Las pymes son un objetivo frecuente de ataques indirectos de ciberseguridad
“Las pymes forman parte de cadenas de valor más amplias y, por tanto, son un objetivo frecuente de ataques indirectos de ciberseguridad”, explica Miguel Ángel Cañada, jefe de Gabinete de Dirección y del Centro Nacional de Coordinación (NCC-ES INCIBE) del Instituto Nacional de Ciberseguridad, entidad designada para coordinar en España la red del Centro Europeo de Competencias en Ciberseguridad de la Comisión Europea (ECCC).
Cañada es también miembro de la junta directiva y vicepresidente en representación de las Autoridades Públicas Nacionales de la Organización Europea de Seguridad Cibernética (ECSO).
En un contexto en el que la seguridad integral cobra cada vez más protagonismo, ¿qué papel juega la ciberseguridad en la protección de las pymes?
La ciberseguridad ha dejado de ser un ámbito exclusivamente tecnológico para convertirse en un elemento estructural de la seguridad integral de cualquier organización. En el caso de las pymes, esto es especialmente relevante, ya que forman parte de cadenas de valor más amplias y, por tanto, son un objetivo frecuente de ataques indirectos.
Vivimos, además, en un entorno en el que la superficie de exposición no deja de crecer, impulsada por la digitalización, el uso de servicios en la nube o la adopción de tecnologías emergentes. En este sentido, los datos son claros: desde INCIBE gestionamos en 2025 un 26% más de incidentes que el año anterior, lo que confirma una tendencia sostenida al alza y evidencia un ciberespacio cada vez más dinámico y exigente.
En este contexto, integrar la ciberseguridad dentro de la estrategia global de seguridad es clave para garantizar la resiliencia de las pymes.
¿Están realmente preparadas las pymes españolas para afrontar las amenazas actuales en ciberseguridad?
Estamos avanzando en la dirección correcta, pero aún queda camino por recorrer. Aunque el nivel de concienciación ha mejorado en los últimos años, los datos muestran que las pymes siguen siendo el eslabón más vulnerable. Desde INCIBE observamos que una parte muy relevante de los incidentes que gestionamos afecta a ciudadanos y pequeñas empresas. Además, organismos europeos como ENISA subrayan que estas organizaciones presentan, en general, menores niveles de madurez en ciberseguridad y mayores dificultades para implementar medidas avanzadas.
Los datos del propio sector reflejan, al mismo tiempo, un crecimiento de la demanda de soluciones y servicios de ciberseguridad. El sector representa más del 25% del empleo del sector TIC, con más de 164.000 profesionales, y cuenta con más de 3.400 empresas especializadas. En los últimos 5 años se han creado más de 400 nuevas empresas de ciberseguridad, que ya representan en torno al 12% de la facturación del sector, lo que refuerza el ecosistema y genera soluciones innovadoras accesibles también para las pymes.
Por tanto, aunque el ecosistema progresa de forma clara, el desafío sigue siendo trasladar esas capacidades al conjunto del tejido empresarial, especialmente a las pymes, que necesitan soluciones accesibles, acompañamiento y una mayor concienciación para avanzar hacia un modelo de ciberseguridad más preventivo y resiliente.
Además, es clave avanzar hacia un modelo preventivo, donde la ciberseguridad se entienda como una inversión y no como un coste.
¿Qué papel juega la colaboración público-privada en el fortalecimiento de la ciberseguridad empresarial?
Es una palanca esencial. La ciberseguridad es un ámbito donde ningún actor puede operar de forma aislada. Desde INCIBE trabajamos de forma coordinada con empresas, administraciones públicas, centros tecnológicos y el ámbito académico para construir capacidades compartidas y dar respuesta a un entorno de amenazas cada vez más complejo.
Esta colaboración se traduce en iniciativas concretas con impacto directo en el tejido empresarial. En los últimos años, hemos movilizado cerca de 600 millones de euros procedentes del Plan de Recuperación y Resiliencia destinados a impulsar la ciberseguridad en España. De esta inversión, aproximadamente un 40% se ha destinado a actuaciones de I+D+i, involucrando a empresas, pymes, universidades y centros de investigación, mientras que un 21% se ha canalizado a través de las comunidades autónomas para reforzar su despliegue territorial.
En definitiva, la colaboración público-privada no solo acelera el desarrollo del sector, sino que permite acercar la ciberseguridad al conjunto del tejido empresarial, facilitando que las pymes puedan acceder a capacidades, conocimiento y herramientas que de otro modo serían difíciles de alcanzar.
¿Qué medidas concretas deberían priorizar las pymes para mejorar su nivel de ciberseguridad?
Más allá de grandes inversiones, hay tres medidas fundamentales que marcan la diferencia. En primer lugar, la concienciación y formación de los empleados, ya que el factor humano sigue siendo el principal vector de ataque. En segundo lugar, la implantación de medidas básicas de protección -como copias de seguridad, actualización de sistemas o control de accesos-, es decir, aspectos críticos que muchas pymes aún no tienen plenamente implementados. Y, por último, el uso de servicios de alerta temprana y monitorización, donde todavía existe margen de mejora: más del 60% de las empresas no conoce o no utiliza herramientas como la Alerta Temprana de INCIBE. El reto es acercar estos recursos al tejido empresarial de forma práctica, accesible y alineada con sus necesidades.