Puede una pyme perder clientes si no adopta tecnologías de ciberseguridad? ¿Estas medidas mejoran la confianza de sus clientes? ¿Abren nuevas oportunidades de negocio? ¿Pueden convertirse en una ventaja frente a los competidores? Son algunas de las cuestiones que plantearon los autores de un estudio publicado en 2023 en SN Business & Economics a 147 profesionales de tecnología de pymes británicas. Buscaban conocer los efectos de la ciberseguridad en sus empresas. El cuestionario incluía interrogantes sobre los ataques y los riesgos, pero también acerca de la satisfacción de los clientes, los ingresos y los márgenes de beneficio.

Al analizar las respuestas, los investigadores encontraron una relación positiva entre la adopción de estas tecnologías y el rendimiento empresarial. Los participantes las asociaron con mayores ingresos y márgenes, y con una mejora de la satisfacción y la retención de clientes. Para una pyme, protegerse de ataques forma parte cada vez más de las condiciones necesarias para trabajar con otras compañías y hacerse responsable de la información que estas le confían. Porque desde el momento en que un incidente puede alcanzar también a clientes y proveedores, la protección deja de ser un tema estrictamente interno. Por eso, además de tomar medidas es importante poder demostrar que se ha hecho. De esto modo, puede convertirse en una ventaja competitiva ante un asunto que preocupa, y mucho. El Informe de Riesgos Globales 2026 del Foro Económico Mundial sitúa la inseguridad cibernética en sexto lugar entre los riesgos considerados más graves para los próximos dos años, hasta 2028. En el horizonte de diez años, hasta 2036, ocupa la octava posición. La clasificación recoge las respuestas de más de 1.300 dirigentes y especialistas de todo el mundo.

Lo que se hace debe poder probarse

La ciberseguridad ya es, también, una cuestión de confianza entre empresas y la documentación debe dejar constancia de cómo trabaja la empresa, grande o pequeña: quién ha tomado una decisión, qué medidas se aplican y si los procedimientos continúan utilizándose cuando cambian las personas o los proveedores. La Agencia de la Unión Europea para la Ciberseguridad (ENISA) propone una forma de ordenar ese trabajo en su informe SME Cyber Resilience Maturity Assessment Model (Modelo de evaluación de la madurez de la ciberresiliencia de las pymes), publicado en julio de 2026. El modelo revisa si las responsabilidades están claras, cómo se gestionan los riesgos y las vulnerabilidades de un producto y si las prácticas están documentadas.

«La gobernanza no tiene por qué ser compleja. Lo que importa es que las responsabilidades estén claras, se conserven registros y la documentación esté actualizada», señala el informe. Para demostrarlo, una pyme puede utilizar desde una hoja de cálculo hasta los registros de un sistema de incidencias. Lo necesario es que permitan comprobar qué se hizo y quién se ocupó. Así se evita que la seguridad dependa de la memoria o la iniciativa de una sola persona. Un procedimiento conocido y repetible permite responder con precisión cuando un cliente pregunta qué medidas se aplican.

Soluciones para pymes

Una pyme no necesita reproducir la estructura de una multinacional. Sí necesita identificar qué procesos sostienen el negocio, qué terceros pueden afectarles y qué controles puede demostrar. Cuando una pyme no puede asumir todo ese trabajo con medios propios, puede recurrir a servicios gestionados. La oferta de ciberseguridad de Orange para pymes permite cubrir tareas distintas sin exigir que la empresa gestione todo internamente. Las soluciones de Orange, como su Seguridad Gestionada, generan informes personalizados y, en su modalidad más amplia, incorpora auditorías de la superficie de exposición, de las páginas web y de la red. Estas revisiones sirven para localizar servicios expuestos, conexiones inseguras y otros puntos que conviene corregir.

Si el ataque ya se ha producido, la respuesta incluye su contención y erradicación, además de un análisis forense para determinar la causa y medir el impacto. Saber cómo entró un atacante o qué sistemas alcanzó permite corregir el fallo y reducir la posibilidad de que vuelva a ocurrir. También hay controles más cotidianos. El servicio Dispositivo Gestionado permite aplicar políticas comunes a los móviles corporativos, configurar perfiles, distribuir aplicaciones de forma centralizada y borrar a distancia la información de un terminal perdido o comprometido. El servicio incluye además informes mensuales sobre la gestión realizada. De este modo, una pyme puede explicar en todo momento cómo controla el riesgo, qué revisiones realiza y cómo responderá si algo falla. Ante un cliente que debe elegir entre varios proveedores, esa capacidad para dar respuestas concretas puede marcar una diferencia.

La ciberseguridad también tiene obligaciones legales

La protección de los sistemas no queda a la voluntad de cada empresa. El Reglamento General de Protección de Datos de la Unión Europea y la legislación española exigen medidas técnicas y organizativas adecuadas al riesgo cuando se manejan datos personales. Si se produce una brecha que pueda afectar a los derechos de las personas, puede ser necesario comunicarla a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas.
Otras obligaciones dependen de la actividad y el tamaño de la empresa. La LSSI afecta a los negocios que prestan servicios o venden por internet; el Esquema Nacional de Seguridad alcanza a determinadas compañías que trabajan para las administraciones, y la Directiva NIS2 tiene como objetivo garantizar un elevado nivel común de ciberseguridad en toda la Unión, y eleva para lograrlo las exigencias para entidades de ciertos sectores esenciales e importantes. Una pyme puede quedar fuera de su ámbito directo y, aún así, recibir exigencias de un cliente obligado a controlar la seguridad de sus proveedores.

Estos asuntos formarán parte de los temas que se tratarán en Hablemos de Ciberseguridad para Pymes, el encuentro que Orange Empresas, junto a Vocento, celebrará el próximo 24 de septiembre en Vitoria-Gasteiz. La jornada abordará asuntos como  la evolución de los riesgos, la protección de la cadena de suministro, la industria conectada, el factor humano, el uso de inteligencia artificial para prevenir y detectar amenazas y el impacto de las nuevas exigencias regulatorias. También se analizarán casos y aprendizajes de empresas del territorio.