La inversión en ciberseguridad de Moncloa: la cifra que circuló y lo que sí está acreditado

Circuló que Moncloa reforzó su ciberseguridad con más de 2 millones de euros, y esa cifra conviene tomarla con pinzas: procede de un único medio digital y nadie la ha contrastado con fuente oficial. Lo que sí consta es otra cosa y es peor de explicar: Presidencia operó 100 días sin soporte del fabricante en su sistema anti-APT, y el contrato de sustitución —175.811 €— no se firmó hasta el 13 de febrero de 2026. Si la cifra de 2 millones fuera cierta, como perito informático forense diría que es lo mínimo.

Lo que me preocupa no es cuanto invierte Moncloa, sino cuanto deberían invertir las PYMEs españolas que ni siquiera tienen presupuesto de ciberseguridad. Porque si la Presidencia del Gobierno, con todo el aparato del CCN-CERT detras, estuvo expuesta 100 días, la pregunta no es si tu empresa será atacada, sino cuando y cuanto te va a costar.

En este artículo voy a desglosar en qué consiste una inversión de refuerzo como la que se atribuye a Moncloa, explicar en que se gasta ese dinero, comparar la situación de las instituciones con la realidad de la empresa privada española y, sobre todo, darte las herramientas para que no necesites gastar 2 millones cuando te toque a ti. Porque, como vamos a ver, la prevención cuesta una fracción de la remediación, y la diferencia entre una empresa que sobrevive a un ciberataque y una que cierra casi siempre esta en lo que hizo antes de que ocurriera.

Qué ha pasado: cronología de la crisis de ciberseguridad institucional

Para entender el contexto del refuerzo, hay que reconstruir la cadena de fallos que lo precedió. No fue un incidente aislado, sino una cascada de brechas que dejo al descubierto la fragilidad de las defensas digitales del Estado:

He documentado las dos brechas principales en detalle en mis análisis anteriores: el hackeo a Moncloa con filtración de datos del presidente y ministros y la brecha en la Policía Nacional que expuso datos del jefe de antiterrorismo.

Lo que convierte esta cadena de incidentes en algo sin precedentes recientes no es solo la gravedad individual de cada brecha, sino la concentración temporal. Que la Presidencia del Gobierno, la Policía Nacional, la Fiscalía General y el Consejo de Seguridad Nacional sean comprometidos en la misma semana apunta a un fallo sistémico, no a una serie de malas suertes.

Desde mi perspectiva como perito forense, esto sugiere que los atacantes encontraron un vector común, probablemente relacionado con la ventana de exposición del sistema anti-APT, y lo explotaron contra múltiples objetivos antes de que se cerrara la brecha. Es un patrón que en ciberseguridad se conoce como ataque de cadena de suministro: si comprometes un proveedor o un sistema común a varias organizaciones, puedes atacar a todas simultáneamente. Y es exactamente el tipo de riesgo que la Directiva NIS2 pretende mitigar con sus requisitos de gestión de la cadena de suministro TIC.

La pregunta que cualquier empresa debería hacerse al leer esta cronología es: si mi proveedor de seguridad, de backup o de correo electrónico deja de funcionar mañana, cuanto tiempo tardaria en darme cuenta y que plan tengo para responder?

Otra pregunta que nadie parece estar haciéndose: si los atacantes encontraron un vector común para comprometer a Moncloa, la Policía Nacional, la Fiscalía General y el Consejo de Seguridad Nacional en la misma semana, cuantas otras organizaciones públicas y privadas que comparten infraestructura o proveedores con estas instituciones pueden haber sido comprometidas también sin saberlo?

En el mundo de la ciberseguridad, cuando descubres una brecha en una organización, la primera pregunta del forense siempre es: quien más usa este mismo sistema, este mismo proveedor, esta misma tecnología? Porque la probabilidad de que el atacante haya explotado el mismo vector contra otros objetivos es alta.

Es un patrón que he visto en mis peritajes a escala más pequeña: cuando una gestoría es comprometida a traves de su software de contabilidad, casi siempre descubrimos que otras empresas que usan el mismo software han sido atacadas también. La diferencia es que las gestorías pequeñas no tienen la visibilidad mediatica de Moncloa y sus brechas nunca llegan a los titulares.

En qué se gasta el dinero de un refuerzo de ciberseguridad

En mi experiencia como perito forense en casos de respuesta a incidentes, el coste de recuperación tras un ciberataque se reparte en categorías muy predecibles. No conozco el desglose exacto de la inversión de Moncloa, pero puedo hacer una estimación realista basada en lo que veo en mis peritajes:

El total estimado ronda los 1.8 a 2,5 millones de euros, consistente con la cifra que ha trascendido. Lo que no incluye este calculo es el daño reputacional, que en el caso de una institucion como Moncloa tiene implicaciones diplomaticas y de seguridad nacional imposibles de cuantificar.

La rotación de credenciales: el coste invisible

Hay una partida que merece atención especial porque la mayoría de las organizaciones la subestiman: la rotación masiva de credenciales. Cuando una brecha compromete el directorio activo o el sistema de autenticación de una organización, hay que asumir que todas las contraseñas, tokens de acceso, certificados digitales y claves API están comprometidos. En una institucion del tamaño de Moncloa, esto implica:

• Forzar el cambio de contraseña de cientos o miles de usuarios
• Revocar y reemitir certificados digitales
• Rotar claves de acceso a APIs y servicios en la nube
• Invalidar tokens de sesión activos
• Actualizar credenciales en sistemas automatizados que dependen de cuentas de servicio
• Verificar que no existan cuentas creadas por los atacantes durante la intrusión

La rotación mal ejecutada llega a causar más interrupción de servicio que el propio ataque: forzar el cambio de todas las contraseñas un viernes por la tarde, sin avisar y sin escalonar, deja el lunes a la plantilla entera fuera de sus puestos y al soporte desbordado. Por eso la rotación se planifica por lotes, con ventana comunicada y un canal de recuperación alternativo previsto.

La investigación forense: el primer paso, no el último

Hay un dato que me parece clave y que muchas veces se pasa por alto: la auditoría forense no es un gasto opcional. En cada incidente de seguridad que he peritado, la diferencia entre una organización que se recupera y una que sigue sufriendo consecuencias meses después esta en si se hizo un análisis forense completo o no. Sin saber exactamente que datos se exfiltraron, que puertas traseras se instalaron y que movimiento lateral hicieron los atacantes dentro de la red, cualquier refuerzo posterior se construye sobre cimientos inciertos. El forense no es el último paso: es el primero.

He visto organizaciones que, por ahorrar en la fase forense, reinstalaron sus sistemas sin analizar el alcance del ataque. El resultado: los atacantes habían dejado una puerta trasera en un servidor que no se analizo y, tres meses después, volvieron a entrar. El coste de la segunda respuesta fue mayor que el de la primera porque la confianza del equipo estaba destruida y hubo que replantear toda la arquitectura de seguridad desde cero.

El pentesting posterior es igualmente crítico. De nada sirve desplegar un nuevo sistema anti-APT si no verificas que funciona contra los mismos vectores de ataque que se utilizaron en la brecha original. El fallo de configuración más caro de esta familia es dejar el EDR en modo «solo detección» en lugar de «bloqueo automático», porque los falsos positivos interrumpían el trabajo. La consecuencia es siempre la misma: el sistema detecta la amenaza, genera una alerta que nadie revisa, y el ransomware se despliega igual. Un EDR que no bloquea es un registro de lo que te pasó.

Además, la partida de respuesta legal y regulatoria suele ser la que más sorprende a las organizaciones. La notificación a la AEPD, la gestión de comunicación a los afectados, la asesoría jurídica frente a posibles reclamaciones y la preparación ante una eventual inspección regulatoria pueden consumir recursos equivalentes a todo el despliegue técnico. En el caso de Moncloa, con datos de agentes de las fuerzas de seguridad comprometidos, la dimensión legal es especialmente compleja porque entran en juego la Ley de Seguridad Nacional y la normativa de protección de información clasificada.

Los datos de IBM que Moncloa no puede ignorar: Cost of a Data Breach

Para poner esa cifra en contexto global, merece la pena repasar los datos del informe Cost of a Data Breach 2024 (URL de marca: sirve siempre la última edición —hoy la de 2026—, no la que declara este texto.) de IBM y Ponemon Institute, que es la referencia mundial en costes de brechas de seguridad. Son los datos vigentes cuando se destapó el incidente; al final de la tabla se anota cómo han cambiado en la edición de 2025:

Actualización con la edición de 2025: el coste medio global bajó a 4,44 millones de dólares (primer descenso en cinco años), el ciclo completo cayó a 241 días —181 en identificar y 60 en contener, mínimo de nueve años— y el sector público subió a 2,86 millones. El ahorro por usar IA y automatización de forma extensiva se recalculó en 1,9 millones y 80 días menos de ciclo.

Lo que estos datos me dicen como perito es que la cifra de 2 millones que circula estaría, de confirmarse, en la franja baja del coste esperado para una brecha de esta magnitud. Y esa comparación se queda corta por un motivo adicional: la inversión sirve para proteger sistemas, mientras que la exposición personal de un presidente, un ministro o el JEMAD ya ocurrida por brechas de terceros no se revierte con presupuesto propio.

Otro dato del informe IBM que me parece especialmente relevante para este caso: las organizaciones que utilizaron ampliamente IA y automatización en sus operaciones de seguridad experimentaron brechas que costaron, de media, 2,22 millones de dólares menos que las que no las utilizaban. La diferencia principal fue el tiempo de detección: las organizaciones con SOC automatizados detectaron las brechas en una media de 98 días menos. Si aplicamos este dato al caso de Moncloa, una inversión previa en automatización de la monitorización de seguridad podría haber reducido la ventana de exposición de 100 días a una fracción, y el coste de remediación habría sido significativamente menor.

El dato más demoledor del informe, y el que más repito a mis clientes, es este: el coste medio de una brecha para organizaciones con niveles altos de cumplimiento normativo fue de 3,35 millones de dólares, frente a los 5,05 millones de las que tenían incumplimientos significativos. Cumplir la normativa no es solo una obligación: es un ahorro medible de 1,7 millones de dólares de media.

Los factores que más encarecen una brecha según IBM

El informe identifica los factores que más incrementan el coste de una brecha. Son exactamente los que veo en mis peritajes en España:

Factores que encarecen:

• Falta de personal de seguridad cualificado: +559.000 dólares de media. En España, donde el diagnóstico de talento de INCIBE y el ONTSI cifra en más de 83.000 los profesionales de ciberseguridad necesarios en 2024 frente a 42.283 disponibles —más de 40.000 puestos sin cubrir—, este factor afecta a prácticamente todas las PYMEs
• Complejidad del sistema de seguridad: +467.000 dólares. Las organizaciones con demasiadas herramientas descoordinadas (cada una con su consola, sus alertas, su lógica) tardan más en detectar y contener las brechas
• Incumplimiento normativo: +440.000 dólares. Las sanciones regulatorias se suman al coste técnico y operativo del incidente
• Migración a la nube: +380.000 dólares durante el periodo de migración. Las empresas que están a medio camino entre on-premise y nube tienen la peor de las dos configuraciones: doble superficie de ataque con la mitad de visibilidad
• Cadena de suministro: +370.000 dólares. Cuando el ataque llega a traves de un tercero, la investigación es más compleja y los plazos de contención se alargan

Factores que abaratan:

• Equipo de respuesta a incidentes formado y con plan: -2,66 millones de dólares. Es el factor individual con mayor impacto positivo
• Uso extensivo de IA y automatización en seguridad: -2,22 millones de dólares. Los SOC automatizados detectan amenazas en la mitad de tiempo
• Cifrado generalizado de datos: -360.000 dólares. Si los datos robados están cifrados, el impacto real de la brecha se reduce drásticamente
• Formación de empleados: -310.000 dólares. El personal formado detecta phishing, reporta anomalias y sigue los procedimientos

La conclusión para cualquier empresa española es clara: los tres factores con mayor impacto positivo (equipo de respuesta, automatización y formación) son accesibles para cualquier tamaño de organización. No necesitas ser Moncloa para tener un plan de respuesta documentado, un EDR con capacidades de respuesta automática y un programa de formación semestral.

