¿Qué es un plan director de seguridad?
Es la planificación de los proyectos de seguridad de la información de una empresa, con el compromiso de la dirección, para reducir sus riesgos hasta un nivel aceptable a partir de un análisis de la situación inicial. Según INCIBE, marca las prioridades, los responsables y los recursos, y reúne proyectos técnicos, legales y organizativos.
La definición es de INCIBE: una planificación de actividades «que cuente con el compromiso de la dirección» y que contendrá proyectos técnicos, legales y organizativos. Unos serán de instalar productos o contratar servicios; otros, de cumplir las leyes de privacidad y comercio electrónico, formar a la plantilla o poner en marcha políticas y procedimientos internos.
No es la lista de seis medidas de ciberseguridad para pymes, ni la política de seguridad, ni un certificado. La política dice qué se compromete a hacer la empresa; el plan dice qué proyectos hará para llegar ahí, en qué orden y con qué dinero. Y para INCIBE, la certificación en la ISO 27001 es lo que puede venir después de ejecutar el plan.
¿Qué fases tiene un plan director de seguridad según INCIBE?
Seis: conocer la situación actual, conocer la estrategia de la empresa, definir proyectos e iniciativas, clasificarlos y priorizarlos, que la dirección apruebe el plan y ponerlo en marcha. La primera incluye el alcance, los responsables, la evaluación de controles y el análisis de riesgos. Al terminar, el ciclo empieza otra vez.
Conocer la situación actual: alcance, responsables, evaluación de controles, análisis técnico y análisis de riesgos.
Conocer la estrategia de la empresa: crecimiento, reorganizaciones, externalización, nuevos sectores.
Definir los proyectos e iniciativas, con su coste en tiempo y en dinero.
Clasificar y priorizar los proyectos: corto, medio y largo plazo, y las victorias rápidas.
Aprobar el plan: la dirección lo revisa hasta tener una versión final y la comunica a la plantilla.
Ponerlo en marcha: un responsable por proyecto, revisiones periódicas y vuelta a empezar.
El dosier de INCIBE avisa de que la primera fase es «la más importante y compleja», porque necesita información fiable, completa y actualizada, y el apoyo de la dirección. La segunda pesa menos en esfuerzo, pero alinea las medidas con el negocio. El ejemplo de INCIBE: si la empresa va a entrar en un grupo que centraliza la informática, mejor no invertir en equipos propios que quizá no se amorticen.
| Nivel | Qué significa | Ejemplo con las copias de seguridad |
|---|---|---|
| 0 · Inexistente | El control no se lleva a cabo | No se hacen copias |
| 1 · Inicial | Las salvaguardas existen, pero no se gestionan | Se hacen sin procedimiento y sin planificación |
| 2 · Repetible | Se hace de modo informal, con responsabilidad individual y sin formación | Se hacen con procedimientos y planificación sobre la marcha |
| 3 · Definido | Hay un procedimiento escrito, sin aprobar | El procedimiento de copias está escrito, pero nadie lo ha aprobado |
| 4 · Administrado | El procedimiento está aprobado y formalizado | Las copias siguen un procedimiento aprobado |
| 5 · Optimizado | Además, su eficacia se mide con indicadores | Copias, procedimiento, pruebas de recuperación periódicas y análisis de incidencias |
¿Cómo se decide qué proyecto va primero en un plan director de seguridad?
Por tres criterios: cuánto riesgo reduce, qué obligación o exigencia resuelve y cuánto esfuerzo cuesta. INCIBE recomienda ordenar los proyectos a corto, medio y largo plazo y apartar los que piden poco esfuerzo y mejoran mucho la seguridad, las llamadas victorias rápidas. Una exigencia con fecha, como un cuestionario, adelanta proyectos.
| Situación | Riesgo que reduce | Medida del art. 21.2 de la NIS2 | Esfuerzo | Plazo |
|---|---|---|---|---|
| Doble factor en el correo | Robo de cuentas | Letra j | Bajo | Victoria rápida |
| Copias con restauración probada | Perder los datos | Letra c | Medio | Corto plazo |
| Política de seguridad firmada | Que nadie sepa quién decide | Letra a | Bajo | Victoria rápida |
| Antivirus gestionado en todos los equipos | Que un ataque se extienda | Letra e | Medio | Corto plazo |
| Formación de la plantilla | Correos trampa | Letra g | Medio | Medio plazo |
| Plan de respuesta a incidentes | Improvisar en una crisis | Letra b | Medio | Medio plazo |
| Revisión de proveedores | Que entren por un tercero | Letra d | Alto | Largo plazo |
La columna de la NIS2 no es opinión: es la letra del artículo 21.2 de la directiva que cubre cada proyecto; la del antivirus la fija el Reglamento de Ejecución 2024/2690, que pone la protección frente a programas maliciosos en la letra e (anexo, 6.9). El riesgo, el esfuerzo y el plazo sí son un ejemplo: cambian con tu punto de partida. Para puntuar bien el riesgo, el documento de entrada es el análisis de riesgos; para saber qué tienes, el inventario de equipos.
