La transformación digital ha cambiado la forma de trabajar de las empresas, pero también ha abierto la puerta a amenazas cada vez más sofisticadas. Un correo electrónico fraudulento, un proveedor tecnológico vulnerable o una herramienta de inteligencia artificial pueden desencadenar una crisis con consecuencias económicas, reputacionales y jurídicas.
La ciberseguridad ha dejado de ser exclusivamente un asunto informático para convertirse en una cuestión estratégica que afecta directamente a los órganos de dirección y a sus responsabilidades. Un fallo de seguridad puede terminar no solo en pérdidas económicas, sino también en sanciones administrativas y reclamaciones judiciales.
Es una de las principales conclusiones del informe «Cómo mejorar la gestión del Riesgo Digital. Hacia una nueva etapa de la ciberrevolución», publicado este noviembre por Grant Thornton, que advierte de la necesidad de replantear los mecanismos de protección de las organizaciones.
Según las cifras difundidas por la firma, el 70 % de las empresas españolas encuestadas no está plenamente satisfecho con su capacidad para detectar y gestionar ciberataques. Además, el 45 % reconoce que no comprende completamente la gravedad de los riesgos digitales a los que está expuesto.
Ser víctima de un ataque no implica ser responsable
La exposición jurídica no nace necesariamente del incidente, sino de cómo se preparó la organización y de su respuesta.
«Sufrir un ciberataque no convierte automáticamente a una empresa en responsable. Lo que puede generar responsabilidad es no haber hecho los deberes antes del ataque o reaccionar de forma inadecuada después», explica Eloi Font, socio de Legal en Grant Thornton España y responsable de la práctica de Derecho Digital.
El Reglamento General de Protección de Datos (RGPD) prevé, para las infracciones más graves, multas de hasta 20 millones de euros o el 4 % de la facturación mundial anual. Pueden sumarse indemnizaciones y reclamaciones contractuales si existen daños atribuibles a incumplimientos.
El impacto económico es considerable. Según el estudio, el 49 % de las empresas de la muestra internacional que sufrieron ataques de ransomware en los dos años anteriores pagó un rescate, generalmente de entre uno y dos millones de dólares.
Los administradores no pueden mirar hacia otro lado
El nuevo marco regulatorio europeo refuerza el papel de los órganos de dirección. La Directiva NIS2, pendiente de transposición en España, exige a las entidades afectadas aprobar y supervisar sus medidas de gestión del riesgo.
El Reglamento DORA, aplicable al sector financiero desde enero de 2025, sitúa la responsabilidad última sobre el riesgo tecnológico en el órgano de dirección.
«Un administrador o consejero ya no puede escudarse en que la ciberseguridad es una cuestión técnica que corresponde al departamento de IT. Tiene que conocer los riesgos, pedir información, dotar de recursos y supervisar que las medidas se ejecuten. Y debe poder acreditarlo», advierte Font.
La confusión interna agrava el problema: el 39 % de los empresarios españoles encuestados señala que sus empleados desconocen qué riesgos digitales les corresponde gestionar. Otro 16 % reconoce que sus sistemas de gestión están desfasados o no resultan adecuados.
La IA y los proveedores: dos puntos críticos
La inteligencia artificial introduce otra vía de exposición. Si un trabajador vuelca información de clientes en una aplicación no autorizada, puede comprometer la protección de datos y las obligaciones de confidencialidad.
«Si la información incluye datos personales, introducirla en una herramienta de IA no autorizada puede suponer un tratamiento sin base jurídica y un incumplimiento de los principios de licitud, confidencialidad e integridad del RGPD», explica Font.
Font alerta de la «IA en la sombra», aplicaciones usadas sin permiso de la empresa, y reclama reglas internas, supervisión y garantías.
Los proveedores son otra fuente de vulnerabilidad. El 30 % de los empresarios españoles identifica defensas débiles en su cadena de suministro. Un incidente externo puede comprometer datos y operaciones.
Font lo resume así: «La externalización tecnológica no puede convertirse en una externalización de la responsabilidad». La obligación de elegir y supervisar proveedores adecuados no desaparece al firmar un contrato.
Microsoft: cuando el problema no es un hacker
La interrupción de Microsoft 365 registrada entre el 12 y el 13 de noviembre de 2026 ofrece un ejemplo distinto. Según la información recogida sobre la incidencia, afectó a herramientas como Outlook, Teams, SharePoint y Copilot. Microsoft no la atribuyó a un ciberataque, sino a problemas en su infraestructura.
La incidencia no fue un ataque informático, pero puso a prueba la resistencia operativa de sus clientes. Las empresas pueden perder acceso al correo, documentos o herramientas esenciales. De ahí la importancia de los planes de continuidad y recuperación.
El informe insiste, además, en que comprar tecnología no basta. Hace falta formación, protocolos de respuesta, controles periódicos y documentación de las medidas adoptadas.
«No basta con que una empresa afirme que dispone de medidas de ciberseguridad. Debe poder demostrar que ha identificado sus riesgos, ha adoptado medidas proporcionadas y comprueba periódicamente que funcionan», sostiene Font.
