PYME Cibersegura 2026: INCIBE y USC lanzan formacion gratuita para empresas

TL;DR: resumen rápido

Una campaña necesaria que llega tarde y se queda corta

Voy a ser directo: la campaña PYME Cibersegura 2026 de INCIBE y la Universidad de Santiago de Compostela es una buena iniciativa que debería haberse lanzado hace 5 años y que, aun siendo gratuita y bienintencionada, es insuficiente para proteger a las PYMEs españolas de las amenazas reales que enfrentan en 2026.

Como perito informático forense, mi perspectiva es la de alguien que ve las consecuencias de los ciberataques después de que ocurren. Veo empresas destruidas, datos robados, dinero desaparecido y carreras profesionales arruinadas. Y en prácticamente todos los casos, la víctima me dice lo mismo: “no sabiamos que esto podía pasar” o “pensabamos que eramos demasiado pequeños para ser un objetivo”.

PYME Cibersegura 2026 pretende abordar ese desconocimiento. Y hasta cierto punto lo consigue. Pero hay una diferencia enorme entre saber que existe el phishing y saber que hacer cuando recibes un email fraudulento que suplanta a tu principal proveedor y te pide que transfieras 200.000 euros a una nueva cuenta. La formación básica es necesaria pero no suficiente.

En este artículo voy a analizar la campaña en detalle: que ofrece, que le falta, como se compara con programas europeos similares y, lo más importante, como complementarla para que tu PYME este realmente protegida.

Estructura de la campaña PYME Cibersegura 2026

Qué incluye

La campaña se estructura en módulos de diagnóstico, formación, guías de implementación y soporte. Los detalles concretos de cada convocatoria —duración, número de plazas, calendario y condiciones del soporte— los publica el INCIBE en su sala de prensa y en su área de empresas, y conviene consultarlos ahí antes de inscribirse: las condiciones cambian entre ediciones y cualquier cifra de segunda mano caduca.

Módulo 1: Diagnóstico de madurez en ciberseguridad

Un cuestionario online de unas 50 preguntas que evalua el nivel de madurez de la PYME en 5 áreas: gestión de accesos, protección de datos, seguridad de red, concienciación de empleados y continuidad de negocio. El resultado es un informe automatizado con puntuación y recomendaciones priorizadas.

Mi valoración de este módulo: útil como punto de partida. El cuestionario esta bien diseñado y las preguntas son relevantes. Sin embargo, un cuestionario de autoevaluacion tiene una limitación inherente: la empresa solo puede responder sobre lo que conoce. Si no sabe que tiene un servidor con el puerto 3389 abierto a internet (lo he visto decenas de veces), no marcara esa casilla como vulnerabilidad.

Módulo 2: Formación básica en ciberseguridad

12 horas de formación online (6 sesiones de 2 horas) que cubren:

• Tipos de amenazas: phishing, ransomware, BEC, ingeniería social.
• Protección básica: contraseñas, MFA, actualizaciones, copias de seguridad.
• Marco legal: RGPD básico, obligación de notificación de brechas.
• Herramientas gratuitas: antivirus, gestores de contraseñas, cifrado.

Mi valoración: la formación es correcta para un nivel básico. Los materiales están actualizados a 2026 y los formadores (investigadores de la USC) conocen la materia. El problema es que 12 horas de formación no cambian la cultura de seguridad de una empresa. La concienciación requiere refuerzo continuo, simulaciones periódicas y un responsable interno que mantenga el tema vivo.

Módulo 3: Guías de implementación técnica

Documentos PDF con instrucciones paso a paso para implementar las medidas básicas:

• Configurar copias de seguridad automáticas (3-2-1).
• Activar MFA en cuentas críticas.
• Configurar un firewall básico.
• Establecer políticas de contraseñas.
• Segmentar la red Wi-Fi (invitados vs. corporativa).

Mi valoración: las guías son prácticas y accesibles. El nivel técnico es adecuado para una PYME sin departamento de IT. Sin embargo, la implementación real es otra cosa. He visto muchas PYMEs que tienen las guías de INCIBE impresas y guardadas en un cajon pero nunca las han aplicado. La brecha entre saber que hay que hacer y hacerlo es enorme.

Módulo 4: Soporte técnico básico

Acceso a un canal de soporte por email y teléfono durante 3 meses para resolver dudas sobre la implementación de las medidas básicas.

Mi valoración: buena idea, ejecución mejorable. El soporte tiene un tiempo de respuesta de 48-72 horas para consultas por email, lo cual es insuficiente cuando una PYME esta en medio de una crisis de seguridad. El soporte telefónico tiene horario de oficina (9:00-14:00, lunes a viernes), lo cual excluye emergencias fuera de horario.

Lo que NO incluye

Es importante ser claro sobre lo que esta campaña no cubre, porque muchas PYMEs podrían pensar que al completar el programa ya están protegidas.

Comparativa con programas europeos similares

Digital Europe Programme (Programa Europa Digital)

El programa de la UE asigna 1.700 millones de euros a ciberseguridad en el periodo 2021-2027. Lo que ofrece a las PYMEs europeas:

• SOCs europeos (Security Operations Centres): Red de centros de operaciones de seguridad que monitorizan amenazas a nivel europeo.
• Cybercompetence centres: Centros de competencia en cada estado miembro para asesoramiento avanzado.
• Formación avanzada: Programas de formación que van mucho más alla de lo básico (respuesta a incidentes, forense digital, cumplimiento normativo).
• Financiación directa: Subvenciones para que las PYMEs implementen medidas de ciberseguridad.

Ventajas sobre PYME Cibersegura: Alcance mucho mayor, financiación para implementación (no solo formación), acceso a SOCs profesionales.

Desventajas: Acceso complejo (hay que solicitar participación), burocracia europea, plazos largos.

Los pilotos europeos de centros de competencia

Conviene situarlos bien porque se citan a menudo como si estuvieran en marcha: CONCORDIA, CyberSec4Europe y ECHO fueron los cuatro pilotos —con SPARTA— financiados por Horizonte 2020, el programa marco anterior, y sirvieron para preparar la red europea de centros de competencia en ciberseguridad. Son proyectos concluidos, no ventanillas abiertas a las que una pyme pueda acudir hoy; lo que quedó de ellos es la estructura de centros nacionales de coordinación.

Francia: dispositif cybermalveillance.gouv.fr

El equivalente frances de INCIBE tiene un programa específico para PYMEs que incluye:

• Diagnóstico online (similar a PYME Cibersegura).
• Directorio de proveedores certificados de ciberseguridad.
• Servicio de asistencia en caso de incidente (24/7).
• Sellos de calidad para proveedores (ExpertCyber).

Lo que Francia hace mejor que España: El servicio de asistencia 24/7 en caso de incidente y el directorio certificado de proveedores. En España, si una PYME sufre un ciberataque un sabado a las 15:00, no tiene a quien llamar dentro del programa INCIBE.

Alemania: Transferstelle IT-Sicherheit im Mittelstand (TISiM)

El programa aleman para PYMEs es probablemente el más completo de Europa:

• Diagnóstico presencial (no solo online).
• Formación adaptada por sector (sanidad, industria, comercio, servicios).
• Subvenciones directas para implementación (hasta 15.000 euros por empresa).
• Red de mentores de ciberseguridad (empresarios que ya han pasado por un ciberataque).

Lo que Alemania hace mejor que España: Subvenciones directas para implementación. Formar a una PYME en ciberseguridad pero no financiar la implementación de las medidas es como enseñar a alguien a conducir pero no darle acceso a un coche.

