Ciberseguretat pime 2026: una agenda de 30 dies

Revisat el 25 d’agost de 2026: INCIBE va publicar el 5 de febrer una actualització de la seva guia de gestió de riscos per a empresaris i, el 13 de maig, una guia de supervisió de ciberseguretat per a directius no tècnics. Totes dues parteixen d’una idea útil per a una pime: la seguretat és una decisió de negoci, no una col·lecció de productes.

Comença pel que pot aturar el negoci

Fes una llista de cinc serveis sense els quals no pots vendre, cobrar o atendre: caixa, reserves, correu, botiga, ERP, maquinària connectada o accés al magatzem. Per a cadascun, anota la persona responsable, els proveïdors, les dades que tracta i quant temps podries treballar sense ell.

No cal encertar una puntuació matemàtica. Cal descobrir dependències: un compte compartit, una còpia que mai no s’ha restaurat, un proveïdor que ningú sap trucar o un portàtil amb accés total. Són més accionables que una etiqueta de «risc alt» sense responsable.

El registre de riscos d’una pàgina

Utilitza sis columnes: actiu o procés, escenari (frau, ransomware, caiguda, fuga), impacte, controls actuals, responsable i propera prova. Ordena per impacte en vendes, operació, clients i obligacions, no per la novetat de l’eina.

Agenda de 30 dies

1. Dies 1–5: inventari de comptes, dispositius, dominis, proveïdors i còpies.
2. Dies 6–10: activa MFA al correu, administració i banca; elimina comptes que ja no corresponen.
3. Dies 11–15: comprova còpies amb una restauració real i documenta qui pot fer-la.
4. Dies 16–20: actualitza sistemes exposats, limita privilegis i separa el compte diari de l’administrador.
5. Dies 21–25: escriu una pàgina de resposta: a qui trucar, què aïllar, quines proves conservar i quan informar.
6. Dies 26–30: fes un simulacre de correu fraudulent o pèrdua d’accés i anota què no ha funcionat.

Què demanar a un proveïdor

Demana cobertura concreta: actius inclosos, alertes, temps de resposta, còpies, actualitzacions, subcontractes, conservació de registres i sortida. Pregunta qui actuarà a les tres de la matinada i què necessita de tu. «Tenim un panell» no és un pla de continuïtat.

Encaix amb una digitalització subvencionada

Una solució de ciberseguretat pot formar part d’una decisió de digitalització, però la subvenció no transfereix el risc. Separa l’expedient d’ajuda, el servei contractat i el control que l’equip ha de mantenir quan acabi el suport. L’adhesió del proveïdor tampoc certifica que la teva empresa estigui protegida.

Conclusió: al cap de 30 dies hauries de poder respondre quatre preguntes: què pot caure, com ho sabràs, qui decideix i com tornes a operar. Si no pots, compra acompanyament focalitzat; no una altra capa de paraules.

Fonts oficials consultades el 25/08/2026: INCIBE · gestió de riscos, actualització 2026 i INCIBE · supervisió per a direcció no tècnica. És una guia de treball, no una certificació ni assessorament legal.