Solo uno de cada cuatro pequeñas y medianas empresas españolas cuenta con una estrategia de ciberseguridad realmente operativa. El resto, según un estudio reciente de Kaspersky sobre el estado de la seguridad digital en las pymes del país, convive con planes que quedan bien sobre papel pero que, en el momento de la verdad, no responden. El dato es contundente: el 62% de los responsables de seguridad de estas empresas admite que su estrategia es más una declaración de intenciones que un sistema funcional.
El informe pone cifras a una realidad que muchos directivos intuyen pero pocos quieren asumir formalmente. Las pymes representan el grueso del tejido productivo español —más del 99% de las empresas del país, según los datos del Ministerio de Industria y Turismo— y son, al mismo tiempo, los objetivos más vulnerables para los ciberataques. No por falta de conciencia, sino por falta de recursos, de estructura interna y, sobre todo, de integración real de la seguridad en la toma de decisiones.
La brecha entre el plan y la realidad
Que una empresa tenga un documento de política de seguridad no significa que esté protegida. Esta distinción, obvia para cualquier profesional del sector, sigue siendo un punto ciego para muchas organizaciones. El estudio de Kaspersky revela que casi dos tercios de las pymes encuestadas reconocen abiertamente esta brecha: tienen objetivos definidos, quizás incluso herramientas contratadas, pero la estrategia no está cohesionada ni realmente implementada en el día a día.
El problema no es solo técnico. Cuando una empresa sufre un incidente de seguridad —una filtración de datos, un ataque de ransomware, una interrupción del servicio— las consecuencias se extienden mucho más allá del departamento de IT. Se paraliza la operativa, los clientes pierden confianza, la reputación se resiente y, en casos graves, la viabilidad del negocio queda en entredicho. Ignasi Nogués, Chief Growth Officer de Qualiteasy, empresa especializada en soluciones de ciberseguridad para pymes, lo resume con claridad: la pregunta que deben hacerse las empresas no es qué herramienta usan, sino si la ciberseguridad está realmente en la agenda del comité de dirección.
Esa distinción importa. Una herramienta bien configurada en manos de un equipo que no tiene respaldo directivo, presupuesto suficiente ni protocolos claros de respuesta, no protege a nadie. La tecnología es un componente necesario, pero no suficiente.
Un riesgo transversal que se gestiona como si fuera sectorial
Uno de los errores más extendidos entre las pymes es tratar la ciberseguridad como una responsabilidad exclusiva del área tecnológica. En la práctica, un incidente digital afecta a todas las áreas del negocio: operaciones, finanzas, recursos humanos, atención al cliente, comunicación. Sin embargo, la mayoría de las organizaciones sigue delegando esta función en el técnico o en el proveedor externo de IT, sin que exista una visión estratégica compartida.
Esta mentalidad tiene consecuencias directas. Cuando no hay un responsable claro con visibilidad sobre toda la organización, las decisiones de seguridad se toman de forma reactiva —después del incidente— en lugar de preventiva. Y cuando el incidente llega, el caos es proporcional a la falta de preparación previa.
Las empresas que sí han integrado la ciberseguridad en su gobernanza corporativa presentan un perfil diferente: tienen protocolos documentados y entrenados, saben cómo responder ante una crisis, y toman decisiones de inversión en seguridad con criterios de negocio, no solo técnicos. Son, en definitiva, organizaciones más resilientes.
Qué pueden hacer las pymes con recursos limitados
El argumento del presupuesto es recurrente, y tiene parte de razón. Las grandes corporaciones pueden permitirse equipos de seguridad dedicados, auditorías externas frecuentes y tecnología de última generación. Las pymes, con márgenes más ajustados y equipos más pequeños, tienen que ser más selectivas.
Pero eso no significa que estén condenadas a la vulnerabilidad. Existen marcos de referencia accesibles, como los que ofrece el Instituto Nacional de Ciberseguridad (INCIBE), que proporcionan guías prácticas adaptadas a empresas de menor tamaño. El punto de partida no es la herramienta más cara, sino el diagnóstico honesto: saber qué activos hay que proteger, quién tiene acceso a qué, qué pasaría si un sistema cae y cómo se respondería.
A partir de ahí, la priorización es posible. La formación del equipo, la autenticación en dos factores, las copias de seguridad verificadas y los planes de respuesta básicos son medidas de alto impacto y coste relativamente bajo. Lo que no tiene coste bajo es recuperarse de un ataque sin ninguna de estas medidas implementadas.
El estudio de Kaspersky no es una alarma nueva, pero sí es un recordatorio de que el problema sigue sin resolverse. Que el 62% de las pymes españolas reconozca que su estrategia de ciberseguridad no funciona en la práctica es, en sí mismo, un dato preocupante. Pero también es una oportunidad: el primer paso para mejorar es reconocer el problema. El segundo es dejar de tratarlo como una cuestión técnica y empezar a gestionarlo como lo que es: un riesgo de negocio.