En 2025, España registró más de 122.000 incidentes de ciberseguridad, un 26% más que el año anterior. Y la mayoría de esos incidentes no empezaron con un sofisticado ataque técnico: empezaron con un empleado que hizo clic donde no debía. El error humano es la principal puerta de entrada de los ciberataques, y la única forma de reducirlo de manera sostenida es la formación. Una formación que, además, puede financiarse íntegramente con el crédito Fundae de la empresa.
¿Por qué la ciberseguridad de tu empresa depende de la formación de tus empleados?
Los sistemas técnicos de protección (antivirus, firewalls, sistemas de detección de intrusos) son necesarios pero insuficientes si la plantilla no sabe reconocer una amenaza. El atacante no necesita romper la muralla si puede convencer a alguien de que le abra la puerta.
La Directiva NIS2 (Directiva UE 2022/2555), en proceso de transposición en España a través de la Ley de Coordinación y Gobernanza de la Ciberseguridad, lo reconoce expresamente en su artículo 20: obliga a los órganos de dirección a formarse en ciberseguridad y a implementar programas de formación y concienciación continuos para todos los empleados. No como recomendación, sino como obligación. Y el Reglamento de Ciberresiliencia (CRA, Reglamento UE 2024/2847) refuerza esta tendencia extendiendo los requisitos de seguridad a productos y servicios digitales durante todo su ciclo de vida.
Principales riesgos: phishing, ransomware e ingeniería social
Los tres vectores de ataque más frecuentes en empresas de cualquier tamaño son:
- El phishing es el ataque más común. Consiste en suplantar la identidad de un remitente legítimo (un banco, un proveedor, un compañero de trabajo) para engañar al empleado y conseguir que entregue credenciales, transfiera dinero o instale un archivo malicioso. El spear phishing es su versión dirigida: el atacante investiga a la víctima previamente para hacer el mensaje más creíble.
- El ransomware cifra los archivos de la empresa y exige un rescate para recuperarlos. Suele llegar a través de un enlace o archivo adjunto en un correo de phishing. Sus consecuencias van desde la paralización total de la operativa hasta la filtración de datos confidenciales y las sanciones regulatorias asociadas.
- La ingeniería social agrupa técnicas de manipulación psicológica para que el empleado revele información o realice acciones que faciliten el ataque. El pretexting (hacerse pasar por un directivo o proveedor urgente), el vishing (phishing por teléfono) y el baiting (dejar un USB infectado a la vista) son sus formas más habituales.
Qué debe incluir un plan de formación en ciberseguridad para la empresa
Un plan de formación en ciberseguridad efectivo no puede ser un único curso anual de dos horas. Debe combinar varias modalidades y cubrir al menos cinco áreas:
- Concienciación básica para toda la plantilla: reconocimiento de phishing, gestión de contraseñas, uso seguro del correo y los dispositivos, y protocolo ante incidentes.
- Formación específica por rol: los perfiles con acceso a datos sensibles, sistemas financieros o administración de redes necesitan formación más profunda.
- Simulaciones de phishing: ejercicios prácticos en los que se envían correos de phishing simulados a la plantilla para medir la tasa de detección y reforzar la formación donde haya más vulnerabilidad.
- Formación directiva: la NIS2 exige que los órganos de dirección entiendan los riesgos de ciberseguridad y sean capaces de aprobar y supervisar las medidas.
- Actualización continua: el panorama de amenazas cambia constantemente; la formación debe actualizarse al menos una vez al año.
Obligaciones normativas: NIS2 y el Reglamento de Ciberresiliencia (CRA)
La Directiva NIS2 afecta a empresas de 18 sectores (energía, transporte, banca, sanidad, infraestructuras digitales, entre otros) con 50 o más empleados o más de 10 millones de euros de facturación. Sus sanciones pueden alcanzar los 10 millones de euros o el 2% de la facturación global anual. En España, su transposición a través de la Ley de Coordinación y Gobernanza de la Ciberseguridad sigue en tramitación parlamentaria, pero la Comisión Europea ha enviado ya dos requerimientos formales y muchas obligaciones tienen efecto directo. Esperar a la ley nacional no es una estrategia prudente.
El Reglamento de Ciberresiliencia (CRA, Reglamento UE 2024/2847) aplica a fabricantes e importadores de productos con elementos digitales y establece requisitos de seguridad durante todo el ciclo de vida del producto.
Cómo bonificar la formación en ciberseguridad con el crédito Fundae
Toda la formación en ciberseguridad incluida en el Catálogo de Especialidades Formativas de Fundae puede bonificarse con el crédito anual que la empresa genera automáticamente. Los cursos de seguridad informática, protección de datos, gestión de incidentes y cumplimiento normativo son especialidades bonificables en su gran mayoría.
