Tecnología y conectividad
Cuánto cuesta proteger una pyme
Proteger una pyme de 10 empleados cuesta unos 2.400 € al año. Un ransomware que la deje parada una semana cuesta entre 15.000 y 60.000 €, sin contar el rescate.
Protección de una pyme de 10 empleados: seguridad en dispositivos, correo, copias de seguridad, autenticación y formación. Sin auditorías ni SOC gestionado. IVA aparte.
Proteger una pyme de 10 empleados cuesta entre 900 y 6.000 € al año, con un valor típico de 2.400 €. Frente a eso, un incidente serio cuesta entre 15.000 y 60.000 €.
Coste por tamaño de empresa#
| Empleados | Nivel básico | Nivel recomendado | Nivel avanzado |
|---|---|---|---|
| 1-5 | 400-900 € | 900-1.800 € | 2.000-4.000 € |
| 6-15 | 900-1.800 € | 1.800-3.600 € | 4.000-9.000 € |
| 16-50 | 2.200-4.500 € | 4.500-11.000 € | 12.000-30.000 € |
| 51-150 | 5.500-12.000 € | 12.000-30.000 € | 30.000-80.000 € |
Qué incluye cada nivel (10 empleados)#
| Elemento | Coste anual | Nivel |
|---|---|---|
| Antivirus/EDR en dispositivos | 250-700 € | Básico |
| Filtrado de correo y antiphishing | 200-600 € | Básico |
| Copias de seguridad automáticas en la nube | 300-900 € | Básico |
| Autenticación multifactor (MFA) | 0-300 € | Básico |
| Gestor de contraseñas corporativo | 250-500 € | Básico |
| Cifrado de discos | 0 € (incluido en el sistema) | Básico |
| Formación y simulacros de phishing | 300-900 € | Recomendado |
| Firewall gestionado | 500-1.800 € | Recomendado |
| VPN corporativa | 200-600 € | Recomendado |
| Auditoría de seguridad anual | 1.200-4.000 € | Recomendado |
| Test de intrusión (pentest) | 3.000-12.000 € | Avanzado |
| Monitorización 24/7 (SOC gestionado) | 6.000-25.000 € | Avanzado |
| Ciberseguro | 600-3.500 € | Recomendado |
| Plan de continuidad y respuesta a incidentes | 1.500-6.000 € | Avanzado |
Cuánto cuesta un incidente#
| Concepto | Coste en una pyme de 10 empleados |
|---|---|
| Parada de actividad (1 semana) | 8.000-30.000 € |
| Recuperación técnica y forense | 3.000-15.000 € |
| Restauración de sistemas | 1.500-8.000 € |
| Notificación a afectados y AEPD | 500-3.000 € |
| Asesoría jurídica | 1.500-6.000 € |
| Sanción de protección de datos | 0-hasta 20 M€ o 4 % de facturación |
| Pérdida de clientes y reputación | Difícil de cuantificar |
| Rescate (no recomendable pagar) | 5.000-100.000 € |
La cifra que hay que retener: un solo incidente cuesta entre 10 y 30 veces el presupuesto anual de protección de una pyme.
Obligaciones legales#
| Obligación | Norma |
|---|---|
| Medidas técnicas y organizativas apropiadas | RGPD, art. 32 |
| Notificar brechas a la AEPD en 72 h | RGPD, art. 33 |
| Notificar a los afectados si hay alto riesgo | RGPD, art. 34 |
| Registro de actividades de tratamiento | RGPD, art. 30 |
| Evaluación de impacto en tratamientos de riesgo | RGPD, art. 35 |
| Canal de denuncias (empresas de +50 empleados) | Ley 2/2023 |
| Requisitos NIS2 (sectores esenciales e importantes) | Directiva NIS2 |
No tener medidas de seguridad razonables agrava la sanción en caso de brecha. La AEPD valora expresamente qué medidas había implantadas antes del incidente.