¿Qué proyectos suelen entrar en el plan director de una pyme?
INCIBE pone diez de ejemplo: política de seguridad, concienciación, gestión de incidentes, adecuación al RGPD, coordinación entre personal e informática, plan de continuidad, seguridad de la red, política de copias con restauraciones periódicas, clasificación de la información y contratos con proveedores TIC. Conviene sumar el inventario y el doble factor, que la NIS2 nombra.
| Proyecto | Qué se hace | La prueba que queda |
|---|---|---|
| Inventario de equipos y programas | Lista de lo que hay, de quién es y qué datos toca | El inventario con fecha de revisión |
| Política de seguridad | Compromiso de la dirección, uso del correo, móviles y protección de datos | La política firmada y comunicada |
| Doble factor | Segundo paso de acceso en el correo y los servicios en la nube | Captura de la política aplicada a todas las cuentas |
| Copias de seguridad | Qué se copia, dónde y cómo se restaura | El registro de la última restauración probada |
| Antivirus gestionado | Protección que detecta y frena el ataque en cada equipo | El informe de equipos protegidos del mes |
| Concienciación | Formación para la plantilla y la dirección | El registro de quién la hizo y cuándo |
| Gestión de incidentes | Un proceso para detectar, responder y registrar | El procedimiento y el registro de incidentes |
| Proveedores TIC | Revisar contratos y, en los críticos, acuerdos de nivel de servicio | Los contratos revisados y la lista de proveedores |
| Continuidad | Cómo sigue la empresa si cae un sistema | El plan y la última prueba |
Cada fila tiene su guía: el inventario, el doble factor, las copias, el antivirus gestionado, la formación, el plan de respuesta a incidentes, la seguridad de proveedores y el plan de continuidad. Si quieres ver si te falta alguna pieza básica, pasa antes el checklist de 20 puntos.
¿Cómo se presupuesta un plan director de seguridad?
Proyecto a proyecto: INCIBE pide estimar el coste de cada iniciativa en tiempo y en dinero, con los recursos internos y externos que necesita. INCIBE no da una cifra de referencia. Una ayuda puede cubrir parte: en Pyme Cibersegura 2026 de la Cámara de Sevilla, hasta 3.638 € de un plan de 4.280 €.
| Concepto | Gasto total | Ayuda FEDER (85 %) | Pone la empresa |
|---|---|---|---|
| Coste directo del plan | 4.000 € | 3.400 € | 600 € |
| Costes indirectos (7 %) | 280 € | 238 € | 42 € |
| Total | 4.280 € | 3.638 € | 642 € |
El programa tiene dos fases: un diagnóstico asistido, gratuito para la empresa, y una ayuda para ejecutar el plan personalizado que sale de él, con proveedores que la empresa elige libremente y no vinculados a ella. La empresa adelanta el pago, tiene seis meses para ejecutar y un mes para justificar, y no puede volver a financiar soluciones pagadas con el Kit Digital (convocatoria de Sevilla). Qué hay abierto en cada sitio, en ayudas de ciberseguridad para pymes.
9 %
Del presupuesto de informática fue a ciberseguridad en las organizaciones del estudio NIS Investments 2025, el 83 % de ellas grandes. No es una referencia para una pyme.
Esa cifra de ENISA sale de 1.080 profesionales de organizaciones de sectores de la NIS2, con una mediana de 1,5 millones de euros de gasto en ciberseguridad. Sirve para saber que la seguridad tiene su propia línea en el presupuesto de informática, no para calcular la tuya. La tuya sale de sumar los proyectos del plan, como pide INCIBE. Lo que cuesta un servicio gestionado, en cuánto cuesta la ciberseguridad de una pyme.
¿Quién aprueba y quién ejecuta el plan director de seguridad?
Lo aprueba la dirección, que según INCIBE lo revisa hasta tener una versión final y comunica su respaldo a toda la plantilla. Lo ejecuta un responsable por proyecto, coordinado por el responsable de seguridad. En las empresas a las que se aplique la NIS2, la dirección aprueba las medidas y supervisa su aplicación (artículo 20).
