una directriz de VdS Schadenverhütung (entidad alemana de prevención de siniestros del sector asegurador) para la seguridad de la información en pequeñas y medianas empresas. Según VdS, se basa en la ISO 27001 y en la protección básica del BSI (Oficina Federal alemana para la Seguridad de la Información), pero es mucho más ligera y está adaptada a la pyme. Para sitios web y servidores web son importantes sobre todo el inventario, el tratamiento de vulnerabilidades, los accesos remotos con autenticación multifactor, las copias de seguridad y el manejo de incidentes de seguridad.
Por qué la VdS 10000 interesa a la pyme
Muchas empresas saben que deberían abordar la seguridad de la información de forma más estructurada, pero se echan atrás ante el esfuerzo de una ISO 27001. Precisamente para eso está pensada la VdS 10000. VdS la describe como un catálogo de medidas neutral respecto al sector que no debe exigir demasiado a las pequeñas y medianas empresas ni a los municipios, ni en lo organizativo ni en lo económico.
Dos datos de VdS ayudan a situarla. El esfuerzo sería de aproximadamente un 20 por ciento en comparación con ISO 27001. Y el BSI valoraría los requisitos de la VdS 10000 como un subconjunto de la protección básica del IT-Grundschutz. La directriz no es, pues, un sustituto de los grandes estándares, sino una entrada realista que, según VdS, es compatible hacia arriba.
Para las aseguradoras, la VdS 10000 tiene un peso especial, pues VdS está estrechamente vinculada al sector asegurador. VdS destaca que una certificación puede generar confianza en las aseguradoras y ayudar a transferir el riesgo residual. Qué significa esto en concreto para su póliza, aclárelo con su aseguradora o corredor; encontrará indicaciones sobre el siniestro en Ciberseguro: qué cuenta en caso de siniestro.
Novedades de la VdS 10000 en la versión de 2025
VdS revisó la directriz en 2025. Según VdS, se han añadido o modificado, entre otros, estos puntos:
- Lenguaje más claro, para que también los principiantes entiendan los requisitos.
- Responsabilidades vinculantes: los responsables de seguridad de la información y el equipo correspondiente deben nombrarse oficialmente.
- La autenticación multifactor para accesos remotos pasa a ser obligatoria.
- Copia de seguridad según el principio de varias generaciones, en lugares distintos y en soportes diferentes.
- Gestión de riesgos revisada, con indicaciones sobre criterios de valoración y límites a partir de los cuales se acepta un riesgo.
- Un capítulo común de «incidentes de seguridad», que reúne los anteriores capítulos sobre perturbaciones, fallos e incidentes.
- Los accesos físicos, como llaves y transpondedores, se regulan también en los procesos de personal.
La nueva edición tiene en cuenta además la directriz VdS 10100, que describe los requisitos de NIS2. VdS considera la VdS 10000 una base sobre la que estos pueden complementarse más adelante.
VdS 10000 y el servidor web: qué hay que hacer en concreto
La directriz no habla de PHP ni de servidores web concretos. Pero sus requisitos pueden trasladarse directamente a la infraestructura web. La tabla siguiente muestra cómo puede ser. Es una ayuda de traducción, no una interpretación oficial.
| Área de requisitos | Significado para el sitio web y el servidor web | Ejemplo de la situación de PHP2Shell |
|---|---|---|
| Visión de conjunto de sistemas de TI y riesgos | Sitios web, tiendas, portales y sus servidores están registrados y valorados | Saber de inmediato qué sistemas usan PHP y en qué versión |
| Vulnerabilidades y actualizaciones | Las actualizaciones de seguridad se instalan con prontitud y se documentan | Parche a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, reinicio de todos los workers |
| Accesos remotos con autenticación multifactor | SSH, panel de alojamiento y administración del CMS están protegidos adicionalmente | Las contraseñas robadas por sí solas no abren un acceso de administrador |
| Copia de seguridad | Varias generaciones, lugares y soportes separados | Recurrir a una copia anterior al 17 de octubre de 2026, si es necesario |
| Incidentes de seguridad | Vía de comunicación, valoración, documentación | La sospecha de webshell se comunica y se examina, no se borra en silencio |
| Proveedores | El proveedor de alojamiento y la agencia están integrados contractualmente | Confirmación escrita del parche por parte del proveedor de alojamiento |
Para la copia de seguridad merece la pena ver Copias de seguridad según la regla 3-2-1; para los accesos remotos, Autenticación de dos factores para los accesos de administración. Ambas cosas coinciden bien con las nuevas obligaciones de la versión de 2025.
