INCIBE Pyme Protegida: guía técnica de mínimos para PYMEs (2026)

Una asesoría de Valencia con doce empleados recibe un correo del proveedor de su gestor documental. Asunto: "incidencia con su factura de marzo". El adjunto es un PDF con macro. Lo abre la persona de administración, que tiene credenciales del ERP guardadas en el navegador y acceso de escritura a la carpeta compartida donde están los backups locales. Cuarenta minutos después la pantalla pide rescate y nadie sabe en qué punto exacto se torció todo.

El patrón se repite con tan pocas variaciones que INCIBE lleva años publicando avisos casi calcados. La realidad operativa de la mayoría de pymes españolas es la misma: pocos recursos técnicos, mucha dependencia de terceros, controles que existen sobre el papel pero no se prueban nunca, y un perímetro que ha crecido más rápido que la capacidad de vigilarlo. Por eso conceptos como Pyme Protegida (usamos «Pyme Protegida» como término genérico para el conjunto de mínimos de ciberresiliencia que INCIBE recomienda a las pymes; no se trata de un sello certificable) y la línea de servicios gratuitos de INCIBE existen — para que el suelo de seguridad básica no quede como un lujo opcional.

Esta guía no repite los folletos divulgativos de INCIBE. Se centra en lo que un equipo técnico (o un IT externo) tiene que hacer y dejar evidenciado para que tu pyme cumpla los mínimos que INCIBE recomienda como referencia de ciberresiliencia. Lo abordamos desde la práctica DevSecOps, no desde el pentest, y a partir de la experiencia operativa con pymes españolas reales durante este 2026.

Qué espera INCIBE de una "pyme protegida"

INCIBE no publica una norma certificable comparable a ISO 27001 ni a la del Esquema Nacional de Seguridad. Lo que ofrece es un marco de buenas prácticas, plantillas, herramientas gratuitas (línea 017, kits de concienciación, servicios antibotnet) y un programa de acompañamiento orientado a que la pyme alcance un mínimo razonable de higiene cibernética.

Cuando se habla de "pyme protegida" sin entrar en un sello concreto, se refiere a un conjunto de capacidades que INCIBE viene recomendando de forma transversal en su material para microempresas y pymes:

1. Identidad y accesos protegidos — contraseñas robustas, MFA, gestión de cuentas privilegiadas y de exempleados.
2. Copias de seguridad fiables y probadas — la regla 3-2-1 y la verificación periódica de la restauración.
3. Perímetro y dispositivos endurecidos — antivirus moderno, parches al día, configuración segura de redes y de equipos portátiles.
4. Correo y navegación con barreras anti-phishing — SPF, DKIM, DMARC, filtrado y formación práctica al personal.
5. Concienciación y cultura de seguridad — el factor humano como control real, no como casilla rellenable.
6. Detección y respuesta a incidentes — saber qué hacer en la primera hora, a quién avisar y qué registros conservar.

Esos seis bloques son los que vamos a revisar uno por uno. No son los únicos controles que INCIBE recomienda, pero son los que más veces aparecen en sus avisos, en sus diagnósticos y en lo que el programa de aceleración está empujando hacia las pymes con las que estamos trabajando este año. Si tu pyme cubre estos seis con evidencia, estarás muy por encima de la media del tejido productivo español.

Antes de seguir: si lo que estás buscando es una guía de compra de auditoría externa más que un mapa de controles, tienes una específica sobre pentesting para pymes que complementa esta. Aquí nos quedamos en los controles técnicos del día a día.

Bloque 1 — Identidad y accesos: el control con mejor relación esfuerzo/impacto

Si solo tuvieras tiempo para implementar un bloque, sería este. La gran mayoría de incidentes en pymes que terminan derivando a la línea 017 empiezan por una credencial robada, reutilizada o no revocada a tiempo. Los controles a desplegar son pocos y bien conocidos.

Inventario de cuentas con privilegios. Antes de proteger nada, necesitas saber qué cuentas existen. Eso incluye cuentas de empleados, de administradores, de servicio, las que usa tu gestor externo y las que crearon proveedores hace tres años y nadie ha revocado. Pide a quien gestiona tu correo (Microsoft 365, Google Workspace) un listado de cuentas con permisos elevados y pónle fecha de revisión cada trimestre.

