Radiografía digital de las empresas de software y servicios IT en España

El tamaño real del mercado: 42.523 empresas que compiten cada vez más en digital

El Directorio Central de Empresas del INE registra 42.523 empresas activas en programación, consultoría y otras actividades relacionadas con la informática (CNAE 620) a 1 de enero de 2025.¹ No es una estimación sectorial ni una proyección de directorio comercial: es el censo estadístico oficial del Estado. Sobre esa base construimos este observatorio, y sobre ella conviene fijar la primera conclusión: el sector tecnológico español es un mercado masivo, atomizado y geográficamente concentrado.

La concentración es el dato que ordena todo lo demás. Cataluña, con 11.276 empresas, Comunidad de Madrid, con 10.384, y Comunitat Valenciana, con 5.401, reúnen más de la mitad del sector (figura 1). Para una empresa media esto significa que la competencia relevante no es nacional sino metropolitana, y que la primera página de Google en su ciudad es, en la práctica, su escaparate comercial más disputado.

El resto del mapa autonómico está enlazado más abajo y disponible en los datos descargables. A nivel provincial, el INE no publica empresas del grupo 620: el desglose más fino cuenta locales de la división 62 y así lo advertimos en cada página provincial.²

El estado técnico de la muestra: correcto en lo visible, flojo en lo que no se ve

Para pasar del censo al diagnóstico, auditamos una muestra propia de 29 empresas del sector con presencia web, seleccionadas por búsqueda web sobre criterios de actividad y presencia comercial en búsqueda. El resultado agregado es un score digital medio de 80,3 sobre 100 (±2,4, IC 95 %): webs que cumplen en lo visible —cargan, se leen, posicionan su marca— y fallan en lo que no se ve.

Lo que no se ve es notable por su consistencia (figura 2). El 93,1 % de los sitios auditados no sirve una Content-Security-Policy, la cabecera que limita qué código puede ejecutarse en la página; el 89,7 % presenta objetivos táctiles insuficientes en móvil, y el 79,3 % no fuerza HSTS, de modo que la conexión puede degradarse a HTTP sin que el visitante lo advierta. Para un sector que capta clientes en internet, la distancia entre el escaparate y la cabecera HTTP es, cuanto menos, un argumento comercial para quien decida cerrarla.

Un score medio de 80,3 con fallos estructurales compartidos dibuja un mercado donde la excelencia técnica es barata en términos relativos: ningún competidor la tiene, luego cuesta poco destacar. Los controles de la figura 2 se corrigen en horas, no en meses, y son verificables por cualquier cliente que compare proveedores antes de decidir: la ventaja es medible y casi nadie la está ocupando.

Contratos de servicios gestionados: el modelo de ingresos que convierte la ventaja técnica en recurrencia

El contrato de servicios gestionados es el MRR del sector: soporte, sistemas y evolución por una cuota mensual, en vez de proyectos que empiezan y acaban. Diez contratos de 1.500 €/mes son 180.000 € al año firmados antes de empezar el año.

La lectura conjunta de las dos secciones anteriores no es cosmética sino de posicionamiento: en un mercado de 42.523 competidores, las señales objetivas y medibles —seguridad, rendimiento móvil, datos estructurados— son de los pocos ejes donde una empresa mediana puede dominar a una grande sin gastar más que ella. En la guía de contratos de servicios gestionados está el método completo, canal a canal.

Qué significa esto en euros

Tres conclusiones a partir de nuestra muestra de 29 empresas auditadas (muestra propia, no censo). Cada una lleva el dato con su tamaño de muestra, la consecuencia con fuente externa enlazada, y un ejemplo modelado con todos los supuestos declarados. Ninguna cifra de estas es una promesa ni una amenaza: son órdenes de magnitud para decidir con cabeza.

1. Velocidad y móvil: conversión que no llega

El dato:El 58,6% de la muestra (17 de 29 empresas auditadas) carga scripts que bloquean el primer renderizado de la página, y el 89,7% (26 de 29) tiene botones táctiles que fallan en móvil.