Kit Digital: lo que ya existía y como se complementa

Qué es Kit Digital

El programa Kit Digital (financiado con fondos Next Generation EU) ofrece bonos digitales para PYMEs de hasta 12.000 euros para la digitalización, incluyendo una categoría específica de ciberseguridad.

Categoría de ciberseguridad en Kit Digital

El bono de ciberseguridad de Kit Digital cubre:

• Antivirus/antimalware.
• Firewall gestionado.
• Monitorización de seguridad básica.
• Copias de seguridad gestionadas.
• Formación básica en ciberseguridad.

Importe: Hasta 6.000 euros (Segmento I, 10-49 empleados) o 2.000 euros (Segmento II, 3-9 empleados).

Dónde se complementan y donde se solapan

Mi recomendación: usa ambos. Completa la formación de PYME Cibersegura para entender las amenazas y luego usa el bono Kit Digital para implementar las herramientas. El diagnóstico de PYME Cibersegura te ayudara a priorizar en que gastar el bono.

8 medidas complementarias que toda PYME necesita

PYME Cibersegura 2026 es el punto de partida. Estas son las 8 medidas adicionales que, en mi experiencia como perito forense, marcan la diferencia entre una PYME que sobrevive a un ciberataque y una que no.

1. Plan de respuesta a incidentes

Un documento escrito (no hace falta que sea largo: 5-10 páginas) que especifique:

• Quien es el responsable de seguridad (puede ser el gerente en una microPYME).
• A quien se llama primero: policía, INCIBE 017, banco, proveedor IT, perito forense.
• Que hacer en las primeras 2 horas: aislar equipos afectados, no apagar (preservar evidencia), documentar todo.
• Quien autoriza pagos de emergencia (para el perito, la recuperación de datos, etc.).
• Quien comunica a clientes y proveedores si hay brecha de datos (obligatorio bajo RGPD).

⚠️ Aquí figuraba que «el 78 % de las PYMEs españolas no tiene plan de respuesta a incidentes según datos de INCIBE 2025», y que de las que lo tienen «solo el 23 % lo ha probado». Se han retirado las dos: INCIBE gestiona incidentes y no encuesta al tejido empresarial, así que no publica ese tipo de dato. Lo que sí se sostiene, y basta: un plan que no se ha probado con un simulacro es un plan que no se sabe si funciona.

2. Copias de seguridad 3-2-1 verificadas

La regla 3-2-1 dice: 3 copias, 2 medios diferentes, 1 copia fuera del sitio. PYME Cibersegura te enseña la regla. Lo que no te enseña es:

• Que debes verificar que las copias son restaurables (al menos una vez al trimestre).
• Que el ransomware moderno busca y cifra las copias de seguridad conectadas a la red.
• Que necesitas al menos una copia offline (desconectada físicamente) o inmutable (no modificable).
• Que el RTO (tiempo de recuperación) importa tanto como el RPO (punto de recuperación).

He visto PYMEs que tenían “copias de seguridad” en un disco duro USB permanentemente conectado al servidor. Cuando el ransomware cifro el servidor, cifro también el USB. Tres años de datos de facturación perdidos.

3. Seguro de ciberriesgo

El seguro de ciberriesgo cubre los costes derivados de un incidente de seguridad: peritaje forense, notificación a afectados, multas de la AEPD (si la poliza lo incluye), pérdida de beneficios por interrupcion de actividad, extorsión por ransomware (algunas polizas) y responsabilidad frente a terceros.

Lo que las PYMEs no saben sobre el seguro de ciberriesgo:

• El coste es asequible: Para una PYME de 10-50 empleados, una poliza básica cuesta entre 1.000 y 3.000 euros anuales. Es menos que el seguro de responsabilidad civil que ya tienen.
• Las aseguradoras exigen medidas mínimas: MFA, copias de seguridad, antivirus actualizado, formación de empleados. Si no las cumples, la poliza puede ser nula.
• El mediador de seguros importa: Un mediador especializado en ciberriesgo negociara coberturas específicas que un mediador generalista no conoce.
• La cobertura de ransomware varía mucho: Algunas polizas cubren el pago del rescate (controvertido), otras solo cubren los costes de recuperación.

En España, solo el 12 por ciento de las PYMEs tiene seguro de ciberriesgo, según datos de UNESPA (2025). Es una de las brechas de protección más importantes del tejido empresarial español.

4. Formación continua con simulaciones de phishing

La formación puntual (como la de PYME Cibersegura) es necesaria pero pierde efecto en 2-3 meses. Lo que funciona es la formación continua con simulaciones de phishing periódicas (mensuales o trimestrales).

Herramientas gratuitas o de bajo coste para simulaciones:

• GoPhish (open source, gratuito): Plataforma de simulación de phishing autoalojada.
• KnowBe4 (plan básico gratuito): Plataforma SaaS con simulaciones y formación.
• Proofpoint Security Awareness (versión trial): Simulaciones avanzadas con métricas.

Lo que mido en las simulaciones: porcentaje de empleados que hacen clic en el enlace, porcentaje que reportan el email sospechoso, evolución mes a mes. El objetivo es reducir el porcentaje de clic por debajo del 5 por ciento y aumentar el reporte por encima del 60 por ciento.

5. Protocolo de verificación de pagos

El fraude BEC (Business Email Compromise) es la amenaza con mayor impacto económico para las PYMEs españolas. El INCIBE gestionó 45.445 incidentes de fraude online en 2025, categoría en la que el BEC va incluido sin desglosar — no existe un recuento español específico de BEC ni una cuantía media publicada. Un simple protocolo de verificación puede evitarlo.

El protocolo que recomiendo a todas las PYMEs con las que trabajo:

• Cualquier solicitud de cambio de datos bancarios de un proveedor debe verificarse por teléfono al número previamente conocido.
• Ningun pago superior a 5.000 euros puede autorizarse por una sola persona.
• Los emails que solicitan pagos urgentes o confidenciales se tratan como sospechosos por defecto.
• El departamento de contabilidad tiene prohibido cambiar datos bancarios de proveedores sin doble verificación.

6. Auditorias de seguridad periódicas

PYME Cibersegura ofrece un autodiagnostico. Una auditoría profesional es otra cosa: un experto externo examina tus sistemas, tu red, tus procesos y tus vulnerabilidades con ojos críticos y herramientas profesionales.

Recomiendo:

• Auditoría básica anual (2.000-4.000 euros): Escaneo de vulnerabilidades, revisión de configuraciones, test de phishing, informe con recomendaciones priorizadas.
• Test de penetración (3.000-8.000 euros, cada 2 años): Un ético hacker intenta penetrar en tus sistemas como lo haría un atacante real. Descubre vulnerabilidades que el escaneo automático no encuentra.

7. Peritaje forense preventivo

Este es un servicio que cada vez demandan más las PYMEs que ya han sufrido un incidente (o han visto sufrir a un competidor). Consiste en una evaluación de la capacidad de la empresa para preservar evidencia digital en caso de incidente.

Lo que evaluo:

• Están configurados los logs de los sistemas críticos? Se conservan durante suficiente tiempo?
• Existe un procedimiento para preservar evidencia sin contaminarla?
• Quien tiene la autoridad para tomar decisiones forenses en una emergencia?
• Los contratos con proveedores IT incluyen cláusulas de cooperación forense?

