Copyrights. ASESPAIN ASESORÍA S.L,
2026. Todos los derechos reservados.
Según los datos del informe de Microsoft, el 31 % de las pequeñas y medianas empresas han sufrido ya un ciberataque, y el coste medio de estos incidentes supera los 250 000 dólares. Sin embargo, la cifra que más debe preocupar al empresario es la que compartió BBVA en su canal ‘Compartiendo Conocimiento’: el 57 % de las pymes que cesan su actividad en España lo hacen como consecuencia directa de un ciberataque. No se trata solo de un problema informático, sino de una amenaza directa a la viabilidad del negocio.
El error más común es pensar que el impacto se limita al departamento de sistemas. La realidad es que un ataque de ransomware, una filtración de datos o un incidente de phishing golpean de lleno las áreas fiscal, laboral y contable de la empresa. Entender cómo minimizar este impacto en cada una de estas áreas es una obligación para la supervivencia del negocio, más aún cuando el 80 % de las pymes reconoce que aumentará su inversión en ciberseguridad para protegerse.
El primer paso es asumir, como afirma Laura del Pino, responsable de Seguridad de la Información de BBVA, que “la ciberseguridad no es solo un elemento técnico, sino un riesgo empresarial más”. Gestionarlo implica conocer las consecuencias concretas que tiene para las finanzas, el equipo humano y los libros contables de la organización.
La esfera fiscal es una de las más delicadas y, a menudo, la más descuidada en los planes de respuesta a incidentes. Un ciberataque genera una cascada de efectos impositivos que pueden agravar la situación financiera de la pyme. El pago de un rescate, por ejemplo, plantea un dilema fiscal inmediato: ¿es un gasto fiscalmente deducible? La Agencia Tributaria puede cuestionar su deducibilidad si la empresa no demuestra que el pago era la única opción razonable para recuperar la operatividad, en aplicación del principio de correlación de ingresos y gastos del artículo 14 de la Ley del Impuesto sobre Sociedades.
Además, las sanciones derivadas de un incumplimiento normativo, como las impuestas por la Agencia Española de Protección de Datos (AEPD) ante una brecha de seguridad, no son gastos fiscalmente deducibles (artículo 15 de la LIS). Esto supone un doble castigo: la empresa paga la multa y, además, no puede deducirla. Por otro lado, los costes de recuperación (contratación de forenses, abogados, consultores de seguridad) sí son deducibles, así como el IVA soportado en estos servicios, siempre que estén directamente vinculados a la actividad empresarial.
Para minimizar el impacto fiscal, la pyme debe documentar exhaustivamente todas las decisiones y gastos derivados del ataque. Es recomendable contar con un informe pericial que justifique la necesidad de las medidas adoptadas, especialmente en el caso del pago de rescates. Asimismo, hay que revisar las coberturas del seguro de ciberseguridad, ya que las indemnizaciones recibidas pueden tener un tratamiento fiscal específico que conviene analizar con un asesor.
| Concepto | Tratamiento fiscal habitual |
|---|---|
| Pago de rescate (ransomware) | Potencialmente deducible, requiere justificación sólida |
| Sanciones de la AEPD | No deducibles |
| Honorarios de abogados y forenses | Deducibles |
| Primas de ciberseguro | Deducibles como gasto de explotación |
| Indemnización del seguro | Ingreso sujeto a tributación, con posibles exenciones |
| Pérdida de ingresos por parada | Merma de base imponible, documentar desviaciones |
El componente laboral de un ciberataque es, quizás, el que más preocupa a los departamentos de recursos humanos y a la dirección. Una filtración de datos que exponga información sensible de los empleados (nóminas, datos bancarios, DNI, información sanitaria) activa el deber de notificación a la AEPD en un plazo máximo de 72 horas, tal como exige el Reglamento General de Protección de Datos. El incumplimiento de esta obligación puede acarrear sanciones de hasta 20 millones de euros o el 4 % de la facturación anual.
En el plano operativo, la paralización de la actividad a causa de un ataque puede habilitar la vía del ERTE por fuerza mayor. No obstante, la empresa debe demostrar el vínculo directo entre el ciberataque y la imposibilidad de trabajar, lo que requiere un informe técnico-detallado. Además, la falta de formación en ciberseguridad (artículo 19 de la Ley de Prevención de Riesgos Laborales) puede ser considerada un agravante en caso de que el incidente se origine por una negligencia del empleado.
El trabajo híbrido y el uso de dispositivos personales son dos de los grandes desafíos actuales. El estudio de Microsoft revela que el 68 % de las pymes considera que el acceso seguro a los datos es un problema para los trabajadores remotos. Para mitigar este impacto, es urgente implementar políticas de uso aceptable, proporcionar herramientas de conexión segura (VPN) y activar la autenticación multifactor. Paco Pérez Bes, referente en Derecho digital, lo resume como la necesidad de ser “diligentes en la gestión de incidentes”, lo que incluye tener protocolos claros de actuación y canales de comunicación con la plantilla.
El departamento contable debe reflejar fielmente el impacto de un ciberataque en los estados financieros de la empresa. La Norma 5.ª del Plan General de Contabilidad obliga a dotar provisiones para riesgos cuando exista la probabilidad de que se materialice un incidente, algo que muchas pymes obvian hasta que es demasiado tarde. Un ataque puede deteriorar activos intangibles como el fondo de comercio, la imagen de marca o las propias aplicaciones informáticas, cuya amortización debe revisarse.
La inversión en ciberseguridad no es un gasto, sino una inversión en continuidad. Microsoft destaca que el 65 % de las pymes destinará su mayor partida presupuestaria a la protección de datos. Desde el punto de vista contable, estas inversiones pueden capitalizarse como inmovilizado intangible o tratarse como gasto del ejercicio, según su naturaleza. Un aspecto fundamental es la contratación de un ciberseguro adecuado, que cubra no solo los costes técnicos, sino también la pérdida de beneficios y la responsabilidad civil. La prima del seguro es un gasto deducible, pero conviene revisar las exclusiones y los sublímites de la póliza.
