Ciberseguridad pyme 2026: una agenda de 30 días

Revisado el 25 de agosto de 2026: INCIBE publicó el 5 de febrero una actualización de su guía de gestión de riesgos para empresarios y, el 13 de mayo, una guía de supervisión de ciberseguridad para directivos no técnicos. Ambas parten de una idea útil para una pyme: la seguridad es una decisión de negocio, no una colección de productos.

Empieza por lo que puede parar el negocio

Haz una lista de cinco servicios sin los que no puedes vender, cobrar o atender: caja, reservas, correo, tienda, ERP, maquinaria conectada o acceso al almacén. Para cada uno, anota la persona responsable, los proveedores, los datos que trata y cuánto tiempo podrías trabajar sin él.

No necesitas acertar una puntuación matemática. Necesitas descubrir dependencias: una cuenta compartida, una copia que nunca se ha restaurado, un proveedor que nadie sabe llamar o un portátil con acceso total. Esas dependencias son más accionables que una etiqueta de «riesgo alto» sin dueño.

El registro de riesgos de una página

Usa seis columnas: activo o proceso, escenario (fraude, ransomware, caída, fuga), impacto, controles actuales, responsable y siguiente prueba. Ordena por impacto en ventas, operación, clientes y obligaciones, no por la novedad de la herramienta.

Agenda de 30 días

1. Días 1–5: inventario de cuentas, dispositivos, dominios, proveedores y copias.
2. Días 6–10: activa MFA en correo, administración y banca; elimina cuentas que ya no corresponden.
3. Días 11–15: comprueba copias con una restauración real y documenta quién puede hacerlo.
4. Días 16–20: actualiza sistemas expuestos, limita privilegios y separa la cuenta diaria de la administradora.
5. Días 21–25: escribe una página de respuesta: a quién llamar, qué aislar, qué evidencias conservar y cuándo informar.
6. Días 26–30: haz un simulacro de correo fraudulento o pérdida de acceso y anota lo que no funcionó.

Qué pedir a un proveedor

Pide cobertura concreta: activos incluidos, alertas, tiempos de respuesta, copias, actualizaciones, subcontratas, conservación de registros y salida. Pregunta quién actúa a las tres de la mañana y qué necesitas entregar para que pueda hacerlo. «Tenemos un panel» no es un plan de continuidad.

Encaje con una digitalización subvencionada

Una solución de ciberseguridad puede ser parte de una decisión de digitalización, pero la subvención no transfiere el riesgo. Separa el expediente de ayuda, el servicio contratado y el control que tu equipo debe mantener cuando termine el soporte. La adhesión del proveedor tampoco certifica que tu empresa esté protegida.

Conclusión: al final de 30 días deberías poder responder cuatro preguntas: qué se puede caer, cómo lo sabrás, quién decide y cómo vuelves a operar. Si no puedes, compra tiempo de acompañamiento; no compres otra capa de palabras.

Fuentes oficiales consultadas el 25/08/2026: INCIBE · gestión de riesgos, actualización 2026 y INCIBE · supervisión para dirección no técnica. Es una guía de trabajo, no una certificación ni asesoramiento legal.