La concienciación frente al ciberriesgo ha aumentado en los últimos años, pero el nivel de protección sigue siendo muy desigual entre grandes organizaciones y empresas de menor tamaño. Pymes y autónomos aparecen especialmente asociados a mayores carencias de protección, tanto por la disponibilidad de recursos técnicos y humanos como por la falta, en muchos casos, de medidas básicas de prevención, planes de respuesta o capacidad suficiente para gestionar un incidente. Las respuestas de los expertos ponen además el foco en la necesidad de combinar tecnología, formación, prevención, capacidad de recuperación y protección aseguradora, mientras persisten deficiencias en aspectos tan esenciales como la gestión de accesos, las actualizaciones, las copias de seguridad o el doble factor de autenticación.

Ivonne García, directora general de Exsel, considera que la protección ha mejorado, aunque sigue existiendo una diferencia importante entre grandes organizaciones y empresas de menor tamaño. Las primeras suelen contar con más recursos, protocolos y equipos especializados, mientras que en pymes y autónomos todavía se encuentran niveles de protección muy desiguales o incluso inexistentes.

“Ha mejorado, pero todavía existe una diferencia importante entre grandes empresas y pymes o autónomos”, afirma.

García advierte además de que las pequeñas empresas no deben considerarse menos atractivas para los ciberdelincuentes por razón de su tamaño. Al contrario, pueden combinar menos recursos preventivos con una gran dependencia de sus sistemas para mantener la actividad.

Ivonne García (Exsel): “Ha mejorado, pero todavía existe una diferencia importante entre grandes empresas y pymes o autónomos”

 

Desde su perspectiva, ciberseguridad y ciberseguro deben ir de la mano. “Desde EXSEL insistimos en que ciberseguridad y ciberseguro deben ir de la mano”, señala. El seguro, explica, no sustituye unas medidas adecuadas de prevención, pero tampoco puede considerarse que la prevención elimine completamente el riesgo. El objetivo debe ser reducir la probabilidad y el impacto del incidente y contar con una respuesta aseguradora adecuada cuando finalmente se produzca.

Juan Ignacio Ramallo, Country Manager Iberia de Stoïk, considera que la situación es mejor que hace tres años, aunque continúa claramente por debajo de la exposición real al riesgo.

Según los datos de la propia cartera de Stoïk que aporta, España registró en 2025 una frecuencia de siniestros del 11,33%, frente al 10,56% de media europea de la compañía. “Uno de cada nueve asegurados tuvo un incidente en un año. Eso no es un riesgo de cola: es un riesgo frecuente”, afirma.

Juan Ignacio Ramallo (Stoïk): “En la pequeña empresa y en el autónomo el problema no es de concienciación, es de manos”

 

Ramallo señala además que muchos de los incidentes no tienen su origen en ataques especialmente sofisticados. Según los datos que aporta, el 40% de los casos gestionados por la compañía en 2025 comenzaron con la explotación de una vulnerabilidad técnica conocida y el 60% de los siniestros tuvieron origen en el correo electrónico. Asimismo, estima que el 20 % de los casos de ransomware se habrían evitado aplicando las recomendaciones de un escaneo básico.

Para el directivo, el principal problema de pequeñas empresas y autónomos no reside necesariamente en conocer el riesgo, sino en disponer de recursos para gestionarlo.

“En la pequeña empresa y en el autónomo el problema no es de concienciación, es de manos”, afirma. Y resume esa carencia de recursos con otra afirmación: “Nadie con menos de cincuenta empleados tiene un CISO”. Según explica, muchas de estas empresas conocen la existencia del riesgo, pero no disponen de alguien a quien encomendar tareas como el parcheo, el doble factor o las copias de seguridad. Por ello, defiende servicios gestionados que puedan realizar ese trabajo por ellas.

Benjamín Pellegrini, suscriptor senior Cyber de Markel, aprecia un incremento muy significativo de la concienciación. Las empresas, explica, comprenden cada vez mejor que un ciberataque no afecta únicamente a grandes multinacionales y que pymes y autónomos pueden resultar especialmente atractivos precisamente por disponer de menos recursos para afrontar un incidente.

“Creo que la concienciación ha aumentado muchísimo”, afirma.

Benjamín Pellegrini (Markel): “Todavía queda mucho camino por recorrer, especialmente entre las pequeñas empresas”

 

Pellegrini señala que las consecuencias de los ataques —desde filtraciones de datos y paralización de sistemas hasta interrupciones operativas o problemas en las cadenas de suministro— están impulsando tanto la inversión en ciberseguridad como el interés por contratar un seguro Cyber. Sin embargo, el recorrido continúa siendo amplio, especialmente entre las pequeñas empresas.

“La penetración del seguro sigue siendo relativamente baja y todavía hay mucho trabajo por hacer en materia de prevención y concienciación”, advierte.

Juan Carlos Núñez, responsable comercial de Omnia MGA, ofrece uno de los diagnósticos más contundentes sobre el nivel actual de protección.

“Muy baja, por no decir prácticamente nula”, afirma.