Elaborar un Plan de Continuidad de Negocio (BCP) que incluya escenarios de ciberataque permite anticipar el impacto contable. Por ejemplo, calcular el coste de la hora de inactividad o el coste de recuperación de los sistemas críticos. Este plan no solo protege la empresa, sino que es una herramienta de transparencia clave para negociar con entidades financieras, aseguradoras y proveedores.
Las fuentes analizadas coinciden en que la base de la protección reside en la prevención. La guía práctica de ILUNION propone aplicar la regla 3-2-1 en las copias de seguridad (tres copias, en dos soportes distintos, una fuera de la oficina). A esto hay que sumar la activación de la autenticación multifactor (MFA), que Microsoft sitúa como una de las cuatro prácticas imprescindibles junto al uso de contraseñas seguras, la detección de phishing y la actualización constante del software.
La formación de los empleados es la vacuna más eficaz contra el phishing, la amenaza más habitual. El dato de Microsoft es revelador: solo el 30 % de las pymes gestiona la seguridad internamente. El resto recurre a proveedores de servicios gestionados (MSP) que pueden implementar soluciones de protección de endpoints, gestión de identidades y monitorización de red. Delegar en expertos no es un signo de debilidad, sino una decisión estratégica para liberar recursos y centrarse en el negocio.
Conocer la normativa aplicable es el primer requisito para minimizar el impacto legal y fiscal. La pyme debe cumplir con el RGPD y la LOPDGDD, así como con la Directiva NIS2 si opera en sectores críticos o digitales. Las obligaciones van desde la designación de un Delegado de Protección de Datos (DPD) hasta la realización de análisis de riesgos y auditorías periódicas. La normativa está para prevenir y gestionar incidentes, y su cumplimiento demuestra la diligencia debida que exigen los tribunales.
Como señala ILUNION en su FAQ, el incumplimiento de las obligaciones de protección de datos puede dar lugar a sanciones muy elevadas. Por eso, es vital que el asesor fiscal, el abogado laboralista y el responsable de sistemas trabajen juntos en el diseño del plan de respuesta. La coordinación entre estos perfiles es lo que permite, por ejemplo, decidir si una notificación a la AEPD es obligatoria o redactar una comunicación a los empleados afectados que cumpla con todos los requisitos legales sin generar alarma innecesaria.
Ante un ataque, la velocidad y el orden son determinantes. El protocolo de actuación debe incluir el aislamiento de los equipos afectados, la comunicación inmediata al proveedor de seguridad y la recogida de evidencias. La empresa debe valorar si está obligada a notificar la brecha a la autoridad en un plazo de 72 horas. Documentar cada paso es esencial, no solo para cumplir con la normativa, sino para respaldar las reclamaciones al seguro y las posibles deducciones fiscales.
El ciberseguro debe revisarse con un corredor especializado. No todas las pólizas cubren el pago de rescates, la pérdida de beneficios o las multas regulatorias. La contratación de un seguro no sustituye a las medidas técnicas, pero sí proporciona una red de seguridad financiera que evita que el impacto contable sea letal. Combinar un buen seguro con un plan de respuesta garantiza que la empresa pueda gestionar la crisis de forma ordenada y con los recursos adecuados.
Si diriges una pyme, debes entender que la ciberseguridad es un riesgo más del negocio, como lo son la morosidad o la rotación de personal. El dato de BBVA (el 57 % de las pymes que cierran es por un ciberataque) debería ser suficiente para mover a la acción. No necesitas ser un experto técnico, pero sí debes exigir a tu equipo que implemente las bases: copias de seguridad, contraseñas robustas, doble factor de autenticación y formación para todos los empleados.
En el plano fiscal y contable, revisa tus coberturas de seguro y habla con tu asesor sobre la deducibilidad de los gastos de seguridad. No esperes a sufrir un ataque para documentar procesos. Invertir en prevención es mucho más barato que afrontar las consecuencias de un incidente. Calcula el coste de una hora de inactividad y pregúntate si tu empresa puede asumirlo sin ayuda externa. Si la respuesta es no, actúa hoy.
Para los responsables de la toma de decisiones estratégicas, la gestión del riesgo cibernético debe integrarse en el modelo de compliance de la empresa. La jurisprudencia reciente tiende a considerar la falta de medidas de ciberseguridad como un incumplimiento del deber de control, lo que puede derivar en responsabilidad penal para la persona jurídica (artículo 31 bis del Código Penal). La implementación de un sistema de gestión de la seguridad de la información (SGSI) basado en ISO 27001 no solo protege, sino que sirve como atenuante en posibles procedimientos legales.
En el ámbito fiscal, la planificación es clave. Documentar la necesidad de los gastos y provisiones, y contar con informes periciales que los respalden, minimiza el riesgo de contencioso con la Agencia Tributaria. Desde la perspectiva contable, es recomendable realizar un test de estrés financiero que simule el impacto de un ciberataque severo en la tesorería y la cuenta de resultados. Este ejercicio permite ajustar las pólizas de seguro y las líneas de crédito para garantizar la liquidez durante la crisis. La colaboración con el INCIBE (que BBVA cita como aliado clave) y con despachos especializados en derecho digital y fiscal es la mejor garantía para navegar con éxito las complejas consecuencias de un incidente de seguridad.
Asesoría fiscal, laboral y contable en ASESPAIN: servicios seguros y eficaces para garantizar tu tranquilidad fiscal. Descubre nuestro enfoque profesional y cercano.