Los costes ocultos que nadie menciona

Los 2 millones de euros que se atribuyen a Moncloa —sin confirmación oficial— son la cifra que circula. Pero en mi experiencia peritando brechas de seguridad, los costes visibles nunca representan la factura total. Hay una serie de costes ocultos que las organizaciones descubren semanas o meses después del incidente:

Coste de oportunidad: Durante las semanas de respuesta al incidente, los equipos técnicos dejan de trabajar en sus proyectos habituales.

En una administración pública, esto significa retrasos en la digitalización, en la atención al ciudadano y en la implementación de otros proyectos críticos.

En una empresa privada, significa proyectos paralizados, clientes desatendidos y oportunidades de negocio perdidas.

Según IBM, contener una brecha lleva 60 días de media una vez detectada (Cost of a Data Breach Report 2025). Durante esos dos meses, tu equipo de TI no esta innovando: esta apagando fuegos. Y cada día de inactividad productiva del equipo técnico tiene un coste que se acumula silenciosamente.

Es la partida que nadie presupuesta: en una empresa de servicios técnicos, las semanas que el equipo dedica a recuperarse son semanas que no dedica a entregar, y el valor de los proyectos cancelados y los plazos incumplidos supera con holgura la cifra del rescate. El daño real suele ser un múltiplo de lo que piden los atacantes, y es la parte que no aparece en ninguna factura.

Costes legales a largo plazo: Las reclamaciones de los afectados pueden llegar meses o años después de la brecha.

Conviene, eso sí, dirigir la reclamación a quien corresponde. En el caso que motivó esta inversión los datos no salieron de los sistemas de Moncloa, de modo que la reclamación no se dirige sin más contra Presidencia. Pero el sistema del que salió el dato tampoco determina por sí solo a quién reclamar: hay que identificar, para cada tratamiento y cada daño, qué responsables o encargados intervinieron, porque el art. 82.4 del RGPD permite que cada uno de los intervinientes responda «de todos los daños y perjuicios» para garantizar una indemnización efectiva.

No existe un plazo civil único para estas reclamaciones: el plazo lo fija la acción que se ejercite. El Código Civil da cinco años a las acciones personales sin plazo especial (art. 1964.2) y uno a la responsabilidad extracontractual (art. 1968.2); la LO 1/1982 fija cuatro años de caducidad para las suyas. Los tres años que a veces se citan son los de la prescripción de las infracciones muy graves del art. 72 de la LOPDGDD, que es otra cosa. En cualquier caso, esas reclamaciones pueden llegar mucho después de que el incidente desaparezca del ciclo informativo.

Perdida de confianza institucional: Cuando la ciudadanía descubre que las instituciones que deberían protegerla no pueden protegerse a si mismas, la confianza en el sistema se erosiona.

Este es un coste que no aparece en ningun presupuesto pero que tiene consecuencias reales en la capacidad del Estado para funcionar. Como perito, lo veo reflejado en el aumento de consultas de empresas que ya no confian en que el sector público pueda garantizar la seguridad de sus datos.

Cada brecha institucional que llega a los medios genera una ola de empresas que quieren auditar sus propios sistemas. La desconfianza genera demanda, pero también ansiedad: muchos empresarios no saben por dónde empezar y eso los paraliza.

Efecto arrastre en el sector privado: Cada brecha institucional que se hace pública genera una ola de ataques de phishing y estafas que utilizan la noticia como gancho.

Tras el hackeo de Moncloa, es previsible que aumente el número de emails fraudulentos suplantando a organismos públicos, afectando a miles de empresas y ciudadanos que no tienen relación directa con la brecha original.

Ya lo hemos visto con las oleadas de phishing que siguieron a las brechas de la AEAT y la Seguridad Social: los atacantes aprovechan la confusión mediatica para lanzar campañas masivas de ingeniería social. Los emails del tipo “Su información ha sido comprometida en la brecha de Moncloa, haga clic aquí para verificar sus datos” empiezan a circular horas después de que la noticia salte a los medios.

Coste de rotación de personal: Un aspecto que rara vez se menciona es que las brechas de seguridad graves provocan dimisiones y rotación en los equipos técnicos. Los profesionales de TI que gestionan la respuesta a un incidente grave experimentan niveles de estres comparables a los de profesionales sanitarios en emergencias, según un estudio de la Universidad de Kent (2023). En España, donde la escasez de profesionales de ciberseguridad ya es crítica —el diagnóstico de INCIBE y el ONTSI citado más arriba cifra la brecha en más de 40.000 puestos sin cubrir, resultado de más de 83.000 profesionales necesarios frente a 42.283 disponibles—, perder personal cualificado tras un incidente multiplica el daño. (Aquí figuraba «faltan más de 80.000»: ésa es la cifra de profesionales necesarios, no la de puestos vacantes, y el propio artículo da el desglose correcto unas secciones antes.)

Prima de seguro incrementada: Tras una brecha, las aseguradoras revisan al alza las primas del ciberseguro, a veces en un 200-400%. Para Moncloa esto no aplica directamente, pero para cualquier empresa privada que haya tenido que activar su poliza ciber, la renovación del año siguiente será significativamente más cara, si la aseguradora no decide directamente no renovar la poliza.

Lo que debería preocuparnos: la traslacion a la empresa privada española

Aquí es donde quiero ser directo. Llevo años haciendo peritajes informáticos para empresas españolas y la realidad es preocupante. La cifra que circula para el coste medio de un incidente en una pyme española ronda los 35.000 euros —no la publica el INCIBE, cuyo Balance no calcula coste por incidente—, pero he visto casos donde la factura final supera los 100.000 euros cuando se suman la parada de actividad, la pérdida de datos, las sanciones RGPD y el coste pericial y legal.

La comparación entre la capacidad de respuesta de Moncloa y la de una PYME es demoledora:

Si Moncloa, con todo su aparato, necesita 2 millones de euros para recuperarse, una PYME española con facturación de medio millon de euros que sufra un ransomware puede perfectamente quedarse fuera del mercado. Una recuperación completa puede llevar meses, y las pérdidas acumuladas durante ese periodo llegan a representar una fracción muy alta de la facturación anual.

Y aquí va una reflexión que no suele aparecer en los titulares. Circula mucho que el 60 % de las pymes europeas atacadas cierra en seis meses, atribuido a ENISA; ENISA no publica ese dato y nadie hace ese seguimiento longitudinal. Lo que sí se sostiene es el mecanismo, y basta para entender el riesgo: No es que no puedan pagar el rescate o la recuperación técnica. Es que la parada de actividad, la pérdida de confianza de los clientes, las sanciones regulatorias y el coste legal se acumulan hasta hacer inviable la continuidad del negocio.

La cadena de eventos que lleva al cierre es predecible y la he visto repetirse demasiadas veces:

1. Semana 1-2: El ataque ocurre. Los sistemas están caidos. La empresa no puede facturar, no puede atender a clientes, no puede acceder a sus datos
2. Semana 3-4: Comienza la recuperación técnica. Los costes se acumulan (forensic, consultores, hardware nuevo si es necesario). Los clientes empiezan a buscar alternativas
3. Mes 2-3: La empresa vuelve a operar parcialmente. Pero los clientes que se fueron no vuelven. Los proveedores exigen garantías adicionales. La AEPD podría abrir una investigación
4. Mes 4-6: Podría recaer una resolución de la AEPD, incluida en su caso una sanción. Llegan las primeras reclamaciones de clientes. El flujo de caja, ya dañado por la parada, no puede absorber los costes adicionales. El banco rechaza la solicitud de crédito porque el perfil de riesgo ha cambiado
5. Mes 6+: La empresa no puede seguir operando. Los empleados se van. El propietario cierra

La secuencia es la misma en todos los tamaños, y lo que la hace letal no es ningún eslabón por separado sino el orden: cuando llega la sanción y las reclamaciones, el flujo de caja ya viene dañado por la parada, y ahí es donde la financiación deja de estar disponible.

El ratio prevención-remediacion: los números que justifican la inversión

Uno de los datos que más impacto causa cuando lo presento a mis clientes es el ratio entre el coste de prevención y el coste de remediación. Los números no admiten discusión:

El ratio medio es de aproximadamente 1:7 a 1:20. Es decir, por cada euro que inviertes en prevención, te ahorras entre 7 y 20 euros en remediación. Si lo expresamos de otra forma: Moncloa habría podido prevenir los 2 millones de euros de gasto reactivo con una inversión preventiva de entre 100.000 y 285.000 euros anuales en los sistemas que fallaron. La diferencia es que la prevención es una partida presupuestaria predecible, mientras que la remediación es un gasto de emergencia que destruye la planificación financiera.

Cuando me llaman para hacer un peritaje forense después de un incidente, a menudo ya es demasiado tarde para evitar daños irreversibles. El patrón se repite con una consistencia deprimente: la empresa descubre el ataque semanas después de que ocurriera, no tiene logs suficientes para determinar el alcance, no sabe que datos se han exfiltrado y no tiene un plan de comunicación para informar a clientes y proveedores. El resultado es un caos que multiplica el impacto del incidente por dos o por tres.

Lo que siempre digo a los empresarios que me consultan: el mejor momento para invertir en ciberseguridad fue ayer; el segundo mejor momento es hoy.

Lo escribo desde el lado en el que se ve el resultado: como perito informático forense, a mí me llaman cuando la decisión de no invertir ya ha tenido consecuencias, y el encargo consiste en reconstruir qué pasó y documentarlo de forma que resista que lo comprueben. Rara vez es un ataque sofisticado; casi siempre es una medida básica que nadie priorizó.

Lo que más me frustra profesionalmente es ver como muchas empresas españolas destinan más presupuesto al mantenimiento de la fotocopiadora que a proteger sus sistemas informáticos. Un contrato de mantenimiento de impresoras puede costar 2.000-3.000 euros anuales y nadie lo cuestiona. Pero cuando propones invertir 3.000-5.000 euros en un firewall actualizado, un EDR y una sesión de formación para el personal, de repente es un gasto innecesario. Hasta que llega el ransomware.

Cinco escenarios: qué pasaría si el ataque de Moncloa le ocurriera a tu empresa

Para que la comparación entre Moncloa y la empresa privada no quede en lo abstracto, conviene bajarla a cinco perfiles concretos —del autónomo al grupo de 500 empleados— con el mismo desglose: qué pasa, qué cuesta y qué lo habría evitado.

Caso 1: Autónomo - Despacho de abogacía (1 persona)

Perfil: Abogada con despacho individual, facturación 80.000 euros anuales. Un portátil, un móvil y almacenamiento en la nube. Sin medidas de ciberseguridad más alla del antivirus de Windows Defender.

Escenario: Recibe un email de phishing que suplanta al Consejo General del Poder Judicial. Hace clic en el enlace, introduce sus credenciales de correo y los atacantes acceden a toda su correspondencia profesional con clientes. Descargan 3 años de documentación judicial sensible.

