Protección para sobrevivir a los ciberataques
Vuelves a encender los equipos y parece que el problema ha terminado. Pero quedan facturas por pagar, trabajo acumulado, clientes esperando y ventas que quizá no regresen. El coste de un ciberataque empieza durante el incidente y puede continuar después de recuperar la actividad.
Para entenderlo conviene separar dos cosas: el dinero adicional que sale de caja y el margen que dejas de ganar. No son lo mismo, aunque ambos afectan al negocio. Sumar toda la facturación perdida y todos los costes habituales inflaría el resultado.
A continuación encontrarás tres casos hipotéticos calculados con nuestra herramienta de ciberimpacto. Sus horas, tarifas y pérdidas son supuestos elegidos para explicar el cálculo: no son incidentes reales, precios de mercado ni presupuestos de CiberDatia.
Puntos principales
- El impacto reúne gastos adicionales y margen perdido; la facturación afectada no se suma otra vez.
- Los tres escenarios dan 1.420 €, 33.382,50 € y 143.950 €. Cada cifra depende de los supuestos que se detallan, no del tamaño de la empresa por sí solo.
- Una brecha no implica automáticamente una multa ni una comunicación a todas las personas: hay que evaluar el caso.
- Puedes reproducir o cambiar los ejemplos en la calculadora, sin registro y sin enviar tus cifras a CiberDatia.
Qué gastos puedes tener que pagar después de un ciberataque
Investigar, contener y recuperar son trabajos distintos. El marco de respuesta a incidentes de NIST los sitúa dentro de la gestión del riesgo; la guía de crisis de INCIBE añade la continuidad del negocio y la evaluación del impacto. Estas fuentes ayudan a ordenar el trabajo, pero no fijan las tarifas de nuestros ejemplos.
- Respuesta técnica: investigación del incidente, monitorización, reconstrucción de sistemas, recuperación y equipos necesarios.
- Asesoramiento: análisis jurídico y de privacidad, documentación y apoyo laboral adicional cuando proceda.
- Atención a las personas: preparación y gestión de comunicaciones, canales de consulta y soporte extraordinario.
- Comunicación de crisis: trabajo especializado y acciones para explicar lo sucedido y recuperar la confianza.
- Reclamaciones: gestión y defensa adicional, más las indemnizaciones que correspondan en el supuesto analizado.
- Continuidad: horas extra, sustituciones, medios temporales u otros gastos que no hayas incluido ya.
La parada también cuesta, aunque no genere una factura
A esas salidas de dinero se añade el margen de contribución que no se obtiene durante la interrupción y, si se estima, durante una caída de ventas posterior. El margen de contribución es la facturación menos los costes variables asociados a esas ventas.
Fuentes: INCIBE: Guía de gestión de crisis de ciberseguridad en empresas · NIST: Recomendaciones para la respuesta a incidentes, SP 800-61 Rev. 3
Cómo hemos calculado los tres casos
Usamos el mismo modelo de la calculadora: facturación anual ÷ 365 × días afectados × porcentaje de actividad paralizada × margen de contribución. Esta fórmula estima el margen perdido durante la parada, no el beneficio neto contable. Si tienes estacionalidad o pedidos que solo se retrasan, adapta los supuestos: una venta aplazada no equivale siempre a una venta perdida.
Las facturas y gastos extraordinarios se añaden una sola vez. La pérdida comercial posterior se calcula como facturación anual × caída porcentual × meses ÷ 12 × margen, empezando después de recuperar la actividad. No se solapa con la parada.
Todos los importes se expresan sin IVA. No incluimos automáticamente sanciones, rescates, dinero robado, nómina ordinaria ni reembolsos del seguro. Para reproducir los casos, introduce los datos indicados y deja a cero las partidas no mencionadas; el asesoramiento principal se calcula por horas.
En pantallas pequeñas puedes deslizar la tabla. Con teclado, enfócala y usa las flechas izquierda y derecha.
| Supuesto | Facturación anual | Interrupción | Impacto total |
|---|---|---|---|
| Correo comprometido en un despacho | 365.000 € | 1 día al 25 % | 1.420 € |
| Ransomware en una tienda online | 1.825.000 € | 7 días al 80 % | 33.382,50 € |
| Ransomware con parada industrial | 7.300.000 € | 10 días al 100 % | 143.950 € |
El total combina gastos adicionales y margen no obtenido. Las horas, tarifas y consecuencias son hipótesis de cada ejemplo.
