Antes de leer
Tres herramientas que dan el resultado en pantalla, sin pedirte ningún dato.
Análisis de dominio
Lo que ve cualquiera de tu empresa desde internet, en 12 comprobaciones: si alguien puede enviar correos en tu nombre, cómo están tu web y su certificado, y qué tienes publicado. Con qué arreglar primero y quién lo hace.
Test de la NIS2
Si la directiva te obliga directamente, si te llega a través de tus clientes o si no te afecta, con el porqué y qué hacer en cada caso.
Autodiagnóstico
Tu nota sobre 20, tus tres prioridades con quién hace cada una y lo que hoy podrías enseñar a un cliente que te pida pruebas.
Guía destacada
Todas las guías
Qué suelen preguntar, qué pruebas adjuntar y cómo decir que no sin perder la venta.
Por qué una copia que nadie ha probado es solo una esperanza, y cómo probarla.
Las señales que delatan un correo que se hace pasar por tu banco o un proveedor.
Qué pasa cuando un programa secuestra tus archivos, y qué lo detiene a tiempo.
La carpeta con las pruebas de que estás protegido, lista para enseñar: qué documentos lleva, qué hace que una prueba valga y cómo se mantiene.
Las seis medidas básicas, en el orden en que conviene ponerlas.
Qué significa que otra empresa lleve tu ciberseguridad, qué haces tú y qué hace ella, cómo se paga y qué te tiene que entregar cada mes.
Los temas, el ritmo de un año con el kit gratuito de INCIBE, lo que dice la NIS2 y cómo medir si la formación cambia algo.
Qué es el ENS, qué categorías tiene y qué necesitas si trabajas con la Administración.
La norma de seguridad que se certifica: qué pide, de qué depende el precio, cuánto dura y cuándo le compensa a una pyme.
El artículo 32 del RGPD no da una lista cerrada: pide medidas adecuadas al riesgo. Cuáles encajan, cómo se deciden y qué tienes que poder enseñar.
Los controles que suele preguntar el cuestionario, qué pasa si contestas mal y cómo acreditar cada respuesta.
Qué revisa un auditor, quién te lo puede pedir, qué se sabe de lo que cuesta y cómo llegar con todo listo.
Microsoft mantiene el servicio; lo que borras se recupera con plazo: 14 días el correo y 93 los archivos. Cuándo hace falta una copia propia.
El correo del «proveedor» que cambia de IBAN justo antes de cobrar. Cómo funciona, la regla que lo para y qué hacer si ya has pagado.
Los tres registros que dicen quién puede enviar correo con tu dominio. Qué hace cada uno, en qué orden se ponen y qué cambió en 2026.
Que una contraseña robada no sirva para entrar. Qué es el doble factor, qué método elegir y por dónde empezar en tu empresa.
Una contraseña distinta para cada cosa, larga y sin pósits. La política que cabe en una página y el gestor que la hace posible.
Cuatro siglas para tres herramientas y un servicio: qué hace cada una y qué combinación tiene sentido para una empresa de 10 a 250 personas.
Quién decide, a quién se avisa y qué no se toca cuando algo va mal, en una página. Con los plazos de aviso y el ejercicio de una hora.
Tu persona de contacto, el banco, el 017, la denuncia, la AEPD y tu aseguradora.
Equipos, servidores, web y móviles: qué actualizar y cómo sin cortar el trabajo.
El último día, sin puertas abiertas: correo, contraseñas, equipos y archivos.
Cuándo hay que avisar a la AEPD y a los afectados, y cómo documentarlo.
Repásalo en diez minutos y sabrás por dónde empezar.
Datos de alumnos (también menores), plataformas y cuentas del profesorado.
Tienes las llaves de las cuentas de tus clientes. Así se guardan.
Certificados digitales, datos fiscales de clientes y campañas llenas de correos trampa.
Datos de salud, historias clínicas y quién puede ver qué.
Planos, licitaciones, subcontratas y portátiles que viven en la obra.
El secreto profesional también se protege en el portátil y en el correo.
Pedidos, facturas de proveedores y el programa de almacén que no puede parar.
Registro de viajeros, wifi de huéspedes, reservas y pagos.