MFA obligatorio en todo lo crítico. Correo, banca electrónica, accesos al ERP, paneles de administración, VPN, repositorios de código. Sin excepciones para "cuentas técnicas" ni "usuarios que no se aclaran" — esas son precisamente las que se acaban comprometiendo. Para usuarios con poca destreza técnica, una llave física FIDO2 (alrededor de 25-50 € por dispositivo) elimina las quejas sobre apps de autenticación y deja además rastro de uso.

Gestor de contraseñas corporativo. Bitwarden o 1Password en sus planes para empresa rondan los 3-8 € por usuario y mes y resuelven a la vez tres problemas: contraseñas únicas y fuertes, compartición segura entre empleados que necesitan el mismo acceso y revocación inmediata cuando alguien deja la empresa.

Proceso de baja de empleados y proveedores. Documenta quién retira accesos, en qué plazo y con qué checklist. Tres días es el máximo razonable; lo ideal es el mismo día. Una baja mal hecha es el regalo perfecto para un atacante interno o para alguien que llegue a esas credenciales meses después.

Cuentas de administración separadas. Quien administra el ERP no debería leer correo con la misma cuenta. Es el mismo principio de least privilege que se aplica en infraestructura cloud, adaptado a la realidad de una pyme: el administrador tiene su cuenta normal para el día a día y una cuenta separada que solo usa cuando va a tocar el sistema crítico.

Bloque 2 — Copias de seguridad: la diferencia entre incidente y catástrofe

Cuando un ransomware cifra los datos de una pyme, el resultado depende casi por completo de cómo de buenos sean los backups. Si están bien hechos, hablamos de un mal trago de dos o tres días. Si no, de una crisis existencial.

INCIBE recomienda la regla 3-2-1 sin grandes variaciones desde hace años, y sigue siendo el mejor punto de partida:

• 3 copias de los datos importantes (la activa más dos backups).
• 2 soportes distintos (por ejemplo, NAS local y nube).
• 1 copia fuera del lugar de trabajo y desconectada de la red de producción.

Lo que casi ninguna pyme cumple es la última parte: que esa copia esté realmente desconectada y que la restauración se haya probado. Si el atacante puede llegar al backup desde la misma cuenta con la que cifró tus archivos, no tienes backup. Tienes una segunda copia del problema.

Checklist mínimo de copias de seguridad

Nota práctica sobre proveedores. Si usas Microsoft 365 o Google Workspace, recuerda que la responsabilidad de la copia es tuya, no del proveedor. La política estándar de retención de borrados es de semanas o meses, pero un atacante con tu cuenta puede vaciar buzones y carpetas, y lo que tú esperabas como "histórico recuperable" no lo está. Soluciones como Veeam, Acronis o Druva para 365/Workspace cuestan entre 3 y 6 € por usuario y mes (precios orientativos según los planes públicos del proveedor en la fecha de redacción) y solucionan ese punto ciego.

Pruebas de restauración. Es el punto donde más pymes fallan. Tener backup y no haberlo restaurado nunca es exactamente lo mismo que no tenerlo. Una vez al trimestre, restaura un fichero al azar y, una vez al año, simula la restauración completa de un sistema crítico en un equipo aparte. Apunta el tiempo. Si tarda diez horas y tu RTO eran cuatro, tienes un problema de diseño que conviene saber antes del incidente.

Bloque 3 — Perímetro y dispositivos endurecidos

El perímetro de una pyme no es solo el router de la oficina. Es todo lo que un atacante puede ver desde internet con tu nombre detrás: tu web corporativa, tu correo, los servicios SaaS que tienes contratados, los portátiles que se llevan empleados a casa y cualquier servicio que un proveedor tuyo haya expuesto sin avisarte.