Abre la calculadora de costes de un ciberataque y prueba tus cifras
Ejemplo 1. Una cuenta de correo comprometida: 1.420 €
Un despacho detecta un acceso indebido a una cuenta. Dedica una jornada a contenerlo y revisar lo ocurrido, con un 25 % de la actividad afectada. En este supuesto no se incluye dinero sustraído ni una caída de ventas posterior. Su facturación anual es de 365.000 € y su margen de contribución, del 40 %.
La parada representa 365.000 ÷ 365 × 1 × 25 % × 40 % = 100 € de margen perdido. La respuesta es limitada, pero necesita investigación, seguimiento y una revisión de privacidad.
En pantallas pequeñas puedes deslizar la tabla. Con teclado, enfócala y usa las flechas izquierda y derecha.
| Partida | Supuesto introducido | Importe |
|---|---|---|
| Interrupción | 1 día × 25 % de actividad; margen del 40 % | 100 € |
| Respuesta técnica | 4 h forenses × 150 € + 2 h de monitorización × 90 € | 780 € |
| Asesoramiento jurídico | 2 h × 200 € | 400 € |
| Notificaciones y atención | Sin coste adicional cuantificado en este supuesto | 0 € |
| Comunicación y efecto comercial | Sin gasto ni caída posterior cuantificados | 0 € |
| Reclamaciones | Ninguna prevista en este supuesto | 0 € |
| Gestión y continuidad | 4 h adicionales × 35 € | 140 € |
| Impacto total | 1.320 € de gastos + 100 € de margen perdido | 1.420 € |
El cero en notificaciones no determina una obligación legal: refleja únicamente que no se ha presupuestado ese gasto en el ejemplo. La investigación debe evaluar el alcance y las medidas necesarias.
Ejemplo 2. Una tienda online paralizada siete días: 33.382,50 €
Un ransomware impide tramitar la mayor parte de los pedidos de una tienda. Tomamos 1.825.000 € de facturación anual, un margen del 30 % y siete días con el 80 % de la actividad paralizada. Las ventas afectadas ascienden a 28.000 €, pero el importe que entra en el total es su margen: 8.400 €.
El supuesto incorpora atención a 2.000 personas tras evaluar el incidente, comunicación de crisis y recuperación técnica. Una vez reabierta la tienda, estimamos una caída adicional de facturación del 5 % durante dos meses. Esa caída aporta 4.562,50 € de margen perdido, separado de la parada inicial.
En pantallas pequeñas puedes deslizar la tabla. Con teclado, enfócala y usa las flechas izquierda y derecha.
| Partida | Supuesto introducido | Importe |
|---|---|---|
| Interrupción | 7 días × 80 % de actividad; margen del 30 % | 8.400 € |
| Respuesta técnica | 32 h × 150 € + 24 h × 90 € + 3.000 € de recuperación adicional | 9.960 € |
| Asesoramiento jurídico | 12 h × 250 € | 3.000 € |
| Notificaciones y atención | 2.000 personas × 1,50 € de coste operativo adicional | 3.000 € |
| Comunicación y efecto comercial | 8 h × 120 € + campaña de 1.500 € + 4.562,50 € de margen posterior perdido | 7.022,50 € |
| Reclamaciones | Ninguna prevista en este supuesto | 0 € |
| Gestión y continuidad | 40 h adicionales × 35 € + 600 € de otros gastos | 2.000 € |
| Impacto total | 20.420 € de gastos + 12.962,50 € de margen perdido | 33.382,50 € |
Las horas técnicas corresponden, respectivamente, a investigación forense y monitorización. La caída de ventas empieza después de los siete días de interrupción.
Ejemplo 3. Diez días de parada industrial y reclamaciones: 143.950 €
Una empresa industrial pierde acceso a sistemas necesarios para producir y servir pedidos. El escenario parte de 7.300.000 € de facturación anual, un margen del 25 % y diez días de interrupción completa. Los 200.000 € de ventas afectadas equivalen a 50.000 € de margen perdido en este modelo.
