España se mantiene como uno de los mercados europeos con mayor incidencia de ciberataques, un indicador que refleja no solo el atractivo del país para los ciberdelincuentes, sino también la complejidad y fragmentación del ecosistema digital empresarial. En este contexto, las empresas españolas comienzan a reforzar sus estrategias defensivas. Según el Informe de Ciberpreparación de Hiscox 2025, el 92% prevé incrementar su inversión en ciberseguridad y protección de datos en los próximos 12 meses.
No obstante, el incremento presupuestario, por sí solo, no garantiza una mayor resiliencia. En este sentido, Hiscox ha identificado seis desafíos clave que condicionarán la ciberseguridad empresarial de cara a 2026:
- Gestión avanzada de la identidad digital: la dependencia histórica de contraseñas débiles y reutilizadas ha demostrado ser insostenible, perfilándose como el mayor campo de batalla. La transición hacia modelos de verificación continua y autenticación robusta -apoyados en biometría, llaves criptográficas, autenticación multifactor adaptativa y arquitecturas de confianza cero- se ha convertido en una exigencia operativa crítica. El objetivo ya no es únicamente impedir accesos no autorizados, sino limitar movimientos laterales, aplicar el principio de mínimo privilegio y monitorizar el comportamiento del usuario en tiempo real.
- Agilidad en la adopción y gobierno de la tecnología: la velocidad a la que se incorporan nuevas soluciones digitales supera, en muchos casos, la capacidad de evaluarlas y gobernarlas adecuadamente, generando decisiones reactivas que priorizan la innovación sin control o bloqueos que frenan la competitividad. Pero la ciberseguridad eficaz exige procesos de evaluación continua del riesgo, marcos de gobernanza claros y una estrecha coordinación entre áreas técnicas, legales y de negocio, permitiendo decisiones rápidas sin asumir riesgos innecesarios.
- Preparación real del factor humano: el componente humano sigue siendo uno de los eslabones más vulnerables de la cadena de seguridad. Aunque la concienciación se ha institucionalizado, su impacto real es limitado. Según el Informe de Ciberpreparación de Hiscox 2025, el 63% de las empresas españolas identifica la concienciación previa como el factor más determinante, lo que evidencia la necesidad de modelos basados en cambios de comportamiento, midan riesgos humanos y refuercen buenas prácticas, especialmente en perfiles con acceso crítico a la información.
- Riesgos derivados de la inteligencia artificial: la incorporación acelerada de tecnologías basadas en IA ha generado nuevos vectores de ataque. De hecho, y según el mismo informe, el 57% de las pymes españolas considera haber sufrido ciberataques relacionados con la IA en los últimos 12 meses, y en el 19% de los casos, estos ataques se materializaron a través de herramientas o software basados en IA. Estas cifras subrayan la urgencia de implementar controles específicos, políticas de uso responsable y mecanismos de supervisión continuos sobre modelos, datos y decisiones automatizadas.
- Seguridad de la cadena de suministro digital: la externalización de servicios y la interconexión con terceros han diluido el perímetro de seguridad. El mismo informe establece que más de un tercio de las pymes españolas identifica la cadena de suministro como una de las principales puertas de entrada de los ciberataques. Así, resulta imprescindible implantar procesos de due diligence tecnológica, auditorías periódicas, cláusulas contractuales específicas y mecanismos de supervisión continua que permitan evaluar la postura de seguridad de los proveedores a lo largo del tiempo, no solo en el momento de la contratación.
- Presión regulatoria creciente: marcos normativos como NIS2 o el Cyber Resilience Act elevan las exigencias técnicas y trasladan responsabilidades explícitas a los órganos de dirección, consolidando la ciberseguridad como un asunto de gobernanza corporativa. No en vano, tal y como se desprende del informe anteriormente mencionado, el 36% de las pymes españolas sitúa los cambios regulatorios entre los tres principales riesgos empresariales, lo que obliga a integrar cumplimiento, seguridad y continuidad en una estrategia global de gestión del riesgo.