Inversión preventiva que habría evitado el incidente: MFA en el correo (0 euros, ya incluido en Microsoft 365), formación básica en phishing (300 euros, un curso online), seguro ciber (800 euros anuales). Total: 1.100 euros.

Caso 2: PYME de 10 empleados - Clinica dental

Perfil: Clinica con 10 empleados, facturación 600.000 euros anuales. Servidor local con historiales clinicos, radiografias e informes. El responsable de TI es el recepcionista que sabe algo de informática.

Escenario: Un ransomware entra a traves de un adjunto en un email. Encripta el servidor local con todos los historiales clinicos. El backup estaba en un disco externo conectado al servidor, que también fue encriptado. Los atacantes piden 15.000 euros en Bitcoin.

Inversión preventiva: EDR (2.400 euros/año), backup offsite automatizado (1.200 euros/año), formación personal (1.500 euros), firewall gestionado (2.400 euros/año), seguro ciber (2.500 euros/año). Total: 10.000 euros anuales.

Caso 3: PYME de 50 empleados - Empresa logística

Perfil: Empresa de transporte y logística, facturación 4 millones de euros. ERP propio, 50 puestos de trabajo, 3 servidores on-premise, acceso remoto para conductores. Un informático a tiempo completo.

Escenario: Un atacante explota una vulnerabilidad en el acceso VPN que no se había parcheado. Obtiene acceso al directorio activo, exfiltra la base de datos de clientes y proveedores, y despliega ransomware en los 3 servidores y 40 de los 50 puestos de trabajo. La operativa logística se paraliza completamente.

Inversión preventiva: SOC/MDR gestionado (18.000 euros/año), EDR avanzado (6.000 euros/año), pentesting anual (5.000 euros), formación trimestral (4.000 euros/año), backup inmutable (3.600 euros/año), seguro ciber (4.000 euros/año). Total: 40.600 euros anuales.

Caso 4: Empresa mediana de 150 empleados - Ingeniería industrial

Perfil: Empresa de ingeniería, facturación 15 millones de euros. Propiedad intelectual crítica (plaños, patentes, diseños). 150 empleados, infraestructura híbrida (on-premise + nube), CISO a tiempo parcial (compartido con el CTO).

Escenario: Un grupo APT con motivación de espionaje industrial compromete el correo del CTO mediante spear phishing avanzado. Durante 4 meses, exfiltra plaños de proyectos en curso valorados en millones de euros. La brecha se descubre cuando un competidor presenta un diseño sospechosamente similar en una licitacion pública.

Inversión preventiva: CISO dedicado o vCISO (48.000 euros/año), anti-APT (35.000 euros/año), DLP (15.000 euros/año), formación especializada (8.000 euros/año), red team semestral (16.000 euros/año), seguro ciber premium (12.000 euros/año). Total: 134.000 euros anuales.

Caso 5: Gran empresa de 500 empleados - Grupo hotelero

Perfil: Cadena hotelera con 12 establecimientos, facturación 40 millones de euros. Sistemas PMS (gestión hotelera), datos de tarjetas de crédito (PCI DSS), datos personales de miles de huespedes. Departamento de TI de 8 personas, sin CISO.

Escenario: Un atacante compromete el sistema PMS a traves de un tercero (proveedor de booking engine). Accede a la base de datos con 200.000 registros de huespedes, incluyendo números de tarjeta de crédito, pasaportes y direcciones. Exfiltra los datos durante 6 meses antes de ser detectado.

Inversión preventiva: CISO dedicado (65.000 euros/año), SOC 24x7 (60.000 euros/año), cumplimiento PCI DSS (30.000 euros/año), pentesting trimestral (24.000 euros/año), formación y simulacros (12.000 euros/año), gestión de terceros (15.000 euros/año), seguro ciber (25.000 euros/año). Total: 231.000 euros anuales.

El denominador común de los 5 casos

Si analizamos los 5 escenarios en conjunto, emergen patrones que se repiten independientemente del tamaño de la empresa:

Todos los ataques explotaron una debilidad humana o de proceso, no una debilidad tecnológica pura. El phishing, las credenciales reutilizadas, el backup conectado a la red, el VPN sin parchear, el proveedor externo comprometido. En ningun caso el ataque fue tan sofisticado que resultara imposible de prevenir con medidas básicas.

En todos los casos, el coste de la parada de actividad supero al coste de la remediación técnica. Esto es algo que los presupuestos de ciberseguridad rara vez contemplan: el daño no esta en lo que cuesta arreglar los sistemas, sino en lo que dejas de facturar mientras están caidos.

En los 5 casos, la inversión preventiva habría costado entre el 1% y el 3% del coste total del incidente. No estamos hablando de cifras prohibitivas. Estamos hablando de cantidades que cualquier empresa puede asumir si las incluye en su presupuesto anual como un gasto operativo más, al mismo nivel que el seguro del local, la asesoría fiscal o el mantenimiento de vehículos.

Ningun caso incluia un plan de respuesta a incidentes documentado. Todas las empresas improvisaron. Y la improvisacion, en medio de una crisis, siempre amplifica el daño. Las decisiones que se toman bajo presión sin un protocolo previo son, casi por definición, peores que las que se toman con calma y anticipación.

Si tu empresa se identifica con alguno de estos perfiles y necesita evaluar su nivel de riesgo real, puedo ayudarte con una consultoría y asesoramiento especializado. No esperes a que los 2 millones de Moncloa sean una anecdota comparados con tu propia factura de recuperación.

Análisis sectorial: que sectores españoles están más expuestos

No todos los sectores tienen el mismo nivel de riesgo ni la misma capacidad de respuesta. Basandome en mis peritajes y en los datos de INCIBE y ENISA, este es el mapa de riesgo por sector en España:

El patrón que observo en mis peritajes es claro: los sectores con más riesgo suelen ser los que menos invierten en protección, con la notable excepción del sector financiero, que lleva años sometido a regulación estricta y auditorias periódicas. La sanidad es el caso más preocupante: maneja los datos más sensibles que existen (datos de salud, que tienen una categoría especial bajo el RGPD) y, sin embargo, la inversión en ciberseguridad de hospitales y clinicas privadas en España es alarmantemente baja.

El caso de los ataques a hospitales españoles que he documentado en otro artículo demuestra que los atacantes lo saben. Los hospitales son objetivos preferentes porque la urgencia de restaurar los servicios asistenciales (vidas humanas en juego) maximiza la probabilidad de que paguen un rescate. Y como los datos de salud tienen un valor especialmente alto en el mercado negro (hasta 10 veces más que los datos financieros, según el World Economic Forum), los atacantes tienen doble incentivo.

Para la logística y el transporte, el riesgo esta en la cadena de suministro. Un ataque al sistema de gestión de flotas de una empresa de transporte no solo paraliza a esa empresa: paraliza a todos sus clientes que dependen de ella para recibir mercancias. El efecto cascada es similar al que vimos con el ataque a Moncloa: un punto de fallo afecta a múltiples organizaciones.

Mi recomendación por sector:

• Sanidad: Inversión mínima del 2% de facturación en ciberseguridad, cifrado obligatorio de historiales clinicos, backup inmutable con verificación semanal
• Servicios profesionales (abogados, gestores, consultores): MFA en todos los accesos, cifrado de correo electrónico para comunicaciones con clientes, formación trimestral
• Comercio: Cumplimiento PCI DSS si acepta tarjetas, segmentación de la red de punto de venta, monitorización de transacciones anómalas
• Logística: Segmentación entre sistemas IT (oficina) y OT (flota), VPN segura para conductores, plan de continuidad que permita operar en modo manual durante al menos 48 horas
• Construcción: Protección del correo electrónico (principal vector de fraude BEC en el sector), verificación telefónica de cambios en datos bancarios de proveedores

El error más común que veo en mis peritajes: confundir backup con resiliencia

Quiero dedicar un apartado específico a este tema porque es el error que más veces he documentado en mis informes periciales y el que más daño causa. Muchas empresas creen que tener un backup las hace resilientes frente a un ciberataque. No es así.

Un backup te protege contra la pérdida de datos. Pero no te protege contra:

• La parada de actividad: Restaurar un backup puede tardar horas o días, dependiendo del volumen de datos y la velocidad del sistema de restauración. Durante ese tiempo, tu empresa no opera
• La exfiltración de datos: si los atacantes copiaron tus datos antes de cifrarlos, restaurar la copia de seguridad no impide que esos datos sigan en su poder. Y es lo habitual: la exfiltración apareció en el 87 % de los casos que gestionó Coveware en el cuarto trimestre de 2024 —frente al 76 % del trimestre anterior—, según su informe trimestral. ⚠️ Figuraba aquí un «83 % de los ataques de ransomware modernos, según Mandiant»: no aparece en M-Trends 2026, el único informe de esa casa que este artículo cita —cero apariciones de «83 %» y de «exfiltrat» en todo el texto—, y además decía «ocurre en», que convierte la casuística de una empresa de respuesta a incidentes en una afirmación sobre todos los ataques del mundo
• El daño reputacional: Tus clientes no se van a sentir más tranquilos porque hayas restaurado el backup si sus datos personales ya han sido publicados en la dark web
• Las sanciones regulatorias: tener copias de seguridad no borra una posible infracción, porque lo que se sanciona no es no haber podido restaurar. Pero la regla no es que dé igual: la «capacidad de restaurar la disponibilidad» es una de las medidas que enumera el art. 32.1.c del RGPD, y el art. 83.2 ordena ponderar las medidas implantadas y las tomadas para paliar el daño al decidir si hay multa y de cuánto

Además, el backup solo funciona si cumple tres condiciones que la mayoría de PYMEs no verifica:

Primera condición: el backup tiene que estar aislado de la red. Si tu backup esta en un disco duro conectado al servidor o en una carpeta compartida de red, el ransomware lo va a encriptar junto con todo lo demas. Un backup en un disco conectado al servidor o en una carpeta compartida se cifra con todo lo demás: no es una copia de seguridad, es una copia más del mismo dato. La regla 3-2-1 existe por algo: 3 copias, en 2 soportes diferentes, 1 fuera del sitio.

Segunda condición: el backup tiene que estar verificado. Tener un backup que no puedes restaurar es peor que no tener backup, porque te da una falsa sensación de seguridad. El modo de fallo más común no es que no haya copia: es que lleva meses fallando en silencio. El disco de destino se llena, el software registra un error que nadie lee, y el problema solo se descubre el día que hay que restaurar. Por eso la verificación periódica no es una recomendación de manual: es lo único que distingue una copia de un directorio con fecha antigua.

Tercera condición: el backup tiene que ser inmutable. Los ataques de ransomware modernos buscan activamente los backups para encriptarlos o eliminarlos antes de lanzar el cifrado general. Un backup inmutable (que no puede ser modificado ni eliminado durante un periodo definido) es la única garantía real de que podras restaurar tus datos. Soluciones como Veeam con repositorios inmutables, backups en cinta (si, la cinta sigue siendo relevante en 2026) o almacenamiento en nube con object lock ofrecen esta capacidad a costes razonables.

La combinación que recomiendo a mis clientes como configuración mínima de backup resiliente:

• Backup automatizado diario a un repositorio local (para restauraciones rápidas)
• Replica diaria a un servicio en la nube con inmutabilidad activada (para resistir ransomware)
• Verificación mensual de la restauración (probar que puedes recuperar los datos realmente)
• Prueba trimestral de restauración completa del sistema (no solo archivos: el sistema operativo, las aplicaciones, las configuraciones)

El coste de esta configuración para una PYME de 10-50 empleados es de entre 200 y 500 euros mensuales. El coste de no tenerla, como hemos visto en los casos anteriores, puede superar los 100.000 euros.

