¿Qué es un análisis de riesgos de ciberseguridad?
Es listar lo que puede ir mal en tu información y tus sistemas, estimar para cada caso con qué frecuencia puede pasar y cuánto te afectaría, y decidir qué haces con cada uno. El resultado es una tabla con una puntuación, un tratamiento, un responsable y una fecha por fila.
Para INCIBE es el punto de partida. En su guía de 2017 lo llama «uno de los trabajos más importantes» para definir proyectos de seguridad y la base del Plan Director de Seguridad: la lista priorizada de proyectos para bajar los riesgos «hasta unos niveles aceptables». También sirve hecho por separado, sin plan director.
| Término | Qué significa | Ejemplo en una pyme |
|---|---|---|
| Activo | Lo que tiene valor para la empresa y se puede perder o dañar | El correo, el programa de facturación, los portátiles, la base de clientes |
| Amenaza | Lo que le puede pasar a un activo | Un correo trampa, un ataque que cifra los archivos, un robo, una avería |
| Vulnerabilidad | El punto débil que facilita la amenaza | Un equipo sin actualizar, una cuenta sin doble factor |
| Salvaguarda | La medida que ya tienes y que reduce el riesgo | Copias que se restauran, un antivirus gestionado |
| Probabilidad | Con qué frecuencia puede ocurrir la amenaza | Una vez al año, al mes o a la semana |
| Impacto | Cuánto daño haría si ocurre | Sin consecuencias relevantes, reseñables o graves |
| Riesgo residual | El que queda después de aplicar las medidas | Lo que la dirección acepta por escrito |
¿Por qué te piden un análisis de riesgos de ciberseguridad?
Porque lo recogen las normas y lo preguntan los clientes. La NIS2 lo pone en la primera letra de su artículo 21.2; el RGPD pide una seguridad adecuada al riesgo; el ENS se basa en la gestión de riesgos; y el cuestionario de Achilles para proveedores pregunta por un mapa de riesgos del último año.
| Quién | Qué dice | A quién se aplica |
|---|---|---|
| NIS2, artículo 21.2.a | «las políticas de seguridad de los sistemas de información y análisis de riesgos» | Entidades esenciales e importantes, cuando la ley española la transponga |
| Reglamento de Ejecución (UE) 2024/2690, punto 2.1 | Evaluaciones de riesgos documentadas, un plan de tratamiento y la aprobación de los riesgos residuales | Los proveedores digitales de la NIS2: DNS, nube, centros de datos, servicios gestionados y de seguridad gestionada, entre otros |
| RGPD, artículo 32 | Medidas «para garantizar un nivel de seguridad adecuado al riesgo» | Toda empresa que trata datos personales |
| Esquema Nacional de Seguridad, artículos 7 y 14 | «El análisis y la gestión de los riesgos es parte esencial del proceso de seguridad», con una metodología reconocida internacionalmente | El sector público y las empresas que le prestan servicios por contrato (artículo 2.3) |
| Cuestionario RePro de Achilles (2020) | «Cybersecurity risk map (in the last year)»: un mapa de riesgos del último año | Nadie por ley: es un requisito comercial. En 2020, el 33 % de los proveedores de RePro España respondía que sí |
Las diez preguntas de Achilles, con qué prueba adjuntar a cada una, están en Achilles y ciberseguridad, y cómo se responde un cuestionario cuando lo pide un cliente, en el cuestionario de seguridad. Lo que pide el ENS a un proveedor de la Administración, en el Esquema Nacional de Seguridad. Y por qué la NIS2 todavía no obliga en España, en el estado de la NIS2 en España.
¿Cuáles son los pasos de un análisis de riesgos de ciberseguridad?
INCIBE propone seis: definir el alcance, identificar los activos, identificar las amenazas, identificar vulnerabilidades y salvaguardas, evaluar el riesgo y tratarlo. Son fases comunes a la mayoría de metodologías. En una pyme, el alcance puede ser la empresa entera, y los activos salen del inventario de equipos y programas.
Definir el alcance: toda la empresa, o un departamento, un proceso o un sistema concreto.
Identificar los activos: equipos, programas, cuentas, servicios en la nube y datos. Puede bastar una hoja de cálculo.
