Cuando las empresas hablan de incidentes de seguridad, lo primero en lo que piensan es en las multas. Las sanciones del Reglamento General de Protección de Datos ocupan los titulares, y son reales. Sin embargo, en la factura de un incidente en una empresa mediana no suelen ser la partida más alta, y a menudo ni siquiera la segunda.
Las partidas caras están en otro sitio: en el esclarecimiento, en la recuperación, en la parada de la actividad y en los clientes que no vuelven. Este artículo ordena los tipos de coste y aporta cifras allí donde existen fuentes sólidas. Donde no las hay, lo decimos expresamente, porque los importes en euros estimados a ojo no ayudan a nadie a tomar una decisión de inversión.
«La mayoría de las empresas no subestima la multa. Subestima las semanas en las que nada funciona y los clientes que después ya no vuelven a pedir presupuesto». – Thomas Werner, CCO de Eucerta AG y Lead Auditor
Lo que está demostrado: los costes suben y los objetivos se han hecho más pequeños
El IBM Cost of a Data Breach Report 2026 cifra el coste medio mundial de las brechas de datos en 4,99 millones de dólares estadounidenses: un doce por ciento más que el año anterior y un máximo histórico. El informe atribuye el aumento, entre otros factores, a los mayores costes de detección, escalado e interrupción de la actividad. Además, constata un incremento del 56 por ciento en los ataques asistidos por IA.
Hay que añadir dos matices. Primero, esa media está marcada por grandes organizaciones y no se puede trasladar a una empresa de 25 personas. Segundo, describe brechas de datos, no cualquier interrupción de la actividad. Aun así, para saber en qué dirección evoluciona el riesgo sigue siendo la referencia más sólida disponible.
A quién le toca realmente lo muestra el informe del BSI sobre la situación de la seguridad informática en Alemania 2025. Para el periodo comprendido entre el 1 de julio de 2024 y el 30 de junio de 2025, el BSI describe un desplazamiento desde los ataques grandes y costosos hacia muchos ataques pequeños y fáciles de ejecutar: alrededor del 80 por ciento de los ataques notificados, por ejemplo con ransomware, se dirigieron contra pequeñas y medianas empresas, que a menudo carecen de los medios y del conocimiento para protegerse por sí mismas. Además, durante el periodo se dieron a conocer una media de 119 nuevas vulnerabilidades al día, en torno a un 24 por ciento más que en el periodo anterior.
El mensaje conjunto de ambas fuentes: los atacantes buscan preferentemente objetivos mal protegidos, y el coste por incidente crece.
Los cuatro tipos de coste que realmente se producen
En lugar de un importe total que nadie puede cifrar con rigor para una pyme concreta, conviene mirar la estructura. Casi siempre aparecen cuatro bloques.
Esclarecimiento y recuperación
En cuanto se detecta un incidente empieza el trabajo: aislar sistemas, encontrar la causa, determinar el alcance, identificar los datos afectados. En la mayoría de las pymes esta tarea exige apoyo externo, porque internamente falta el conocimiento especializado. Después viene la recuperación: reinstalar sistemas, restaurar datos, reasignar accesos, cerrar brechas.
El factor de coste decisivo aquí es la preparación. Quien dispone de copias de seguridad actuales y probadas y sabe qué sistemas deben volver a funcionar y en qué orden acorta considerablemente esta fase. Quien aclara ambas cosas durante el incidente paga horas de búsqueda en lugar de horas de recuperación.
Parada de la actividad
El bloque que más se subestima. Con una red cifrada no se para la informática, se para el negocio: no hay pedidos, ni entregas, ni facturación. Esta partida puede calcularla cada empresa por sí misma, y con más precisión que cualquier estudio: tome su facturación media diaria y multiplíquela por el número de días que podría seguir operando sin sus sistemas centrales. El resultado es su cifra de riesgo particular, y suele ser más convincente que cualquier media internacional.
Obligaciones de notificación y consecuencias jurídicas
El Reglamento General de Protección de Datos exige, en caso de violación de la seguridad de los datos personales, una notificación a la autoridad de control en un plazo de 72 horas y, bajo determinadas condiciones, también la comunicación a las personas afectadas. Al mismo tiempo, exige medidas técnicas y organizativas apropiadas y adecuadas al riesgo. De ahí surgen costes de asesoramiento jurídico, comunicación y respuesta a consultas, con independencia de que al final se imponga o no una multa.
