Seis de cada diez pymes españolas sufrieron algún ciberataque en el último año, según el Informe de Ciberpreparación de Hiscox 2025, que este año cumple su novena edición. La consultora de ciberseguridad Áudea cifra el coste medio de uno de esos ataques para una pequeña empresa en 80.000 euros, y sitúa en torno al 50% las pequeñas empresas españolas que sufren algún incidente cada año, con periodos de detección que en los casos peores se alargan hasta dos meses. Cuanto más tarda una empresa en darse cuenta de que algo va mal, más cara sale la factura final.
El presupuesto ya se está moviendo
La cifra explica por qué el gasto en ciberseguridad crece en la mayoría de las empresas españolas. Según el estudio de Secure&IT publicado en enero de este año, el 44,2% de las compañías españolas aumentará su inversión en ciberseguridad durante 2026, un 43% la mantendrá y solo el 12,8% la recortará. Las pymes destinan hoy de media entre 24.000 y 30.000 euros anuales a esta partida —en torno al 4% de su presupuesto de tecnología—, mientras que las empresas medianas llegan a 50.000-150.000 euros, entre el 4% y el 8% de su gasto en TI.
Tres factores empujan ese incremento, según el propio estudio: el ransomware, identificado como amenaza por el 59,8% de las empresas; el phishing, señalado por el 53,6%; y la presión regulatoria, con la NIS2 obligando ya a más de 5.760 empresas españolas y sanciones que pueden alcanzar el 2% de la facturación. A ello se suma el dato ya conocido de INCIBE: 122.223 incidentes gestionados en 2025, un 26% más que el año anterior.
Un parón que empieza siendo invisible
El coste de un ciberataque casi nunca aparece de golpe en un único apunte contable. Se reparte entre el tiempo de actividad perdido mientras los sistemas están caídos, el coste de recuperar o reconstruir los datos afectados, el trabajo de los equipos de IT (propios o externos) dedicado a la respuesta, y, en no pocos casos, clientes que se van a la competencia mientras la empresa explica por qué su servicio no funciona. Ninguno de esos conceptos suele figurar en la cuenta de resultados con la etiqueta «ciberataque»; se disuelven entre gastos extraordinarios, horas extra y pedidos que no se llegaron a facturar.
Ese patrón recuerda al que ya contamos en otro medio de este grupo a propósito de las microcaídas de tensión eléctrica: el problema no es el apagón grande y evidente, sino el parpadeo de dos segundos que nadie apunta en ningún parte de incidencias. Con la red de datos ocurre algo parecido. Un firewall o un switch mal dimensionado no suele fallar de un día para otro; va degradando el rendimiento, dejando huecos de seguridad y generando pequeños cortes que la empresa achaca a «cosas de la wifi» hasta que uno de esos huecos se convierte en la puerta de entrada de un ataque real.
Hay además un coste que rara vez entra en el cálculo inicial: el contractual. Cada vez más empresas incluyen en sus contratos con proveedores cláusulas de nivel de servicio (SLA) que penalizan económicamente los tiempos de inactividad, y cada vez más aseguradoras de ciberriesgo condicionan el pago de un siniestro a que el asegurado tuviera un mínimo de medidas técnicas en marcha en el momento del ataque. Una pyme puede encajar el golpe directo de un ciberataque y descubrir después que el golpe de verdad viene por el lado de una penalización contractual o una póliza que no cubre lo que se creía cubierto.
Qué equipo corresponde a cada tamaño de empresa
Uno de los errores más habituales al dimensionar la protección de una empresa es comprar el mismo tipo de equipo sin tener en cuenta cuántos usuarios y cuánto tráfico va a soportar. Para una pyme de tamaño medio, con varias decenas de puestos y necesidad de gestionar accesos remotos con garantías, el firewall FortiGate 80F suele ser el punto de partida razonable: cubre el perímetro sin el sobrecoste de un equipo pensado para una organización mucho mayor. Cuando el volumen de tráfico crece —varias sedes, más usuarios simultáneos o aplicaciones críticas que no pueden permitirse cuellos de botella—, el salto natural es a un equipo como el firewall FortiGate 200F, pensado para entornos más exigentes.
El firewall, sin embargo, solo protege el perímetro. Buena parte de los incidentes que terminan siendo caros se originan dentro de la propia red, cuando un solo dispositivo comprometido puede moverse sin obstáculos hacia el resto de equipos porque no existe segmentación interna. La elección de switches gestionables para redes empresariales, capaces de aislar departamentos o líneas de negocio entre sí, es lo que evita que un incidente puntual se convierta en una parada general de la actividad.
La cuenta que sí compensa hacer
Puesto en números, el ejercicio es sencillo: una pyme que invierte entre 24.000 y 30.000 euros al año en su infraestructura de seguridad —la media que maneja Secure&IT para este segmento— gasta menos en un ejercicio completo de lo que cuesta, de media, un solo ciberataque exitoso según la cifra de Áudea. La diferencia no es solo teórica: mientras el gasto en prevención se planifica y se reparte en el tiempo, el coste de un incidente llega de golpe, sin aviso previo y con la actividad de la empresa parada mientras tanto.
Para quien empieza a poner en orden esta parte de su infraestructura sin haberlo hecho antes, la gama completa de firewalls Fortinet ofrece un punto de referencia claro por tamaño de empresa, en lugar de tener que decidir a ciegas entre decenas de modelos genéricos. La pregunta que de verdad merece hacerse una empresa no es si puede permitirse esa inversión, sino si puede permitirse seguir sin ella otro año más, con seis de cada diez competidores ya tocados por un ataque y la factura media de no protegerse subiendo cada año que pasa.
