Ciberseguridad con criterio jurídico-técnico.

Cinco bloques. RGPD + LOPDGDD universal para tratamiento de datos personales. ENS si la pyme es proveedora del sector público (RD 311/2022, obligatorio desde 2024). NIS2 si la pyme es esencial o importante en sectores críticos (energía, agua, sanidad, alimentación, infraestructura digital). Depende de la norma, y no se suman en una sola cifra. RGPD (art. 83.5 del Reglamento (UE) 2016/679): hasta 20 M€ o el 4 % de la facturación mundial anual, el que sea mayor, para las infracciones más graves. NIS2 (art. 34 de la Directiva (UE) 2022/2555, aún sin transponer a España a día de hoy): hasta 10 M€ o el 2 % para entidades esenciales, hasta 7 M€ o el 1,4 % para importantes. AI Act (art. 99 del Reglamento (UE) 2024/1689): hasta 35 M€ o el 7 % por prácticas prohibidas, hasta 15 M€ o el 3 % por otras obligaciones. DORA no fija un importe en euros a nivel de la UE: deja el régimen sancionador a la legislación de cada Estado miembro. El ENS no tiene una multa pecuniaria propia: el incumplimiento se traduce en no poder certificarte ni contratar con el sector público, no en una sanción económica.

Orden recomendado. (1) Inventario de activos: servidores, datos sensibles, terceros con acceso. (2) Análisis de riesgos básico (criticidad × probabilidad). (3) Controles fundamentales: MFA obligatorio, cifrado de datos en reposo y tránsito, copias de seguridad cifradas con prueba de restauración periódica, control de acceso por roles. (4) Plan de respuesta a incidentes documentado y simulado. (5) Formación periódica del equipo, actualizada según evolucionen las amenazas y la normativa que te aplique.

No hay una banda de coste única y fiable: depende del alcance (número de sistemas, sedes, terceros con acceso), del tamaño del equipo, del sector regulado en el que operes y de si ya tienes implantados controles básicos o empiezas de cero. Lo que hay que presupuestar, por concepto: implantación inicial (diagnóstico, políticas, controles técnicos); mantenimiento recurrente (revisión de políticas, parches, monitorización); auditoría externa cuando la exige la norma (pentest, certificación ENS en categoría media o alta, auditoría NIS2 o DORA); y herramientas gestionadas si se externaliza la detección (SIEM, EDR). Pide siempre un presupuesto cerrado sobre tu alcance real antes de comparar cifras genéricas.

Hoja de ruta plurianual que alinea ciberseguridad con negocio. Cinco entregables clave: política de seguridad de información, organización (roles y responsabilidades), análisis de riesgos consolidado, plan de tratamiento de riesgos priorizado y plan económico-financiero. Se revisa con periodicidad regular, al menos una vez al año o antes si cambia el contexto de riesgo. Cubre los pilares de NIS2 y DORA cuando te aplican. El coste depende del alcance y de si ya existen políticas previas que reaprovechar: pide presupuesto sobre tu caso concreto, no sobre una banda genérica.

Tres niveles de impacto. Operativo: un ransomware puede paralizar la producción varios días, con el coste de la parada y de la recuperación (pagar el rescate no se recomienda: no garantiza recuperar los datos y financia al atacante). Reputacional: una brecha pública erosiona la confianza de clientes y socios, sobre todo en sectores B2B donde la seguridad forma parte de la debida diligencia del cliente. Sancionador: un fallo de seguridad o no notificar la brecha en plazo lo sanciona la AEPD por el art. 83.4 del RGPD (hasta 10 M€ o el 2 % de la facturación); y, cuando España transponga NIS2, un máximo de al menos 10 M€ o el 2 % (esenciales) o de al menos 7 M€ o el 1,4 % (importantes), art. 34. Notificación obligatoria en 72 h a la AEPD si hay datos personales afectados, y alerta temprana en 24 h a CSIRT/CCN-CERT para entidades bajo NIS2 una vez exista transposición española.