El coste de un peritaje preventivo es una fracción del coste de un peritaje de emergencia después de un incidente. Y las evidencias bien preservadas son la diferencia entre poder recuperar el dinero (o condenar al atacante) y no poder.

8. Revisión de contratos con proveedores IT

Muchas PYMEs externalizan su IT a proveedores que no tienen obligaciones contractuales claras en materia de seguridad. He visto contratos de soporte informático que no mencionan la palabra “seguridad” en ninguna parte.

Lo que debe incluir un contrato con un proveedor IT:

• Obligación de mantener los sistemas actualizados (parches de seguridad en menos de 30 días).
• Responsabilidad en caso de brecha de seguridad derivada de negligencia del proveedor.
• Cláusula de cooperación forense (facilitar acceso a logs y sistemas en caso de incidente).
• SLA de respuesta para incidentes de seguridad (no solo para averias).
• Cláusula de notificación inmediata si el proveedor detecta actividad sospechosa.

Implicaciones de la NIS2 para PYMEs: lo que INCIBE no explica

Qué es la NIS2 y por que afecta a las PYMEs

La Directiva NIS2 (Directiva 2022/2555) es la normativa europea de ciberseguridad que España debe transponer (y que lleva retraso en la transposición). Aunque NIS2 se centra en grandes empresas y operadores de servicios esenciales, afecta indirectamente a las PYMEs de varias formas.

PYMEs directamente afectadas por NIS2

La NIS2 aplica directamente a todas las entidades que operen en sectores esenciales o importantes, independientemente de su tamaño, si cumplen ciertos criterios. Sectores donde PYMEs pueden estar directamente afectadas:

PYMEs indirectamente afectadas: la cadena de suministro

Aunque tu PYME no este directamente regulada por NIS2, si eres proveedor de una empresa que si lo esta, te van a exigir medidas de ciberseguridad como condición para mantener la relación comercial. El artículo 21.2.d de la NIS2 obliga a las entidades reguladas a gestionar la seguridad de su cadena de suministro, lo que incluye auditar y exigir medidas a sus proveedores.

En la práctica, esto significa que:

• Si vendes software a un hospital, te van a pedir certificaciones de seguridad.
• Si proporcionas logística a una empresa alimentaria, te van a exigir un plan de ciberseguridad.
• Si das soporte IT a un operador de infraestructura crítica, te van a auditar.

PYME Cibersegura 2026 menciona NIS2 de pasada pero no profundiza en estas implicaciones. Y muchas PYMEs van a descubrir las exigencias de NIS2 cuando un cliente grande les pida cumplir condiciones de seguridad que no pueden cumplir y pierdan el contrato.

Sanciones NIS2

Las sanciones por incumplimiento de NIS2 son significativas:

• Entidades esenciales: Hasta 10 millones de euros o el 2 por ciento de la facturación mundial.
• Entidades importantes: Hasta 7 millones de euros o el 1.4 por ciento de la facturación mundial.
• Responsabilidad personal: Los directivos pueden ser personalmente responsables si no implementan las medidas adecuadas.

5 casos de estudio: PYMEs antes y después de un ciberataque

Caso 1: taller mecanico con ransomware que perdio 15 años de fichas de clientes

Antes del ataque: Taller mecanico con 8 empleados en Jaen. Software de gestión con base de datos de 12.000 clientes y 15 años de histórico de reparaciones. No tenían antivirus actualizado. Las copias de seguridad eran en un disco duro USB siempre conectado. No habían oído hablar de INCIBE.

El ataque: Un empleado abrio un email aparentemente de un proveedor de piezas con un archivo adjunto que resulto ser ransomware. En 20 minutos, toda la base de datos estaba cifrada, incluida la copia en el USB.

Consecuencias: Perdida total de la base de datos. El rescate pedido era 0.5 Bitcoin (unos 22.000 euros en ese momento). No lo pagaron. Tuvieron que reconstruir la base de datos desde cero, pidiendo a los clientes que trajeran sus facturas antiguas. Perdieron un estimado del 30 por ciento de los datos históricos.

Después del ataque: Contrataron Kit Digital (ciberseguridad), completaron PYME Cibersegura y contrataron un seguro de ciberriesgo. Ahora tienen copias 3-2-1 con una copia offline semanal. Coste total de las medidas: 3.200 euros anuales. Coste del ataque: estimado en 45.000 euros (entre pérdida de productividad, reconstrucción de datos y pérdida de clientes).

Caso 2: despacho de abogados víctima de BEC que perdio 67.000 euros de un cliente

Antes: Despacho de 4 abogados en Madrid. Gestionaban la compraventa de un inmueble. No tenían MFA en las cuentas de email. No tenían protocolo de verificación de pagos. No tenían formación en ciberseguridad.

El ataque: Los atacantes comprometieron la cuenta de email de un socio y enviaron a los compradores del inmueble instrucciones de pago de las arras con datos bancarios falsos. Los compradores transfirieron 67.000 euros a la cuenta de los atacantes.

Consecuencias: El despacho tuvo que devolver los 67.000 euros a los compradores (responsabilidad profesional por custodia negligente de la comunicación). El seguro de responsabilidad civil cubrio 50.000 euros. Los 17.000 restantes salieron del bolsillo de los socios. Además, la reputación del despacho quedo seriamente dañada.

Después: MFA en todas las cuentas, protocolo de verificación de pagos implementado, formación anual para todo el personal, seguro de ciberriesgo específico. Un socio me contacto para hacer un peritaje preventivo de sus sistemas. Mi informe identifico 3 vulnerabilidades adicionales que se corrigieron.

Caso 3: clinica dental que sufrio brecha de datos de 3.200 pacientes

Antes: Clinica dental con 12 empleados en Valencia. Software de gestión de pacientes con datos de salud (categoría especial según RGPD). No tenían DPO, no habían realizado evaluación de impacto, no tenían cifrado de datos. Habían completado la parte de formación de un programa similar a PYME Cibersegura en 2024.

El ataque: Un exempleado que conservaba las credenciales de acceso al sistema (nunca le revocaron los accesos al despedirlo) descargo la base de datos completa de pacientes y la público en un foro.

Consecuencias: Notificación obligatoria a la AEPD (brecha de datos de salud). Notificación a 3.200 pacientes. Expediente sancionador ante la AEPD por datos de salud, que el art. 9 RGPD trata como categoría especial. El importe depende de los criterios del art. 83.2 y admite reducción por pago voluntario y colaboración. Coste adicional de peritaje forense, abogados y comunicación de crisis: 28.000 euros. Perdida de pacientes estimada: 15 por ciento.

Lo que habría evitado el incidente: Revocar accesos al despedir al empleado (coste: 5 minutos). Cifrar la base de datos (coste: incluido en la mayoría de sistemas de gestión). Implementar logs de acceso (coste: configuración básica).

Caso 4: empresa de transporte con phishing que comprometio la flota GPS

Antes: Empresa de transporte con 35 camiones y 50 empleados en Zaragoza. Sistema de gestión de flotas con GPS en tiempo real. Toda la operativa dependía de una plataforma SaaS de gestión logística. No tenían segmentación de red ni MFA.

El ataque: Un email de phishing comprometio las credenciales del jefe de tráfico, que daban acceso a la plataforma de gestión de flotas. Los atacantes bloquearon el acceso al sistema y exigieron 30.000 euros en Bitcoin para devolver el control.

