La confianza es una estructura. Alguien tiene que construirla.

En Roma, el arx era la cima fortificada de la colina Capitolina. Albergaba el tesoro, los auspicios y la última línea de defensa. Cuando la ciudad baja caía, el arx permanecía; y mientras se mantuviera en pie, la ciudad no había caído.

La confianza en una empresa funciona igual. No es una frase en una web ni un certificado enmarcado. Es una estructura: decisiones registradas, controles que funcionan, pruebas que se pueden aportar cuando se piden, y personas que saben qué hacer a las tres de la madrugada. Se construye despacio y se defiende de forma continua.

En 2026 la presión llega desde cuatro direcciones a la vez. NIS2 ha incorporado a miles de empresas medianas a su ámbito y ha hecho a sus administradores personalmente responsables. DORA pide a las entidades financieras y a sus proveedores TIC que acrediten su resiliencia, contrato a contrato. El Cyber Resilience Act convierte la seguridad en condición de acceso al mercado para cualquier cosa con elementos digitales. El AI Act impone obligaciones a organizaciones que simplemente usan un sistema de IA, no solo a las que lo construyen.

Al mismo tiempo, la superficie de ataque se ha desplazado. El cloud sacó sistemas críticos del perímetro. La IA generativa metió datos de empresa en herramientas que nadie aprobó. Las cadenas de suministro convirtieron a cada proveedor en una posible vía de entrada.

Las empresas atrapadas en medio —de cincuenta a dos mil personas— casi nunca tienen un equipo de cumplimiento. Tienen un responsable de TI desbordado, un director financiero vigilando el presupuesto y un consejo que acaba de descubrir que responde. Las grandes consultoras les presupuestarán un programa que no pueden pagar, ejecutado por consultores que aprendieron el marco el trimestre pasado.

Creamos Arx Fidei precisamente para ese hueco. Un interlocutor sénior que permanece en el proyecto desde la primera llamada hasta la presentación final. Cuatro prácticas —ciberseguridad, cumplimiento, cloud y DevSecOps, IA— en manos de las mismas personas, porque es entre prácticas donde viven los hallazgos y los incidentes.

Debajo, un marco de controles unificado. NIS2, DORA, ISO 27001, SOC 2, RGPD y el AI Act hacen preguntas solapadas con palabras distintas. Las mapeamos una vez, de modo que un control se implanta una vez, se evidencia una vez y se reutiliza en cada auditoría que lo pida. En la práctica, el solapamiento ronda el setenta por ciento.

Y seguridad integrada en la cadena de entrega en lugar de informada por encima. Un hallazgo en una pull request cuesta una hora. El mismo hallazgo en un informe de auditoría cuesta un trimestre.

El ochenta por ciento de nuestro catálogo se vende a precio cerrado, con los entregables escritos antes de comprometerse. Nuestros paquetes tienen nombre, calendario y horquilla de precio, publicados en esta web en lugar de revelados tras una fase de descubrimiento.

Nuestro modelo de intervención tiene seis pasos y un punto semanal de treinta minutos. Siempre sabe qué se ha hecho, qué viene después y si vamos en plazo.

El cumplimiento no es un proyecto que termina. Un certificado hay que mantenerlo, un registro hay que actualizarlo, un sistema de IA hay que revisarlo cuando cambia. Por eso estamos construidos en torno a servicios recurrentes —vCISO, cumplimiento como servicio, DevSecOps gestionado— y no en torno a proyectos puntuales que dejan un informe y a nadie que lo mantenga.

Un paquete suele ser la puerta de entrada. Lo que sigue es una relación.