Qualys (QLYS) : ciberseguridad cloud en bolsa
2026-06-16 · Por Lubin Danilo, fundador de Lubin Investment
Qualys es una máquina de generar efectivo discreta en un sector ruidoso. Obtiene 10 sobre 10 en mi método: margen FCF del 31%, crecimiento regular, cero deuda neta. La contrapartida: cotiza un 25% por encima de mi precio de compra razonable. Calidad evidente, pero el momento importa.
- Qualys obtiene 10 sobre 10 en mi método de análisis fundamental.
- Margen de free cash flow: 31,1%. De cada 100 dólares de ingresos, 31 quedan como efectivo real tras todos los gastos.
- La acción se valoriza 19,2 veces su free cash flow anual. Mi precio objetivo es 86,03 dólares, frente al precio actual de 114,65 dólares: una sobrevaloración del 25%.
- Ingresos Q1 2026: 175,6 millones de dólares, un 10% más que el año anterior. Guidance anual elevado a 721-727 millones.
- Tesorería neta positiva: más efectivo que deuda, una señal de solidez poco común en ciberseguridad.
Qué hace Qualys: escanear vulnerabilidades antes que los atacantes
Imagina que tu entorno informático es una casa con cientos de ventanas y puertas. Qualys es la empresa que te ayuda a inspeccionarlas todas, de forma continua, para detectar las que están mal cerradas antes de que lo haga un intruso.
Qualys opera en la gestión de vulnerabilidades cloud. Su producto principal, VMDR (Vulnerability Management, Detection and Response), escanea continuamente los sistemas de las grandes empresas, detecta fallos de seguridad conocidos, los prioriza por nivel de riesgo y recomienda correcciones. Su producto CSPM (Cloud Security Posture Management) hace lo mismo en entornos cloud (AWS, Azure, Google Cloud).
Lo que distingue a Qualys de sus competidores: su arquitectura es completamente cloud-native desde su fundación en 1999. Despliega un agente ligero en las máquinas de sus clientes y centraliza todo el análisis en la nube. Sin hardware que instalar, sin actualizaciones manuales.
Los 10 criterios y por qué Qualys obtiene la máxima nota
Mi nota sobre 10 evalúa la calidad del negocio independientemente del precio. Para llegar a 10, una empresa debe sobresalir en cada uno de mis criterios: rentabilidad, crecimiento, solidez del balance, asignación de capital. Qualys los cumple todos.
El crecimiento de ingresos a 5 años supera el 12,8% anual. El free cash flow por acción ha crecido al 16,8% anual. La empresa recompra el 2,4% de sus acciones al año. Y el balance muestra tesorería neta positiva: más dinero en caja que deudas. Raro en el sector tecnológico.
El moat de Qualys: por qué los clientes empresariales no se van
El moat de Qualys se apoya en dos pilares. Primero: los costes de cambio. Desplegar Qualys en una organización de 50.000 equipos lleva meses. Los equipos de seguridad aprenden la interfaz, construyen flujos de trabajo en torno a las alertas, integran los datos en su SIEM. Marcharse implica recomenzar todo ese proceso.
Segundo: la base de datos de vulnerabilidades. Qualys opera desde 1999 y ha construido una de las bases de datos de fallos de seguridad más completas del mercado. Esta base crece continuamente. La profundidad de cobertura es un argumento de venta muy potente para equipos de seguridad que no pueden permitirse puntos ciegos.
En el Q1 2026, el consejero delegado Sumedh Thakar describió la ambición de Qualys como la creación de un Risk Operations Center autónomo, impulsado por IA, capaz de priorizar y corregir vulnerabilidades sin intervención humana.
¿De dónde vienen los márgenes excepcionales?
Un margen FCF del 31% es notable. ¿Cómo lo consigue Qualys? Su modelo SaaS cloud-native tiene costes marginales muy bajos: una vez construida la plataforma, añadir un cliente más cuesta poco. Sin hardware que enviar, sin despliegue en local.