Identificar las amenazas de cada activo, con enfoque práctico: la avería del servidor o la rotura de una cañería, no un meteorito.
Identificar vulnerabilidades y salvaguardas: lo que falla y lo que ya tienes puesto.
Evaluar el riesgo de cada pareja activo-amenaza: probabilidad por impacto.
Tratar los riesgos que pasen del límite que tú fijes: mitigar, transferir, eliminar o asumir.
Para el paso 3, INCIBE propone partir del catálogo de amenazas de MAGERIT, la metodología de análisis de riesgos de la Administración española, que se puede usar libremente y sin autorización previa. Para el paso 2, el punto de partida es el inventario de equipos y programas: no se protege lo que no se sabe que existe.
Lo que tienes que tener a mano
- El inventario de equipos, programas y cuentas, aunque sea una hoja.
- La lista de proveedores con acceso a tus sistemas o a tus datos.
- Qué procesos no pueden parar más de un día: facturar, cobrar, producir, atender.
Quién participa
- Una persona que lo coordine.
- Alguien de la dirección que decida qué riesgos se aceptan.
- Quien lleve la informática, sea de la casa o un proveedor.
Lo que se decide antes de puntuar
- La escala: tres niveles de probabilidad y tres de impacto, cada uno con su definición.
- El límite a partir del cual un riesgo se trata sí o sí.
¿Cómo se calcula el riesgo de ciberseguridad en una pyme?
Multiplicando probabilidad por impacto, cada uno en una escala de 1 a 3. En el ejemplo de INCIBE, la probabilidad es baja si la amenaza ocurre una vez al año, media si es una vez al mes y alta si es una vez a la semana. El impacto va de sin consecuencias relevantes a graves.
| Situación | Impacto bajo (1) | Impacto medio (2) | Impacto alto (3) |
|---|---|---|---|
| Probabilidad alta (3): una vez a la semana | Medio (3) | Alto (6) | Muy alto (9) |
| Probabilidad media (2): una vez al mes | Bajo (2) | Medio (4) | Alto (6) |
| Probabilidad baja (1): una vez al año | Muy bajo (1) | Bajo (2) | Medio (3) |
INCIBE pide ajustar las dos cifras con lo que ya tienes. Una salvaguarda baja el impacto: con servidores redundados, la caída del principal pasa de alto a medio. Una vulnerabilidad lo sube. Y el límite se fija antes de puntuar: INCIBE pone de ejemplo tratar todo lo que pase de 4, o de «medio» si la escala es de palabras.
La NIS2 usa los mismos dos ejes. Su artículo 21.1 pide que, al decidir qué medidas son proporcionadas, se tenga en cuenta «la probabilidad de que se produzcan incidentes y su gravedad», además de la exposición y el tamaño de la empresa. Una escala de tres niveles con su definición escrita es fácil de defender ante un cliente o un auditor.
¿Cómo queda el análisis de riesgos de ciberseguridad de una pyme de 30 personas?
Escenario típico, inventado para el ejemplo: diez filas, cada una con su activo, su amenaza, la puntuación y qué se hace. Arriba quedan el fraude y el correo, y no es casualidad: en 2025, cuatro de cada diez incidentes que gestionó INCIBE fueron fraude online, y el phishing sumó 25.133 casos.
