El 71% de los negocios españoles cree que su principal amenaza en materia de ciberseguridad proviene de sus propios proveedores. Esta es una de las conclusiones del reciente informe El estado de la ciberseguridad en España 2025, elaborado por Deloitte, que advierte además de que sólo un 29% de sus responsables se siente razonablemente seguro respecto a sus proveedores más críticos.
El estudio señala un aumento preocupante de los ciberataques a través de terceras partes, justo cuando autónomos y micropymes empiezan a ocupar un papel esencial como proveedores tecnológicos o logísticos.
La otra gran alarma que señala el informe es la falta de talento digital. En solo un año, el porcentaje de pymes que cita la escasez de personal cualificado como principal problema ha pasado del 17% al 49%. Aunque esta carencia afecta especialmente a grandes entidades, el déficit de habilidades digitales también penaliza a autónomos y pequeños negocios, especialmente a los que no tienen capacidad para formar o contratar perfiles especializados. En paralelo, un 65% de las compañías ha aumentado su presupuesto en ciberseguridad, pero aún sin claridad sobre cómo medir el impacto real de esa inversión.
Hay más presupuesto para ciberseguridad, pero sin control de los riesgos que llegan de terceros
El informe muestra una tendencia clara a destinar más recursos a la protección digital: un 71% del presupuesto de ciberseguridad se dedica a servicios externalizados, como consultorías, monitorización, servicios en la nube o software de defensa. Esto convierte a los pequeños proveedores de servicios TIC en actores clave dentro de la cadena de protección de los negocios. Sin embargo, esa externalización también revela las grietas: más de la mitad de las pymes no utiliza herramientas específicas para controlar los riesgos que les llegan a través de terceros.
Además, muchas organizaciones no integran la ciberseguridad desde el diseño de sus procesos. Según los datos de Deloitte, un 33% actúa de forma reactiva, aplicando medidas solo tras detectar una vulnerabilidad o por indicación del regulador, mientras que un 11% únicamente toma medidas después de haber sufrido un ciberataque. Esto deja a proveedores y pequeños colaboradores en una situación de alta exposición si no existen protocolos compartidos ni estándares mínimos exigidos.
Con la entrada en vigor de la directiva europea NIS2, que obliga a las empresas a tener un control más estricto sobre su ciberseguridad, la responsabilidad de prevenir un incidente ya no recae sólo en los equipos técnicos, sino en los órganos de dirección. De hecho, un 63% de las pymes españolas declara que el cumplimiento normativo es una de sus principales preocupaciones en este campo. Pero solo un 42% ha creado comités específicos para alinear negocio y seguridad digital.
Esta situación tiene un efecto directo sobre los autónomos y micropymes que colaboran con estas compañías. En muchos casos, los pequeños negocios se ven obligados a adaptarse a protocolos muy exigentes de sus clientes, sin contar con recursos ni asesoramiento para hacerlo. Según los expertos que han participado en el informe, esto genera fricción y aumenta la vulnerabilidad general de la cadena.
Otro foco de preocupación es la rápida adopción de herramientas de inteligencia artificial
Si bien el 46% de las pymes ve la IA como una aliada para detectar amenazas o automatizar procesos de respuesta, más del 50% no ha aplicado controles específicos para proteger los sistemas de IA que ya utiliza, según revela Deloitte. Este vacío deja la puerta abierta a fugas de datos, explotación de vulnerabilidades o incluso ataques con deepfakes.
Este tipo de riesgos no afecta solamente a las grandes compañías, que desarrollan estas tecnologías, sino también a los negocios más pequeños que las incorporan sin los debidos controles. Por ejemplo, el uso de IA generativa para atención al cliente, marketing o análisis de datos se ha extendido, sin garantías de ciberseguridad específicas, lo que puede derivar en filtraciones o accesos no autorizados.
A pesar de que el 74% de los responsables de ciberseguridad cree que su dirección es consciente del impacto económico de un posible ciberataque, los datos del estudio reflejan lo contrario. Sólo un 10% de las pymes es capaz de calcular con precisión los costes asociados a un incidente grave, y un 40% ni siquiera sabe cuánto tiempo tardaría en restablecer operaciones tras una parada total. Esta desconexión también se observa en la relación con proveedores: apenas un 39% los incluye en simulacros de ciberincidentes.
Para autónomos y microempresas que actúan como socios tecnológicos, logísticos o administrativos de estas entidades, este déficit de planificación puede traducirse en exigencias contractuales confusas, falta de información clara o incluso ruptura de la relación comercial en caso de incidente.
Ser percibido como un proveedor seguro marca la diferencia para cerrar contratos con clientes grandes
El informe destaca que la continuidad de las operaciones es, con diferencia, la prioridad número uno para las pymes en cuestiones de ciberseguridad. Sin embargo, un 49% de los negocios admite que nunca ha probado su plan de recuperación ante desastres. Esta falta de preparación se agrava en entornos donde intervienen varios proveedores, ya que muchos no están integrados en los sistemas de seguridad ni en los flujos de comunicación ante un incidente.
En este contexto, los pequeños negocios que dependen de contratos con grandes empresas deben ser conscientes de que también forman parte del ecosistema de ciberseguridad de sus clientes, aunque no siempre se les incluya formalmente. La falta de formación, recursos o protocolos compartidos los convierte en puntos débiles que pueden ser explotados por los atacantes.
Frente a este panorama, algunos autónomos y pymes han encontrado una ventaja competitiva en la especialización en ciberseguridad o en la obtención de certificaciones como ISO 27001. Para ciertos sectores como la nube, la consultoría o el desarrollo de software, ser percibido como un proveedor seguro puede marcar la diferencia a la hora de cerrar contratos con clientes más grandes, que cada vez exigen mayores garantías.
Pero esta profesionalización no es generalizada. En palabras del informe, “muchas brechas pueden originarse en proveedores excepcionados de ciertos controles”, lo que refleja la necesidad urgente de extender la cultura de la ciberresiliencia también entre los pequeños actores del mercado.