La consecuencia:En el estudio "Milliseconds Make Millions" (Deloitte con Google: 37 marcas europeas y americanas, más de 30 millones de sesiones), una mejora de solo 0,1 s en la velocidad móvil se asoció a un +8,4% de conversión en retail y a un −8,3% de rebote en páginas de captación de leads. Fuentes: Deloitte × Google, "Milliseconds Make Millions" (2020) · resumen del estudio en web.dev (Google).

En euros:Una empresa que aspire a 60.000 €/año en en nueva facturación de contratos de servicios gestionados captada vía web dejaría del orden de ~5.000 €/año sobre la mesa si su web convierte un 8,4% por debajo de su potencial (8,4% de 60.000 € ≈ 5.040 €).

Supuestos del modelo:que toda la captación nueva del año pasa por la web; que la elasticidad medida en retail y lead-gen sirve como orientación para el sector software y servicios IT (no existe un estudio equivalente del sector software y servicios IT español); y que la mejora de 0,1 s es técnicamente alcanzable — lo es en las webs auditadas con scripts bloqueantes. Es un orden de magnitud, no una promesa.

2. Seguridad: la asimetría más barata de corregir

El dato:El 93,1% de la muestra (27 de 29) sirve su web sin Content-Security-Policy, el 79,3% (23 de 29) sin protección anti-clickjacking (X-Frame-Options) y el 79,3% (23 de 29) sin HSTS.

La consecuencia:El art. 32 del RGPD exige "medidas técnicas y organizativas apropiadas" para proteger los datos personales — y el formulario de contacto de una empresa los recoge. Su incumplimiento puede sancionarse con hasta 10 M€ o el 2% de la facturación global anual (art. 83.4.a), y la AEPD ya sanciona por seguridad insuficiente: 500.000 € a Air Europa por el art. 32 (resolución PS/00179/2020, confirmada por la Audiencia Nacional en 2024). Fuentes: RGPD, arts. 32 y 83.4.a (texto consolidado, EUR-Lex) · AEPD, resolución PS/00179/2020 (Air Europa: 500.000 € por el art. 32).

En euros:Aquí no modelamos una multa, porque unas cabeceras ausentes no bastan, por sí solas, para que te sancionen — y decir lo contrario sería vender miedo. Lo objetivo es la asimetría: configurar estas cabeceras se mide en horas de un técnico; el riesgo que ayudan a cubrir se mide, en el peor caso documentado, en cientos de miles de euros.

Supuestos del modelo:el riesgo sancionador es "de hasta" según los arts. 32 y 83.4.a del RGPD y depende siempre del caso concreto; la referencia de 500.000 € corresponde a una brecha real con datos de 489.000 clientes, no a la mera falta de cabeceras.

3. Sin píxel no hay remarketing (y el CAC lo nota)

El dato:Solo 2 de 29 empresas muestran Meta Pixel verificable en la carga inicial de su web, y solo 0 de 29 el LinkedIn Insight Tag — el canal natural de remarketing B2B. En el resto no consta o no es verificable (puede cargar tras el consentimiento de cookies; no afirmamos que no lo tengan).

La consecuencia:Sin píxel no se pueden construir audiencias de remarketing, así que cada visitante que no contacta a la primera se pierde. Los visitantes reimpactados con retargeting convierten de media un 70% más que los nuevos (benchmark agregado por Invesp, medido en retail). Fuentes: Invesp, benchmarks de ad retargeting.

En euros:Una empresa con 500 visitas/mes que convierte el 1% genera 5 consultas al mes. Si el remarketing recupera una sola consulta adicional mensual y 1 de cada 10 consultas acaba en contrato de servicios gestionados con valor anual de 6.000 €, son ~7.200 €/año de facturación que hoy no llega (12 consultas × 10% de cierre × 500 €/mes × 12 meses).

Supuestos del modelo:tráfico, conversión, tasa de cierre y duración del contrato son supuestos declarados del modelo, no datos medidos del sector; el benchmark del 70% procede de e-commerce y se usa como orientación, no como garantía.