La formación en ciberseguridad tiene además una ventaja adicional frente a otras áreas: su coste unitario suele ser relativamente bajo y su impacto potencial (evitar un incidente) es muy alto. El ROI de formar a la plantilla en ciberseguridad con crédito Fundae es, en la mayoría de los casos, difícil de superar.
En Formación Continua contamos con el Curso Superior en Ciberseguridad Empresarial y Obligaciones NIS2 , el Curso en Reglamento de Ciberresiliencia (CRA) y el Curso en Resiliencia Operativa Digital DORA, todos bonificables a través de Fundae.
Buenas prácticas para reforzar la cultura de seguridad del equipo
La formación puntual no es suficiente si no va acompañada de una cultura de seguridad que refuerce los comportamientos correctos en el día a día. Las prácticas más efectivas son:
- Política de contraseñas robusta con uso obligatorio de gestores de contraseñas y autenticación multifactor (MFA) en todos los accesos críticos.
- Protocolo claro de notificación de incidentes: el empleado que detecta algo sospechoso debe saber exactamente a quién comunicarlo y en cuánto tiempo.
- Actualizaciones automáticas de sistemas y software para reducir la superficie de ataque por vulnerabilidades conocidas.
- Control de accesos por principio de mínimo privilegio: cada empleado solo tiene acceso a los sistemas y datos que necesita para su trabajo.
- Backup periódico y verificado: copias de seguridad regulares, almacenadas en ubicaciones separadas y probadas periódicamente para confirmar que la restauración funciona.
🎣 ¿Tu equipo detectaría un phishing?
Test con 5 casos reales simuladosAnaliza cada correo y decide si es legítimo, un intento de phishing o un mensaje sospechoso. Al final verás tu puntuación y las pistas clave que debías detectar en cada caso.
Hemos detectado un acceso no autorizado a su cuenta bancaria desde una ubicación inusual (Rumanía, 03:42h). Por su seguridad, su cuenta ha sido bloqueada temporalmente.
Para desbloquearla y verificar su identidad, haga clic en el siguiente enlace en las próximas 2 horas o su cuenta será cancelada definitivamente:
➡ Verificar mi identidad ahora
Atentamente,
Servicio de Seguridad — Banco Santander
Como parte de nuestra política de seguridad, todas las contraseñas corporativas deben actualizarse cada 90 días. Tu contraseña actual caducará el próximo 30 de septiembre.
Puedes cambiarla directamente desde el portal corporativo al que accedes habitualmente, en el menú «Mi cuenta» → «Cambiar contraseña». No necesitas hacer nada más.
Si tienes alguna duda, responde a este correo o escríbenos a it@tuempresa.com.
Un saludo,
Departamento de IT — TuEmpresa
Estoy en una reunión y no puedo hablar. Necesito que hagas una transferencia urgente de 4.800 € al proveedor que te indico en el siguiente número de cuenta antes de las 14h de hoy. Es un pago atrasado y si no llega hoy perdemos el contrato.
IBAN: ES76 0049 1805 3421 1234 5678
Concepto: Factura PRV-2026-089
Confírmame por aquí cuando lo hayas hecho. Luego te explico.
Carlos Martínez
Director General
Le comunicamos que tenemos una factura pendiente de pago a su nombre por importe de 1.240 € correspondiente al pedido de agosto.
Adjuntamos la factura en formato PDF. Para cualquier consulta o para realizar el pago, puede contactar con nosotros respondiendo a este correo.
Gracias por su confianza.
Departamento de Facturación
Suministros García S.L.
Hemos intentado entregar su paquete (ref. ES8821047763) pero no hemos podido completar la entrega. Para reprogramar la entrega gratuita, debe abonar los gastos de gestión de 1,99 € antes de 48 horas.
➡ Reprogramar entrega y abonar gastos
Si no se realiza el pago en el plazo indicado, el paquete será devuelto al remitente.
Servicio de Atención — Correos Express
Ver cursos de ciberseguridad bonificados →
🛡️ Checklist de buenas prácticas de ciberseguridad
Comprueba qué medidas aplica tu empresa — marca las que ya están en marchaPreguntas frecuentes sobre formación en ciberseguridad
La NIS2 la hace obligatoria para las empresas de los 18 sectores afectados. Para el resto, no existe una obligación legal general, pero el RGPD exige que las empresas adopten medidas técnicas y organizativas para proteger los datos personales, y la formación de los empleados es considerada una de esas medidas por la AEPD.
Al menos una vez al año para toda la plantilla, con actualizaciones más frecuentes para los perfiles con mayor exposición. El panorama de amenazas cambia constantemente y la formación de hace tres años no cubre los ataques de hoy.
Sí. Con el crédito Fundae, una pyme de 20 empleados puede cubrir formación básica en ciberseguridad para toda la plantilla sin ningún desembolso adicional. La pregunta relevante no es si puede permitírselo, sino si puede permitirse no hacerlo.