Máquinas conectadas, accesos remotos del fabricante y clientes que auditan.
Reservas, fianzas y cuotas: por qué sois el blanco favorito del cambio de cuenta.
Flota conectada, oficinas repartidas y clientes que piden garantías.
Lo que conviene preguntar antes de firmar, y las respuestas que deberías oír.
El «jefe con número nuevo», el falso técnico y cómo reconocerlos.
Cómo funciona la suplantación del director y el procedimiento que la para.
Cuando la voz del director suena igual. La palabra clave y la llamada de vuelta.
Qué no pegar en un asistente de IA y la política de una página que lo ordena.
No se puede proteger lo que no sabes que tienes. Plantilla incluida.
Bloqueo, cifrado, borrado remoto y qué hacer con los móviles personales.
Qué prueba, qué tipos hay y cuándo tiene sentido para una pyme.
Qué procesos no pueden parar, cuánto tiempo aguantas sin ellos y cuál es tu plan B.
Los seis apartados que debe tener, con texto de ejemplo para adaptar.
Qué se paga, de qué depende el precio y un cálculo con ejemplos.
Niveles de evaluación, cómo se prepara y cuánto dura.
Tu sistema de seguridad por escrito: qué documentos tiene y cómo se mantiene vivo.
Quién mira las alertas cuando no hay nadie en la oficina, qué relación tiene con un SIEM y un MDR, y por qué una pyme lo contrata en vez de montarlo.
Los pasos en orden, y lo que casi todo el mundo olvida: las reglas de reenvío.
Tu seguridad también depende de quien tiene acceso a tus datos. Cinco preguntas.
Si tu empresa trabaja con Gmail y Drive, estos son los ajustes de la consola que conviene revisar primero, y lo que tu edición no trae.
Los ajustes que cierran la mayoría de puertas en el correo y la nube de Microsoft.
Administradores, doble factor y los mensajes falsos de «tu cuenta será eliminada».
Pagos, panel de la tienda, plugins y los datos de tus clientes.
Actualizaciones, plugins, accesos y copias: lo que evita la mayoría de problemas.
Conexión, cifrado, actualizaciones y qué hacer si se pierde.
Tamaño, sector y clientes: una orientación rápida y qué hacer en cada caso.
Dos redes separadas, un router bien configurado y nada más.
Diecisiete preguntas tipo con su respuesta modelo, la prueba que la respalda y quién la firma. Para adaptar y reutilizar.
Las cinco respuestas que caben además del «sí», cómo se redacta un «todavía no» que el cliente acepta y qué controles no conviene dejar en «no».
Qué te están pidiendo de verdad, qué puedes mandar hoy sin certificado y cuándo compensa sacarlo.
Diez cláusulas que traen los contratos de clientes grandes: qué te obliga cada una y qué se puede negociar antes de firmar.
Veinte requisitos técnicos en un anexo del contrato: cómo leerlos, responderlos en una matriz y negociar los que no encajan.
Las cinco plataformas de homologación que usan las grandes empresas en España, qué publica cada una de ciberseguridad y el paquete de documentos que sirve para todas.
Las preguntas de seguridad de RePro, la Puntuación de Achilles de 0 a 100 y lo que piden Iberdrola y Redeia, con la prueba que conviene adjuntar a cada una.
Qué revisa el auditor, qué etiquetas lo exigen, cuánto tarda y qué cambia con la ISA2027.
La NIS2 sigue sin ley española. Cada hito con su fuente oficial, qué norma rige mientras tanto y qué pueden pedirte tus clientes.
Cincuenta personas, o diez millones de facturación y diez de balance a la vez. La regla exacta del tamaño, con casos resueltos.
Los 18 sectores de los anexos I y II, con su código CNAE orientativo. Y los cuatro casos que más se confunden.
Las diez medidas del artículo 21 en 28 casillas, con la prueba que vale para cada una. Lista para imprimir y repasar.
Lo que la NIS2 pide a quien dirige la empresa: aprobar, supervisar, formarse y responder. Y lo que ya rige en España sin esa ley.
El pliego pide la declaración o la certificación de conformidad con el ENS. Cuál te toca, quién la emite y cómo se prepara.