Para graduar una multa resulta relevante, entre otras cosas, qué medidas técnicas y organizativas había adoptado la empresa. Justamente en ese punto un sistema de gestión documentado rinde por partida doble: reduce la probabilidad de que ocurra y, llegado el caso, acredita la diligencia aplicada.
Pérdida de confianza
El bloque más difícil de cuantificar y el de efecto más duradero. Los clientes que se enteran de un incidente hacen preguntas, luego renuevan o cambian de proveedor. En el caso de clientes empresariales se añade que el incidente queda reflejado en su evaluación de proveedores.
`[REVISAR: aquí quedaría muy bien una afirmación documentada. Propuesta: añadir una fuente sobre la fuga de clientes tras incidentes de seguridad o, si existe, una observación anonimizada de auditorías de Eucerta. Sin respaldo, el párrafo se queda en lo cualitativo, tal como está ahora.]`
Qué cambia la ISO 27001 en esta cuenta
La ISO 27001 actúa en dos puntos, y es honesto distinguirlos.
De forma preventiva: un sistema de gestión de la seguridad de la información obliga a dar los pasos que en el día a día se quedan pendientes. Usted define qué información y qué sistemas merecen protección, evalúa los riesgos de forma trazable y decide sobre las medidas con una justificación. Los 93 controles del Anexo A se trabajan uno a uno, cada uno con una decisión motivada, también la decisión de no aplicar una medida. La gestión de accesos, las actualizaciones, la formación y el trato con los proveedores de servicios no son recomendaciones, sino componentes del sistema. Esto coincide con lo que el BSI señala como palanca decisiva: la gestión consecuente de las propias superficies de ataque.
Para limitar los daños: cuando ocurre, la preparación determina el coste. Un SGSI exige procedimientos reglados para los incidentes de seguridad, responsables designados, recuperación verificada y vías de comunicación documentadas. En lugar de improvisar en las primeras horas, hay un orden establecido. Eso acorta los tiempos de parada y, con ellos, el bloque más caro de la cuenta.
Lo que la ISO 27001 no consigue forma parte igualmente del cuadro: no es una garantía contra los ataques, y un certificado que solo existe sobre el papel no protege a nadie. Por eso no se audita la carpeta, sino la eficacia; más información en nuestra página sobre ISO 27001.
Cómo se presenta el lado de la inversión
El cálculo contrario es transparente en Eucerta: 179 euros al mes por la primera norma, 149 euros por cada norma adicional, con una duración de 36 meses y precio fijo para empresas de hasta 30 personas. La auditoría y el registro están incluidos, el certificado tiene una validez de tres años desde la fecha de la auditoría y, entre auditorías, el sistema se mantiene actualizado en la plataforma. Puede comprobar las cifras en la calculadora de costes.
A menudo tiene sentido combinarla con la ISO 9001, porque ambas normas comparten la misma estructura básica y el contexto, el liderazgo, las auditorías internas y la revisión por la dirección solo se realizan una vez; el principio lo describe nuestra página sobre el sistema de gestión integrado. Quien ya opera su SGSI y solo necesita la acreditación encontrará las condiciones en la certificación exprés.
Conclusión
La respuesta honesta a la pregunta del título es: depende de su facturación diaria, de sus copias de seguridad y de su preparación; y precisamente por eso puede hacer usted mismo la cuenta, mejor de lo que la haría cualquier estudio por usted.
Lo que está demostrado: el coste por incidente sube y alrededor del 80 por ciento de los ataques notificados afecta a pequeñas y medianas empresas. Lo que de ahí se deriva no es pánico, sino una prioridad. Un sistema de gestión de la seguridad de la información es la respuesta estructurada a ambos hallazgos, y su coste es planificable, cosa que un incidente nunca es.
Su siguiente paso: calcule su propia cifra —facturación diaria por días de parada— y compárela en la calculadora de costes con el precio de su certificación.
Para seguir leyendo:
