El riesgo cibernético deja de ser un problema de TI para convertirse en una prioridad financiera

ERA Group advierte de que los ciberataques ya no solo afectan a los sistemas informáticos, sino que ponen en riesgo la liquidez, la continuidad del negocio, la reputación y la capacidad de crecimiento de las empresas

El riesgo cibernético ha dejado de ser una cuestión exclusivamente tecnológica para convertirse en uno de los principales riesgos financieros a los que se enfrentan las empresas. En España, el Instituto Nacional de Ciberseguridad (INCIBE) gestionó 122.223 incidentes de ciberseguridad en 2025, un 26 % más que el año anterior, una evolución que refleja cómo las amenazas digitales forman ya parte del escenario habitual al que se enfrentan las organizaciones.

Así lo concluye el informe «El coste del silencio: por qué los directores financieros no pueden ignorar el riesgo cibernético», elaborado por ERA Group, consultora especializada en optimización de costes y gestión de proveedores, que analiza cómo el impacto de los ciberataques trasciende el ámbito de los departamentos de TI y afecta directamente a la liquidez, la continuidad del negocio, la reputación, las relaciones con los proveedores, los seguros y el cumplimiento normativo.

Según el informe, un incidente cibernético ya no supone únicamente la interrupción de sistemas informáticos. También puede paralizar la producción, impedir la emisión de facturas, retrasar pedidos, comprometer datos sensibles, generar responsabilidades legales y regulatorias o deteriorar la confianza de clientes e inversores. En consecuencia, el verdadero coste de un ciberataque rara vez se concentra en una única partida presupuestaria, sino que se extiende a múltiples áreas del negocio.

Este cambio de escenario hace que la conversación sobre ciberseguridad también deba evolucionar. Para ERA Group, la pregunta se centra en cómo minimizar el impacto financiero y operativo que puede tener un incidente sobre la organización.

«Durante mucho tiempo la ciberseguridad se ha considerado una responsabilidad técnica. Sin embargo, hoy hablamos de un riesgo empresarial que puede afectar al flujo de caja, a la capacidad operativa y a la estabilidad financiera de cualquier organización. Por eso, la dirección financiera debe formar parte de esta conversación», explica Eva Linares, Partner de ERA Group.

Un riesgo cada vez más frecuente y con mayor impacto económico
El informe también pone cifras a esta realidad. De acuerdo con la última encuesta sobre brechas de ciberseguridad de Reino Unido, el 43 % de las empresas sufrió al menos una brecha o ataque cibernético durante 2025/26, mientras que el phishing afectó al 38 % de las organizaciones. Aunque las empresas están reforzando su capacidad de respuesta, la creciente sofisticación de los ciberataques obliga a revisar la manera en la que las organizaciones evalúan y gestionan este riesgo.

La realidad española muestra además que este riesgo no está limitado a grandes corporaciones. Según INCIBE, aproximadamente el 60 % de los incidentes gestionados en 2025 afectaron a pymes y autónomos, evidenciando que cualquier organización conectada puede convertirse en objetivo y sufrir consecuencias económicas derivadas de una interrupción o una brecha de seguridad.

Entre las amenazas con impacto económico más directo destaca el fraude online. En 2025, INCIBE registró 45.445 incidentes de este tipo, un 19 % más que el año anterior, relacionados con técnicas como la suplantación de identidad, engaños o transferencias fraudulentas que afectan directamente a los recursos financieros de las organizaciones.

Además, ERA Group advierte de que los costes más relevantes de un incidente no siempre están relacionados con el rescate o la recuperación tecnológica. La imposibilidad de atender clientes, las interrupciones en la cadena de suministro, la contratación urgente de proveedores alternativos, la pérdida de ingresos o el deterioro de la reputación pueden prolongar durante meses las consecuencias económicas de un ciberataque.

«La pregunta que deberían hacerse las empresas no es si cuentan con medidas de ciberseguridad, sino si conocen realmente cuál sería el impacto económico de una interrupción de su actividad y si están preparadas para afrontarlo», añade Eva Linares.

La gestión del riesgo cibernético pasa por la dirección financiera
El informe subraya que los directores financieros no necesitan conocer en profundidad los aspectos técnicos de la ciberseguridad, pero sí entender qué consecuencias tendría un incidente para el negocio. Analizar si los seguros ofrecen una cobertura adecuada, evaluar la dependencia de proveedores críticos, revisar los planes de continuidad o comprobar si los tiempos de recuperación siguen siendo realistas son decisiones que ya forman parte de la gestión financiera de cualquier organización.

ERA Group defiende un enfoque integral del riesgo cibernético, en el que la inversión en resiliencia no se limite a incrementar el gasto tecnológico, sino que se apoye en una revisión global de la estructura de costes, los contratos con proveedores, las coberturas aseguradoras y la planificación de la continuidad del negocio. El objetivo es identificar oportunidades para reforzar la protección de la empresa optimizando los recursos disponibles.

Las conclusiones del informe apuntan a que las organizaciones que incorporen el riesgo cibernético dentro de su estrategia financiera estarán mejor preparadas para proteger su flujo de caja, mantener la confianza de sus clientes y responder con mayor capacidad de adaptación en un entorno donde los ciberataques son cada vez más sofisticados y las exigencias regulatorias continúan aumentando.