El ciberseguro#
| Cobertura | Detalle |
|---|---|
| Responsabilidad civil frente a terceros | Reclamaciones de clientes afectados |
| Pérdida de beneficios por interrupción | Con periodo de carencia de 8-24 h |
| Gastos de recuperación y forense | Equipo de respuesta 24/7 |
| Notificación a afectados | Costes de comunicación |
| Defensa jurídica y sanciones asegurables | Según póliza y jurisdicción |
| Extorsión cibernética | Negociación y, en su caso, rescate |
Precio orientativo: 600-3.500 € al año para una pyme, según facturación y sector. Casi todas las aseguradoras exigen unos mínimos de seguridad (MFA, backups, EDR) para emitir la póliza: si no los tienes, ni siquiera te la venden.
Presupuesto recomendado por facturación#
| Facturación anual | Presupuesto de ciberseguridad |
|---|---|
| Menos de 300.000 € | 0,4-0,8 % (1.200-2.400 €) |
| 300.000 - 1 M € | 0,5-1,0 % (1.500-10.000 €) |
| 1 - 5 M € | 0,8-1,5 % (8.000-75.000 €) |
| Más de 5 M € | 1,0-2,0 % |
Preguntas frecuentes#
¿Basta con un antivirus?
No. El antivirus tradicional detecta amenazas conocidas por firma, y los ataques actuales usan credenciales legítimas robadas, ingeniería social y herramientas del propio sistema. Lo que hace falta es una combinación: EDR en dispositivos, MFA en todos los accesos, backups desconectados y personal formado. El antivirus es una pieza, no la solución.
¿Por qué van a atacar a una empresa pequeña?
Porque los ataques masivos son automáticos y no seleccionan objetivos: escanean, encuentran un servicio expuesto o un correo con credenciales filtradas y entran. Las pymes son objetivo preferente precisamente porque tienen menos defensas y suelen pagar rescates pequeños con rapidez. No es personal, es estadística.
¿Qué hago si sufro un ataque?
Aísla los equipos afectados de la red sin apagarlos (la memoria contiene evidencias), avisa a tu proveedor de seguridad, no pagues el rescate sin asesoramiento, notifica a la AEPD si hay datos personales comprometidos (72 h) y denuncia. El INCIBE tiene una línea de ayuda gratuita (017) que orienta en las primeras horas, que son las decisivas.
¿Sirve el Kit Digital para ciberseguridad?
El programa Kit Digital incluye categorías de ciberseguridad y de puesto de trabajo seguro, con bonos según el tamaño de la empresa, que se gastan con agentes digitalizadores adheridos. Cubre soluciones básicas de protección de dispositivos y correo. Consulta si la convocatoria sigue abierta y qué categorías están disponibles antes de contar con ello.
Conclusión#
Proteger una pyme de 10 empleados cuesta unos 2.400 € al año, frente a los 15.000-60.000 € que cuesta un incidente serio. Si el presupuesto es limitado, empieza por las cuatro medidas de mayor impacto: MFA, copias de seguridad desconectadas, actualizaciones al día y formación contra el phishing.
Si estás montando la infraestructura, revisa precio de dominio y hosting.
Redacción de CosteReal
CosteReal es un proyecto editorial independiente dedicado a documentar cuánto cuestan las cosas en España. Recopilamos y ordenamos precios a partir de tarifas públicas, normativa vigente y precios de mercado, y los publicamos en horquillas con la fecha de actualización siempre visible.
Sigue por aquí
Del mismo bloque de tecnología
Precio de la fibra y el móvil en 2026: lo que pagas de verdad
Un paquete de fibra y móvil cuesta entre 25 y 75 €/mes en 2026. Precio por velocidad, subidas tras la promoción, permanencias y cómo negociar sin cambiar de operador.
Cuánto cuesta una página web en 2026
Una página web corporativa cuesta entre 900 y 6.500 € en 2026. Precio por tipo de proyecto, mantenimiento anual, qué debe incluir el presupuesto y las cláusulas que hay que exigir.