Los ciberataques se han convertido en una de las amenazas más extendidas para el tejido empresarial español. Ningún negocio está exento, por pequeño que sea: cada semana se registran más de 2.000 intentos de intrusión en empresas de todo tipo, incluidas microempymes y autónomos. Una sola brecha de seguridad puede comprometer la operativa, filtrar información sensible o provocar pérdidas económicas significativas.
En este sentido, la rapidez y la diligencia resultan determinantes. Lo contrario puede derivar en sanciones por incumplimiento del Reglamento General de Protección de Datos (RGPD) o de la Ley de Servicios de la Sociedad de la Información (LSSI). Tal y como advirtió Ana Vidaor Maristany, abogada del área TMT de AGM Abogados, “una respuesta tardía o inadecuada puede suponer un incumplimiento de la normativa vigente, con el consiguiente riesgo de sanciones por parte de la Agencia Española de Protección de Datos [AEPD]”.
El Tribunal Supremo ya se ha pronunciado en esta línea. En la sentencia 136/2025, analizada recientemente por este diario, se estableció la responsabilidad civil subsidiaria de una empresa que, pese a conocer un intento previo de suplantación de identidad, no adoptó medidas para alertar ni prevenir nuevos ataques. Ante un incidente de ciberseguridad, es fundamental seguir una serie de pasos concretos para evitar consecuencias legales.
Qué se considera una brecha de seguridad y por qué cada minuto cuenta
Una brecha de seguridad no siempre implica un ataque masivo o un robo de información. A efectos legales, el RGPD define una brecha como “toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma”.
Esto incluye desde un acceso no autorizado a una base de datos hasta la simple pérdida de un dispositivo con información sensible de clientes o proveedores.
Según Ana Vidaor, estos incidentes “no distinguen por tamaño ni facturación; cualquier organización, desde un pequeño comercio hasta una gran compañía, puede verse afectada”. La experta subraya que la clave está en la rapidez de la respuesta: “una actuación diligente y conforme a la normativa puede marcar la diferencia entre un incidente controlado y una crisis con impacto económico y reputacional de gran alcance”.
El tiempo, por tanto, se convierte en el principal factor de contención. Las primeras 72 horas tras detectar una brecha son críticas: es el plazo máximo que la normativa concede para notificar el incidente a la AEPD cuando la afectación implique datos personales. Como ya avanzó este medio, no hacerlo dentro de ese margen puede considerarse una infracción grave y conllevar sanciones millonarias.
Pasos inmediatos (0–72 horas) ante un ciberataque
Los expertos insisten en que la respuesta a un incidente de ciberseguridad debe ser rápida, coordinada y conforme a la normativa. Actuar con diligencia desde el primer momento, además de que contribuye a frenar el ataque, puede salvar a los autónomos afectados de posibles sanciones por omisión o por notificar tarde. La experta de AGM Abogados recomienda seguir una secuencia estructurada de actuaciones durante las primeras 72 horas.
Comunicar internamente la incidencia
El primer paso es informar de inmediato al departamento legal o responsable designado. Según Vidaor Maristany, el Delegado de Protección de Datos (DPO) “desempeña un papel esencial en este tipo de situaciones, al ser la figura encargada de asesorar y supervisar el cumplimiento de la normativa de protección de datos, así como de cooperar con las autoridades de control”.
En las microempresas o negocios que no están obligados a disponer de un DPO, Vanesa Alarcón Caparrós, letrada de AGM Abogados, recordó que “debe designarse una figura interna que asuma las funciones de coordinación y documentación del incidente, aunque posteriormente se busque apoyo externo para gestionar la respuesta con garantías legales”.
Obtener asesoramiento legal especializado
Una vez controlada la emergencia inicial, es muy recomendable consultar con un despacho especializado en derecho digital y protección de datos. Este paso permite evaluar el alcance real del ataque, determinar la posible afectación a terceros y valorar si procede notificar a la AEPD y a las personas afectadas.
“Cada caso debe analizarse individualmente”, explicó Vidaor Maristany, quien añade que “la obligación de comunicar a la AEPD depende del tipo de información comprometida y del riesgo que suponga para los derechos de las personas implicadas”.
La abogada insiste, además, en la importancia de registrar el incidente en un archivo interno con un informe técnico y jurídico detallado, que describa el origen, las medidas adoptadas y las consecuencias previsibles. Este documento puede resultar determinante en caso de inspección o reclamación posterior.
Adoptar medidas de contención y restauración
Durante las primeras horas es necesario aislar los sistemas afectados, cambiar credenciales y realizar copias de seguridad para evitar una propagación del ataque. También deben ejecutarse peritajes informáticos y medidas organizativas que garanticen la integridad de la información.
Las especialistas de AGM Abogados subrayan que la empresa debe preservar todas las evidencias digitales, ya que eliminarlas o modificarlas podría entorpecer la investigación o debilitar su defensa ante una posible sanción.
Evaluar y notificar
El análisis del impacto es el siguiente paso. Debe determinarse qué información se ha visto afectada, qué volumen de datos ha quedado comprometido y si el incidente puede afectar a los derechos fundamentales de las personas implicadas.
En los casos en los que el riesgo sea elevado, el RGPD exige notificar el incidente a la AEPD en un plazo máximo de 72 horas desde que se tiene constancia de la brecha, así como comunicarlo a los afectados de forma clara y diligente. No hacerlo dentro del plazo establecido se considera una infracción grave.
“Es fundamental documentar el análisis y justificar las decisiones tomadas, incluso cuando finalmente se concluya que no era necesario notificar”, señaló Vanesa Alarcón Caparrós, quien recuerda que la AEPD puede requerir explicaciones en cualquier momento.