Juan Carlos Núñez (Omnia MGA): “El nivel de protección es muy bajo, por no decir prácticamente nulo. La sociedad no está concienciada de su exposición a este riesgo”

 

El portavoz considera que la sociedad no está suficientemente concienciada sobre su exposición real a este tipo de riesgos y señala que, en la gran mayoría de los casos, las medidas de protección contratadas —cuando existen— resultan escasas o claramente insuficientes frente a la sofisticación actual de las amenazas.

Cándido Povedano, coordinador de Ciberseguridad de Recoletos, considera que todavía queda un largo recorrido por delante y advierte de que el nivel de protección no puede evaluarse de manera uniforme.

“La protección debe valorarse empresa por empresa”, sostiene.

Povedano recuerda que disponer de un informático o de un antivirus no demuestra por sí solo que una organización sea capaz de resistir un ataque y recuperar después su actividad. Del mismo modo, disponer de una póliza tampoco sustituye a las medidas de seguridad.

Cándido Povedano (Recoletos): “La protección debe valorarse empresa por empresa”

 

Para valorar adecuadamente el grado de preparación de una empresa, recomienda comprobar la gestión de accesos y vulnerabilidades, el correcto funcionamiento de los backups y el tiempo medio de recuperación ante un incidente.

Amaia Ayerdi, directora de Desarrollo de Negocio y Operaciones de Telefónica Seguros, considera insuficiente el nivel actual de protección, especialmente entre pymes y autónomos.

“Las empresas españolas, en especial pymes y autónomos, se encuentran todavía en un nivel de protección insuficiente frente a los ciberataques”, señala.

Amaia Ayerdi (Telefónica Seguros): “Las empresas españolas, en especial pymes y autónomos, tienen todavía en un nivel de protección insuficiente frente a los ciberataques”

 

Ayerdi identifica carencias en medidas de prevención, planes de respuesta y soluciones de transferencia de riesgo, una situación que, según explica, expone a estas organizaciones a pérdidas económicas, sanciones regulatorias y daños reputacionales que pueden comprometer seriamente su continuidad.

La directiva añade, según la información que aporta, que España se encuentra entre los países más atacados del mundo y que la penetración del ciberseguro entre las pymes continúa siendo muy baja, incluso por debajo de la media europea, que sitúa en torno al 15 %.

Cristina De la Sierra, responsable de Operaciones de Uniteco Correduría de Seguros, considera que el nivel real de protección continúa siendo bajo, una situación que asegura observar con claridad entre los profesionales sanitarios que forman parte de su cartera.

“Creo que el nivel de protección real sigue siendo bajo, y eso lo vemos muy claramente en nuestra cartera”, afirma.

La portavoz describe perfiles de médicos, dentistas o fisioterapeutas con equipos sin actualizar, correo electrónico sin doble factor y copias de seguridad que, cuando existen, pueden permanecer durante meses sin conectarse. A su juicio, estas carencias no responden necesariamente a una falta de interés, sino a una insuficiente comprensión del riesgo y de las medidas que pueden adoptarse con un presupuesto razonable.

Cristina De la Sierra (Uniteco): “La percepción del riesgo es el verdadero punto de partida”

 

De la Sierra observa además que muchos profesionales siguen asociando el ciberataque con grandes empresas. Como ejemplo, explica que cuando se les plantea que el robo de credenciales de un gestor de historiales clínicos puede conllevar, según señala, una sanción de la AEPD además del coste de recuperación, la conversación cambia por completo.

“La percepción del riesgo es el verdadero punto de partida”, subraya.

La responsable añade que el trabajo de Uniteco se centra en conseguir que la ciberseguridad deje de percibirse como una mera cláusula contractual y se convierta en una protección que el profesional entienda, valore y active cuando la necesita. Según explica, su seguro está creciendo precisamente por responder a esa necesidad mediante un lenguaje cercano y una propuesta de valor clara.

Alberto Trojsi, Cyber Regional Manager para el sur de Europa de Beazley, reconoce una mejora significativa de la concienciación, aunque sigue observando diferencias importantes entre grandes organizaciones y compañías de menor tamaño.

“Aunque la concienciación ha mejorado de forma significativa, seguimos observando diferencias importantes entre grandes organizaciones y empresas de menor tamaño”, explica.

Alberto Trojsi (Beazley): “Seguimos observando diferencias importantes entre grandes organizaciones y empresas de menor tamaño”

 

Trojsi señala que muchas empresas han reforzado sus inversiones en tecnología y controles de seguridad, pero advierte de que la protección eficaz depende también de elementos humanos y organizativos, como la formación de los empleados, la gestión de accesos, la actualización de sistemas y la capacidad de responder ante un incidente.

El experto recuerda además que los ciberdelincuentes combinan cada vez más vectores técnicos y humanos, entre ellos la ingeniería social, el robo de credenciales o el compromiso de proveedores críticos dentro de la cadena de suministro. Por ello, defiende un enfoque que abarque todo el ciclo del ciberriesgo: “Las organizaciones deben adoptar una visión integral del riesgo cibernético que combine prevención, detección, respuesta y recuperación”.