Antivirus moderno (EDR) en todos los endpoints. El antivirus tradicional ya no es suficiente. Soluciones EDR (Endpoint Detection and Response) como Microsoft Defender for Business (incluido en M365 Business Premium), CrowdStrike Falcon Go, SentinelOne Singularity Core o Bitdefender GravityZone son accesibles para pymes desde los 3-7 € por endpoint y mes y aportan detección de comportamiento, no solo firmas.

Sistema operativo y software al día. El ransomware que más daño ha hecho en pymes españolas ha sido el que ha aprovechado vulnerabilidades parcheadas hace meses. Activa actualizaciones automáticas en todos los equipos, define una ventana de mantenimiento mensual para reinicios y revisa que los servidores menos visibles no se queden atrás. Para Windows, herramientas como WSUS o Intune (incluido en planes Business Premium) automatizan el proceso. En entornos pequeños, las actualizaciones automáticas estándar de Windows ya son razonables siempre que se reinicie cuando toca.

Web corporativa y servicios expuestos. Aquí entran los controles que más se descuidan en una pyme porque "los lleva el proveedor". Tu web tiene que tener HTTPS con certificado válido, cabeceras de seguridad mínimas (HSTS, X-Frame-Options, CSP básico), el panel de administración del CMS protegido con MFA y plugins actualizados. Para revisar todo esto desde fuera, te ayuda comprobar el perímetro web con un escáner gratuito.

Visibilidad sobre el perímetro externo. La pregunta clave que casi ninguna pyme sabe responder es: "¿qué servicios tengo expuestos a internet ahora mismo?". Subdominios olvidados, paneles antiguos de control, formularios de contacto sin protección, copias de seguridad publicadas por error. Cualquier herramienta de gestión de superficie de ataque te da ese mapa, y nuestra solución para pymes está pensada precisamente para que tengas ese inventario sin tener un equipo de seguridad dedicado.

Equipos portátiles. En pymes con teletrabajo, los portátiles son el perímetro real. Cifrado de disco activado (BitLocker en Windows Pro, FileVault en macOS), bloqueo automático tras unos minutos de inactividad, capacidad de borrado remoto en caso de pérdida, política clara sobre uso personal y conexión a redes wifi públicas. Microsoft Intune o Jamf (para flotas Apple) cubren todo esto desde planes empresariales ya contratados.

Bloque 4 — Correo y phishing: el vector que sigue ganando

El correo electrónico sigue siendo el vector inicial de la mayoría de incidentes en pymes españolas. Y los controles para reducir su superficie son técnicos, gratuitos y se configuran en una tarde.

SPF, DKIM y DMARC: la triada anti-suplantación

Si no tienes estos tres registros configurados correctamente en tu dominio, cualquiera puede enviar correos haciéndose pasar por tu empresa. Es así de simple, y es uno de los hallazgos más comunes en los diagnósticos que hacemos.

SPF (Sender Policy Framework). Define qué servidores están autorizados a enviar correo en nombre de tu dominio. Se configura como un registro TXT en tu DNS.

DKIM (DomainKeys Identified Mail). Firma criptográficamente los correos salientes para que el destinatario pueda verificar que no han sido modificados y que vienen de quien dicen venir. Lo activa tu proveedor de correo (Microsoft 365, Google Workspace, etc.) y publica la clave pública en tu DNS.

DMARC (Domain-based Message Authentication, Reporting and Conformance). Le dice al destinatario qué hacer con los correos que no pasan SPF o DKIM (rechazar, marcar como spam o nada) y, opcionalmente, te envía informes de los intentos de suplantación.

1; SPF — autoriza solo a Microsoft 365 (ajusta a tu proveedor)
2tudominio.es. IN TXT "v=spf1 include:spf.protection.outlook.com -all"
3
4; DMARC — política de cuarentena con informes agregados
5_dmarc.tudominio.es. IN TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1; adkim=s; aspf=s"
6
7; DKIM — la genera y publica tu proveedor de correo
8selector1._domainkey.tudominio.es. IN CNAME selector1-tudominio-es._domainkey.tudominio.onmicrosoft.com.

