Ciberseguridade para pemes 2026: unha axenda de 30 días

Revisado o 25 de agosto de 2026: INCIBE publicou o 5 de febreiro unha actualización da súa guía de xestión de riscos para empresarios e, o 13 de maio, unha guía de supervisión de ciberseguridade para directivos non técnicos. As dúas parten dunha idea útil para unha peme: a seguridade é unha decisión de negocio, non unha colección de produtos.

Comeza polo que pode deter o negocio

Fai unha lista de cinco servizos sen os que non podes vender, cobrar ou atender: caixa, reservas, correo, tenda, ERP, maquinaria conectada ou acceso ao almacén. Para cada un, anota a persoa responsable, os provedores, os datos que trata e canto tempo poderías traballar sen el.

Non precisas acertar unha puntuación matemática. Precisamos descubrir dependencias: unha conta compartida, unha copia que nunca se restaurou, un provedor ao que ninguén sabe chamar ou un portátil con acceso total. Son máis accionables ca unha etiqueta de «risco alto» sen responsable.

O rexistro de riscos dunha páxina

Usa seis columnas: activo ou proceso, escenario (fraude, ransomware, caída, fuga), impacto, controis actuais, responsable e seguinte proba. Ordena polo impacto en vendas, operación, clientes e obrigas, non pola novidade da ferramenta.

Axenda de 30 días

1. Días 1–5: inventario de contas, dispositivos, dominios, provedores e copias.
2. Días 6–10: activa MFA no correo, administración e banca; elimina contas antigas.
3. Días 11–15: comproba as copias cunha restauración real e documenta quen pode facela.
4. Días 16–20: actualiza sistemas expostos, limita privilexios e separa a conta diaria da administradora.
5. Días 21–25: escribe unha páxina de resposta: a quen chamar, que illar, que evidencias conservar e cando informar.
6. Días 26–30: fai un simulacro de correo fraudulento ou perda de acceso e anota o que non funcionou.

Que pedir a un provedor

Pide cobertura concreta: activos incluídos, alertas, tempos de resposta, copias, actualizacións, subcontratas, conservación de rexistros e saída. Pregunta quen actuará ás tres da mañá e que necesita de ti. «Temos un panel» non é un plan de continuidade.

Encaixe coa dixitalización subvencionada

Unha solución de ciberseguridade pode formar parte dunha decisión de dixitalización, pero a subvención non transfire o risco. Separa o expediente da axuda, o servizo contratado e o control que o equipo debe manter cando remate o soporte. A adhesión do provedor tampouco certifica que a empresa estea protexida.

Conclusión: ao cabo de 30 días deberías poder responder catro preguntas: que pode caer, como o saberás, quen decide e como volves operar. Se non podes, compra acompañamento concreto; non outra capa de palabras.

Fontes oficiais consultadas o 25/08/2026: INCIBE · xestión de riscos, actualización 2026 e INCIBE · supervisión para dirección non técnica. É unha guía de traballo, non unha certificación nin asesoramento legal.