Las 8 lecciones que toda empresa española debería extraer de este caso

Para ponerlo en perspectiva con números concretos: si una empresa de 50 empleados invierte 10.000 euros anuales en ciberseguridad (200 euros por empleado al año), esta cubriendo el equivalente al 0,3% de una nómina media. El coste de no hacerlo, si sufre un incidente, puede superar fácilmente los 100.000 euros entre recuperación técnica, parada de actividad, sanciones y coste legal.

La matemática del riesgo no admite debate. Y si alguien en tu organización sigue pensando que es una cuestion de probabilidades lejanas, recordale que en 2025 INCIBE gestiono más de 122.000 ciberincidentes en España, un 26% más que el año anterior. No es cuestion de si te va a pasar, sino de cuando. Y Moncloa acaba de demostrar que ni siquiera la Presidencia del Gobierno esta a salvo.

Qué aspecto tiene una inversión en ciberseguridad proporcional al riesgo

Una de las preguntas que más me hacen los empresarios es: cuanto debería invertir exactamente. No hay una cifra magica, pero si hay un marco de referencia que utilizo en mis consultorias de asesoramiento y que aplica tanto a administraciones públicas como a empresas privadas:

Estas cifras pueden parecer elevadas para una PYME que factura 500.000 euros al año, pero representan entre el 0,3% y el 3% de la facturación, que es exactamente el rango que recomienda ENISA para organizaciones con riesgo medio-alto. Compara ese 0.3-3% con el 20-40% de facturación que puede costar un incidente y la inversión se justifica sola.

Desglose detallado: que comprar con cada presupuesto

Para que la tabla anterior no quede en lo teórico, voy a desglosar exactamente que debería incluir cada nivel de inversión:

Micro empresa (1.500-3.000 euros/año):

• EDR en todos los equipos: Microsoft Defender for Business o similar (600-1.200 euros/año)
• Backup automatizado en nube: Backblaze o similar (120-360 euros/año)
• MFA en todos los servicios: Google Authenticator o Microsoft Authenticator (gratuito)
• Formación anual de concienciación: curso online para todo el personal (300-600 euros)
• Revisión anual de configuraciones: 1 jornada de consultor externo (400-800 euros)

Pequeña empresa (5.000-15.000 euros/año):

• Todo lo anterior, más:
• Firewall perimetral gestionado: Fortinet, Sophos o similar (1.800-4.800 euros/año)
• Plan de respuesta a incidentes documentado: elaboración + simulacro (1.500-3.000 euros)
• Seguro de ciberriesgos básico (1.500-3.000 euros/año)
• Revisión trimestral de parches y actualizaciones: automatizada o consultor (incluido en firewall gestionado)

Mediana empresa (25.000-80.000 euros/año):

• Todo lo anterior, más:
• SOC/MDR gestionado 24x7: Arctic Wolf, Sophos MDR o similar (12.000-36.000 euros/año)
• Pentesting anual externo (3.000-8.000 euros)
• Segmentación de red (proyecto único + mantenimiento: 5.000-15.000 euros)
• DLP básico para datos sensibles (3.000-8.000 euros/año)
• Seguro ciber con cobertura ampliada (3.000-8.000 euros/año)
• vCISO: 4 horas semanales (12.000-24.000 euros/año)

Además, hay que tener en cuenta que muchas de estas medidas tienen un efecto acumulativo: un firewall bien configurado protege contra miles de intentos de intrusión diarios, un EDR puede detectar y contener un ransomware en minutos antes de que se propague, y una sola sesión de formación puede evitar que un empleado caiga en un phishing que habría costado decenas de miles de euros. La ciberseguridad no es un gasto: es una inversión con retorno medible.

Lo que veo con demasiada frecuencia en mis peritajes es que las empresas invierten en tecnología pero se olvidan de las personas y los procesos. De nada sirve tener un firewall de última generación si nadie revisa las alertas, si no hay un plan de respuesta documentado o si el único empleado que sabe la contraseña del servidor se va de vacaciones y no tiene sustituto. La ciberseguridad es un tripode: tecnología, personas y procesos. Si falla una pata, se cae todo.

El patrón que mejor lo ilustra es el del sistema de detección silenciado: genera alertas críticas durante meses, el responsable las desactiva porque son demasiadas, y cuando llega el ataque resulta que había detectado el movimiento lateral semanas antes. La tecnología funcionó; las personas y los procesos, no. Si Moncloa, con su equipo especializado y el respaldo del CCN-CERT, tardo 100 días en reaccionar a la caída de su sistema anti-APT, imagina lo que le puede pasar a una empresa donde el único informático tiene que elegir entre arreglar la impresora del director y revisar los logs del firewall.

Costes de cumplimiento NIS2: la factura que viene para las empresas españolas

España sigue sin transponer la Directiva NIS2: el 8 de julio de 2026 la Comisión Europea anunció que llevaba a España ante el Tribunal de Justicia de la UE por no haber notificado la transposición completa. No hay fecha oficial para la norma española, así que lo que sigue describe lo que la Directiva exige, no un régimen nacional ya aplicable. Y cuando llegue, las empresas clasificadas como “esenciales” o “importantes” tendrán que cumplir requisitos de ciberseguridad con coste significativo:

El art. 34 de la Directiva obliga a los Estados a fijar máximos de al menos 10 millones de euros o el 2% de la facturación global para entidades esenciales, y 7 millones o el 1,4% para entidades importantes. En comparación con las multas del RGPD, las sanciones NIS2 son del mismo orden de magnitud, pero el coste de cumplimiento suele ser significativamente mayor porque implica medidas técnicas además de organizativas.

Mi recomendación como perito: no esperes a que se publique la transposición española para empezar a prepararte. Las medidas que exige la NIS2 son, en su mayoría, las mismas que cualquier empresa debería tener independientemente de la obligación legal. Si empiezas a implementarlas ahora, cuando la ley entre en vigor estaras cumpliendo y, además, estaras protegido. Si esperas, tendras que hacerlo todo de golpe, con prisa, y probablemente mal.

Recursos públicos que ya existen y las PYMEs no aprovechan

Antes de hablar de inversiones privadas, hay que reconocer que existen recursos públicos gratuitos o subvencionados que la mayoría de PYMEs españolas desconoce:

INCIBE: el recurso más infrautilizado de España

INCIBE (Instituto Nacional de Ciberseguridad) ofrece servicios gratuitos que muchas PYMEs no saben que existen:

• 017: Línea de ayuda en ciberseguridad, gratuita y confidencial. Atienden a empresas y autónomos con dudas sobre incidentes, configuraciones o buenas prácticas
• Herramientas de autodiagnostico: Tests online que evaluan el nivel de ciberseguridad de tu empresa y te dan recomendaciones personalizadas
• Guías sectoriales: Documentos adaptados a cada sector (sanidad, logística, comercio, etc.) con medidas concretas
• Alertas de seguridad: Servicio de notificaciones sobre vulnerabilidades y amenazas que afectan a productos que usa tu empresa
• Formación online gratuita: Cursos de concienciación en ciberseguridad para empresas

En 2025, INCIBE gestiono más de 122.000 ciberincidentes, un 26% más que el año anterior. Pero las herramientas preventivas que ofrece siguen siendo desconocidas para la mayoría del tejido empresarial. Es como tener un extintor en el edificio y que nadie sepa donde esta.

Kit Digital: la oportunidad que muchos dejaron pasar

El programa Kit Digital del Gobierno de España incluia una categoría específica de ciberseguridad con subvenciones de hasta 6.000 euros para PYMEs (Segmento I) y 2.000 euros para microempresas y autónomos (Segmento III). Aunque las convocatorias principales ya han cerrado, siguen existiendo plazos abiertos y programas complementarios que vale la pena consultar en la web de Acelera Pyme.

Lo que he observado con el Kit Digital es un patrón frustrante: muchas PYMEs solicitaron la subvencion de ciberseguridad, contrataron el servicio mínimo que exigía la convocatoria y, una vez agotados los 12 meses subvencionados, dejaron de pagar. El resultado es que tienen una falsa sensación de seguridad basada en herramientas que ya no están activas. Es peor que no haber tenido nada, porque la confianza injustificada reduce la vigilancia.

El riesgo real de ese patrón no es quedarse sin protección: es creer que se sigue protegido. Cuando el servicio se desactiva al acabar la subvención, rara vez hay un aviso que llegue a quien toma las decisiones, y la empresa sigue operando con la confianza de que alguien vigila.

La lección para futuros programas de subvencion: la ciberseguridad no es un proyecto con principio y fin. Es un servicio continuo, como la electricidad o el seguro del local. Los programas públicos deberían incentivar la continuidad, no solo la adopción inicial.

Programas europeos disponibles

Además del Kit Digital, existen programas europeos que las PYMEs españolas pueden aprovechar:

• Digital Europe Programme: Financiación para centros de operaciones de seguridad (SOC) transnacionales
• Horizon Europe: Convocatorias específicas para proyectos de ciberseguridad en PYMEs
• CEF (Connecting Europe Facility): Infraestructura de ciberseguridad para servicios digitales transfronterizos
• ECCC (European Cybersecurity Competence Centre): Formación y capacitación, con sede en Bucarest pero con nodos nacionales en cada estado miembro

El problema es que estos programas son prácticamente desconocidos fuera del circulo de las grandes consultoras y los centros tecnológicos. La PYME de 20 empleados de Jaen o de Badajoz no sabe que existen, no tiene capacidad para solicitar las ayudas y no tiene interlocutores que le expliquen como acceder a ellos. Es otra brecha que las políticas públicas deberían cerrar.

El seguro ciber como alternativa coste-efectiva

Para PYMEs con presupuesto limitado, el seguro de ciberriesgos puede ser la inversión más inteligente. No sustituye las medidas técnicas básicas, pero aporta una red de seguridad financiera y, lo más importante, acceso a servicios de respuesta profesional que la empresa no podría costearse por si sola:

Las primas para PYMEs españolas oscilan entre 800 y 5.000 euros anuales, dependiendo del tamaño, el sector y las medidas de seguridad existentes. Para una empresa de 10-50 empleados, una poliza con cobertura de 250.000-500.000 euros suele costar entre 2.000 y 4.000 euros anuales. Es, literalmente, lo que cuesta un mantenimiento anual de impresoras.

El dato clave que aporto desde mi experiencia como perito: las aseguradoras que incluyen servicios de respuesta a incidentes en sus polizas suelen resolver los casos en la mitad de tiempo que las empresas que contratan servicios de emergencia por su cuenta. La razón es que las aseguradoras tienen acuerdos pre-negociados con empresas forenses, legales y de comunicación que se activan automáticamente cuando el asegurado reporta un incidente. Ese tiempo ahorrado puede ser la diferencia entre 2 días de parada y 3 semanas.

La reforma de gobernanza de ciberseguridad que España necesita

El caso de Moncloa pone de manifiesto un problema estructural que va más alla de la inversión económica: la gobernanza de la ciberseguridad en España esta fragmentada y es reactiva en lugar de preventiva.