Sobre DMARC, una recomendación práctica: empieza con p=none durante dos o tres semanas para revisar los informes y entender qué está pasando con tu correo legítimo. Cuando confirmes que SPF y DKIM están bien, sube a p=quarantine y, si todo sigue funcionando, a p=reject. La transición precipitada es la causa habitual de que los avisos a clientes acaben en su carpeta de spam.

Filtrado avanzado y formación práctica

Microsoft Defender for Office 365, Google Workspace Advanced Protection o soluciones especializadas (Proofpoint Essentials, Vade) añaden filtrado de URL en tiempo real, sandbox para adjuntos sospechosos y reescritura de enlaces. Para una pyme, las opciones nativas del proveedor de correo suelen ser suficientes y están incluidas en los planes Business Premium.

La parte humana sigue siendo igual de importante. INCIBE pone a disposición de las pymes el Kit de Concienciación, que incluye material formativo, vídeos cortos, simulacros de phishing y métricas para medir la mejora. Es gratuito y, mejor aún, ya está adaptado al contexto español: ejemplos creíbles, tono adecuado y referencias a casos reales del tejido productivo español. Si no estás aprovechándolo, es probablemente la mejor relación esfuerzo/resultado que tienes disponible este año.

Bloque 5 — Concienciación: el factor humano como control real

La concienciación tiene un problema serio en pymes: se confunde con "obligar a la gente a ver un vídeo de 30 minutos una vez al año y firmar que lo ha visto". Eso no reduce incidentes. Lo que reduce incidentes es:

1. Formación corta y frecuente. Cinco minutos cada dos semanas funciona mejor que una sesión anual de tres horas.
2. Simulacros de phishing reales. Mensajes verosímiles, métricas individuales y conversaciones (no broncas) con quien cae para entender qué le hizo dudar y qué no.
3. Refuerzo positivo de las denuncias. Si alguien reporta un correo sospechoso que resulta ser legítimo, agradéceselo igual. Lo que quieres incentivar es el reflejo de reportar, no el acierto.
4. Microformación contextual. Al detectar un comportamiento de riesgo (compartir un fichero con permisos públicos, por ejemplo), una notificación automática explicando por qué es problemático en ese momento.

Plataformas como KnowBe4, Hoxhunt o las propias funcionalidades de Microsoft Defender for Office 365 (Attack Simulation Training) automatizan los simulacros y el seguimiento. Para pymes que prefieren empezar sin coste adicional, los kits y campañas de INCIBE bastan para construir un programa decente durante los primeros doce meses.

Lo que sí hay que medir, independientemente de la herramienta, es la tasa de denuncia y la tasa de fallo en simulacros, mes a mes. Sin métricas no hay mejora — y, sobre todo, no hay forma de demostrar diligencia ante un auditor, una aseguradora o, en el peor caso, ante la AEPD.

Bloque 6 — Detección y respuesta a incidentes

INCIBE pone mucho énfasis en este bloque por una razón pragmática: las pymes raramente evitan todos los incidentes, pero las que tienen un mínimo de plan los gestionan mucho mejor y reducen el coste real.

Plan de respuesta mínimo viable

No necesitas un manual de cien páginas. Necesitas un documento de dos o tres folios que cualquier persona de tu pyme pueda seguir a las tres de la madrugada, y que conteste a estas preguntas:

• ¿Qué cuenta como incidente? Equipos cifrados, correos sospechosos masivos, transferencias no autorizadas, datos publicados sin permiso, acceso desde ubicaciones imposibles.
• ¿A quién avisar primero, internamente? Una persona designada y un suplente, con teléfono fuera del correo corporativo (porque el correo puede ser parte del incidente).
• ¿A quién avisar fuera? Tu proveedor IT, tu asesor legal/DPO, INCIBE-CERT (017 / [email protected]) y tu aseguradora si tienes póliza ciber.
• ¿Qué se desconecta y qué no? Aislar el equipo afectado de la red, sí. Apagar servidores impulsivamente, no necesariamente — borra evidencia volátil que puede ser crítica.
• ¿Qué se documenta? Fecha y hora, qué se vio, qué se hizo, qué se comunicó. Un cuaderno físico vale.