¿Cómo proceden las pymes de forma realista?
La VdS 10000 puede usarse como guía incluso sin el objetivo de certificarse. Un camino pragmático empieza por el inventario, porque sin visión de conjunto no se puede cumplir limpiamente ningún otro requisito. Después vienen los puntos con mayor efecto por esfuerzo: autenticación multifactor, copias de seguridad que funcionan con prueba de restauración y una vía de comunicación clara ante una sospecha.
Solo cuando estos fundamentos están puestos compensa el lado formal, con directrices, responsables nombrados y valoración de riesgos. Quien aspire más adelante a una certificación encontrará el procedimiento en la documentación de VdS; la auditoría en sí la realiza el organismo de certificación, no un proveedor de servicios como nosotros.
Un obstáculo frecuente en la pyme es la cuestión de quién asume el rol de responsable de seguridad de la información. La versión de 2025 exige un nombramiento oficial. En las empresas pequeñas, la tarea suele acabar en la dirección de TI o en la propia dirección general. Es posible mientras el tiempo y las facultades estén dimensionados de forma realista. Es importante que esta persona tenga también a la vista los sitios web que atienden marketing o una agencia. Precisamente estos se escapan con facilidad en el primer inventario, porque no se ejecutan en el propio centro de datos. Ayuda una regla sencilla: cada dominio que posee la empresa tiene una persona responsable y una entrada en el inventario.
Para el servidor web esto significa: el refuerzo y la disciplina de parches no son un extra junto a la directriz, sino justo lo que ella exige en el día a día. Qué incluye lo describe el Refuerzo de servidores para servidores web PHP. La comparación con los grandes estándares la hace el artículo ISO 27001 y TISAX: qué afecta a los servidores web.
¿Cómo ayuda PHP SOS en concreto?
- Elaboramos con usted el inventario de sus sitios web, servidores y versiones de PHP y marcamos los sistemas críticos.
- Aplicamos los requisitos técnicos en el servidor web: actualizaciones con prueba documental, autenticación multifactor para accesos remotos, refuerzo y revisión de copias de seguridad.
- Lo documentamos de modo que sus responsables de seguridad de la información puedan incorporarlo a la documentación de VdS.
- No prometemos ninguna certificación. Si se cumplen los requisitos lo juzga el organismo auditor.
Conclusión
La VdS 10000 es un marco serio pero viable para la pyme. La versión de 2025 refuerza justo los puntos que también cuentan tras PHP2Shell: responsables, autenticación multifactor, buenas copias de seguridad y un tratamiento regulado de los incidentes. Quien empieza por el servidor web consigue rápido avances visibles y una base sólida para más.
Preguntas frecuentes
¿A quién va dirigida la VdS 10000?
Según VdS, a pequeñas y medianas empresas, así como a municipios y empresas municipales. Es neutral respecto al sector y no pretende exigir demasiado ni en lo organizativo ni en lo económico. Según VdS, también pueden aplicarla organizaciones más grandes.
¿Cuál es la diferencia entre la VdS 10000 y la ISO 27001?
Según VdS, la VdS 10000 se basa en la ISO 27001 y en la protección básica del BSI (IT-Grundschutz), pero está adaptada a las pymes y es mucho más ligera. VdS cifra el esfuerzo en aproximadamente un 20 por ciento en comparación con ISO 27001 y describe la directriz como compatible hacia arriba, es decir, como una posible entrada a la serie ISO 27000.
¿Ayuda la VdS 10000 con NIS2?
VdS describe la nueva edición de 2025 como una base sobre la que más adelante pueden complementarse los requisitos de NIS2. Para ello existe la directriz propia VdS 10100. Si su empresa está sujeta a NIS2 y qué se aplica entonces, aclárelo por separado.
¿Existe una versión para instalaciones de producción?
Sí. Para los sistemas de automatización industrial, VdS publica la guía VdS 10020, que adapta la VdS 10000 a ese ámbito.