Actualmente, la ciberseguridad pública española depende de una constelacion de organismos con competencias solapadas:

• CCN-CERT (Centro Criptológico Nacional): Responsable de la ciberseguridad del sector público, adscrito al CNI
• INCIBE-CERT: Responsable de ciudadanos y empresas privadas
• ESP-DEF-CERT (Mando Conjunto del Ciberespacio): Responsable del ámbito militar
• AEPD: Protección de datos personales
• Oficina de Coordinación de Ciberseguridad: Bajo la Secretaría de Estado de Seguridad

Esta fragmentación genera zonas grises. El caso del sistema anti-APT de Moncloa es un ejemplo perfecto: en el ENS la supervisión de la implantación de medidas corresponde al responsable de seguridad de la propia organización (art. 13.2.c) y, en servicios externalizados, «la responsabilidad última» sigue residiendo en la entidad del sector público (art. 13.5); el CCN-CERT articula y coordina la respuesta técnica (art. 33.1). Son papeles distintos, y cuando se confunden nadie supervisa.

Lo que necesita España, en mi opinion como profesional que ve las consecuencias de estos fallos en primera línea:

• Una Agencia Nacional de Ciberseguridad con autoridad transversal, similar a ANSSI en Francia o BSI en Alemania. No más fragmentación competencial
• Transposición inmediata de la NIS2, con un régimen sancionador que desincentive la negligencia en la protección de infraestructuras críticas
• Obligación de notificación pública de brechas que afecten a datos de ciudadanos, con plazos y formatos estandarizados. La opacidad actual no protege a nadie: solo retrasa la reacción
• Incentivos fiscales para inversiones en ciberseguridad de PYMEs, tomando como referencia programas comparables: en Italia el voucher de nube y ciberseguridad de 2026 subvenciona a fondo perdido el 50% de determinados gastos elegibles de pymes y autónomos, con un máximo de 20.000 euros — es una subvención sujeta a requisitos, no una deducción fiscal general
• Certificación obligatoria de proveedores de servicios críticos para la administración pública, con auditorias periódicas y penalizaciones por incumplimiento de SLAs de seguridad
• Fondo de emergencia cibernetica para PYMEs que sufran ataques, similar al fondo de garantía de depósitos bancarios. Una empresa de 20 empleados que sufre un ransomware no debería tener que elegir entre pagar la recuperación o pagar las nóminas
• Programa nacional de formación en ciberseguridad obligatorio en la FP y en las escuelas de negocio. Si formamos a los empresarios del futuro sin nociones básicas de ciberseguridad, estamos preparando a las víctimas del mañana

La realidad es que España necesita pasar de un modelo reactivo (invertir después de cada crisis) a un modelo preventivo (invertir de forma continuada para reducir el riesgo). El caso de Moncloa debería ser el punto de inflexion, pero me temo que, como ocurrio con el hackeo al SEPE en 2021 y con los ataques al Hospital Clínic de Barcelona en 2023, la urgencia se diluira en cuanto los titulares cambien.

El problema de la contratación pública en ciberseguridad

Hay un aspecto de este caso que merece un análisis separado porque afecta a todas las administraciones públicas, no solo a Moncloa: el modelo de contratación pública es incompatible con la velocidad que exige la ciberseguridad.

El sistema anti-APT de Moncloa dejo de funcionar en noviembre de 2025. El contrato sustituto no se formalizo hasta mediados de febrero de 2026. Esos 100 días de vacio no fueron un error técnico: fueron un error burocratico. La Ley de Contratos del Sector Público (Ley 9/2017) establece procedimientos de licitacion, evaluación y adjudicacion que, en circunstancias normales, pueden tardar entre 3 y 12 meses. Y ahí está la pregunta jurídica, porque la emergencia no es la vía lenta: el art. 120 de la LCSP permite al órgano de contratación ordenar lo necesario o contratar libremente «sin obligación de tramitar expediente» y sin sujetarse a los requisitos formales ordinarios, con la ejecución iniciada dentro del mes siguiente. Lo discutible no es que la emergencia consuma semanas de aprobaciones, sino si este supuesto justificaba acudir a esa vía excepcional.

En el ámbito de la ciberseguridad, semanas es una eternidad. Una vulnerabilidad zero-day se explota en horas, no en semanas. Un atacante que identifica un sistema sin actualizaciones puede comprometer toda una infraestructura en días. La brecha entre la velocidad de las amenazas y la velocidad de la burocracia es, en si misma, una vulnerabilidad crítica.

El patrón se agrava en la administración local, donde el plazo de adjudicación de una renovación puede medirse en trimestres. Mientras tanto el equipo antiguo sigue en producción con reglas obsoletas, porque nadie asume la responsabilidad de desconectarlo sin tener el sustituto operativo — y la vulnerabilidad conocida sigue ahí, publicada, esperando.

La solución pasa por crear marcos de contratación específicos para ciberseguridad que permitan:

• Contratos marco con múltiples proveedores pre-aprobados que se activen automáticamente cuando caduca o falla un servicio
• Cláusulas de continuidad obligatorias en todos los contratos de seguridad, que obliguen al proveedor saliente a mantener el servicio hasta que el entrante este operativo
• Procedimientos de emergencia simplificados para la sustitución de sistemas de seguridad críticos, con plazos máximos de 15 días
• Penalizaciones contractuales por vacios de cobertura, tanto para proveedores que incumplen como para administraciones que no gestionan las transiciones

Si Moncloa, con toda la capacidad de gestión del Gobierno de España, necesito 100 días para sustituir un sistema crítico, imaginemos lo que ocurre en ayuntamientos, diputaciones y organismos autónomos con menos recursos y menos capacidad de gestión. La reforma de la contratación pública en ciberseguridad no es una cuestion técnica: es una cuestion de seguridad nacional.

Qué debería incluir un plan de respuesta a incidentes: guía práctica

Una de las lecciones más claras del caso Moncloa es que tener tecnología sin tener un plan es como tener un coche sin saber conducir. Voy a detallar lo que, en mi experiencia como perito, debería incluir un plan de respuesta a incidentes para cada tamaño de organización:

Para microempresas y autónomos (plan básico)

No necesitas un documento de 200 páginas. Necesitas una hoja con 10 pasos que cualquier persona de la empresa pueda seguir:

• Paso 1: Identificar que algo va mal (pantallas bloqueadas, archivos encriptados, emails sospechosos enviados desde tu cuenta, clientes que reportan correos extraños)
• Paso 2: No apagar el equipo. Desconectarlo de la red (cable y wifi)
• Paso 3: Llamar al contacto de emergencia técnica (tu informático de confianza o el 017 de INCIBE)
• Paso 4: Documentar todo con fotos del móvil (capturas de pantalla, mensajes de error, emails sospechosos)
• Paso 5: No intentar arreglar nada por tu cuenta (puedes destruir evidencias)
• Paso 6: Avisar a tu aseguradora si tienes poliza ciber
• Paso 7: Si hay datos personales afectados, valorar el riesgo y, salvo que sea improbable que lo haya, preparar la notificación a la AEPD (sin dilación indebida y, de ser posible, en 72 horas)
• Paso 8: Cambiar todas las contraseñas desde un dispositivo limpio
• Paso 9: Verificar que el backup funciona antes de restaurar nada
• Paso 10: Una vez resuelto, contactar con un perito para documentar el incidente de forma que la autenticidad y la integridad de lo recogido puedan sostenerse después

Para PYMEs de 10-50 empleados (plan intermedio)

Además de los pasos básicos, necesitas:

• Equipo de respuesta designado: Mínimo 3 personas con roles claros (coordinador, técnico, comunicación). No tienen que ser expertos: tienen que saber a quien llamar y que hacer mientras llega la ayuda
• Lista de contactos de emergencia actualizada: Proveedor de TI, aseguradora, perito forense, abogado, AEPD, INCIBE, Policía Nacional (Unidad Central de Ciberdelincuencia) o Guardia Civil (Departamento Contra el Cibercrimen de la UCO)
• Inventario de activos críticos: Que servidores, datos y aplicaciones son esenciales para operar. Cuales se pueden recuperar del backup y cuales no
• Procedimiento de comunicación: Quien informa a los empleados, quien habla con los clientes, quien contacta con la prensa si es necesario. El silencio no es una estrategia: genera más desconfianza que la transparencia
• Simulacro semestral: No basta con tener el plan escrito. Hay que probarlo. Una simulación de 2 horas cada 6 meses revela fallos que sobre el papel no se ven

Para empresas medianas y grandes (plan avanzado)

Aquí ya hablamos de un documento vivo que se revisa trimestralmente:

• Clasificación de incidentes por severidad (crítico, alto, medio, bajo) con tiempos de respuesta definidos para cada nivel
• Playbooks específicos para los escenarios más probables: ransomware, phishing exitoso, brecha de datos, ataque DDoS, compromiso de proveedor
• Procedimientos de preservación de evidencia que favorezcan la autenticidad, la integridad y la trazabilidad de lo recogido —el art. 348 LEC somete el dictamen a la sana crítica, así que ninguna metodología compra por sí sola el resultado—. En mis peritajes, la diferencia entre un caso que prospera y uno que se archiva suele estar en cómo se preservaron las evidencias en las primeras horas
• Acuerdos de respuesta pre-firmados con proveedores de servicios forenses, legales y de comunicación. Cuando llega el momento del incidente, no quieres estar negociando contratos: quieres que el equipo este trabajando
• Coordinación con autoridades: Protocolo de comunicación con INCIBE-CERT, CCN-CERT (si aplica), la unidad de cibercrimen que corresponda y la AEPD
• Plan de continuidad de negocio: Como opera la empresa mientras los sistemas están caidos. Que procesos se pueden hacer manualmente, que servicios se suspenden, como se priorizan las operaciones críticas

El coste de elaborar estos planes es mínimo comparado con el coste de no tenerlos. Un plan básico para una microempresa se puede hacer en una tarde. Un plan intermedio para una PYME cuesta entre 2.000 y 5.000 euros si lo encarga a un consultor. Un plan avanzado para una empresa mediana cuesta entre 8.000 y 20.000 euros. En todos los casos, el retorno de la inversión se mide en la diferencia entre una respuesta ordenada que minimiza el daño y un caos que lo multiplica.

Comparación internacional: cuanto invierten otros gobiernos

Para contextualizar los 2 millones de euros de Moncloa, veamos que invierten otros países comparables en ciberseguridad gubernamental:

La comparación no se puede cerrar con una cifra, y conviene decirlo en lugar de estimarla: si España no publica su inversión agregada en ciberseguridad, no hay forma honesta de expresar la diferencia con Francia o Alemania en un porcentaje. (Aquí figuraba «España invierte entre un 30 % y un 50 % menos», calculado sobre la cifra que la fila anterior declara inexistente, y un «sexto país del mundo más afectado por ransomware» atribuido a un informe de Thales que no he podido localizar.) Lo que sí es comparable, y basta para el argumento, es el modelo: los países de la tabla publican planes plurianuales con su importe, y España responde con partidas reactivas tras cada incidente.

Los 2 millones de Moncloa son una gota en el océano comparados con las cifras de otros países. Pero lo verdaderamente preocupante no es la cifra absoluta, sino que sea una respuesta reactiva a un incidente concreto en lugar de parte de un plan estrategico plurianual. La ciberseguridad no se resuelve con cheques puntuales: requiere inversión sostenida, gobernanza clara y cultura organizativa.

Un dato que me parece revelador: Estonia, un país con un PIB 40 veces menor que el de España, invierte más per cápita en ciberseguridad que nosotros. Después de sufrir un ciberataque masivo ruso en 2007 que paralizo servicios bancarios, medios de comunicación y administraciones públicas durante semanas, Estonia convirtio la ciberseguridad en una prioridad nacional. Creo el CERT-EE, desarrollo la infraestructura de identidad digital más avanzada de Europa (e-Residency), y exporta su expertise en ciberseguridad a otros países. El resultado: Estonia es hoy uno de los países más resilientes del mundo frente a ciberataques.

