¿Por qué hay que formar a los empleados en ciberseguridad?
Porque los engaños más frecuentes funcionan cuando una persona hace clic, paga o escribe su contraseña. INCIBE gestionó 45.445 incidentes de fraude online en 2025, 4 de cada 10 del año, y 25.133 fueron phishing. El filtro de correo frena una parte; el correo que se cuela llega a alguien de tu equipo.
25.133
incidentes de phishing gestionó INCIBE en 2025: correos falsos que se hacen pasar por bancos o empresas conocidas para robar datos. El fraude online sumó 45.445, 4 de cada 10 incidentes del año.
La Línea de Ayuda en Ciberseguridad de INCIBE, el 017, atendió 142.767 consultas en 2025, y un 28 % de los usuarios había recibido algún intento de phishing por correo, de vishing (llamadas fraudulentas) o de smishing (SMS o mensajería con enlaces fraudulentos), según el balance de 2025 de INCIBE. Las cifras del año, juntas y con su fuente, están en ciberataques en España en cifras.
La NIS2 lo dice en su considerando 89: las entidades deben adoptar prácticas básicas de ciberhigiene, entre ellas la concienciación de los usuarios, y «han de organizar formaciones para su personal y sensibilizar sobre las ciberamenazas», con mención expresa de la ingeniería social. Ciberhigiene son los hábitos de seguridad de cada día; ingeniería social, el engaño que busca que una persona haga algo que no debe.
¿Qué dice la NIS2 sobre la formación en ciberseguridad?
Dos cosas distintas. El artículo 20.2 obliga a los miembros de la dirección de las entidades afectadas a asistir a formaciones y pide a los Estados que alienten a esas entidades a formar periódicamente a sus empleados. El artículo 21.2.g pone la ciberhigiene y la formación en ciberseguridad entre las medidas mínimas.
| Texto | Qué dice | A quién se dirige |
|---|---|---|
| NIS2, artículo 20.2 | Los miembros de los órganos de dirección «deban asistir a formaciones», y los Estados «alentarán» a las entidades a ofrecer formación similar a sus empleados, periódicamente | A la dirección como obligación; a la plantilla, como recomendación |
| NIS2, artículo 21.2.g | «Las prácticas básicas de ciberhigiene y formación en ciberseguridad», entre las medidas mínimas | A las entidades esenciales e importantes |
| NIS2, considerando 89 | Concienciación de los usuarios, formación del personal y sensibilización sobre ingeniería social | Explica cómo leer el artículo 21 |
| Reglamento de Ejecución (UE) 2024/2690, anexo, punto 8 | Un programa de sensibilización repetido en el tiempo, que incluya a los nuevos empleados y cuya eficacia se pruebe | Solo a proveedores digitales: nube, centros de datos, servicios gestionados, DNS y similares |
La formación de quien dirige tiene su propia guía: la responsabilidad de la dirección en la NIS2. Y aunque tu empresa no esté obligada, un cliente que sí lo esté puede preguntarte por la formación de tu equipo en su cuestionario de seguridad.
¿Qué temas debe incluir la formación en ciberseguridad?
Los que tocan el trabajo de cada día: correos trampa, contraseñas y doble factor, pagos y cambios de cuenta bancaria, el puesto de trabajo, móviles y teletrabajo, redes sociales, cómo se trata la información y qué hacer si algo va mal. El kit de INCIBE los reparte en 9 unidades y 6 temas.
| Tema | Qué aprende el equipo | A quién va sobre todo |
|---|---|---|
| Correo electrónico | Reconocer un correo trampa y qué hacer con uno sospechoso | A todos |
| Contraseñas y doble factor | Una contraseña por servicio, un gestor de contraseñas y un segundo factor | A todos |
| Pagos y cambios de cuenta | Confirmar por otra vía cualquier cambio de cuenta o pago urgente | Administración, compras y dirección |
| Puesto de trabajo | Bloquear la pantalla, actualizar y no instalar programas por su cuenta | A todos |
| Móviles y teletrabajo | Redes wifi, dispositivos personales y qué hacer si se pierde uno | Quien trabaja fuera de la oficina |
| Redes sociales de la empresa | Quién publica, con qué cuenta y qué no se cuenta | Quien gestiona los perfiles |
| La información | Clasificar, cifrar, hacer copias y borrar | Quien maneja datos de clientes |
| Si algo va mal | A quién avisar y en cuánto tiempo, sin miedo a represalias | A todos |
Las unidades del kit de INCIBE son la información (tres: su valor, clasificación y cifrado, copias y borrado), el correo electrónico, las contraseñas, el puesto de trabajo (dos), los móviles y el teletrabajo, y las redes sociales de la empresa. Cada una trae presentación con notas para quien la imparte, un documento explicativo, dos consejos, carteles y un test de evaluación (manual de implantación del kit).