Consecuencias: 4 días sin poder gestionar las rutas de 35 camiones. Los conductores operaron con llamadas telefónicas y mapas físicos. Perdida estimada: 120.000 euros en ineficiencia operativa. No pagaron el rescate. El proveedor SaaS tardo 4 días en restaurar el acceso (no tenían SLA de respuesta para incidentes de seguridad).

Después: MFA obligatorio para todos los accesos, segmentación de red, SLA de seguridad con el proveedor SaaS, plan de continuidad de negocio sin sistema informático (el “plan B analógico”). Contrataron un peritaje preventivo para evaluar la seguridad del proveedor SaaS.

Caso 5: tienda online con inyección SQL que expuso 8.000 tarjetas de crédito

Antes: E-commerce de productos gourmet con 5 empleados en Barcelona. Facturación anual de 1,2 millones de euros. Web desarrollada por un freelance hace 4 años, sin mantenimiento de seguridad. No cumplian PCI DSS.

El ataque: Vulnerabilidad de inyección SQL en el formulario de búsqueda que permitio a los atacantes extraer la base de datos completa, incluyendo 8.000 registros de tarjetas de crédito.

Consecuencias: Notificación a la AEPD, notificación a 8.000 clientes, cierre temporal de la web durante 3 semanas (investigación forense + remediación). Expediente sancionador ante la AEPD: almacenaban datos de tarjeta sin necesidad y sin cifrar, que es incumplimiento del principio de minimización (art. 5.1.c RGPD) y del art. 32. Perdida de ventas durante 3 semanas: 70.000 euros. Coste de remediación técnica: 25.000 euros. Perdida de reputación: incuantificable.

Lo que habría evitado el incidente: Mantenimiento de seguridad de la web (actualizaciones, parches), no almacenar datos de tarjeta (delegarlos a la pasarela de pago, que es lo correcto bajo PCI DSS), WAF (Web Application Firewall) básico. Coste estimado de prevención: 2.000 euros anuales.

Análisis de costes: cuanto cuesta realmente la ciberseguridad para una PYME

El mito de que la ciberseguridad es cara

Una de las razones por las que muchas PYMEs no invierten en ciberseguridad es la percepción de que es cara. PYME Cibersegura 2026 ayuda a desmontar este mito al ofrecer formación gratuita, pero no ofrece una vision realista de los costes de implementación.

Esta es mi estimación del coste de una ciberseguridad básica pero real para una PYME de 10-25 empleados:

Para una PYME con facturación de 500.000 euros, esto representa entre el 1 y el 2.4 por ciento de la facturación. El coste medio de un ciberataque a una PYME española es de 35.000 euros según datos de Hiscox (2025). La inversión en prevención se paga sola con evitar un único incidente.

El coste de no hacer nada

(Esta tabla traía una columna de «probabilidad (PYME sin protección)» —23 %, 15 %, 8 %, 18 % y un 36 % de «ninguno»— que se retira por dos motivos. Primero, nadie publica eso: una probabilidad anual por tipo de incidente exige un estudio de cohorte sobre empresas españolas que no existe. Y segundo, los cinco valores suman exactamente 100, lo que delata que no son probabilidades independientes sino un reparto construido: una empresa puede sufrir dos incidentes en el mismo año, o ninguno, y eso no reparte porcentajes. También se retiran las horquillas de coste al euro, por la misma razón: lo que se puede afirmar es el orden de magnitud y qué partida pesa más, que es lo que sirve para decidir.)

Fuente: estimaciones basadas en datos de INCIBE (2025), del Cyber Readiness Report de Hiscox (2025) —aseguradora de ciberriesgos, que mide el mercado en el que opera— y mi experiencia pericial. La probabilidad acumulada de sufrir al menos un incidente significativo en 12 meses para una PYME sin protección es del 64 por ciento.

Mi valoración como perito forense: apoyo crítico

Lo que INCIBE hace bien

• Visibilidad: Poner la ciberseguridad en la agenda de las PYMEs españolas es valioso por si solo.
• Gratuidad: Eliminar la barrera económica para la formación básica es acertado.
• Colaboración académica: La participación de la USC aporta rigor y actualidad técnica.
• Diagnóstico: El autodiagnostico es un buen primer paso para que las PYMEs conozcan su punto de partida.
• Materiales: Las guías técnicas son prácticas y están bien escritas.

Lo que INCIBE debería mejorar

• Respuesta a incidentes 24/7: El 017 (línea de ayuda de INCIBE) solo atiende en horario laboral. Los ciberataques no respetan horarios.
• Directorio de proveedores certificados: Las PYMEs necesitan saber a quien llamar cuando necesitan un perito, un pentester o un DPO. Un sello de calidad INCIBE para proveedores de ciberseguridad sería muy útil.
• Subvenciones para implementación: Formar sin financiar la implementación es como dar clases de natacion sin piscina.
• Seguimiento post-formación: Que pasa 6 meses después de completar el programa? Sin seguimiento, la mayoría de PYMEs vuelve a sus hábitos anteriores.
• Formación por sector: Las amenazas a una clinica dental no son las mismas que a un taller mecanico. La formación genérica es un buen punto de partida pero insuficiente para sectores con riesgos específicos.
• Integración con NIS2: La campaña debería incluir un módulo específico sobre las implicaciones de NIS2 para PYMEs, especialmente las que son proveedoras de entidades reguladas.

Mi recomendación global

Si eres una PYME española, inscribete en PYME Cibersegura 2026. Es gratuita, útil y te dara una base de conocimiento necesaria. Pero no te quedes ahi. La formación básica es como ponerte el cinturon de seguridad: necesario pero no suficiente para protegerte de todo.

Complementa la formación con las 8 medidas que he descrito, priorizando MFA (gratuito e inmediato), copias de seguridad verificadas (bajo coste, alto impacto) y un plan de respuesta a incidentes (una inversión puntual que puede salvarte la empresa).

Y si ya has sufrido un ciberataque o crees que puedes estar comprometido, no esperes a completar ningun programa de formación. Contacta con un profesional de ciberseguridad o un perito informático forense inmediatamente. Las primeras horas son críticas.

10 preguntas frecuentes

1. ¿Es obligatorio inscribirse en PYME Cibersegura 2026?

No. Es una campaña voluntaria y gratuita. Sin embargo, si tu PYME esta sujeta a NIS2 o si eres proveedor de una empresa que lo esta, necesitaras demostrar formación en ciberseguridad, y el certificado de PYME Cibersegura puede ser un buen primer paso.

2. ¿Puedo inscribir a mi empresa si soy autónomo sin empleados?

Si. La campaña esta abierta a cualquier tipo de empresa, incluyendo autónomos y microPYMEs. De hecho, los autónomos son especialmente vulnerables porque suelen gestionar su propia seguridad sin apoyo técnico.

3. ¿Es compatible con el Kit Digital?

Si, son programas complementarios. PYME Cibersegura ofrece formación y diagnóstico, Kit Digital ofrece financiación para herramientas. La combinación de ambos es la opción óptima para una PYME que parte de cero en ciberseguridad.

4. ¿Que pasa si mi empresa ya tiene medidas de seguridad?

El autodiagnostico te dira en que nivel estas. Si ya tienes MFA, copias de seguridad y formación básica, probablemente el diagnóstico te señale áreas de mejora más avanzadas (segmentación de red, monitorización, plan de respuesta). La formación básica puede ser redundante pero las guías técnicas pueden aportar valor.

5. ¿La campaña me protege del ransomware?