Notificación a la AEPD: el reloj de las 72 horas

Cuando el incidente afecta a datos personales, el RGPD obliga a notificar a la AEPD en un plazo máximo de 72 horas desde que se tiene conocimiento del incidente, si supone un riesgo para los derechos y libertades de las personas. No notificar (o llegar tarde sin justificación razonable) es una infracción adicional al propio incidente y puede ser sancionada de forma específica.

Tu plan de respuesta debe incluir: criterio para decidir si hay que notificar, plantilla de notificación cumplimentable, persona responsable y registro de la decisión (incluso cuando se decide no notificar — la AEPD puede preguntar después). Si tienes DPO, el procedimiento sale de él. Si no lo tienes y procesas datos sensibles, es probable que estés obligado a designar uno; si tienes dudas, una conversación de una hora con un asesor legal te aclara la posición.

Registros que vas a necesitar

Sin logs, ninguna investigación llega muy lejos. Una pyme razonable debería conservar, durante al menos seis meses:

• Logs de autenticación del correo y del ERP (quién entró, desde dónde, con qué resultado).
• Logs del antivirus/EDR con detecciones, cuarentenas y acciones manuales.
• Logs del firewall o del router si guardan eventos relevantes.
• Logs de servicios web expuestos a internet.

Microsoft 365 y Google Workspace ya conservan logs por defecto durante varios meses en sus planes empresariales. Si tienes infraestructura propia o nube IaaS, conviene centralizar logs en una solución básica (incluso un ELK pequeño o un servicio gestionado) en lugar de dejarlos repartidos por equipos que pueden ser comprometidos.

Cómo evidenciar que cumples (y por qué te lo van a pedir)

Cumplir los controles no basta si no puedes demostrarlo. Y cada vez te lo van a pedir más sitios:

• Clientes grandes. Cuestionarios de seguridad como requisito para firmar o renovar contratos. Cada vez más empresas medianas exigen evidencia mínima a su cadena de proveedores.
• Aseguradoras de ciber. Para emitir póliza o para tramitar un siniestro sin que la cobertura se reduzca por "negligencia demostrada".
• Administración pública. Si licitas con sector público, los pliegos incluyen requisitos crecientes de seguridad alineados con el ENS.
• AEPD ante un incidente. En la notificación del artículo 33 del RGPD se pregunta explícitamente por las medidas técnicas y organizativas que estaban en vigor.

La forma práctica de mantener evidencia sin ahogarte en papeleo es centralizar tres cosas en una carpeta única, accesible solo para personal autorizado:

1. Capturas y exportaciones de configuraciones críticas (MFA activado, cifrado de disco aplicado, registros DNS, política DMARC, retención de backups), con fecha.
2. Actas internas de pruebas de restauración, simulacros de phishing y revisiones trimestrales de accesos privilegiados.
3. Informes de escaneo y diagnóstico del perímetro, periódicos. Aquí entra de forma natural una herramienta como Vulnerabbit: nuestro escáner gratuito genera ya un informe descargable en minutos, y la plataforma para pymes automatiza esa evidencia de forma continua sin tener que perseguirla manualmente cada trimestre.

Lo importante de la evidencia es que sea continua y fechada, no que sea bonita. Un informe automático mensual de cinco páginas vale más que un documento Word de cincuenta páginas que nadie ha actualizado en dos años.

Errores que vemos en las pymes que llegan a nosotros

Por contexto: durante los últimos meses, dentro del programa de aceleración de INCIBE, hemos visto el estado real de seguridad de un puñado de pymes españolas que vienen de sectores muy distintos. Hay patrones que se repiten con una insistencia llamativa.

MFA configurado solo para los administradores. El perfil de mayor riesgo en una pyme suele ser el de administración o finanzas, no el de IT. Son los que reciben las facturas falsas y los que tienen acceso a banca electrónica. Si MFA solo cubre las cuentas técnicas, has protegido lo que menos atacan.

Backups que viven en la misma red que cifró el ransomware. Un NAS conectado por SMB con credenciales de dominio no es una copia de seguridad. Es una segunda copia operativa, perfectamente cifrable por el mismo malware. Para que la copia cuente, tiene que ser inalcanzable desde la red de producción cuando no se está copiando.