Para profundizar tema a tema: cómo reconocer un correo trampa, el fraude del CEO, el fraude del cambio de cuenta bancaria y la verificación del beneficiario, contraseñas en la empresa y teletrabajo seguro.
¿Cada cuánto hay que formar al equipo en ciberseguridad?
Un poco cada mes o cada trimestre, durante todo el año, y siempre que entra alguien nuevo. El kit de INCIBE propone una unidad al mes durante 9 meses, dentro de un plan de 11 meses y medio. El reglamento europeo para proveedores digitales pide repetir las actividades e incluir a las nuevas incorporaciones.
Semanas 1 a 5
Simulacros de partida
Un correo trampa de prueba, una memoria USB y un enlace malicioso, cinco días laborables cada uno, con una semana de descanso entre ellos. Miden el punto de partida.
Semana 6
Presentación
Aviso al equipo de que empieza el programa, carteles y trípticos.
Los 9 meses siguientes
Una unidad al mes
Día 1: documento, carteles y primer consejo. Día 15: segundo consejo. Día 20: test de evaluación.
Las 6 semanas finales
Simulacros de cierre
Otra tanda, más difícil de detectar, para comparar con la de partida. Al final, una encuesta de satisfacción.
Fuente: INCIBE, Kit de concienciación: manual de implantación (dentro del archivo descargable, 2020), consultado el .
INCIBE presenta el kit para que lo apliquen organizaciones de cualquier sector «sin necesidad de tener conocimientos técnicos previos» (página del kit), aunque su manual recomienda contar con alguien con conocimientos de informática y redes para implantarlo, sobre todo para los simulacros, que usan una herramienta de envío llamada Gophish.
El Reglamento de Ejecución (UE) 2024/2690 pide a los proveedores digitales que obliga un programa de sensibilización que «se programará a lo largo del tiempo, de forma que se repitan las actividades e incluya a los nuevos empleados», y que se actualice a intervalos planificados. Fuera de esos proveedores no obliga, pero sirve de modelo.
¿Qué es un simulacro de correo trampa y para qué sirve?
Es un correo trampa de prueba que se envía al equipo para ver quién lo reconoce. Sirve para medir el punto de partida y para aprender: quien cae ve en ese momento qué señal se le escapó. Los resultados sirven para decidir qué formación repetir, no para señalar a nadie.
El kit de INCIBE empieza por ahí: los simulacros de partida se preparan con el menor número posible de personas al tanto, para que el resultado sea realista, y se repiten al final para comparar. En su simulacro de correo, la contraseña puede capturarse solo en parte, para no afectar a la privacidad de quien cae.
Si un simulacro es una medida de control laboral lo decide tu asesoría; aplicar esas cautelas no cuesta nada. Y si no tienes a nadie dentro con tiempo para prepararlos, enviarlos y medirlos, hay servicios que lo hacen: simulación de phishing para empresas.
¿Cómo se mide si la formación en ciberseguridad funciona?
Comparando el mismo tipo de simulacro antes y después: cuántos hacen clic, cuántos avisan y cuánto tardan en avisar. Los avisos importan tanto como los clics, porque un aviso a tiempo permite retirar el correo antes de que llegue a más gente. El kit de INCIBE añade un test al final de cada unidad.
| Situación | Si mejora | Si empeora o no cambia |
|---|---|---|
| Personas que hacen clic | Bajan respecto al simulacro anterior | Repite la unidad del correo con ejemplos de tu sector |
| Personas que avisan | Suben: el equipo sabe a quién decírselo | Deja claro el canal y que avisar nunca se castiga |
| Tiempo hasta el primer aviso | Minutos: da tiempo a retirar el correo al resto | Horas: un correo real habría llegado a todos |
| Test de cada unidad | Lo aprueba casi todo el equipo | Vuelve sobre el punto que falla, sin señalar a nadie |
El reglamento 2024/2690 pide que el programa de sensibilización «se probará en términos de eficacia, según proceda» y que de la formación especializada «se evaluará su eficacia». Sin una medida de partida no hay con qué comparar: por eso el kit de INCIBE empieza por un simulacro y acaba con otro más difícil.
¿Hay formación en ciberseguridad gratuita para pymes?
