Las pequeñas y medianas empresas españolas se enfrentan a un escenario cada vez más complejo en materia de ciberseguridad. Los ataques no son sólo más frecuentes, sino que también resultan sensiblemente más caros de gestionar. Recuperarse de un incidente cuesta hoy un 25% más que hace cinco años, una tendencia que refleja tanto la evolución de las amenazas como la creciente dependencia digital del negocio.
El contexto no ayuda. En 2024 se gestionaron en España más de 97.000 incidentes de ciberseguridad, con un incremento cercano al 17% respecto al año anterior. Una parte significativa afectó directamente a empresas, incluidas miles de pymes, que constituyen más del 99% del tejido productivo nacional y cuya operativa depende ya de forma estructural de sistemas digitales.
Desde Secure&IT apuntan a una combinación de factores que explican este aumento del impacto económico. “Los ataques son técnicamente más complejos, las empresas dependen más de la tecnología y, además, las exigencias regulatorias son cada vez mayores, independientemente del tamaño de la organización”, explica Francisco Valencia, director general de la compañía.
El fraude digital gana peso
El fraude informático se ha consolidado como la principal tipología delictiva en el ámbito digital. Suplantaciones de identidad, estafas por correo electrónico o accesos indebidos a sistemas corporativos concentran la mayor parte de los ciberdelitos registrados en España y afectan de forma directa a las empresas.
El problema no es sólo el ataque en sí, sino su impacto operativo. “Una caída del ERP, un fraude por suplantación o un ransomware puede implicar días sin actividad, pérdida de clientes y un daño reputacional difícil de revertir”, señalan desde Secure&IT. En sectores donde los sistemas son críticos para la actividad diaria, el efecto es todavía más acusado.
Más regulación, más costes asociados
A esta realidad se suma un entorno normativo cada vez más exigente. Marcos como NIS2, DORA, el Esquema Nacional de Seguridad o el futuro Cyber Resilience Act obligan a notificar incidentes, demostrar diligencia y mantener medidas de protección acordes al riesgo. Todo ello añade una capa adicional de costes técnicos, legales y organizativos tras un incidente.
“Recuperarse de un ataque es hoy mucho más caro que hace cinco años, incluso aunque la empresa no haya crecido”, apunta Valencia. “Los incidentes requieren más recursos, más coordinación y una respuesta más estructurada”.
Pese a este escenario, muchas pymes siguen sin contar con planes formales de respuesta a incidentes, dependen de copias de seguridad limitadas o carecen de visibilidad sobre accesos y dispositivos conectados a su red. La falta de prácticas básicas —como autenticación robusta, monitorización continua o revisiones periódicas de proveedores— sigue siendo uno de los principales puntos débiles.
“La pyme no es objetivo por su tamaño, sino por su exposición”, concluyen desde Secure&IT. Mientras la digitalización del negocio avance más rápido que la adopción de medidas preventivas, el coste de los ciberataques seguirá creciendo y poniendo en riesgo la continuidad de muchas organizaciones.