Cooperar con autoridades y terceros
En determinados supuestos, especialmente cuando se ha producido una estafa informática o una suplantación de identidad, resulta recomendable presentar denuncia ante las fuerzas y cuerpos de Seguridad del Estado y alertar a bancos o proveedores potencialmente afectados. Una comunicación transparente y temprana puede contribuir a reducir el daño económico y a preservar la reputación del negocio.
Errores frecuentes que agravan la responsabilidad… y cómo evitarlos
Una parte importante de las sanciones y responsabilidades legales derivadas de los ciberataques no proviene del ataque en sí, sino de los errores cometidos en su gestión posterior. Según Vanesa Alarcón Caparrós, “gran parte de las brechas se deben a una acción humana que no hizo lo que debía”, ya sea por desconocimiento, por falta de protocolos o por ausencia de formación interna.
Las expertas de AGM Abogados coinciden en que la prevención no sólo pasa por disponer de medidas técnicas, sino también por fomentar la responsabilidad digital entre todo el personal del negocio.
Entre los fallos más habituales detectados por los expertos destacan los siguientes:
- Compartir contraseñas entre empleados o colaboradores. Esta práctica facilita el acceso no autorizado a los sistemas y puede impedir identificar la fuente de una brecha.
- Permitir el uso de dispositivos personales para tareas corporativas, sin medidas de control o cifrado adecuadas, lo que multiplica los riesgos de exposición.
- Falta de formación o concienciación en materia de ciberseguridad. La ausencia de protocolos básicos de actuación y de cultura digital dentro del negocio incrementa la probabilidad de errores humanos.
- No documentar la incidencia ni registrar las decisiones adoptadas. La falta de trazabilidad complica la defensa ante una inspección o una reclamación.
- Uso de software no autorizado o herramientas de inteligencia artificial sin regulación interna. En estos casos, explicó Alarcón, “las empresas deberían disponer de protocolos que regulen el uso de estas herramientas: si están prohibidas o no determinadas aplicaciones, cómo deben emplearse y quién es responsable de su control”.
Estos descuidos pueden derivar en consecuencias graves, especialmente si de ellos se desprende que la empresa no actuó con la diligencia exigida por la ley. “Si el autónomo o la pyme no disponía de medidas de seguridad adecuadas y eso ha provocado un daño a terceros, podría llegar a ser responsable”, recordó la abogada.
Protocolos mínimos y prevención que pide la normativa
La prevención es tan importante como la respuesta. El RGPD y la LSSI obligan a todas las empresas, independientemente de su tamaño, a adoptar medidas técnicas y organizativas que garanticen la seguridad de la información.
Según Vanesa Alarcón Caparrós, “la clave para estar bien protegido es disponer de medidas de seguridad desde el punto de vista informático, que ayuden a garantizar que la información se almacena de forma segura”. Entre ellas, se incluyen los sistemas de registro de accesos, la autenticación en dos pasos, las copias de seguridad periódicas y el uso de servidores ubicados en la Unión Europea o que cumplan con el RGPD.
La experta subrayó también la importancia de la formación en ciberseguridad y de contar con protocolos claros de actuación, que definan cómo actuar ante un correo sospechoso o una intrusión. Además, disponer de un plan de respuesta ante incidentes y mantener un registro actualizado de brechas permite acreditar la diligencia de la empresa ante la Agencia Española de Protección de Datos.
Sanciones y consecuencias legales por no actuar a tiempo
La falta de reacción ante una brecha de seguridad puede tener consecuencias graves para cualquier negocio, tanto desde el punto de vista económico como jurídico. Las responsabilidades pueden ser civiles, administrativas o incluso penales, dependiendo del tipo de incidente y de las medidas adoptadas -o no adoptadas- por la empresa.
Como ya avanzó este diario, el Tribunal Supremo determinó en su Sentencia 136/2025 que una empresa puede ser considerada responsable civil subsidiaria aunque no haya cometido directamente el fraude. En el caso analizado, Gamboa Automoción sufrió un ataque informático que permitió la suplantación de identidad de un empleado. Al no alertar a otros concesionarios que mantenían operaciones abiertas, la estafa se consumó al día siguiente.
Según explicó Ana Vidaor, “aunque la empresa no haya ejecutado el delito, puede verse obligada a indemnizar a la víctima si no adoptó medidas para prevenirlo o si omitió la debida diligencia ante un incidente previo”.
A esta posible responsabilidad civil se suman las sanciones administrativas previstas por el RGPD y la LSSI. No comunicar una brecha en el plazo legal de 72 horas puede considerarse una infracción grave, sancionable con multas de hasta 10 millones de euros o el 2% del volumen de negocio anual, y de hasta 20 millones o el 4% en los supuestos más graves.
“Autónomos, pymes y grandes empresas están sujetos al mismo régimen sancionador”, recordó Alarcón Caparrós, quien añadió que “estas sanciones pueden imponerse incluso cuando el negocio no haya sido el responsable directo del ataque, si se demuestra que no actuó con la diligencia debida”.
Las infracciones prescriben a los dos años, pero pueden concurrir con la responsabilidad civil si el ataque afecta a terceros. En los casos más graves, la inacción o el uso de software no autorizado puede derivar en responsabilidad penal, conforme al artículo 270 del Código Penal, que castiga con penas de prisión de seis meses a cuatro años a quien reproduzca o utilice programas sin licencia con ánimo de beneficio. “La instalación de software ilícito puede incorporar virus o puertas traseras que provoquen una doble brecha de seguridad”, advirtió la abogada.