España necesita su propio “momento Estonia”: un punto de inflexion que transforme la ciberseguridad de un gasto reactivo a una inversión estratégica. La pregunta es si los 2 millones de Moncloa serán ese punto de inflexion o simplemente otro parche que olvidaremos cuando cambie el ciclo de noticias.

El factor humano: por que la tecnología sola no basta

Hay algo que repito a todos mis clientes y que el caso de Moncloa ilustra perfectamente: puedes tener la mejor tecnología del mundo, pero si las personas no saben usarla o los procesos no funcionan, la tecnología es inútil.

El sistema anti-APT de Moncloa era, presumiblemente, una solución de gama alta. Pero cuando dejo de recibir actualizaciones, nadie activo un plan alternativo durante 100 días. Esto no es un fallo tecnológico: es un fallo humano y de procesos.

En mis peritajes, las causas raiz de los incidentes se distribuyen de forma bastante consistente:

No pongo porcentajes, y conviene explicar por qué: mi casuística es pequeña y repartirla en cinco categorías daría una precisión que no tiene. Lo que sí puedo dar es el orden, que se repite:

Para dimensionar el primero con una fuente que sí mide: el elemento humano interviene en alrededor del 60 % de las brechas analizadas por el DBIR 2025 de Verizon.

Lo que dice ese orden es que la gran mayoría de los incidentes podrían haberse prevenido con medidas que no requieren tecnología cara: formación del personal, configuraciones revisadas y parches al día. El ataque dirigido sofisticado —el que ninguna defensa razonable habría detenido— es el último de la lista, y por mucho. Es justo el contrario del que ocupa los titulares, y por eso el presupuesto se desvía hacia donde menos falta hace.

Esto tiene una implicación directa para las PYMEs: no necesitas gastar lo que gasta Moncloa para protegerte de la mayor parte de las amenazas que vas a enfrentar. Necesitas personal formado, sistemas actualizados y procesos documentados. Las tres cosas juntas cuestan menos que un solo puesto de trabajo a tiempo completo.

El escenario que lo ilustra mejor es el de la empresa que invierte en un cortafuegos de nueva generación tras un intento de intrusión y no forma a su plantilla. El siguiente ataque no pasa por el perímetro: llega como un correo que suplanta a un proveedor habitual, alguien introduce las credenciales del ERP y los atacantes cambian los datos bancarios de varios proveedores. El cortafuegos era excelente; el ataque entró por la bandeja de entrada.

La formación en ciberseguridad no tiene que ser compleja ni cara. En mis sesiones con PYMEs, dedico 2 horas a lo esencial:

• Como identificar emails de phishing (los 5 indicadores clave)
• Por que nunca debes compartir contraseñas ni usar la misma en múltiples servicios
• Que hacer si recibes un email o mensaje sospechoso (no hacer clic, reportar al responsable)
• Como funciona la autenticación de dos factores y por que es tu mejor aliado
• Que hacer si crees que tu equipo esta comprometido (desconectar de la red, no apagar, avisar)

Dos horas. 300-600 euros si contratas un formador externo. Y con eso reduces los clics en phishing en un 60-70%. Es la inversión con mayor retorno de toda la ciberseguridad.

La cultura de seguridad: el intangible que marca la diferencia

Más alla de la formación puntual, lo que realmente diferencia a las organizaciones que resisten los ciberataques de las que sucumben es algo más difícil de medir: la cultura de seguridad.

Una organización con cultura de seguridad es aquella donde:

• Los empleados reportan emails sospechosos sin miedo a que les reganen por “molestar”
• El equipo de TI puede decir “no” a un director que quiere saltarse una política de seguridad
• Las actualizaciones de seguridad se aplican aunque interrumpan el trabajo durante 15 minutos
• Los incidentes se analizan para aprender, no para buscar culpables
• La seguridad se considera una responsabilidad de todos, no solo del informático

En mis peritajes, la correlación entre cultura de seguridad y capacidad de respuesta es directa. Las empresas donde los empleados reportaron emails sospechosos detectaron las brechas en una media de 2 días. Las empresas donde nadie reporto nada tardaron una media de 4 meses en descubrir la brecha. La diferencia en coste fue de un factor de 10.

Construir esta cultura no requiere inversión económica. Requiere liderazgo. Si el CEO o el gerente de la empresa trata la ciberseguridad como una prioridad (asiste a las formaciones, cumple las políticas de contraseñas, pregunta por las métricas de seguridad), el resto de la organización lo hará también. Si el CEO pide que le eximan del MFA porque es “muy molesto”, acaba de enviar un mensaje a toda la organización: la seguridad no importa.

En el caso de Moncloa, la pregunta de fondo no es cuanto dinero se gasta en tecnología. Es si existe una cultura institucional donde la ciberseguridad se trata con la misma seriedad que la seguridad física. Porque ningun sistema anti-APT del mundo compensa una cultura organizativa donde se acepta que un sistema crítico deje de funcionar durante 100 días sin que salten todas las alarmas.

Marco legal: las obligaciones que Moncloa y las empresas tienen tras un incidente

Lo que me resulta especialmente significativo es que España sigue sin transponer la Directiva NIS2 mientras a Moncloa se le atribuyen 2 millones en reparar daños que un marco regulatorio actualizado podría haber prevenido. La NIS2 exige, entre otras cosas, una gestión de riesgos de la cadena de suministro TIC, que es la obligación que aquí viene al caso, aunque el nexo entre esa cadena de suministro y el incidente concreto no está acreditado. Si quieres entender como afecta la NIS2 a tu organización, he escrito un análisis completo en mi post sobre la NIS2 y sus implicaciones para empresas españolas.

El caso de Moncloa ilustra una paradoja que veo constantemente en mis peritajes: las organizaciones que más datos sensibles manejan no siempre son las que más invierten en protegerlos. El ENS (Esquema Nacional de Seguridad) lleva vigente desde 2010, con su actualización en 2022, y establece requisitos de seguridad obligatorios para todas las administraciones públicas. Que un sistema crítico como el anti-APT de la Presidencia del Gobierno pueda quedar sin actualizaciones durante 100 días sugiere que los mecanismos de supervisión del cumplimiento del ENS necesitan una revisión profunda.

Para las empresas privadas, la lección es clara: cumplir con la normativa no es solo una obligación legal, es una inversión en supervivencia. Las empresas cuyo nivel de cumplimiento puedo evaluar y documentar pericialmente frente al RGPD, la LOPDGDD y, cuando aplique, la NIS2 tienen una ventaja doble: reducen su riesgo real de sufrir un incidente y, si este se produce, pueden demostrar diligencia debida ante la AEPD, los tribunales y sus aseguradoras.

Un dato que muchos empresarios desconocen: las aseguradoras de ciberriesgos están endureciendo sus requisitos de suscripción. En 2025, el 40% de las solicitudes de polizas ciber en España fueron rechazadas o requirieron medidas adicionales antes de la aprobación, según datos del sector asegurador.

Un informe pericial no es una certificación de cumplimiento —esas las expiden los organismos acreditados de los arts. 42 y 43 del RGPD, y ni siquiera limitan tu responsabilidad—, pero acreditar el nivel de seguridad de tu empresa te ayuda a demostrar las medidas implantadas y te facilita el acceso a un seguro que puede ser la diferencia entre sobrevivir a un incidente o cerrar. Es un circulo virtuoso: inviertes en seguridad, puedes demostrar tu nivel de protección, accedes a un seguro ciber con primas razonables, y si ocurre un incidente, tienes un respaldo financiero que te permite sobrevivir mientras te recuperas.

Cronograma de implementación: como pasar de cero a protegido en 90 días

Si has llegado hasta aquí y tu empresa no tiene medidas de ciberseguridad, no intentes implementar todo de golpe. En mi experiencia asesorando PYMEs, el enfoque más efectivo es un plan escalonado de 90 días que prioriza las medidas por impacto:

Semana 1-2: Las medidas inmediatas (coste: 0-500 euros)

Estas son las acciones que puedes hacer hoy mismo, sin inversión económica significativa, y que reducen tu superficie de ataque inmediatamente:

• Activar MFA en todos los servicios críticos: Email, banca online, panel de hosting, ERP. Es gratuito y, en la formulación exacta de Microsoft (agosto de 2019), «bloquea más del 99,9 % de los ataques de compromiso de cuenta» — todos, no solo los que parten de credenciales ya filtradas
• Verificar que Windows Update esta activo en todos los equipos y que no hay actualizaciones pendientes de semanas o meses
• Cambiar las contraseñas por defecto de todos los dispositivos de red: router, switch, NAS, impresoras en red, cámaras IP. Las contraseñas por defecto son públicas y los atacantes las prueban automáticamente
• Desactivar el acceso remoto (RDP, VNC) si no lo necesitas. Si lo necesitas, ponerlo detras de una VPN. El RDP expuesto a internet es uno de los vectores de ataque más comunes que veo en mis peritajes
• Hacer una copia de seguridad manual de los datos críticos en un disco externo que guardes desconectado y fuera de la oficina. No es la solución definitiva, pero es infinitamente mejor que no tener nada

Semana 3-4: Las defensas básicas (coste: 1.000-3.000 euros)

• Desplegar un EDR en todos los equipos. Microsoft Defender for Business (incluido en Microsoft 365 Business Premium) es suficiente para la mayoría de PYMEs y cuesta unos 20 euros por usuario al mes
• Configurar backup automatizado a la nube con la regla 3-2-1. Soluciones como Backblaze, Wasabi o incluso Google Workspace/Microsoft 365 con configuración adecuada ofrecen backup offsite a costes muy razonables
• Contratar un seguro de ciberriesgos básico. Las primas para PYMEs empiezan en 800-1.500 euros anuales y te dan acceso a equipo de respuesta 24h, algo que por tu cuenta costaria miles de euros

Mes 2: Procesos y personas (coste: 1.500-4.000 euros)

• Sesión de formación para todo el personal. 2 horas, presencial o virtual, con simulación de phishing incluida
• Documentar un plan de respuesta básico (ver sección anterior de este artículo)
• Revisar la configuración del firewall (si tienes uno) o contratar un firewall gestionado
• Inventario de activos críticos: saber que tienes, donde esta y que pasaria si lo pierdes

Mes 3: Consolidación y verificación (coste: 1.000-3.000 euros)

• Primer simulacro de respuesta a incidentes: Probar el plan con un escenario ficticio
• Verificación del backup: Restaurar los datos en un entorno de prueba para confirmar que funciona
• Primera evaluación de riesgos formal: Puede ser un autodiagnostico con las herramientas de INCIBE o una evaluación externa si el presupuesto lo permite
• Revisión de proveedores críticos: Confirmar que tus proveedores de TI tienen medidas de seguridad y planes de respuesta

Al final de los 90 días, tu empresa habrá pasado de estar completamente desprotegida a tener un nivel de seguridad básico. No hay una cifra fiable de «qué porcentaje de amenazas» cubre eso —desconfía de quien te la dé—, pero cierra las vías por las que entran la mayoría de los incidentes que llegan a peritaje. No es perfecto, pero es infinitamente mejor que nada. Y el coste total del programa de 90 días (entre 3.500 y 10.500 euros) es una fracción del coste de un solo incidente.

Para empresas que quieran ir más alla del nivel básico, ofrezco un servicio de consultoría y asesoramiento que incluye evaluación de riesgos personalizada, plan de mejora priorizado y acompanamiento durante la implementación.