Su Cash ROCE del 58,8% (efectivo generado por cada dólar de capital utilizado) confirma la eficiencia del modelo. El margen neto alcanza el 29,4%. Estas cifras no son casualidad: reflejan un modelo de suscripción recurrente, clientes fieles y una I+D bien orientada.
Valoración: ¿es cara Qualys respecto a sus pares?
Mi herramienta mide el P/FCF: el precio de la acción dividido por el free cash flow anual por acción. Qualys muestra un P/FCF de 19,2. Mi precio objetivo de compra es de 86,03 dólares. La acción cotiza a 114,65 dólares: una prima del 25%. No compro a ese nivel.
Por comparación, CrowdStrike se valoriza entre 60 y 80 veces su FCF. Qualys es estructuralmente más barata que su par más mediático, y mucho más rentable que la media del sector. Pero 19 veces sigue siendo elevado para un crecimiento de ingresos del 12-13%.
Los riesgos: CrowdStrike, Wiz y la consolidación del mercado
Qualys opera en un sector en plena recomposición. CrowdStrike amplía sus capacidades de gestión de vulnerabilidades hacia el terreno de Qualys. Más seriamente, Wiz (adquirida por Google en 2024) está construyendo una plataforma de seguridad cloud muy amplia que incluye la gestión de postura. Si Wiz se distribuye agresivamente a través de Google Cloud, las grandes empresas podrían tener un competidor creíble integrado directamente en su contrato cloud.
El segundo riesgo: el crecimiento se desacelera. Qualys crece al 10-13% anual, lo cual es sano pero no espectacular en un sector donde algunos competidores muestran el 30-40%. El mercado puede perder la paciencia con un crecimiento moderado, aunque sea muy rentable.
Para explorar todos los datos de Qualys en detalle, puedes consultar mi página de análisis: lubin-investment.com/analyse/QLYS.
FAQ
¿Qué es la gestión de vulnerabilidades?
Es el proceso de detectar, priorizar y corregir los fallos de seguridad en los sistemas informáticos de una organización. Qualys automatiza este proceso de forma continua, en miles de máquinas, desde la nube.
¿Qualys está amenazada por CrowdStrike?
Ambas operan en ciberseguridad pero en segmentos diferentes: CrowdStrike es históricamente fuerte en detección y respuesta a incidentes (EDR), Qualys en gestión preventiva de vulnerabilidades. El solapamiento existe pero es parcial. La amenaza más seria viene de Wiz, que está construyendo una plataforma de seguridad cloud muy amplia.
¿Por qué la tesorería neta positiva es un criterio importante?
Una empresa con más efectivo que deuda puede atravesar una recesión, hacer adquisiciones oportunistas o recomprar acciones sin estrés financiero. Es una señal de solidez poco común en el sector tecnológico en crecimiento.
¿Qué es el CSPM de Qualys?
El CSPM (Cloud Security Posture Management) es una herramienta que monitoriza continuamente la configuración de entornos cloud (AWS, Azure, Google Cloud) para detectar configuraciones de seguridad incorrectas. Es uno de los segmentos de mayor crecimiento de Qualys.
¿Es Qualys una compra hoy?
Mi puntuación de calidad es 10 sobre 10, pero la acción cotiza un 25% por encima de mi precio objetivo de compra (86,03 dólares frente a los 114,65 actuales). Observo sin comprar. Esto no es un consejo de inversión.
Voir l'analyse QLYS sur Lubin Investment
Sobre el autor
Escrito por Lubin Danilo, fundador de Lubin Investment. Inversor particular autodidacta, analizo acciones por sus fundamentales desde hace varios años e invierto mi propio dinero con este método. Lo codifiqué en una herramienta que juzga por separado la calidad de un negocio y su precio, con criterios inspirados en la literatura financiera (Warren Buffett, Michael Mauboussin, Aswath Damodaran).