El 61% de las pymes teme sufrir un ciberataque pese a estar preparadas
La confianza de las pequeñas y medianas empresas en su capacidad para afrontar incidentes de ciberseguridad convive con una creciente preocupación por la evolución de las amenazas. Según el informe ESET SMB Cyber Readiness Index 2026, el 61% de las organizaciones considera probable sufrir un ciberataque durante los próximos doce meses, aunque el 75% afirma sentirse confiado en su nivel de resiliencia frente a este tipo de incidentes.
El estudio refleja un escenario en el que las amenazas impulsadas por inteligencia artificial ocupan ya el primer lugar entre las principales preocupaciones de las empresas. El 31% identifica el malware basado en IA como el riesgo más relevante, por delante del ransomware y el malware tradicional (29%) y del phishing o spear phishing (26%).
Esa percepción está respaldada por la experiencia reciente. El 45% de las pymes encuestadas asegura haber sufrido al menos un incidente de ciberseguridad durante el último año. Entre las principales consecuencias destacan la pérdida de datos (50%), las interrupciones operativas (40%) y el impacto financiero (37%).
El informe también analiza cómo responden las empresas cuando se produce un incidente. El 36% comunica los ataques a su aseguradora de ciberseguros, mientras que el 30% informa a los reguladores. Además, el 29% notifica lo ocurrido a sus socios comerciales y el 28% a sus clientes. Solo un 5% reconoce no haber comunicado el incidente a ninguna organización.
En cuanto a los tiempos de recuperación, el estudio señala que el 41% de las empresas consigue completar la investigación y recuperación en menos de dos semanas, mientras que un 34% necesita entre dos y seis semanas.
Respecto a las causas de los incidentes, el phishing continúa encabezando la lista con un 26%, seguido de las vulnerabilidades sin corregir (23%), la falta de monitorización de seguridad (22%) y las contraseñas débiles (20%). A ello se suma una preocupación creciente por la rapidez con la que evoluciona el panorama de amenazas. El 34% considera que el principal desafío consiste en mantenerse al día frente a nuevos riesgos, mientras que el 32% señala la dificultad de seguir el ritmo de tecnologías emergentes como la inteligencia artificial.
La formación continúa ganando peso dentro de las estrategias de protección. El 87% de las organizaciones considera que la concienciación de los empleados es crítica o muy importante. Más de la mitad realiza programas formativos varias veces al año y un 14% los imparte mensualmente. Entre las iniciativas más habituales figuran las simulaciones de phishing y los programas de formación integral, cuya adopción aumenta conforme crece el tamaño de la empresa.
El informe también apunta a un aumento de la inversión. Ocho de cada diez empresas consideran suficiente su presupuesto de ciberseguridad y el 40% prevé incrementarlo durante el próximo año. Las prioridades de inversión se centran en la formación y concienciación de empleados (41%), la seguridad en la nube (33%) y las soluciones de copia de seguridad y recuperación (26%). No obstante, las limitaciones presupuestarias, la complejidad de integración y la escasez de profesionales especializados siguen figurando entre los principales obstáculos.
La inteligencia artificial aparece como uno de los grandes ejes de transformación. El 73% de las pymes afirma estar integrándola en sus operaciones, aunque el 70% reconoce que también introduce nuevos riesgos. Seis de cada diez organizaciones ya cuentan con una política específica sobre IA y el objetivo principal de su adopción es mejorar la capacidad para anticipar amenazas y acelerar la respuesta ante los ataques.
En conjunto, el informe dibuja un panorama en el que las pymes refuerzan sus inversiones y su preparación, pero afrontan un entorno de amenazas cada vez más complejo, con la inteligencia artificial desempeñando un papel cada vez más relevante tanto en la defensa como en el ataque.
Artículo basado en el Informe «Índice de preparación cibernética de ESET SMB 2026», de ESET.