La recuperación requiere más trabajo técnico y medios temporales. Se presupuestan comunicaciones a 5.000 personas y diez reclamaciones: suponemos que el 40 % termina con un pago de 1.000 €, más dos horas de defensa adicional por cada reclamación a 200 €. Son hipótesis de planificación, no una previsión de responsabilidad jurídica.
Tras recuperar la actividad, una caída de facturación del 4 % durante tres meses supone otros 18.250 € de margen perdido. Si las ventas se recuperan antes, esta partida debe reducirse; si los pedidos se sirven después sin pérdida real, hay que revisar también la interrupción estimada.
En pantallas pequeñas puedes deslizar la tabla. Con teclado, enfócala y usa las flechas izquierda y derecha.
| Partida | Supuesto introducido | Importe |
|---|---|---|
| Interrupción | 10 días × 100 % de actividad; margen del 25 % | 50.000 € |
| Respuesta técnica | 80 h forenses × 180 € + 60 h de monitorización × 100 € + 12.000 € adicionales | 32.400 € |
| Asesoramiento jurídico | 24 h × 250 € + 8 h laborales adicionales × 200 € | 7.600 € |
| Notificaciones y atención | 5.000 personas × 2 € de coste operativo adicional | 10.000 € |
| Comunicación y efecto comercial | 30 h × 150 € + campaña de 5.000 € + 18.250 € de margen posterior perdido | 27.750 € |
| Reclamaciones | 10 × 40 % × 1.000 € + 10 × 2 h × 200 € | 8.000 € |
| Gestión y continuidad | 80 h adicionales × 40 € + 5.000 € de otros gastos | 8.200 € |
| Impacto total | 75.700 € de gastos + 68.250 € de margen perdido | 143.950 € |
Las horas de defensa de reclamaciones no están incluidas en las 24 horas de asesoramiento general. Tampoco se repiten gastos de recuperación ni nóminas ordinarias.
¿Hay que añadir una multa y notificar a todos los clientes?
No se puede decidir a partir del importe del incidente. La AEPD indica que una brecha de datos personales debe evaluarse y documentarse; la notificación a la autoridad y la comunicación a las personas dependen del riesgo y de las condiciones aplicables. Que no se haya demostrado una extracción de archivos no descarta otros problemas de acceso, pérdida o alteración de datos.
La calculadora permite presupuestar trabajo jurídico y costes operativos de atención. No convierte una persona afectada en una reclamación, ni una brecha en una sanción automática. Los importes por persona de los ejemplos son costes supuestos de gestión, no tasas de la AEPD.
El coste del incidente y lo que cubra el seguro son cifras distintas
Los tres totales muestran el impacto antes de cualquier indemnización. Para valorar qué parte podría asumir un seguro de ciberriesgos hay que revisar la póliza concreta, sus coberturas, límites, franquicias, exclusiones y procedimiento de comunicación del siniestro.
No restes una cobertura supuesta ni utilices el total como capital asegurado recomendado sin estudiar tu actividad. La simulación sirve para plantear escenarios y preparar una conversación con tus responsables técnicos, financieros y de seguros.
Cómo llevar estos ejemplos a los números de tu empresa
- 01
Introduce tu facturación anual y un margen de contribución razonable, contrastado con tus datos de gestión.
- 02
Plantea los días de interrupción y la parte de la actividad que realmente perdería ventas. Prueba un escenario corto y otro más exigente.
- 03
Sustituye las horas y tarifas del ejemplo por presupuestos o estimaciones de tus proveedores. Cuenta solo los gastos adicionales.
- 04
Añade atención, comunicación, reclamaciones y efecto comercial únicamente cuando tengas un supuesto concreto. Usa cero para lo que no estés cuantificando.
- 05
Revisa el desglose, elimina duplicidades y vuelve a calcular cuando cambien las hipótesis. El resultado describe un escenario, no la probabilidad de que ocurra.
Simula cuánto te costaría un ciberataque con la calculadora gratuita
Este contenido ofrece orientación general y no sustituye un análisis jurídico, técnico o sectorial del caso concreto. Las obligaciones y controles deben ajustarse al sistema, al uso, a los datos y a las personas afectadas.