Hay una idea muy extendida entre los negocios pequeños: "a mí no me van a atacar, no tengo nada que robar". Los datos de 2025 dicen exactamente lo contrario, y en 2026 se le suma algo nuevo: puede que dejes de decidir tú si te pones al día en seguridad, porque te lo empiece a exigir tu propio cliente.
Vamos con los dos temas por separado.
Los números de 2025, ya cerrados
INCIBE publicó su balance del año y deja poco margen a la interpretación:
- 122.138 incidentes gestionados en 2025, un 18 % más que los 103.000 del año anterior.
- El 60 % afectó a pymes y autónomos. No a grandes corporaciones: a negocios como el tuyo.
- España es el tercer país de la Unión Europea por volumen de incidentes, solo por detrás de Alemania y Francia.
- El coste medio de un incidente para una pyme se sitúa entre 15.000 y 50.000 €, sumando pérdida de datos, días parados y recuperación.
El reparto por tipo de ataque también es revelador:
- Phishing y fraude digital: unos 47.000 casos (el 38 % del total).
- Malware: 23.400 casos.
- Accesos no autorizados: 18.200 casos.
- Ransomware: 9.800 casos (el 8 %).
Y los sectores donde más se ceba: comercio minorista, hostelería, asesorías y despachos profesionales, y clínicas sanitarias. Es decir, el tejido de negocio local de cualquier ciudad española.
El ransomware es solo el 8 % de los incidentes, pero se lleva la peor parte del impacto económico. Cuando entra, no negocia contigo: cifra todo y pone precio.
Fíjate en el dato que de verdad importa: casi cuatro de cada diez ataques son phishing. No hacen falta hackers de película. Basta un correo bien escrito y una persona con prisa.
La otra novedad de 2026: NIS2 te va a llegar aunque no te aplique
La directiva europea NIS2 es la nueva normativa de ciberseguridad de la UE. En España se está transponiendo mediante el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros en enero de 2025 y todavía pendiente de trámite parlamentario. La Comisión Europea ya ha enviado a España un dictamen motivado por el retraso.
Aquí viene la parte que casi nadie explica bien.
Sobre el papel, NIS2 no te aplica si eres una microempresa o una empresa pequeña (menos de 50 empleados y menos de 10 millones de facturación). Hay excepciones —proveedores de DNS, registradores de dominios, prestadores de servicios de confianza y administraciones públicas quedan dentro sin importar su tamaño—, pero la mayoría de las pymes españolas están formalmente fuera.
En la práctica, te va a llegar igual. El artículo 21 de la directiva obliga a todas las entidades reguladas a gestionar el riesgo de su cadena de suministro. Traducido: si trabajas para un hospital, una empresa de energía, una administración, una gran distribuidora o un banco, esa entidad tiene la obligación legal de comprobar que sus proveedores —tú— cumplen unos mínimos de seguridad.
Y no lo comprobará con una charla amistosa. Lo hará con un cuestionario, una auditoría o una cláusula en el contrato de renovación.
Si el año que viene pierdes un contrato importante, es perfectamente posible que no sea por precio ni por calidad, sino porque no supiste responder a un formulario de seguridad de doce preguntas.
Qué te van a preguntar exactamente
Las medidas que recoge NIS2, y que se están trasladando tal cual a los cuestionarios de proveedores, son estas:
- Política de análisis y gestión de riesgos.
- Gestión de incidentes: qué haces y a quién avisas cuando pasa algo.
- Continuidad de negocio, copias de seguridad y recuperación ante desastres.
- Seguridad de la cadena de suministro (tus propios proveedores).
- Control de accesos y autenticación multifactor.
- Cifrado de la información sensible.
- Formación del personal.
- Gestión de vulnerabilidades en redes y sistemas.
Leído de golpe intimida. Pero para un negocio de diez personas, casi todo eso se resuelve con decisiones sencillas y documentándolas en dos folios. Lo caro no es cumplirlo: lo caro es improvisarlo el día que te lo piden.
El checklist realista: lo que puedes hacer esta semana
Ordenado por lo que más protege respecto al esfuerzo que cuesta.
