Ciberseguridad para directivos: qué hacer antes, durante y después de un ataque de ransomware

Ransomware en España: un riesgo financiero y de continuidad

Cuando un ransomware paraliza los sistemas de una empresa, sus consecuencias se extienden por todos los departamentos: producción, facturación, atención al cliente, proveedores, reputación y tesorería pueden quedar afectados al mismo tiempo.

El impacto económico de un ataque trasciende el rescate que exigen los ciberdelincuentes. A las posibles pérdidas derivadas de la paralización de la actividad se suman los gastos de recuperación de sistemas, asesoramiento jurídico, investigación forense y gestión reputacional, además de las consecuencias de una eventual filtración de información confidencial.

Los datos ayudan a dimensionar el problema. Según el Instituto Nacional de Ciberseguridad, INCIBE, durante 2025 se gestionaron 122.223 incidentes de ciberseguridad, un 26% más que el año anterior, entre ellos 392 incidentes de ransomware.

Más significativo desde una perspectiva empresarial resulta el coste de recuperación. El informe State of Ransomware 2026, elaborado por Sophos, sitúa en 2,3 millones de dólares por incidente el coste medio de recuperación de las organizaciones españolas analizadas, frente a los 1,15 millones registrados en el informe anterior. La demanda media de rescate alcanzó los 1,8 millones de dólares.

El riesgo también se extiende a terceros. La creciente interconexión entre compañías facilita que una incidencia de ciberseguridad afecte a proveedores, distribuidores y clientes, provocando un efecto dominó entre empresas conectadas.

Para el directivo de una empresa, lo prioritario ante un ataque es mantener la actividad y reducir al máximo las pérdidas. Por eso, conviene tener claro de antemano qué operaciones deben recuperarse primero, quién se encargará de coordinar la respuesta y cómo se afrontarán las posibles consecuencias legales y económicas.

Cinco decisiones que conviene tomar cuando los sistemas todavía funcionan

Una empresa que cuenta con un procedimiento sabe quién toma el mando, cómo contactar con sus especialistas y qué actividades necesita recuperar primero.

Estas son las cinco cuestiones que el comité de dirección debería tener resueltas antes de sufrir un ciberataque:

1. Quién puede ordenar la desconexión de un sistema crítico para frenar la propagación del ataque.
2. Qué procesos pueden seguir funcionando manualmente si los sistemas informáticos dejan de estar operativos.
3. Cuánto tiempo puede permanecer la empresa sin actividad antes de que las pérdidas comprometan el negocio.
4. Qué profesionales y proveedores deben intervenir, desde especialistas en ciberseguridad hasta abogados y responsables de comunicación.
5. Quién se encargará de comunicarse con la aseguradora, las autoridades, los clientes y los empleados durante la crisis.

Los básicos de ciberseguridad para empresas: control de accesos, backups, actualización, formación y capacidad de respuesta, cobran así una dimensión directamente ligada a la continuidad del negocio.

Protocolo de actuación: qué hacer en las primeras 72 horas

Las primeras horas condicionan el alcance económico del incidente y la posibilidad de reconstruir después lo ocurrido. El protocolo debe coordinar tres frentes simultáneos: contención técnica, continuidad empresarial y cumplimiento legal.

En las primeras horas, la dirección debe centrarse en las decisiones que afectan al funcionamiento de la empresa y dejar la investigación técnica en manos de los especialistas.

Primeras cuatro horas: contener el ataque y activar el comité de crisis

La prioridad inicial consiste en impedir que el incidente siga extendiéndose. El equipo técnico deberá aislar los sistemas comprometidos y preservar evidencias suficientes para la investigación.

La dirección, por su parte, necesita activar un canal de comunicación que no dependa de la infraestructura potencialmente comprometida y reunir a tecnología, negocio, legal, protección de datos, comunicación y seguros.

También debe evitar una recuperación precipitada que vuelva a introducir el atacante en sistemas recién restaurados.

Si existe seguro ciber, conviene comunicar inmediatamente el incidente siguiendo sus condiciones. Algunas pólizas establecen plazos concretos y disponen de paneles propios de forenses, abogados y especialistas de crisis.

De 4 a 24 horas: medir el impacto y preparar las notificaciones

El CEO necesita una fotografía empresarial: qué está parado, qué puede operar, cuántos clientes pueden verse afectados, qué información podría haberse extraído y cuánto tiempo permite resistir el plan de continuidad.

En paralelo empieza el reloj regulatorio. Cuando exista una brecha de datos personales que pueda suponer riesgo para los derechos y libertades de las personas, el RGPD establece la notificación a la AEPD en un máximo de 72 horas desde que la organización tiene constancia de ella. Si el riesgo para los afectados es alto, puede ser necesario informarles también sin dilación indebida.

De 24 a 72 horas: recuperar, comunicar y documentar

La recuperación debe hacerse sobre sistemas comprobados y con prioridades definidas por negocio. Facturación, producción, logística o atención al cliente pueden tener necesidades distintas según cada compañía.

También comienza una tarea menos visible: documentar cada decisión y cada coste. Horas extraordinarias, proveedores externos, interrupción de actividad, sistemas sustituidos, asesoría jurídica y comunicaciones pueden ser relevantes para la reclamación al seguro y para calcular posteriormente el impacto del incidente.

¿Pagar el rescate? Una decisión con riesgos financieros y jurídicos

El mensaje del atacante suele plantear el pago como el camino más corto para recuperar la empresa. La evidencia aconseja tratar esa decisión con mucha más cautela.

El INCIBE recomienda evitar el pago del rescate por varios motivos. En primer lugar, pagar no garantiza que la empresa recupere sus datos, ya que los delincuentes pueden incumplir lo prometido.

Además, pueden exigir una cantidad mayor después de recibir el dinero o volver a atacar a la misma compañía al comprobar que está dispuesta a pagar. A ello se suma que los pagos financian la actividad de los ciberdelincuentes y favorecen la continuidad de este tipo de ataques.

Una decisión de esta naturaleza debería contar, como mínimo, con asesoramiento forense y jurídico, revisión de la póliza y coordinación con las autoridades correspondientes.

NIS2 lleva la ciberseguridad al consejo de administración

La Directiva 2022/2555, también conocida como NIS2, introduce un cambio relevante para los directivos: la gestión del ciberriesgo forma parte de la gobernanza empresarial.

La Directiva exige que los órganos de dirección de las entidades esenciales e importantes aprueben las medidas de gestión de riesgos, supervisen su aplicación y reciban formación.

Entre las materias exigidas figuran gestión de incidentes, continuidad, backups, seguridad de proveedores, gestión de vulnerabilidades, formación, cifrado y autenticación multifactor.

Además, el modelo europeo establece una alerta temprana en las primeras 24 horas para los incidentes significativos, una notificación a las 72 horas y un informe final posterior.

Hay una precisión importante para las empresas españolas. NIS2 está en vigor a escala europea desde enero de 2023, pero España sigue pendiente de completar su transposición nacional.

Muchas organizaciones están preparando sus procedimientos para las exigencias de NIS2, mientras continúa la tramitación española. Los retos empresariales que plantea NIS2 afectan especialmente a gestión de riesgos, respuesta, proveedores y responsabilidad directiva.

Seguro ciber: qué cubre, cuánto cuesta y dónde están los límites

El seguro ciber actúa sobre el riesgo financiero que permanece después de aplicar las medidas preventivas. Su utilidad durante un ransomware suele estar tanto en la indemnización como en el acceso rápido a especialistas.

La oferta varía considerablemente entre aseguradoras, límites, franquicias y sectores. De ahí que comparar únicamente la prima pueda ocultar diferencias importantes.

¿Qué suele cubrir un seguro ciber?

Las pólizas pueden incluir investigación forense, recuperación de datos y sistemas, asesoría jurídica, costes de notificación, gestión reputacional, responsabilidad frente a terceros, interrupción de negocio y gastos derivados de extorsión.

La experiencia de gestión resulta especialmente relevante durante un ataque. Economía 3 ya explicó cómo una póliza ciber puede movilizar simultáneamente especialistas técnicos y jurídicos cuando una empresa sufre una intrusión.

¿Qué puede quedar fuera de la póliza?

Las exclusiones requieren tanta atención como las coberturas. Entre otros supuestos, se puede excluir, dolo o culpa grave, uso de software ilegal, determinados errores de configuración inicial, obsolescencia y responsabilidad contractual.

También importan los sublímites, franquicias, periodos de carencia para la interrupción y requisitos de autorización previa. Una empresa puede disponer de un capital elevado y descubrir después que la cobertura específica que necesita tiene un límite mucho menor.

Después del ataque: recuperar el negocio y reducir el siguiente riesgo

Cerrar el incidente técnico es solo una parte de la recuperación. El comité de dirección debería recibir un informe que explique cómo entraron los atacantes, cuánto tiempo permanecieron dentro, qué controles fallaron, cuál fue el coste total y qué inversiones reducen de manera más eficiente el riesgo futuro.

Ese análisis también debe revisar proveedores, póliza, contratos, backups y plan de continuidad.

El ransomware funciona así como una prueba extrema de gobierno corporativo: revela hasta qué punto la empresa conoce sus activos críticos y cuánto tiempo puede seguir operando cuando la tecnología deja de estar disponible.

La mejor preparación para la siguiente crisis consiste en haber decidido antes quién manda, qué se protege primero y cómo se mantiene el negocio funcionando.

Preguntas frecuentes

¿Cuándo debe notificarse un ransomware a la AEPD?

Cuando el incidente afecte a datos personales y sea probable que suponga un riesgo para los derechos y libertades de los afectados, el responsable debe notificar la brecha a la autoridad competente en un máximo de 72 horas desde que tiene constancia de ella. Si el riesgo es alto, también puede ser necesario comunicarlo a las personas afectadas.

¿Un seguro ciber paga siempre el rescate de un ransomware?

No. La cobertura depende de las condiciones, límites y exclusiones de cada póliza, además de la legalidad del pago y del procedimiento seguido. Conviene contactar con la aseguradora antes de asumir costes o iniciar una negociación.

¿NIS2 obliga al CEO a ocuparse personalmente de la ciberseguridad?

La Directiva atribuye responsabilidades de gobernanza a los órganos de dirección de las entidades dentro de su ámbito: deben aprobar y supervisar las medidas de gestión del ciberriesgo y recibir formación.

Aunque la gestión técnica de la ciberseguridad esté en manos de especialistas, la dirección de la empresa debe supervisar los riesgos y asegurarse de que se adoptan las medidas necesarias para prevenir y responder a posibles ataques.