No directamente. La formación reduce la probabilidad de que un empleado abra el email que inicia el ataque, pero no sustituye a un antivirus actualizado, copias de seguridad inmutables y un plan de respuesta a incidentes. La formación es un factor de reducción de riesgo, no una solución completa.

6. ¿Necesito un perito informático si ya he completado PYME Cibersegura?

Son servicios diferentes con objetivos diferentes. PYME Cibersegura te forma para prevenir. El perito informático forense actua cuando la prevención falla: investiga el incidente, preserva las evidencias, elabora el informe pericial para el procedimiento judicial y testifica en juicio. Idealmente necesitas ambos: prevención y capacidad de respuesta.

7. ¿Cuanto tiempo lleva completar el programa?

El programa completo (diagnóstico + 12 horas de formación + implementación de guías + soporte) esta diseñado para 8-12 semanas. La formación en si son 12 horas (6 sesiones de 2 horas). El diagnóstico lleva unos 30-45 minutos.

8. ¿El certificado de PYME Cibersegura tiene valor legal?

No tiene valor legal como tal, pero puede servir como evidencia de diligencia debida en caso de incidente. Si sufres una brecha de datos y la AEPD investiga, poder demostrar que tu empresa completó un programa de formación en ciberseguridad es un atenuante (no eximente) de la responsabilidad.

9. ¿Puedo reclamar a INCIBE si sufro un ataque después de completar el programa?

No. INCIBE no asume ninguna responsabilidad por la seguridad de las empresas que participan en la campaña. El programa es formativo e informativo, no un servicio de protección. La responsabilidad de la seguridad sigue siendo de la empresa.

10. ¿Que opinas de la ciberseguridad como servicio gestionado para PYMEs?

Es probablemente el modelo más adecuado para PYMEs de 10-50 empleados que no pueden permitirse un departamento de IT interno. Un MSSP (Managed Security Services Provider) puede proporcionar antivirus gestionado, monitorización básica, gestión de parches y respuesta a incidentes de primer nivel por un coste mensual predecible (tipicamente 15-30 euros por puesto). Es más efectivo que intentar hacerlo todo internamente sin recursos ni conocimiento.

Análisis sectorial: amenazas específicas por tipo de PYME

Sector sanitario: clinicas y consultas privadas

Las PYMEs sanitarias son un objetivo prioritario para los ciberatacantes por dos razones. Primera, manejan datos de salud, que son datos de categoría especial bajo el RGPD y valen más en el mercado negro que los datos financieros. Segunda, la urgencia de la atención al paciente les hace más proclives a pagar rescates de ransomware.

Amenazas específicas:

• Ransomware dirigido: Grupos como Rhysida y BlackBasta tienen divisiones especializadas en el sector sanitario.
• Robo de historiales clínicos: un historial completo se vende en mercados clandestinos por muchas veces más que un registro financiero. Las horquillas concretas varían según qué índice se consulte —no hay precio de mercado, hay listas de vendedores—, pero la proporción se repite en todas: la tarjeta se cancela en minutos y el historial clínico no caduca.
• Suplantación de aseguradoras: Emails fraudulentos que simulan ser de compañias aseguradoras solicitando datos de pacientes.
• IoT medico: Equipos de diagnóstico conectados a internet con firmware desactualizado que sirven como punto de entrada.

Medidas específicas que recomiendo:

• Cifrado de la base de datos de pacientes en reposo y en transito.
• Segmentación de red: los equipos médicos conectados en una VLAN separada.
• Control de acceso basado en roles: solo el medico que atiende al paciente accede a su historial.
• Evaluación de impacto de protección de datos (EIPD) obligatoria bajo el RGPD para tratamientos de salud a gran escala.

Sector legal: despachos de abogados

Los despachos de abogados son objetivos de alto valor porque custodian información confidencial de sus clientes. Un atacante que comprometa un despacho obtiene acceso a estrategias procesales, documentos privilegiados y datos personales sensibles.

Amenazas específicas:

• BEC via email del despacho: Los atacantes comprometen la cuenta de un abogado y envian instrucciones de pago falsas a los clientes.
• Extorsión por datos confidenciales: Exfiltración de expedientes con amenaza de publicación.
• Suplantación de instituciones judiciales: Emails que simulan notificaciones de juzgados o de LexNet con malware adjunto.

Medidas específicas:

• MFA obligatorio en todas las cuentas de email.
• Cifrado de comunicaciones con clientes (no enviar documentos sensibles por email sin cifrar).
• Protocolo de verificación de instrucciones de pago.
• Cláusula de seguridad en los convenios con clientes (compromiso de custodia de la información).

Sector hostelería y comercio minorista

Las PYMEs de hostelería y comercio minorista suelen tener redes WiFi abiertas para clientes, terminales de punto de venta (TPV) y sistemas de reservas online. Cada uno de estos elementos es un vector de ataque.

Amenazas específicas:

• Malware en TPV: Skimmers digitales que capturan datos de tarjetas de crédito.
• Ataques via WiFi de clientes: Un atacante conectado a la WiFi de clientes puede intentar acceder a la red corporativa si no están segmentadas.
• Phishing de reservas: Emails que simulan plataformas de reserva (Booking, TheFork) con enlaces maliciosos.
• Ransomware via RDP: Muchos restaurantes y tiendas tienen escritorio remoto (RDP) abierto a internet para que el gestor acceda al sistema de contabilidad desde casa.

Medidas específicas:

• Segmentación de red WiFi (invitados y corporativa en VLANs separadas).
• Actualización del firmware de los TPV.
• Desactivación de RDP o acceso exclusivo via VPN.
• Cumplimiento PCI DSS si procesan pagos con tarjeta.

Sector industrial y fabricación

Las PYMEs industriales combinan sistemas IT (oficinas) con sistemas OT (maquinaria de producción). Los ataques que afectan a la maquinaria pueden tener consecuencias físicas, no solo digitales.

Amenazas específicas:

• Ransomware que paraliza la producción: Si el ransomware cifra los sistemas SCADA o los controladores PLC, la fábrica se detiene.
• Ataques a la cadena de suministro: Compromiso de proveedores de software industrial para distribuir malware a todos sus clientes.
• Espionaje industrial: Competidores que buscan datos de diseño, procesos de fabricación o listas de clientes.

Medidas específicas:

• Segmentación estricta entre red IT y red OT (air gap o firewall industrial).
• Copias de seguridad de la configuración de los controladores industriales.
• Monitorización de anomalias en el tráfico de red OT.
• Inventario de todos los dispositivos conectados (muchas fábricas tienen equipos IoT que nadie ha inventariado).

Sector construcción e inmobiliario

Las empresas de construcción y las inmobiliarias manejan transferencias de alto valor (compraventas, pagos a subcontratistas) que las hacen vulnerables al BEC.

Amenazas específicas:

• BEC en compraventas: Suplantación del notario, la inmobiliaria o el comprador para desviar fondos.
• Ransomware en proyectos BIM: Los modelos BIM (Building Information Modeling) son el activo digital principal y su cifrado paraliza el proyecto.
• Fraude en licitaciones: Acceso ilícito a las ofertas de la competencia en procesos de licitacion.

Medidas específicas:

• Protocolo de doble verificación para todas las transferencias superiores a 10.000 euros.
• Copias de seguridad de los modelos BIM en ubicación offline.
• Cifrado de las ofertas de licitacion.