1. Segundo factor (MFA) en todo lo que abra una puerta
Correo, banco, hosting, dominio, gestoría, redes sociales, panel de la web. Es gratis, se activa en diez minutos por servicio y anula la mayoría de los accesos con contraseña robada. Si solo vas a hacer una cosa de esta lista, haz esta.
2. Deja de repetir contraseñas
Una sola filtración en una web ajena tumba todas tus cuentas si comparten clave. Un gestor de contraseñas lo arregla de raíz: recuerdas una y solo una. Nosotros construimos Gestor Seguro exactamente por este motivo —un baúl cifrado donde los datos se descifran únicamente en tu dispositivo—, pero cualquier gestor serio te vale. Lo importante es dejar de usar la memoria y el post-it.
3. Copias de seguridad fuera del servidor y probadas
Dos matices que la gente se salta:
- Fuera del propio servidor. Un ransomware que cifra tu web y tus copias a la vez te deja sin salida.
- Probadas. Una copia que nunca has restaurado no es una copia: es una suposición. Restaura una en un entorno de prueba, aunque sea una vez al año.
4. Actualizaciones automáticas activadas
La mayoría de las webs de pymes comprometidas no las ataca nadie en concreto: las encuentra un bot rastreando internet en busca de versiones vulnerables conocidas. En 2025 se catalogaron más de 26.000 vulnerabilidades nuevas, unas 4.200 de gravedad crítica. Un WordPress con veinte plugins sin tocar desde hace dos años está en esa lista.
5. Una regla escrita para el dinero
El fraude que más euros mueve sigue siendo el cambio de número de cuenta. La regla cabe en una línea y debería estar escrita y firmada por todo el equipo:
Cualquier cambio de cuenta bancaria se confirma por teléfono, llamando al número que ya teníamos guardado. Nunca al que viene en el correo.
6. Media hora de formación al año
Enseña a tu equipo a reconocer tres cosas: la urgencia artificial, el remitente que se parece pero no es, y el archivo que no esperabas. Es la medida más barata que existe y la que corta el 38 % de los ataques.
7. Un folio con el plan de incidente
Qué hacer si mañana no arranca el ordenador de facturación: a quién se llama primero, qué se desconecta, dónde están las copias, qué clientes hay que avisar. Escrito y accesible en papel, porque el día que lo necesites puede que no tengas acceso al ordenador.
Tu web también es perímetro
Una parte del riesgo no está en tus ordenadores, sino en la página que tienes publicada:
- ¿Va por HTTPS con el certificado en vigor?
- ¿Cuántos plugins de terceros carga y cuándo se actualizaron por última vez?
- Los formularios, ¿validan en servidor y tienen protección antispam?
- ¿Se guardan datos personales de clientes? ¿Dónde y cifrados con qué?
- ¿Hay alguna clave de API escrita en el código que se descarga en el navegador? Es un fallo tan común como grave: cualquiera puede leerla y gastar en tu cuenta.
- ¿Existen copias automáticas del sitio y sabes restaurarlas?
Nuestro enfoque es siempre el mismo: menos piezas, menos superficie de ataque. Una web hecha a medida, sin veinte dependencias externas encadenadas, es intrínsecamente más difícil de comprometer que un montaje de plantilla, y además pasa los cuestionarios de proveedor sin sudores.
Si quieres profundizar en cómo entran hoy los ataques, lo contamos en detalle en Falsas apps de IA: la puerta que están usando para entrar en las pymes.
En resumen
- 122.138 incidentes en 2025 y el 60 % contra pymes. La estadística ya no permite decir "a mí no me va a tocar".
- El phishing es el 38 %. El problema no es tecnológico, es de proceso y de personas.
- NIS2 te llegará como proveedor aunque legalmente no te aplique. Empieza a preparar las respuestas antes de que te hagan las preguntas.
- Lo que más protege es lo más barato: MFA, gestor de contraseñas, copias probadas, actualizaciones y una regla escrita para el dinero.
Si quieres que revisemos cómo está tu web —qué está bien, qué no y qué contestarías hoy a un cuestionario de seguridad—, escríbenos. No cuesta nada, y en bastantes casos la respuesta es simplemente "tranquilo, está en orden".