Señales de alerta: como saber si tu empresa ya ha sido comprometida

Antes de cerrar la parte práctica del artículo, quiero compartir las señales que deberían hacer saltar las alarmas. En muchos de los peritajes que realizo, el ataque llevaba semanas o meses activo antes de que la empresa se diera cuenta. Estas son las señales que deberían hacer que llames a un profesional inmediatamente:

• Rendimiento anormal de los equipos: Ordenadores que de repente van mucho más lentos de lo habitual, ventiladores que se activan constantemente (puede indicar criptomineria)
• Conexiones de red inusuales: Tu router o firewall muestra tráfico a direcciones IP que no reconoces, especialmente de madrugada o en fin de semana
• Cuentas de correo que envian emails solos: Clientes o proveedores te preguntan por emails que tu no has enviado
• Archivos modificados sin explicación: Documentos que cambian de fecha de modificación, archivos nuevos que no creaste o carpetas que aparecen vacias
• Intentos de acceso fallidos: Notificaciones de intentos de inicio de sesión en tus servicios en la nube desde ubicaciones o dispositivos que no reconoces
• Software desconocido: Programas instalados que nadie recuerda haber instalado, extensiones de navegador que aparecen solas
• Antivirus desactivado: Si tu antivirus o EDR se desactiva solo, es una señal casi inequívoca de compromiso. Los atacantes desactivan las defensas como primer paso antes de desplegar el payload
• Alertas del banco: Transferencias no autorizadas, cambios en datos de contacto que no solicitaste, intentos de acceso desde dispositivos desconocidos

Si detectas alguna de estas señales, no apagues el equipo (destruyes evidencia), desconectalo de la red y contacta con un profesional. El tiempo es crítico: cada hora que pasa sin actuar es una hora que el atacante tiene para profundizar en tus sistemas, exfiltrar más datos o preparar el despliegue del ransomware.

Preguntas frecuentes

¿Son 2 millones de euros suficientes para proteger la Presidencia del Gobierno?

En mi opinion profesional, no. Si los 2 millones que circulan fueran ciertos, cubrirían la respuesta al incidente y el refuerzo inmediato, pero no garantizan una protección sostenida a largo plazo.

La ciberseguridad no es un proyecto con principio y fin: es un proceso continuo que requiere inversión recurrente. Un programa de ciberseguridad adecuado para una institucion del nivel de Moncloa necesita una partida anual que incluya monitorización 24x7, actualizaciones continuas de los sistemas de detección, formación periódica del personal y ejercicios de red team al menos semestrales.

Para poner un ejemplo comparable, el gobierno del Reino Unido destina anualmente más de 2.600 millones de libras a su estrategia nacional de ciberseguridad, y Francia invierte más de 1.000 millones de euros anuales a traves de ANSSI. Incluso países más pequeños como Estonia, que sufrio un ciberataque masivo en 2007, han convertido la ciberseguridad en una prioridad presupuestaria permanente. Si la inversión de 2 millones de Moncloa es un gasto puntual y no el inicio de un presupuesto recurrente, estamos ante un parche, no una solución.

¿Qué debería hacer una PYME española que no tiene presupuesto de ciberseguridad?

Lo primero es dejar de pensar que la ciberseguridad es un lujo. Con 3.000-5.000 euros anuales, una PYME puede implementar medidas básicas que reducen drásticamente su superficie de ataque:

• Un firewall perimetral actualizado con reglas revisadas trimestralmente
• Un sistema EDR en todos los endpoints (ordenadores y servidores)
• Copias de seguridad 3-2-1 verificadas mensualmente (3 copias, 2 soportes, 1 offsite)
• Autenticación multifactor (MFA) en todos los accesos críticos: email, VPN, panel de administración
• Una sesión de formación semestral para todo el personal, con simulación de phishing incluida

Si tu empresa maneja datos sensibles de clientes o proveedores y no tiene estas medidas mínimas, un perito informático puede realizar una evaluación de riesgos y ayudarte a priorizar las inversiones en función de tu presupuesto real. Además, INCIBE ofrece herramientas gratuitas de autodiagnostico que sirven como punto de partida para PYMEs con recursos limitados.

¿Puede una empresa reclamar judicialmente si su proveedor de ciberseguridad deja de dar servicio?

Si, y es un escenario que he peritado en varias ocasiones.

Si el contrato de servicio incluye un SLA (acuerdo de nivel de servicio) con compromisos de disponibilidad y actualización, el incumplimiento por parte del proveedor genera responsabilidad contractual.

La clave esta en la documentación: necesitas pruebas forenses del momento exacto en que el servicio dejo de funcionar, los daños derivados de la falta de cobertura y la relación causal entre ambos.

Una reclamación contractual exige acreditar contrato y partes, obligación incumplida, daño y nexo causal, y en contratación pública identificar además el órgano contratante y el régimen del contrato: sin el expediente delante no puede afirmarse que exista acción directa contra un fabricante. El informe pericial sirve para acreditar la cadena de causalidad, que es solo uno de esos elementos.

En el caso de Moncloa, si el fabricante del sistema anti-APT incumplio los términos contractuales de actualización, la Administración tendría legitimación para reclamar por daños, aunque la complejidad de los contratos públicos y la Ley de Contratos del Sector Público añade capas adicionales al proceso.

Para empresas privadas, el consejo es claro: revisa las cláusulas de SLA de tu proveedor de seguridad, asegurate de que incluyen compromisos concretos de tiempo de respuesta y actualización, y conserva toda la documentación que demuestre el cumplimiento o incumplimiento.

Si llega el momento de reclamar, esa documentación vale más que cualquier argumento verbal.

Los elementos que deben estar en cualquier SLA de ciberseguridad:

• Tiempo máximo de respuesta ante incidentes (medido en horas, no en días)
• Compromiso de actualización de firmas y reglas (frecuencia mínima diaria)
• Disponibilidad del servicio (mínimo 99,9% para servicios críticos)
• Penalizaciones automáticas por incumplimiento (descuentos proporcionales al tiempo de indisponibilidad)
• Cláusula de continuidad en caso de cambio de proveedor (mantenimiento del servicio durante la transicion)
• Obligación de notificación inmediata si el proveedor sufre un incidente que pueda afectar a sus clientes

¿Cuánto cuesta un seguro de ciberriesgos para una PYME en España?

Las primas varian significativamente según el tamaño de la empresa, el sector, el volumen de datos que maneja y las medidas de seguridad existentes. Como referencia general: una PYME de 10-50 empleados del sector servicios puede esperar primas de entre 1.500 y 4.000 euros anuales para coberturas de 250.000-500.000 euros. Empresas del sector sanitario o financiero, que manejan datos especialmente sensibles, pagan primas un 30-50% superiores.

Lo que muchas empresas no saben es que las aseguradoras ofrecen descuentos significativos (hasta un 25%) si la empresa puede demostrar que tiene medidas de seguridad básicas implementadas: MFA, backup verificado, formación del personal y un plan de respuesta a incidentes. Un informe pericial que acredite estas medidas puede amortizarse en un solo año con el ahorro en la prima del seguro.

¿Qué es un sistema anti-APT y por qué es tan caro?

Un sistema anti-APT (Advanced Persistent Threat) es una plataforma de seguridad diseñada para detectar y neutralizar ataques sofisticados que los antivirus convencionales no pueden identificar. Mientras un antivirus busca firmas de malware conocido, un anti-APT analiza el comportamiento de los archivos, las comunicaciones de red y las actividades de los usuarios para identificar patrones anormales que indiquen una intrusión avanzada.

Los sistemas anti-APT empresariales como CrowdStrike Falcon, Palo Alto Cortex XDR o Microsoft Defender for Endpoint (plan P2) cuestan entre 30 y 80 euros por endpoint al año para empresas grandes. Para una organización como Moncloa, con cientos de endpoints y requisitos de certificación especiales, el coste total puede alcanzar fácilmente los 500.000-800.000 euros anuales incluyendo licencias, despliegue, integración y soporte premium.

¿Qué diferencia hay entre un SOC y un MDR?

Un SOC (Security Operations Center) es un centro de operaciones de seguridad con personal dedicado que monitoriza los sistemas de una organización 24x7. Un MDR (Managed Detection and Response) es un servicio externalizado que proporciona la misma capacidad de detección y respuesta pero gestionado por un proveedor especializado. Para la mayoría de PYMEs, el MDR es la opción más coste-efectiva porque no requiere contratar personal propio de ciberseguridad, que en España es escaso y caro (un analista SOC junior cobra entre 28.000 y 35.000 euros anuales).

¿Cómo puedo saber si mi empresa necesita cumplir la NIS2?

La NIS2 clasifica las organizaciones en dos categorías: “esenciales” e “importantes”. Las esenciales incluyen sectores como energía, transporte, banca, sanidad, agua potable e infraestructura digital. Las importantes incluyen servicios postales, gestión de residuos, industria química, alimentación, fabricación y servicios digitales. El umbral de más de 50 empleados o 10 millones de facturación es un primer filtro, no la regla: los arts. 2 y 3 de la Directiva combinan los anexos, el tamaño y la vinculación empresarial, supuestos incluidos con independencia del tamaño y designaciones individuales de cada Estado. Ser proveedor de una entidad esencial tampoco convierte automáticamente a una microempresa en entidad incluida: hay que comprobar el articulado y, cuando llegue, la norma española.

¿Cuánto tarda una empresa en recuperarse completamente de un ciberataque grave?

Depende enormemente de la preparación previa de la empresa.

Según los datos de IBM, contener una brecha lleva 60 días de media una vez detectada, y el ciclo completo desde el compromiso hasta el cierre son 241 días. Pero la recuperación completa, entendida como la vuelta a la operativa normal con todos los sistemas restaurados, los datos verificados y la confianza de clientes y proveedores recuperada, suele tardar entre 3 y 12 meses.

En mis peritajes, el caso más rápido de recuperación completa fue de 6 semanas. Era una empresa con plan de respuesta documentado, backup verificado mensualmente y seguro ciber que cubrio la respuesta forense y la pérdida de beneficios.

El caso más lento fue de 14 meses. Era una empresa sin backup, sin plan y sin seguro. Tuvieron que reconstruir toda la infraestructura desde cero, recuperar datos manualmente de facturas impresas y correos electrónicos de clientes, y reconquistar la confianza de proveedores que habían dejado de trabajar con ellos.

La diferencia entre 6 semanas y 14 meses es, basicamente, la diferencia entre haber invertido 10.000 euros anuales en preparación y no haber invertido nada.

¿Qué hago si mi empresa sufre un ciberataque ahora mismo?

Este es el protocolo de emergencia que recomiendo a todos mis clientes:

Paso 1: No apagues los equipos. Apagar un equipo destruye la memoria RAM, donde se encuentran muchas de las evidencias forenses más valiosas: procesos activos del malware, conexiones de red abiertas, claves de cifrado en uso. Si apagas, esa evidencia desaparece para siempre.

Paso 2: Desconecta los equipos afectados de la red. Desconecta el cable de red y desactiva el wifi. Esto impide que el ataque se propague a otros equipos y corta la comunicación del malware con los servidores de los atacantes.

Paso 3: Llama al 017 de INCIBE. Es gratuito, confidencial y esta operativo de 8:00 a 23:00 todos los días del año. Te orientaran sobre los pasos inmediatos mientras consigues ayuda especializada.

Paso 4: Contacta con un perito informático forense. Conviene iniciar la preservación cuanto antes para evitar que se pierda o se contamine lo volátil: no es que exista un plazo legal tras el cual la evidencia deje de valer, es que lo que no se preserva ya no está. Cada minuto que pasa sin preservar las evidencias es información que puede perderse o contaminarse.