| Riesgo | Activo | P × I | Nivel | Tratamiento | Responsable |
|---|---|---|---|---|---|
| Un proveedor falso cambia su cuenta bancaria | Pagos a proveedores | 2 × 3 = 6 | Alto | Mitigar: confirmar por teléfono todo cambio de cuenta y comprobar el titular antes de pagar | Administración |
| Un correo trampa roba una contraseña | Cuentas de Microsoft 365 | 3 × 2 = 6 | Alto | Mitigar: doble factor en todas las cuentas y filtro de correos trampa | Informática |
| Un ataque cifra el servidor de ficheros | Servidor y NAS | 1 × 3 = 3 | Medio | Mitigar: antivirus gestionado y copia fuera de la red, con una restauración de prueba cada trimestre | Informática |
| Roban o se pierde un portátil | Portátiles de los comerciales | 2 × 2 = 4 | Medio | Mitigar: disco cifrado y borrado a distancia | Informática |
| Cae el proveedor del programa de pedidos | Programa de gestión en la nube | 1 × 3 = 3 | Medio | Transferir y prepararse: cláusula de disponibilidad en el contrato y una exportación semanal | Dirección |
| Se filtran datos de clientes por un error | Base de clientes | 1 × 3 = 3 | Medio | Mitigar con permisos por persona; transferir con un ciberseguro | Dirección |
| Un exempleado conserva sus accesos | Cuentas y aplicaciones | 2 × 2 = 4 | Medio | Mitigar: lista de bajas con todos los accesos | Personas |
| Caduca el dominio de la web y el correo | Dominio | 1 × 3 = 3 | Medio | Mitigar: renovación automática y avisos a un buzón compartido | Administración |
| Un equipo sin actualizar tiene un fallo conocido | Ordenadores de la oficina | 2 × 2 = 4 | Medio | Mitigar: actualizaciones automáticas y revisión mensual | Informática |
| La wifi de invitados comparte red con la oficina | Red de la oficina | 1 × 2 = 2 | Bajo | Eliminar: quitar la wifi de cortesía, que no hace falta | Dirección |
Cada fila tiene su guía: la verificación del beneficiario para la primera, el portátil de empresa robado para la cuarta, la baja de un empleado para la séptima y el dominio caducado para la octava. De dónde salen las cifras del fraude, en las cifras de ciberataques de 2025.
¿Qué se hace con cada riesgo de ciberseguridad?
Una de cuatro cosas, según INCIBE: mitigarlo con medidas, transferirlo a un tercero con un seguro o un contrato, eliminarlo quitando el proceso o el sistema que lo causa, o asumirlo, siempre justificado. Lo que se asume va por escrito: el Reglamento 2024/2690 pide que la dirección apruebe los riesgos residuales.
| Respuesta | Qué es | Ejemplo de INCIBE | Qué queda escrito |
|---|---|---|---|
| Mitigar | Poner medidas que bajen la probabilidad o el impacto | Un acceso a internet de respaldo para seguir en la nube si cae la línea | La medida, quién la aplica y para cuándo |
| Transferir | Pasar el daño económico a un tercero | Un seguro que cubra los daños a terceros por fugas de información | La póliza o la cláusula del contrato |
| Eliminar | Quitar el proceso o el sistema que causa el riesgo | Quitar la wifi de cortesía si no es estrictamente necesaria | Qué se quitó y cuándo |
| Asumir | Aceptarlo sabiendo lo que es, con un motivo | No instalar un grupo electrógeno porque cuesta demasiado | La aceptación firmada por la dirección, con su motivo |
Transferir no hace desaparecer el riesgo: un seguro compensa el daño, no lo evita. Qué piden las pólizas para cubrir, en los requisitos del ciberseguro. Y el Reglamento 2024/2690 añade algo que conviene copiar aunque no te obligue: elegir el tratamiento pesando el coste de cada medida frente al beneficio que se espera.
¿Cada cuánto se repite el análisis de riesgos de ciberseguridad?
Al menos una vez al año y siempre que pase algo importante: un incidente grave, un sistema nuevo, un cambio de proveedor o de actividad. Es la regla que el Reglamento de Ejecución (UE) 2024/2690 fija para los proveedores digitales de la NIS2, y es una buena vara de medir para cualquier pyme.
Enero
Análisis completo
Se repasa la tabla entera, se puntúa de nuevo y la dirección firma los riesgos que acepta.
Cada trimestre
Seguimiento del plan de tratamiento
Qué medidas están hechas, cuáles no y por qué.
Tras un incidente
Revisión de las filas afectadas
Si pasó algo que la tabla daba por improbable, la probabilidad estaba mal puntuada.
Antes de un cambio
Fila nueva
Un programa nuevo, un proveedor con acceso o una oficina más entran en la tabla antes de arrancar.
El mismo reglamento pide seguir «una metodología de gestión de riesgos», fijar un nivel de tolerancia al riesgo y detectar los «puntos únicos de fallo»: lo que, si cae, para todo. En una pyme, un punto único de fallo puede ser una persona, la única que sabe entrar en el servidor.
¿Qué evidencia deja un análisis de riesgos de ciberseguridad?