El punto de partida
- Alcance definido: toda la empresa o los procesos sin los que no puede trabajar
- Cada control evaluado con la escala de madurez
- Análisis de riesgos con el nivel de riesgo aceptable por escrito
Los proyectos
- Cada uno con su responsable
- Coste estimado en tiempo y en dinero
- Plazo: corto, medio o largo, y las victorias rápidas señaladas
El gobierno del plan
- Quién lo aprueba y en qué fecha
- Cada cuánto se revisa cada proyecto y el plan entero
- Comité de seguimiento, si el tamaño del plan lo pide
- Cómo se comunica a la plantilla
INCIBE pide definir al menos un responsable de seguridad que coordine las iniciativas, y admite que en empresas pequeñas varios papeles recaigan en la misma persona (dosier de INCIBE). Quién puede serlo, en el responsable de seguridad de la información; qué responde la dirección con la NIS2, en la NIS2 y la dirección.
¿Cómo se reparte un plan director de seguridad a lo largo de un año?
Por trimestres, con una revisión en cada uno. Un reparto razonable empieza por el diagnóstico y las victorias rápidas, sigue con los proyectos de esfuerzo medio y deja los largos para la segunda mitad. INCIBE pide fijar cada cuánto se revisa cada proyecto y el plan entero, y revisarlo si la empresa cambia.
Primer trimestre
Situación actual y aprobación
Alcance, inventario, evaluación de controles y análisis de riesgos. La dirección aprueba el plan.
Segundo trimestre
Victorias rápidas
Doble factor en el correo, política firmada y primera restauración de copias probada.
Tercer trimestre
Proyectos de esfuerzo medio
Antivirus gestionado en todos los equipos, formación de la plantilla y plan de respuesta a incidentes.
Cuarto trimestre
Proyectos largos y revisión
Revisión de proveedores y continuidad. La dirección revisa el año y aprueba el siguiente ciclo.
¿Cómo demuestras a un cliente que cumples tu plan director de seguridad?
Con el plan aprobado y fechado, el estado de cada proyecto y la prueba de lo que ya está hecho: capturas, registros e informes del mes. Un cliente no suele pedir el plan entero; pregunta por controles concretos, y el plan te permite responder qué tienes, con qué prueba y cuándo tendrás lo que falta.
Las pruebas se guardan en un solo sitio, el dossier de evidencias: la carpeta con lo que demuestra que cada control funciona. Qué documentos lleva, en el índice del dossier. Para contestar pregunta a pregunta, la plantilla de respuesta a un cuestionario.
Con Talvit, la puesta en marcha tiene cuatro pasos: valoración del estado actual, despliegue de la protección, documentación del sistema de seguridad y mantenimiento. Reunimos cada mes las pruebas en tu dossier, con presupuesto aparte de la cuota de 29 € por puesto y mes. Si quieres que alguien lleve el plan contigo cada mes, el CISO externo de 8 horas incluye la hoja de ruta hacia la NIS2 o la ISO 27001.
Lo que esta guía no cubre
- Un precio para tu plan: depende de tu punto de partida y de los proyectos que salgan.
- Cómo se hace el análisis de riesgos paso a paso, que tiene su propia guía.
- Las condiciones de cada convocatoria de ayudas, que cambian por cámara y por año.
Preguntas frecuentes
¿Es obligatorio tener un plan director de seguridad?
Ninguna ley lo exige con ese nombre. Lo que sí piden la NIS2, el Esquema Nacional de Seguridad o un cliente es lo que contiene: análisis de riesgos, medidas decididas y aprobadas por la dirección y su seguimiento.
¿Puedo hacer el plan director con las plantillas de INCIBE?
Sí. INCIBE publica plantillas de inventario de activos, de evaluación de controles basada en la ISO 27002, de análisis de riesgos y de priorización de iniciativas. Lo difícil no es el formato, sino tener datos fiables de la situación actual.
¿Qué diferencia hay entre el plan director y la política de seguridad?
La política dice qué se compromete a hacer la empresa y quién es responsable; el plan director dice qué proyectos se harán para llegar ahí, en qué orden y con qué recursos. INCIBE pone la política como el primero de sus proyectos tipo.
¿Cada cuánto se revisa un plan director de seguridad?
Con la periodicidad que fije la empresa para cada proyecto y para el plan entero, y siempre que haya cambios sustanciales. INCIBE lo plantea como mejora continua: cuando se termina, empieza un ciclo nuevo.
Fuentes
- INCIBE, Plan Director de Seguridad, consultado el
- INCIBE, dosier «Plan Director de Seguridad» de la colección Protege tu empresa, consultado el
- INCIBE, Políticas de seguridad para la pyme: plan director de seguridad, consultado el
- Directiva (UE) 2022/2555 (NIS2), arts. 20 y 21, consultado el
- Reglamento de Ejecución (UE) 2024/2690, anexo, punto 6.9, consultado el
- Cámara de Comercio de Sevilla, convocatoria Pyme Cibersegura 2026 (23 de febrero de 2026), consultado el
- ENISA, NIS Investments 2025 (8 de diciembre de 2025), consultado el
Registro de cambios
- : Publicación.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