El papel del perito informático forense en la ciberseguridad de PYMEs

Peritaje reactivo vs. peritaje preventivo

Tradicionalmente, las PYMEs contactan al perito informático forense después de sufrir un incidente: un ransomware, un BEC, una brecha de datos. Es lo que yo llamo peritaje reactivo: llegas cuando el daño ya esta hecho y tu trabajo es investigar que paso, preservar las evidencias y elaborar un informe para el procedimiento judicial.

Pero cada vez más PYMEs (especialmente las que ya han sufrido un incidente) me contactan para el peritaje preventivo: evaluar su postura de seguridad antes de que ocurra un incidente. El peritaje preventivo tiene varias ventajas:

• Coste: Un peritaje preventivo cuesta entre 500 y 2.000 euros. Un peritaje de emergencia puede costar 5.000-10.000 euros (por la urgencia y la complejidad).
• Eficacia: Las vulnerabilidades se detectan y corrigen antes de que sean explotadas.
• Evidencia: Se configuran los sistemas para que, si ocurre un incidente en el futuro, la evidencia se preserve correctamente.
• Cumplimiento: El informe de peritaje preventivo puede servir como evidencia de diligencia debida ante la AEPD o un juez.

Qué incluye un peritaje preventivo para PYMEs

Casos donde el peritaje preventivo habría ahorrado miles de euros

En mi experiencia, al menos el 60 por ciento de los incidentes que he investigado se habrían evitado con medidas básicas que un peritaje preventivo habría detectado y recomendado. Algunos ejemplos concretos:

• Taller mecanico con ransomware: El peritaje preventivo habría detectado que la copia de seguridad USB estaba permanentemente conectada (y por tanto vulnerable al ransomware). Coste del peritaje preventivo: 800 euros. Coste del incidente: 45.000 euros.
• Despacho de abogados con BEC: El peritaje habría detectado la ausencia de MFA en las cuentas de email. Coste del peritaje: 600 euros. Coste del incidente: 67.000 euros.
• Clinica dental con brecha: El peritaje habría detectado que un exempleado conservaba las credenciales de acceso. Coste del peritaje: 1.200 euros. Coste del incidente: 118.000 euros (sanción AEPD + costes asociados).

Recursos gratuitos adicionales para PYMEs

Además de PYME Cibersegura 2026 y Kit Digital, existen otros recursos gratuitos que las PYMEs españolas pueden aprovechar.

INCIBE 017

La línea de ayuda de INCIBE (017) es gratuita y atiende consultas sobre ciberseguridad. Esta disponible de lunes a domingo de 8:00 a 23:00 (horario ampliado respecto a años anteriores). Pueden orientarte si has sufrido un incidente, si necesitas ayuda para configurar una medida de seguridad o si quieres reportar un fraude.

Herramientas gratuitas de INCIBE

INCIBE pública herramientas gratuitas que las PYMEs pueden usar:

• Políticas de seguridad: Plantillas de políticas de seguridad adaptadas a PYMEs.
• Plan director de seguridad: Guía para elaborar un plan de seguridad básico.
• Herramientas de autodiagnostico: Además del diagnóstico de PYME Cibersegura, hay herramientas sectoriales.
• Avisos de seguridad: Boletines de vulnerabilidades y amenazas actuales.

CCN-CERT

El Centro Criptológico Nacional (CCN-CERT) pública guías de seguridad (serie CCN-STIC) que, aunque están dirigidas al sector público, son aplicables a cualquier organización. Particularmente útiles para PYMEs son:

• CCN-STIC-817: Gestión de ciberincidentes.
• CCN-STIC-819: Medidas compensatorias.
• CCN-STIC-885: Guía de configuración segura de Microsoft 365.

Have I Been Pwned

Servicio gratuito (haveibeenpwned.com) que permite comprobar si las direcciones de email de la empresa han aparecido en brechas de datos conocidas. Si una dirección de email corporativa aparece en una brecha, es urgente cambiar la contraseña y activar MFA.

Google Project Shield y Cloudflare for Teams

Google ofrece Project Shield (protección DDoS gratuita para medios de comunicación y ONGs) y Cloudflare ofrece un plan gratuito de protección web que incluye WAF básico, CDN y protección DDoS. Ambos son útiles para PYMEs con presencia web.

Checklist de ciberseguridad básica para PYMEs: 20 puntos

He diseñado este checklist basandome en los incidentes más frecuentes que veo como perito forense. Si tu PYME puede marcar los 20 puntos, estas significativamente mejor protegida que la media.

Guía rápida: primeras 72 horas tras un ciberataque en una PYME

PYME Cibersegura 2026 no cubre la respuesta a incidentes. Por eso incluyo aquí una guía práctica de lo que una PYME debe hacer en las primeras 72 horas tras descubrir un ciberataque. Esta guía no sustituye a un plan de respuesta a incidentes formal, pero puede servir como referencia de emergencia.

Hora 0-1: Contención inmediata

Hora 1-24: Preservación y notificación

• Preservar evidencia: El perito realiza la adquisición forense de los equipos afectados. No intentes restaurar nada hasta que la evidencia este preservada.
• Denunciar ante la Policía o Guardia Civil: Presenta denuncia con toda la información disponible. Pide expresamente que se active la cooperación internacional si hay indicios de que el ataque proviene del extranjero.
• Notificar al DPO (si hay brecha de datos personales): Si se han comprometido datos personales, el DPO debe evaluar si es necesario notificar a la AEPD (obligatorio en 72 horas según RGPD art. 33).
• Notificar a la aseguradora: Si tienes seguro de ciberriesgo, notifica el siniestro en el plazo de la poliza.

Hora 24-72: Investigación y remediación

• Análisis forense: El perito analiza la evidencia para determinar como se produjo el ataque, que se ha comprometido y si el atacante sigue teniendo acceso.
• Remediación: Una vez identificado el vector de ataque, se elimina el acceso del atacante y se parchean las vulnerabilidades explotadas. La remediación solo debe hacerse después de la preservación de evidencia.
• Notificación a la AEPD (si aplica): Si hay brecha de datos personales con riesgo para los derechos de los afectados, la notificación a la AEPD debe hacerse dentro de las 72 horas.
• Comunicación a afectados (si aplica): Si la brecha supone un riesgo alto para los derechos de los afectados, también hay que notificarles directamente.
• Restauración de sistemas: Una vez eliminado el atacante y parcheadas las vulnerabilidades, se restauran los sistemas desde las copias de seguridad verificadas.

Post-incidente: lecciones aprendidas

Después del incidente, es fundamental documentar lo que paso y lo que se aprendio. Las preguntas que debes responder:

• Como entro el atacante? (vector de ataque)
• Que medidas fallaron? (controles que no funcionaron)
• Que medidas funcionaron? (controles que si limitaron el daño)
• Cuanto costo el incidente? (costes directos e indirectos)
• Que medidas se implementaran para evitar que se repita?

Este documento de “lecciones aprendidas” no solo mejora tu seguridad futura, sino que también puede servir como evidencia de diligencia debida ante la AEPD o un juez.

Tendencias de ciberataques contra PYMEs en 2026

Ransomware como servicio (RaaS) dirigido a PYMEs

El modelo de Ransomware como Servicio ha democratizado el acceso al ransomware. Grupos como LockBit 4.0, BlackBasta y Akira ofrecen kits de ransomware a afiliados que se encargan de la distribución. El resultado es que PYMEs con facturaciones de 500.000-5.000.000 de euros, que antes no eran objetivos rentables, ahora son el target principal porque pagan rescates de 10.000-50.000 euros sin negociar (es más barato que reconstruir desde cero).