Tres documentos: la tabla de riesgos con su fecha y su escala, el plan de tratamiento con responsables y plazos, y la aprobación de la dirección con los riesgos residuales que acepta. Es lo que adjuntas a un cuestionario de seguridad o enseñas en una auditoría, y una pieza del dossier de evidencias.
La tabla
- Fecha y versión.
- El alcance: qué parte de la empresa cubre.
- La escala de probabilidad e impacto, con la definición de cada nivel.
- Cada riesgo con su activo, su puntuación y su tratamiento.
El plan
- Cada medida con su responsable y su fecha.
- El estado de cada medida en la última revisión.
La firma
- La aprobación de la dirección, con fecha.
- Los riesgos residuales que se aceptan, cada uno con su motivo.
La firma no es un trámite. El artículo 20 de la NIS2 pide que los órganos de dirección aprueben las medidas de gestión de riesgos y respondan por ellas (la responsabilidad de la dirección). Cómo encaja el análisis con las otras nueve medidas, en el checklist de la NIS2; y dentro del sistema de documentos que lo sostiene, en qué es un SGSI.
En Talvit, con presupuesto aparte de la cuota de 29 € por puesto y mes (sin IVA), redactamos el análisis de riesgos dentro de tu sistema de seguridad documentado y lo dejamos en el dossier de evidencias, que el índice del dossier lista documento a documento. Aprobarlo le toca a tu dirección.
Lo que esta guía no cubre
- La norma ISO/IEC 27005, que desarrolla la gestión de riesgos de la ISO 27001: no está en abierto y no la resumimos.
- MAGERIT paso a paso: es la metodología de la Administración, en tres libros, y el Centro Criptológico Nacional tiene la herramienta PILAR que la aplica.
- La evaluación de impacto en protección de datos del RGPD, que es otro documento con sus propias reglas.
Preguntas frecuentes
¿Qué diferencia hay entre un análisis de riesgos y una auditoría de ciberseguridad?
El análisis de riesgos decide qué proteger y cómo; la auditoría comprueba si lo que dices que haces está hecho. El análisis va antes: sin él, la auditoría no tiene contra qué medir. Cómo se prepara una, en la auditoría de ciberseguridad.
¿Hay una plantilla oficial de análisis de riesgos para pymes?
INCIBE publica en su blog un ejemplo de seis pasos con tablas de probabilidad e impacto y una matriz de riesgo, y la Administración ofrece MAGERIT, de uso libre. Para una pyme privada, ninguna de las dos es obligatoria: vale la metodología que dejes escrita y sigas siempre igual.
¿Puedo hacer el análisis de riesgos sin un consultor?
Sí. INCIBE lo plantea como un trabajo de la propia empresa, con una hoja de cálculo para el inventario. Lo difícil es puntuar bien la probabilidad sin conocer las amenazas que circulan; ahí ayuda un proveedor o un CISO externo.
¿Es lo mismo que la evaluación de impacto del RGPD?
No. La evaluación de impacto del artículo 35 del RGPD se hace antes de un tratamiento de datos personales que probablemente entrañe un alto riesgo para las personas. El análisis de riesgos de ciberseguridad mira toda la información y los sistemas de la empresa, también lo que no son datos personales.
Fuentes
- INCIBE, «Análisis de riesgos en 6 pasos», blog de empresas, 16 de enero de 2017, consultado el
- Directiva (UE) 2022/2555 (NIS2), arts. 20 y 21, consultado el
- Reglamento de Ejecución (UE) 2024/2690, anexo, punto 2 (política de gestión de riesgos), consultado el
- Reglamento (UE) 2016/679 (RGPD), arts. 32 y 35, consultado el
- BOE, Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad, arts. 2, 7 y 14, consultado el
- Portal de Administración Electrónica, MAGERIT versión 3, metodología de análisis y gestión de riesgos de los sistemas de información, consultado el
- INCIBE, «INCIBE detectó más de 122.000 incidentes de ciberseguridad en 2025», nota de prensa del 9 de febrero de 2026, consultado el
- Achilles, «Repro Spain - Cyber Security Questions», junio de 2020 (copia archivada), consultado el
Registro de cambios
- : Publicación.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