La NIS2 por tu CNAE, TISAX por el fabricante y el cuestionario de tu cliente: qué te pide cada uno.
Mantenimiento, servicios gestionados, nube o centro de datos: qué te pide la NIS2 por tu actividad, por tu tamaño y por tus clientes.
Tu banco ya compara el nombre que escribes con el titular del IBAN. Las cuatro respuestas, qué hacer con cada una y el hueco de las remesas.
Las dos series oficiales de 2025, la de INCIBE y la del Ministerio del Interior, con su fecha, su fuente y por qué no se suman.
Un dominio con una letra cambiada que escribe a tus clientes. Qué es, cómo se detecta y cuánto cuesta reclamarlo en .es y en .com.
Dos plazos deciden si una copia sirve: cuánto tardas en volver a trabajar y desde qué hora recuperas los datos. Cómo se fijan y cómo se prueban.
Un .es que no se renueva queda libre a los 10 días. Los plazos oficiales, quién tiene la llave del dominio y las cuatro gestiones que lo protegen.
Gmail y Drive dan 30 días de papelera y 25 más al administrador. Lo que queda fuera de esos plazos solo vuelve con una copia propia.
Quien tiene el certificado de la empresa firma por ella. Cómo autorizar a tu gestoría sin entregárselo, dónde guardarlo y cuándo revocarlo.
El NAS de la oficina sirve como una de las copias, no como la única. Qué le hace el ransomware, qué protegen sus instantáneas y dónde va la otra copia.
Qué cerrar en la primera hora, cuándo es una brecha que hay que notificar y qué se apunta. Con la regla de la AEPD sobre el cifrado.
Qué puede salir mal, con qué probabilidad, cuánto dolería y qué haces con cada cosa. Los seis pasos de INCIBE y un ejemplo de diez filas.
Cómo buscar todas las direcciones de tu dominio a la vez, qué significa aparecer y qué se hace cuenta por cuenta.
Qué es el escritorio remoto expuesto, cómo saber si lo tienes y qué pedir a tu informático para cerrarlo sin dejar de trabajar desde fuera.
Las cláusulas que un banco o una aseguradora tiene que poner en tu contrato por DORA, qué se negocia y por qué te piden el LEI.
Desde el 11 de septiembre de 2026, quien fabrica software o equipos conectados tiene que notificar sus vulnerabilidades. Qué, cuándo y qué llega en 2027.
Cuánto te acerca un sistema ISO 27001 a la NIS2, con la tabla oficial de ENISA y lo que ningún certificado hace por ti.
Cuál te piden según quién sea tu cliente, en qué se diferencian y qué parte del trabajo sirve para las dos.
Qué convocatorias siguen abiertas a octubre de 2026, cuánto pagan y qué gastos entran. Con la fuente oficial de cada una.
No hay una cifra única que valga para todas, pero sí dos datos oficiales que casi nadie cita, las partidas que componen el coste y por qué depende de tu tamaño.
Qué hace, qué norma lo exige y a quién, si puede ser la persona de informática y si puede ser alguien de fuera.
El documento que ordena los proyectos de seguridad de una pyme: qué entra, en qué orden, con qué dinero y quién lo aprueba.
Qué es de verdad un SOC 2, en qué se diferencia de la ISO 27001 y qué mandas mientras no lo tienes.
Qué miran desde fuera estas plataformas, qué no pueden ver, cómo se corrige un dato que no es tuyo y qué se arregla primero.
Glosario
Si alguien te habla en siglas, aquí tienes lo que quiere decir.
Ver el glosario completoCorreo trampa
Correo que se hace pasar por alguien de confianza para que hagas clic, pagues o des una contraseña. En inglés, phishing.
Doble factor
Además de la contraseña, un segundo paso para entrar: un código en el móvil o una llave. Siglas: MFA.
SGSI
Tu sistema de seguridad por escrito: qué haces, quién lo hace y cómo lo compruebas.
Recurso gratis
Qué controles incluye, qué prueba cada uno y cómo se presenta a un cliente. Al confirmar tu correo, lo ves en la página y te mandamos el enlace.