WordPress (u otros CMS) sin actualizar y sin MFA en el panel de admin. Sigue siendo, en 2026, una de las puertas de entrada más explotadas. Plugin con CVE público, panel /wp-admin accesible desde cualquier IP, contraseña de admin que se reutiliza en otros tres sitios.

Política DMARC en p=none desde hace dos años. Es el equivalente a tener una alarma instalada pero sin conectar a la central. Está bien para empezar, no está bien quedarse ahí.

Inventario de servicios expuestos inexistente. Subdominios olvidados con versiones antiguas del producto, formularios de pruebas accesibles a internet, paneles de monitorización de proveedores publicados por error. Sin un inventario externo continuo, es imposible defender lo que no se sabe que existe.

Plan de respuesta que solo conoce el responsable IT. Si el día del incidente el único que sabe qué hacer está de baja o de vacaciones, no hay plan. Documenta, comparte y simula.

Por dónde empezar (la secuencia que recomendamos)

Si tienes que poner orden y solo dispones de las próximas cuatro semanas, esta es la secuencia que tiene mejor relación impacto/esfuerzo:

1. Semana 1 — Identidad. Activa MFA en correo, banca, ERP y panel de tu CMS. Despliega un gestor de contraseñas. Inventario de cuentas privilegiadas y revisión de exempleados.
2. Semana 2 — Backups. Comprueba que tienes copia 3-2-1, con una copia realmente aislada. Haz una prueba de restauración real. Documenta RTO y RPO.
3. Semana 3 — Perímetro. Configura SPF/DKIM/DMARC. Verifica que tu web tiene HTTPS y cabeceras mínimas. Lanza un primer escaneo externo para tener inventario de lo expuesto.
4. Semana 4 — Plan y concienciación. Redacta el plan de respuesta a incidentes en dos folios. Lanza un primer simulacro de phishing y arranca microformación quincenal con el material gratuito de INCIBE.

A partir del segundo mes, el trabajo es de mantenimiento: parches, revisiones trimestrales, simulacros periódicos y una validación externa al menos anual. Si en algún punto necesitas validación más profunda — sobre todo en aplicaciones críticas que generan ingresos — un pentest manual anual complementa la parte automatizada y cubre la lógica de negocio que ningún escáner ve.

Cómo encaja Vulnerabbit en este marco

Vulnerabbit forma parte de la actual promoción del programa de aceleración de INCIBE, así que parte del marco que ves en esta guía es lo que estamos viendo aplicado en pymes españolas reales durante este 2026. En la práctica, cubrimos la parte técnica continua de los bloques 3 (perímetro y dispositivos visibles desde fuera), 4 (configuración anti-suplantación de correo) y 6 (registros y evidencia exportable de tu superficie expuesta). Lo hacemos de forma automatizada y con informes pensados para que cualquier persona no técnica de la pyme entienda lo que está mirando y pueda llevárselo a un cliente, a una aseguradora o a un auditor.

Lo que no somos es un sustituto del antivirus, del backup ni de la formación. Esos controles los pone el resto del ecosistema (Microsoft, Google, Veeam, INCIBE, tu proveedor IT) y nosotros nos integramos para que la visibilidad sobre los controles de perímetro sea continua y demostrable. Es la pieza que más cuesta mantener manualmente cuando no tienes equipo de seguridad dedicado y, casualmente, una de las que más rápido detectan los atacantes.

Si quieres ver qué te aparece a ti hoy en cinco minutos, lanza nuestro escáner gratuito sobre tu dominio principal. Si después decides que quieres ese diagnóstico de forma continua, la plataforma para pymes está pensada exactamente para el perfil de empresa al que va dirigida esta guía.

¿Quieres saber dónde estás respecto a los mínimos de pyme protegida?

La plataforma para pymes de Vulnerabbit automatiza la evidencia continua de los controles técnicos visibles desde internet — perímetro, configuración de correo, exposición de servicios y vulnerabilidades conocidas — con informes pensados para clientes, aseguradoras y auditores.

Lanzar escaneo gratuito → · Ver /solutions/pymes →