Sí. INCIBE ofrece un kit de concienciación para pymes y microempresas que se descarga entero desde su web: 9 unidades con presentaciones, documentos, carteles, consejos y tests, simulacros de correo trampa, memoria USB y enlace malicioso, y un manual con el calendario de un año. El propio kit lo presenta como gratuito.
Antes
- Nombrar a una persona responsable del kit
- Buscar apoyo de alguien que sepa de informática para los simulacros
- Informar al equipo de que habrá simulacros y de qué se registra
Durante
- Una unidad al mes, con su test al final
- Carteles a la vista y consejos por correo o intranet
- Guardar el resultado de cada simulacro y de cada test
Al terminar
- Repetir los simulacros y comparar
- Rotar los carteles para que no se olvide
- Planificar el año siguiente con lo que falló
Dos avisos prácticos: el archivo pesa más de 500 MB y su manual es de 2020, así que conviene completar los ejemplos de fraude con los de ahora, como el fraude con voz clonada por IA o las estafas por teléfono y WhatsApp.
¿Sirve la formación en ciberseguridad como evidencia ante un cliente?
Sí, si queda registrada: quién la hizo, cuándo, qué temas cubrió y el resultado de los simulacros por campaña. Si un cuestionario de seguridad te pregunta por la formación, lo que puedes enseñar es ese registro, no la frase «formamos al equipo». Sin registro, para un cliente, la formación no ha ocurrido.
De cada sesión o unidad
- Fecha y tema
- Quién la ha hecho y quién falta
- Material usado y resultado del test
De cada simulacro
- Fecha y tipo de correo de prueba
- Resultado por campaña: enviados, clics y avisos, sin nombres fuera de la empresa
- Qué formación se repitió por ese resultado
Del programa
- Calendario del año y responsable
- La formación de la dirección, aparte
- Las altas del año y cuándo recibió cada una su formación inicial
Ese registro va al dossier de evidencias, y es lo que enseñas cuando lo pide un cuestionario o una aseguradora (requisitos del ciberseguro). En Talvit, la formación y los simulacros de correos trampa se presupuestan aparte de la cuota de 29 € por puesto y mes (IVA no incluido).
Lo que esta guía no cubre
- La formación técnica de tu informático o de tu equipo de TI, que es otro programa.
- Si un simulacro es una medida de control laboral o exige consultar a la representación de los trabajadores: lo decide tu asesoría.
- La formación de la dirección que pide la NIS2, que tiene su guía sobre la responsabilidad de la dirección.
Preguntas frecuentes
¿Quién tiene que hacer la formación en ciberseguridad?
Todo el que use el correo o los equipos de la empresa, también la dirección. Si te aplica la NIS2, la dirección tiene una obligación propia de formarse (artículo 20.2). Quien gestiona pagos merece una sesión aparte sobre el fraude del cambio de cuenta.
¿La formación en ciberseguridad es obligatoria?
Si tu empresa entra en la NIS2, la formación en ciberseguridad está entre las medidas mínimas del artículo 21.2.g y la dirección debe formarse (artículo 20.2). En España, a 18 de octubre de 2026, la ley de transposición no está en el BOE. Fuera de la NIS2, puede pedírtela un cliente en su cuestionario.
¿Cuánto tiene que durar cada sesión?
No hay una duración oficial. El kit de INCIBE no se basa en sesiones largas: reparte cada unidad en un mes, con un documento para leer, dos consejos, carteles y un test. Si haces una sesión presencial, el kit trae la presentación con notas para quien la imparte.
¿Qué hago si alguien cae en un simulacro?
Que vea qué señal se le escapó y repita la unidad del correo. Los resultados sirven para mejorar la formación, nunca para señalar a nadie: lo que buscas es que la próxima vez avise, y eso no pasa si avisar tiene consecuencias.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), arts. 20.2 y 21.2 y considerando 89, consultado el
- Reglamento de Ejecución (UE) 2024/2690, art. 1 y anexo, punto 8, consultado el
- INCIBE, Kit de concienciación para empresas, consultado el
- INCIBE, Kit de concienciación: manual de implantación (dentro del archivo descargable, 2020), consultado el
- INCIBE, «INCIBE detectó más de 122.000 incidentes de ciberseguridad en 2025» (9 de febrero de 2026), consultado el
- AEPD, «La protección de datos en las relaciones laborales» (actualizada en diciembre de 2025), p. 50, consultado el
Registro de cambios
- : Publicación.
- : Reescrita entera: lo que dicen la NIS2 y el Reglamento 2024/2690, el calendario de un año con el kit de INCIBE, cómo medir la formación, las cautelas de la AEPD antes de un simulacro y el registro que vale como prueba.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
