ERA Group publicó el informe El coste del silencio: por qué los directores financieros no pueden ignorar el riesgo cibernético, que incorpora los ciberataques a la agenda de la dirección financiera por sus posibles efectos sobre la liquidez, la facturación y la continuidad del negocio. El análisis aparece después de que el Instituto Nacional de Ciberseguridad gestionara 122.223 incidentes en España durante 2025, un 26% más que el año anterior.
La consultora, especializada en optimización de costes y gestión de proveedores, plantea que la exposición digital debe evaluarse junto a otros riesgos empresariales capaces de interrumpir ingresos o generar gastos imprevistos. La responsabilidad técnica continúa en los equipos de seguridad y TI, pero decisiones como contratar un seguro, revisar un proveedor crítico o reservar liquidez para una contingencia corresponden también a las áreas financiera y operativa.
El coste se extiende más allá de la recuperación técnica
Una intrusión puede obligar a restaurar sistemas, contratar especialistas o sustituir equipos, pero esas partidas representan únicamente una parte del impacto económico. Si una empresa pierde acceso a sus aplicaciones de gestión, puede quedar temporalmente incapacitada para producir, emitir facturas, procesar pedidos, cobrar a clientes o cumplir compromisos con terceros.
La propagación del daño depende de la actividad y de la duración de la interrupción. Una parada breve puede absorberse mediante procedimientos alternativos; una incidencia prolongada puede exigir proveedores de emergencia, provocar penalizaciones contractuales o trasladar retrasos a toda la cadena de suministro. A ello se añaden las posibles responsabilidades derivadas de la exposición de datos y el coste de recuperar la confianza de clientes, socios e inversores.
“Durante mucho tiempo la ciberseguridad se ha considerado una responsabilidad técnica. Sin embargo, hoy hablamos de un riesgo empresarial que puede afectar al flujo de caja, a la capacidad operativa y a la estabilidad financiera de cualquier organización. Por eso, la dirección financiera debe formar parte de esta conversación”, explican desde ERA Group.
El enfoque desplaza la atención desde el presupuesto destinado a herramientas de protección hacia la exposición económica total. Para una dirección financiera, el dato relevante no es únicamente cuánto cuesta prevenir una brecha, sino qué ingresos quedarían bloqueados, qué pagos seguirían venciendo y cuánto tiempo podría operar la compañía con procesos degradados.
Más incidentes y un fraude con efecto directo en la caja
El balance de INCIBE aporta una medida de la presión sobre las organizaciones españolas. Los 122.223 incidentes gestionados durante 2025 representan un incremento interanual del 26%. Dentro de ese total, el organismo registró 45.445 casos de fraude online, un 19% más que en 2024 y cerca de cuatro de cada diez incidencias atendidas.
Esta categoría tiene una conexión especialmente clara con las finanzas corporativas. La suplantación de identidad, el engaño a empleados o la manipulación de instrucciones de pago pueden desembocar en transferencias fraudulentas y pérdidas inmediatas. También pueden alterar datos bancarios de proveedores o desviar cobros sin necesidad de paralizar por completo la infraestructura tecnológica.
La exposición no se limita al mercado español. La encuesta oficial británica sobre brechas de ciberseguridad de 2025/2026 indica que el 43% de las empresas identificó alguna brecha o ataque durante los doce meses anteriores, mientras que el phishing afectó al 38%. La proporción general se mantuvo en el mismo nivel que en 2024/2025, un matiz que apunta a una amenaza persistente y ampliamente extendida, aunque no a un crecimiento interanual de las empresas afectadas en Reino Unido.
Estas cifras miden incidentes gestionados o ataques identificados, no su coste agregado para las compañías. La consecuencia económica varía según el tamaño de la organización, la dependencia de sus sistemas, la sensibilidad de los datos y la rapidez de recuperación. Dos empresas expuestas a una técnica similar pueden afrontar resultados muy diferentes si una dispone de procesos alternativos y la otra concentra su actividad en una plataforma indisponible.
Seguros, proveedores y recuperación entran en el cálculo
ERA Group sitúa cuatro ámbitos dentro de la supervisión financiera: las coberturas aseguradoras, la dependencia de proveedores críticos, los planes de continuidad y los tiempos previstos de recuperación. Estos elementos permiten convertir un riesgo tecnológico difícil de interpretar en escenarios operativos con impacto sobre costes, ingresos y necesidades de caja.
En materia de seguros, la existencia de una póliza no garantiza por sí misma que todas las consecuencias estén cubiertas. Los límites, exclusiones, franquicias y requisitos de seguridad pueden determinar qué parte del daño asume finalmente la empresa. También resulta relevante comprobar si la cobertura contempla interrupción de actividad, respuesta ante incidentes, restauración de datos o responsabilidades frente a terceros.
Los proveedores añaden otra capa de exposición. Una organización puede mantener protegidos sus sistemas internos y sufrir una interrupción porque falla un operador de servicios digitales, una plataforma de pagos, un proveedor logístico o una empresa con acceso a sus datos. Identificar esas dependencias permite revisar contratos, niveles de servicio, alternativas disponibles y responsabilidades en caso de incidente.
Según la compañía, la pregunta que deberían hacerse las empresas no es si cuentan con medidas de ciberseguridad, sino si conocen realmente cuál sería el impacto económico de una interrupción de su actividad y si están preparadas para afrontarlo.
Cuantificar ese impacto exige relacionar los tiempos técnicos de recuperación con procesos empresariales concretos. Restaurar un servidor en varias horas puede resultar insuficiente si después deben validarse datos, reconstruirse operaciones o revisar pagos. La dirección financiera puede incorporar esos escenarios a la planificación de tesorería, las provisiones, la contratación y la evaluación de inversiones.
La resiliencia requiere coordinar decisiones dispersas
El informe propone revisar de forma conjunta la estructura de costes, los contratos con proveedores, las pólizas y la continuidad del negocio. Esa coordinación evita que cada área valore el riesgo con supuestos distintos y permite priorizar inversiones según la pérdida potencial que ayudan a reducir.
Para las empresas, la derivada práctica consiste en asignar responsables, fijar umbrales de tolerancia y comprobar con ejercicios periódicos si los procedimientos alternativos funcionan. Integrar esos resultados en presupuestos, contratos y previsiones de liquidez permite que una interrupción digital deje de gestionarse como una contingencia exclusivamente técnica y pase a formar parte de la planificación financiera ordinaria.