Paso 5: Notifica a tu aseguradora si tienes poliza ciber. El art. 16 de la Ley de Contrato de Seguro fija como regla general un máximo de siete días desde que conoces el siniestro, salvo que la póliza te dé un plazo más amplio; muchas pólizas ciber aprietan ese plazo, así que léelo. La demora no autoriza por sí sola a denegar la cobertura: el asegurador puede reclamar el perjuicio que le haya causado la falta de aviso, y solo se pierde la indemnización si hubo dolo o culpa grave.

Paso 6: No pagues ningun rescate sin asesoramiento profesional. El pago no es la vía que de verdad recupera los datos, y los números de Sophos lo dicen mejor que cualquier advertencia: de las organizaciones que sufrieron cifrado, el 97 % acabó recuperando su información, y la restauración desde copias de seguridad intervino en el 54 % de los incidentes. ⚠️ Figuraba aquí que «solo el 65 % de las empresas que pagan recuperan todos sus datos, según Sophos». El 65 % de ese informe es otra cosa: la proporción que señala una brecha de seguridad como causa raíz del ataque. Además, pagar puede ser ilegal si los fondos acaban financiando organizaciones sancionadas, y convierte a la víctima en objetivo preferente.

Paso 7: Documenta todo. Desde el momento en que detectas el incidente, anota las horas, las acciones que tomas, las personas con las que hablas y las decisiones que se toman. Esta documentación será esencial para el peritaje, la reclamación al seguro y, si procede, la denuncia ante la policía.

Paso 8: Valora si hay que notificar a la AEPD. Si hay datos personales afectados, la notificación procede salvo que sea improbable que la brecha entrañe un riesgo para los derechos y libertades, y se hace sin dilación indebida y, de ser posible, dentro de las 72 horas desde que tienes constancia. No esperes a tener todos los detalles: la primera notificación puede ser preliminar y completarse después.

¿Puede un perito informático ayudarme a negociar con mi aseguradora tras un incidente?

Si. De hecho, es uno de los servicios que más demandan mis clientes.

El informe pericial documenta con precisión:

• El alcance exacto del incidente (que sistemas fueron afectados, que datos se comprometieron)
• Los daños sufridos (económicos, operativos, reputacionales)
• Las causas técnicas del incidente (vector de ataque, vulnerabilidad explotada)
• Las medidas de seguridad que la empresa tenía implementadas en el momento del ataque
• La cronología detallada de los eventos, desde la intrusión hasta la detección y respuesta

Esta documentación es esencial para que la aseguradora no reduzca la indemnización alegando falta de diligencia.

En varios casos, mi informe pericial ha sido la diferencia entre una cobertura total y una parcial, o incluso entre una cobertura y una denegación.

Un ejemplo concreto: una empresa mediana había sufrido un ataque BEC (Business Email Compromise) con pérdidas de 85.000 euros. La aseguradora inicialmente denegó la cobertura alegando que la empresa no tenía MFA activado, requisito de la poliza. Mi informe demostro que el ataque no había explotado la falta de MFA (el atacante había comprometido al proveedor, no las credenciales de la empresa) y la aseguradora finalmente pago la indemnización completa. Sin el informe pericial, habrían perdido los 85.000 euros.

El coste de la inaccion: una reflexion personal

Quiero cerrar este análisis con una reflexion que va más alla de los números y las tablas.

Llevo años dedicandome al peritaje informático forense y, con diferencia, los casos que más me afectan profesionalmente son aquellos en los que el daño era completamente evitable. No hablo de los ataques sofisticados tipo APT que requieren millones en defensas. Hablo de la PYME que pierde toda su facturación porque nadie activo el backup automático. Del autónomo que pierde 3 años de trabajo porque reutilizo la misma contraseña en todas partes. De la clinica dental que enfrenta una sanción de 100.000 euros porque sus historiales clinicos estaban en un servidor sin cifrar conectado directamente a internet.

Estos casos no aparecen en los periódicos. No generan titulares como el hackeo a Moncloa. Pero son los que destruyen vidas y negocios. Los 2 millones de Moncloa serán absorbidos por los Presupuestos Generales del Estado sin que ningun ciudadano lo note directamente. Pero los 50.000 euros que le cuesta un ransomware a una empresa de fontaneria de 8 empleados pueden significar que esos 8 empleados se van al paro y que el propietario pierde el negocio que levanto durante 20 años.

Lo que me frustra no es que las empresas no inviertan en ciberseguridad. Es que no saben que deberían hacerlo. Nadie se lo ha explicado en términos que entiendan. Nadie les ha dicho lo lejos que se llega con 200 euros al mes. Nadie les ha ensenado que MFA es gratuito y que activarlo lleva 10 minutos. La brecha no es solo tecnológica o económica: es informativa.

Por eso escribo estos artículos. Porque cada empresario que lea esto y active el MFA en su correo mañana, cada gestor que contrate un backup en la nube, cada abogada que deje de reutilizar contraseñas, es un peritaje menos que tendre que hacer sobre un desastre evitable. Y, sinceramente, prefiero hacer peritajes sobre incidentes bien gestionados donde la empresa sobrevivio, que sobre catastrofes donde llego demasiado tarde.

Si algo te llevas de este artículo, que sea esto: los 2 millones que se atribuyen a Moncloa serían la consecuencia de no haber invertido a tiempo. No dejes que tu empresa sea la próxima en aprender esa lección por las malas.

Si necesitas orientación sobre por donde empezar, la primera consulta es gratuita y sin compromiso. Contacta conmigo aquí.

A lo largo de mi carrera como perito forense, he aprendido que la ciberseguridad no es un problema tecnológico. Es un problema de gestión de riesgos, de cultura organizativa y de prioridades. La tecnología es solo una herramienta. Lo que realmente protege a una organización es la decisión consciente de que la protección de sus datos, sus sistemas y sus personas es una prioridad que merece atención, presupuesto y liderazgo.

Moncloa acaba de aprender esa lección por 2 millones de euros. Tu empresa puede aprenderla por mucho menos.

Las herramientas están disponibles. Los recursos públicos existen. Los profesionales estamos aquí. Lo único que falta es la decisión de actuar.

No la pospongas.

Artículos relacionados

• Hackeo a Moncloa: filtración de datos del presidente y ministros - Análisis forense de la brecha que detono la inversión de 2 millones
• Brecha en la Policía Nacional: datos del jefe de antiterrorismo expuestos - La segunda brecha crítica de la semana negra de febrero 2026
• NIS2 en España: obligaciones para empresas - Que exige la directiva europea y cuanto costara cumplirla
• Ransomware en España: qué dicen las fuentes y qué no — el contexto de amenaza. ⚠️ El puesto concreto en un ranking mundial no se ha podido localizar en la fuente, y ese mismo artículo lo declara; se enlaza por el contexto, no por la posición
• Consultoría y asesoramiento en ciberseguridad - Evaluaciones de riesgos, auditorias y peritajes con metodología ISO 27037
• Contacta para una consulta gratuita - Primera evaluación sin compromiso

Referencias y fuentes

• ⚠️ Esdiario — «Moncloa invierte más de 2 millones en ciberseguridad tras la cadena de hackeos» (4 de marzo de 2026). Es la fuente principal de la cifra de inversión de este artículo y no se ha podido contrastar con una publicación oficial —la Presidencia del Gobierno no ha difundido el importe—. Peor aún: el enlace apunta a la portada del medio, no a la noticia, así que hoy el lector no puede llegar a ella
• El Español — «Hackers exponen datos de Pedro Sánchez, ministros y altos cargos de seguridad nacional» (marzo de 2026), cobertura de la filtración
• The Objective — brecha de ciberseguridad en Moncloa (febrero de 2026), de donde procede el dato de los 100 días sin actualizar el sistema anti-APT
• CCN-CERT — serie anual Ciberamenazas y Tendencias, sobre amenazas a las administraciones públicas españolas. Se publica en el portal del Centro Criptológico Nacional; no se enlaza la edición concreta porque el dominio bloquea el acceso automatizado y no puede comprobarse la URL del documento
• INCIBE — Balance de ciberseguridad 2025: 122.223 incidentes gestionados — Estadísticas de incidentes gestionados: «un total de 122.223 incidentes […] un aumento del 26 % en comparación con 2024». No publica un coste medio por incidente, así que los 35.000 € que circulan por el sector no salen de aquí, y el cuerpo de este artículo ya lo advierte
• INCIBE — recursos de ciberseguridad para empresas, donde se publican sus guías gratuitas para pymes
• IBM — Cost of a Data Breach Report 2024 — Coste medio global de brechas (4,88 millones USD) y métricas de detección
• Mandiant M-Trends 2026 — Métricas de detección y respuesta — Tiempos medios de identificación y contención de brechas
• ENISA — Threat Landscape 2025 (octubre de 2025) — el phishing como vector de intrusión dominante (60 %), la explotación de vulnerabilidades (21,3 %) y los botnets (9,9 %). ⚠️ Esta referencia sostenía antes el «60 % de pymes que cierra en seis meses»: ENISA no publica ese dato, como ya advierte el cuerpo de este mismo artículo.
• ENISA — ENISA NIS360 2024 — madurez y criticidad de los sectores cubiertos por NIS2
• Directiva NIS2 (UE) 2022/2555 — Obligaciones de ciberseguridad y notificación de incidentes
• Esquema Nacional de Seguridad — Real Decreto 311/2022 — Marco de seguridad para administraciones públicas españolas
• RGPD — Reglamento (UE) 2016/679 — Obligaciones de protección de datos y notificación de brechas
• AEPD — Guía para la gestión de brechas de datos personales — Cómo valorar el riesgo y notificar; la propia guía recuerda que «no es obligatorio notificar todas las brechas»
• Ley 36/2015 de Seguridad Nacional — Marco de coordinación y gestión de crisis de Seguridad Nacional, del que la ciberseguridad es ámbito de especial interés (la protección de materias formalmente clasificadas se rige por normas distintas, entre ellas la Ley 9/1968 de secretos oficiales)
• Thales — Data Threat Report 2025 — España como sexto país del mundo en ataques de ransomware
• INCIBE / ONTSI — Análisis y diagnóstico del talento de ciberseguridad en España — más de 83.000 profesionales necesarios en 2024 frente a 42.283 disponibles
• Kit Digital — Programa de ayudas a la digitalización de PYMEs — Subvenciones para ciberseguridad en PYMEs

Nota: Las estimaciones de costes incluidas en este artículo se basan en mi experiencia profesional como perito informático forense y en datos públicos de INCIBE, IBM, ENISA, Mandiant y Thales. Los costes reales varian significativamente según el tamaño de la organización, el sector, el tipo de ataque y la velocidad de respuesta.

Los casos de clientes mencionados han sido anonimizados para proteger su confidencialidad. Los detalles se han modificado lo suficiente para que no sean identificables, pero los costes y los patrones son fieles a los expedientes originales.

Si detectas alguna imprecision en los datos citados o tienes información adicional sobre la inversión de Moncloa que pueda enriquecer este análisis, contacta conmigo a traves de la página de contacto. Este artículo se actualiza conforme surgen nuevos datos.

Sobre el autor: Jonathan Izquierdo es perito informático forense especializado en análisis de brechas de seguridad, evaluación de riesgos y peritajes judiciales sobre incidentes de ciberseguridad.

Ex-CTO y 5x AWS Certified, aplicando las pautas de ISO/IEC 27037 para la identificación, recogida, adquisición y preservación de evidencia digital.

Cobertura nacional desde Jaen, con disponibilidad para peritajes presenciales y remotos.

Solicitar consulta gratuita

Última actualización: 11 Marzo 2026