¿De verdad son subvencionables los pentests?
Sí — el eje A cita expresamente los análisis de infraestructura TI, los pentests, la corrección de vulnerabilidades detectadas, las simulaciones de incidentes y la elaboración de planes de emergencia. Es subvencionable exactamente lo que ofrece una imagen fiable de su postura de seguridad — incluida la remediación posterior.
¿Cómo funciona el sorteo?
En dos fases: manifiesta su interés en el portal de clientes de NRW.BANK; cada mes — normalmente el primer día laborable — se sortean 16 plazas. Si sale su número, la solicitud se desbloquea automáticamente y tiene 28 días para presentarla. Si no, participa el mes siguiente sin nuevo registro. Por eso conviene tener oferta y documentación listas antes del sorteo.
¿Cuánta ayuda recibimos realmente?
El 50 % de los gastos subvencionables, con un mínimo de 4.000 € y un máximo de 15.000 € de subvención. Su proyecto necesita, por tanto, al menos 8.000 € de volumen subvencionable; el tope se alcanza con 30.000 € — se permite gastar más, la ayuda se detiene en 15.000 €. El IVA no es subvencionable.
¿Cuándo se paga el dinero?
Después del proyecto: el programa funciona por reembolso de gastos. Contrata tras la concesión, paga primero las facturas y presenta al finalizar el justificante de uso, el informe final, las facturas y los comprobantes de pago — entonces se abona la subvención en un único importe. Prevea esta prefinanciación.
¿Quién puede prestar los servicios?
Un contratista con competencia acreditada (títulos o formación continua) y sede en la UE; no se prescribe ninguna certificación concreta. No se permiten subcontratas ni autónomos, ni vinculación personal o societaria. Se admiten como máximo dos contratistas — el segundo exclusivamente para formaciones, por ejemplo el curso de responsable de seguridad informática.
¿Podemos combinarlo con MID-Digitale Prozesse?
Las líneas son independientes: cada una puede utilizarse una vez por empresa cada dos años, y la misma medida nunca puede financiarse dos veces. Un proyecto de seguridad bien delimitado y un proyecto aparte de digitalización de procesos no se excluyen por principio — el encaje correcto y su margen de minimis los comprobamos en el chequeo.
¿Hay sectores o productos excluidos?
Sí: hospitales, clínicas y consultas médicas, así como las empresas agrícolas y forestales (salvo transformación/comercialización), no son elegibles. Además, el software sobre el que advierte el BSI según el art. 13 BSIG queda excluido — lo tenemos en cuenta desde el principio en la selección neutral del eje C.