IA generativa en phishing personalizado

La IA generativa (ChatGPT, Claude, Gemini) permite crear emails de phishing personalizados a escala. Un atacante puede generar miles de emails únicos, cada uno adaptado al sector, la empresa y la persona destinataria, en cuestion de minutos. Los filtros antispam tradicionales, que detectan patrones repetidos, son menos efectivos contra emails únicos generados por IA.

Ataques a la cadena de suministro digital

Los atacantes están comprometiendo proveedores de software (actualizaciones maliciosas) y de servicios gestionados (MSPs) para acceder simultáneamente a todos sus clientes. Para una PYME, esto significa que puede ser atacada a traves de un proveedor de confianza sin haber cometido ningun error propio.

Deepfakes de voz en fraude telefónico

Los deepfakes de voz ya son lo suficientemente buenos como para suplantar a un directivo en una llamada telefónica. Esto tiene implicaciones directas para las PYMEs: el protocolo de “verificar por teléfono los cambios de cuenta bancaria” puede no ser suficiente si la voz al otro lado del teléfono es un deepfake. La solución: verificación por video o uso de frases clave preacordadas.

Exfiltración de datos como alternativa al cifrado

Cada vez más atacantes renuncian al cifrado (que requiere malware sofisticado y puede ser bloqueado por EDR) y optan por la exfiltración de datos seguida de extorsión: “tenemos todos tus datos de clientes y los publicaremos si no pagas”. Este tipo de ataque es más difícil de detectar en tiempo real y tiene implicaciones RGPD inmediatas (notificación obligatoria a la AEPD en 72 horas).

Conclusión: el primer paso de un camino largo

PYME Cibersegura 2026 es un buen primer paso. Lo digo con convicción y sin reservas. Toda iniciativa que ayude a las PYMEs españolas a tomar conciencia de la amenaza y a implementar medidas básicas de protección es bienvenida.

Pero es solo el primer paso. El ecosistema de ciberamenazas en 2026 es exponencialmente más complejo que el de hace 5 años. El ransomware es más sofisticado, el BEC es más dirigido, la IA generativa facilita ataques personalizados y la normativa (NIS2, RGPD, DORA) exige niveles de cumplimiento que la formación básica no cubre.

Mi consejo para las PYMEs españolas: inscribete en PYME Cibersegura, completa la formación, implementa las medidas básicas y luego sigue avanzando. La ciberseguridad no es un proyecto con fecha de fin: es un proceso continuo que requiere atención, recursos y actualización constante.

Y si necesitas un perito informático forense para evaluar tu postura de seguridad, investigar un incidente o preparar un informe pericial, estoy disponible para ayudarte. Prefiero mil veces hacer un peritaje preventivo que un peritaje de emergencia a las 3 de la madrugada de un sabado con tu empresa completamente paralizada.

Errores comunes de las PYMEs tras un ciberataque

Error 1: intentar arreglarlo internamente sin profesionales

La reacción natural del gerente de una PYME es intentar resolver el problema con sus propios recursos. Llama al “informático” que le monta los ordenadores y le pide que “arregle” el problema. El informático, con buena voluntad pero sin formación forense, restaura el sistema desde una copia de seguridad. En el proceso, destruye todas las evidencias que habrían sido necesarias para la investigación policial y el procedimiento judicial.

Error 2: pagar el rescate del ransomware sin asesoramiento

Algunas PYMEs pagan el rescate en pánico, sin consultar a nadie. Los problemas de pagar sin asesoramiento:

• No hay garantía de recibir la clave de descifrado (el 20 por ciento de las empresas que pagan no recuperan sus datos).
• El atacante sabe que pagas, así que volvera a atacarte (el 80 por ciento de las empresas que pagan son atacadas de nuevo en los 12 meses siguientes).
• Si el atacante esta en la lista de sanciones de EEUU (OFAC), pagar el rescate puede tener consecuencias legales.
• El pago no resuelve el problema de seguridad que permitio el ataque.

Error 3: no notificar a la AEPD la brecha de datos

Muchas PYMEs no saben que tienen obligación legal de notificar las brechas de datos personales a la AEPD en 72 horas. Otras lo saben pero deciden no hacerlo “para no llamar la atención”. El problema es que si la AEPD se entera por otro medio (denuncia de un afectado, publicación de los datos robados), la sanción será significativamente mayor por la falta de notificación.

Error 4: restaurar sistemas sin investigar la causa raiz

Restaurar el sistema desde una copia de seguridad sin investigar como entro el atacante es como cerrar la puerta después de que te hayan robado sin cambiar la cerradura. El atacante usara la misma vulnerabilidad para volver a entrar. He visto PYMEs atacadas 3 veces por el mismo ransomware porque restauraban el sistema sin parchear la vulnerabilidad que permitio el ataque.

Error 5: no comunicar a empleados y clientes

La transparencia es difícil pero necesaria. Los empleados deben saber que ha pasado para estar alerta ante posibles ataques adicionales. Los clientes deben saber si sus datos han sido comprometidos (además de que es obligación legal bajo el RGPD si hay alto riesgo). El silencio genera desconfianza cuando la verdad sale a la luz (y siempre sale).

Error 6: no aprender del incidente

El error más caro a largo plazo. Si no documentas lo que paso, como paso y que habrias hecho diferente, estas condenado a repetirlo. El informe de “lecciones aprendidas” es la inversión más valiosa que puedes hacer después de un incidente.

Comparativa de seguros de ciberriesgo para PYMEs en España

Qué cubren los seguros de ciberriesgo

Los seguros de ciberriesgo para PYMEs en España cubren, tipicamente, estas áreas:

Respuesta a incidentes: Costes de investigación forense, asistencia técnica de emergencia, gestión de crisis. Esto es crucial porque la mayoría de PYMEs no tienen recursos internos para gestionar un incidente.

Responsabilidad frente a terceros: Reclamaciones de clientes, proveedores o empleados cuyos datos han sido comprometidos. Incluye costes de defensa jurídica y posibles indemnizaciones.

Sanciones regulatorias: Algunas polizas cubren las multas de la AEPD (con limitaciones). Otras solo cubren los costes de defensa ante la AEPD pero no la multa en si.

Perdida de beneficios: Compensación por la facturación pérdida durante el periodo de interrupcion del negocio. Generalmente con un periodo de espera (franquicia temporal) de 8-24 horas.

Extorsión cibernetica: Cobertura para pagos de rescate en ataques de ransomware (controvertido, algunas polizas lo excluyen). Siempre incluye los costes de negociación con el atacante.

Restauración de datos y sistemas: Costes de recuperar datos y sistemas a su estado anterior al ataque.

Qué NO cubren (exclusiones habituales)

• Actos dolosos del asegurado (si la brecha fue intencionada).
• Incumplimiento de medidas de seguridad básicas pactadas en la poliza.
• Daños derivados de guerra o terrorismo de estado.
• Perdida de valor de activos intangibles (propiedad intelectual, reputación).
• Reclamaciones entre empresas del mismo grupo.

Requisitos de seguridad que exigen las aseguradoras

Las aseguradoras no aseguran a cualquiera. Para obtener una poliza de ciberriesgo, la mayoría exigen al menos:

• MFA activo en cuentas de email y accesos remotos.
• Copias de seguridad periódicas y verificadas.
• Antivirus o EDR en todos los equipos.
• Parches de seguridad al día.
• Formación básica en ciberseguridad para empleados.

Si no cumples estos requisitos, la aseguradora puede rechazar la poliza o cobrar una prima significativamente mayor. Completar PYME Cibersegura 2026 y poder acreditarlo puede ayudarte a cumplir el requisito de formación.

Precios orientativos (2026)

Estos precios son orientativos y varian significativamente según el sector (sanidad y finanzas pagan más), el historial de incidentes y las medidas de seguridad implementadas.

El futuro de la ciberseguridad para PYMEs en España: mi vision

Lo que necesitamos como país

Como perito informático que ve las consecuencias de los ciberataques a diario, mi vision sobre lo que necesita España para proteger a sus PYMEs es la siguiente.

Primero, educación desde la base. La ciberseguridad debería formar parte del currículum de las escuelas de negocios y de la formación profesional. Un gerente de PYME no necesita saber programar, pero si necesita entender los riesgos digitales de su negocio. Programas como PYME Cibersegura son útiles pero llegan tarde y a pocos.

Segundo, incentivos fiscales para la inversión en ciberseguridad. Si queremos que las PYMEs inviertan en seguridad, hay que hacer que esa inversión sea fiscalmente atractiva. Una deduccion del 50 por ciento en el Impuesto de Sociedades para inversiones en ciberseguridad tendría un impacto enorme. El coste para el erario público sería mínimo comparado con las pérdidas por ciberataques.

Tercero, obligación de seguro de ciberriesgo para empresas con datos sensibles. Así como es obligatorio el seguro de responsabilidad civil para ciertas actividades, debería ser obligatorio el seguro de ciberriesgo para empresas que tratan datos de salud, datos financieros o datos de menores. El mercado asegurador ya tiene productos asequibles. Lo que falta es la obligatoriedad que genere masa crítica.

Cuarto, directorio oficial de proveedores de ciberseguridad certificados. Las PYMEs no saben a quien llamar cuando tienen un problema de seguridad. Un directorio oficial gestionado por INCIBE, con proveedores certificados y evaluaciones de clientes, sería enormemente útil. Francia ya lo tiene (sello ExpertCyber) y funciona.

Quinto, cooperación público-privada real. INCIBE, CCN-CERT, Policía Nacional, Guardia Civil, AEPD y las asociaciones empresariales deben trabajar juntos de forma efectiva. Hoy cada uno va por su lado. Un Centro Nacional de Ciberseguridad para PYMEs que coordine todos estos actores sería un cambio de paradigma.

No se si veremos todo esto en los próximos años. Pero como profesional que se dedica a esto, seguire haciendo mi parte: investigando incidentes, ayudando a empresas a protegerse y compartiendo conocimiento para que cada vez menos PYMEs españolas sean víctimas del cibercrimen.

Lo que pueden hacer las PYMEs mientras esperan

Mientras esperamos que las instituciones avancen, las PYMEs pueden (y deben) tomar las riendas de su propia seguridad. Los pasos más importantes, ordenados por impacto y coste:

1. Activar MFA en todo (coste: 0 euros, tiempo: 1 hora). Es la medida con mayor impacto por unidad de esfuerzo. Si solo haces una cosa de esta lista, que sea esta.

2. Verificar que las copias de seguridad funcionan (coste: 0 euros, tiempo: 2 horas). No basta con tener copias de seguridad. Hay que verificar que se pueden restaurar. Intenta restaurar una copia ahora mismo. Si no puedes, no tienes copias de seguridad reales.

3. Inscribirse en PYME Cibersegura 2026 (coste: 0 euros, tiempo: 12 horas). La formación gratuita de INCIBE es un buen punto de partida. Completarla te dara el conocimiento básico necesario para tomar decisiones informadas.

4. Establecer un protocolo de verificación de pagos (coste: 0 euros, tiempo: 1 hora). Cualquier solicitud de cambio de datos bancarios se verifica por teléfono al número conocido. Esta simple regla habría evitado el 100 por ciento de los BEC que he investigado.

5. Contratar un seguro de ciberriesgo (coste: 800-3.000 euros/año). Si sufres un incidente, el seguro puede ser la diferencia entre sobrevivir y cerrar.

6. Solicitar un peritaje preventivo (coste: 500-2.000 euros, una vez). Un perito independiente evaluara tu postura de seguridad y te dira exactamente donde están tus vulnerabilidades.

Estas 6 medidas cuestan en total menos de 5.000 euros y cubren el 80 por ciento de los vectores de ataque más comunes. Es una inversión que cualquier PYME puede permitirse y que puede evitar pérdidas de decenas o cientos de miles de euros.

Si necesitas orientación sobre por donde empezar o quieres que evalúe la postura de seguridad de tu empresa, ofrezco una consulta gratuita inicial de 30 minutos. En esa consulta analizamos juntos tu situación y te doy mis recomendaciones priorizadas, sin compromiso y sin coste.

La ciberseguridad no tiene por que ser complicada ni cara. Lo que tiene que ser es una prioridad. Y programas como PYME Cibersegura 2026 ayudan a que cada vez más PYMEs entiendan esa prioridad. Mi trabajo es ayudarles a convertir esa comprensión en acción efectiva.

Referencias y fuentes

1. INCIBE (2026). “PYME Cibersegura 2026: programa de formación en ciberseguridad para PYMEs”. Instituto Nacional de Ciberseguridad.
2. INCIBE — Balance de ciberseguridad 2025: 122.223 incidentes gestionados, 45.445 de fraude online. No hay desglose público de BEC.
3. Directiva (UE) 2022/2555 (NIS2). Diario Oficial de la Union Europea.
4. Reglamento (UE) 2016/679 (RGPD). Reglamento General de Protección de Datos.
5. Reglamento (UE) 2022/2554 (DORA). Resiliencia operativa digital del sector financiero.
6. Programa Europa Digital (2021-2027). Comisión Europea. Presupuesto de ciberseguridad.
7. Kit Digital (2022-2026). Secretaría de Estado de Digitalización e Inteligencia Artificial.
8. Hiscox (2025). “Cyber Readiness Report 2025”. Coste medio de ciberataques por tamaño de empresa.
9. UNESPA (2025). “Informe sobre seguro de ciberriesgo en España”. Penetración del seguro en PYMEs.
10. Cybermalveillance.gouv.fr (2026). Programa frances de ciberseguridad para PYMEs.
11. TISiM (2026). “Transferstelle IT-Sicherheit im Mittelstand”. Programa aleman para PYMEs.
12. AEPD (2025). “Memoria anual 2025”. Sanciones y procedimientos por brechas de datos.
13. FBI IC3 (2025). “Internet Crime Report 2025”. Estadísticas globales de BEC.
14. ENISA (2025). “Threat Landscape for SMEs”. Agencia de la UE para la Ciberseguridad.
15. Veeam (2025). From Risk to Resilience: 2025 Ransomware Trends and Proactive Strategies —el resumen del informe; las cifras de recuperación (57 % y 10 %) están en su nota de prensa— —fabricante de software de copias de seguridad, interés declarado— — el informe que recoge las cifras de recuperación tras un cifrado: el 57 % de las organizaciones atacadas recupera menos de la mitad de sus datos y solo el 10 % recupera más del 90 %. (Las estadísticas de recuperación post-ransomware no están en el Data Protection Trends Report, que es otro informe de la misma casa.)
16. CGPJ (2025). “Estadística Judicial 2025”. Procedimientos relacionados con ciberdelitos.