Durante años, la ciberseguridad ha vivido en la cuenta de resultados como un centro de coste. Algo que se aprueba a regañadientes, se mide por lo que gasta y se justifica con miedo. En 2026 esa casilla ya no encaja. La seguridad se ha convertido en una condición para facturar: sin ella, hay contratos que no se firman y mercados a los que no se entra.
Esto cambia la mecánica de compra. Cuando un cliente regulado elige proveedor, la seguridad forma parte del pliego; cuando una aseguradora decide si te cubre, mira tus controles antes que tu facturación; y cuando alguien va a comprar tu empresa, la due diligence ya suele auditar tu seguridad junto a tus cuentas, de hecho empresas de ciberseguridad como Hard2bit son contratadas para ello. Vale la pena entender qué aporta, en euros y en contratos, antes de seguir tratándola como un seguro que se espera no usar.
La ciberseguridad ha pasado de gasto defensivo a palanca de negocio: abre mercados, reduce pérdidas medibles y sostiene la confianza que retiene clientes.
Con NIS2 en aplicación, las empresas reguladas están obligadas a exigir seguridad a sus proveedores. Sin una certificación en regla, un proveedor puede quedar fuera de concursos y grandes cuentas, por bueno que sea su producto.
El coste de no tenerla es cuantificable: IBM cifra la brecha media global en 4,44 millones de dólares, y las aseguradoras ya condicionan la cobertura a ciertos controles.
No es un proyecto de informática, es una decisión de dirección: NIS2 sitúa la responsabilidad en el órgano de gobierno, y la inversión se justifica por su retorno, no por el miedo.
Qué obliga a exigir el marco
El empujón más fuerte viene de la regulación. La Directiva NIS2 no solo obliga a las entidades esenciales e importantes a gestionar su propio riesgo: les exige gestionar el de su cadena de suministro. En la práctica eso se traduce en cláusulas contractuales, cuestionarios de seguridad y derecho de auditoría que las empresas reguladas trasladan a sus proveedores, sean grandes empresas o pymes. Por eso la adecuación a NIS2 ha dejado de ser un asunto solo de las grandes.
El incentivo aprieta en las dos direcciones. Para la empresa regulada, incumplir puede costar hasta 10 millones de euros o el 2 % de la facturación mundial en el caso de las entidades esenciales. Para el proveedor, no poder demostrar una seguridad alineada significa perder el contrato frente a un competidor que sí puede. Ahí la certificación deja de ser un adorno: la certificación ISO 27001 para el mercado europeo y las grandes cuentas, la adecuación al ENS si trabajas con la Administración española, y SOC 2 si vendes en Estados Unidos.
En el sector financiero la presión llega por otra vía con el mismo destino: DORA exige demostrar resiliencia operativa digital y mantener un registro de proveedores TIC, de modo que la seguridad de cada tercero pasa a formar parte del expediente ante el supervisor.
La objeción: “la seguridad es un gasto que no vende”
La resistencia habitual es razonable y hay que tomarla en serio. La seguridad no aparece en la factura del cliente, no genera ingresos por sí misma y consume presupuesto que podría ir a producto o a ventas. Vista así, cada euro en seguridad es un euro que no se ingresa. Es la razón por la que tantas direcciones la han tratado como un peaje que se paga sin mirar, delegado en informática y revisado solo cuando algo se rompe.
Por qué esa objeción ya no se sostiene
La respuesta no es apelar al miedo, sino mirar el retorno. Hay tres ventajas, y las tres se pueden medir.
Ventaja 1: abre puertas que antes se cerraban
La seguridad se ha metido dentro del proceso de compra. Cuando un cliente grande evalúa a dos proveedores equivalentes y solo uno puede enseñar un certificado en regla y responder a un cuestionario de seguridad sin improvisar, la balanza se inclina sola. La certificación acorta el ciclo de venta —evita semanas de revisión técnica del comprador— y, en sectores regulados, es directamente el requisito para entrar. Ya está en los pliegos de compra de ciberseguridad actuales, no en la teoría.
Ese trabajo, además, no se hace una sola vez. El cliente regulado que te ha metido en su cadena va a repetir la evaluación, y aquí una buena gestión del riesgo de terceros marca la diferencia: el proveedor que llega con las evidencias ordenadas responde en días; el que las busca cada vez, en semanas, si es que el cliente espera.
Ventaja 2: convierte una pérdida enorme en un coste controlado
El segundo retorno es el que se evita. Según el informe Cost of a Data Breach 2025 de IBM, una brecha de seguridad cuesta de media 4,44 millones de dólares en el mundo y 10,22 millones en Estados Unidos; el estudio, sobre 600 organizaciones de 16 países, registró además el primer descenso del coste en cinco años, atribuido a una detección y contención más rápidas. Traducido: los controles que detectan y contienen antes no son un gasto, son la diferencia entre un susto y una cifra de siete dígitos.
El seguro lo confirma desde el otro lado. Las aseguradoras ya no cubren a ciegas: exigen MFA, EDR, copias de seguridad inmutables y un plan de respuesta probado como condición para emitir la póliza, y verifican la postura con escaneos externos antes de firmar. Sin esos controles, la prima se dispara o la aseguradora declina. La seguridad, aquí, no es un coste añadido al seguro: es lo que hace posible la póliza.
Ventaja 3: sostiene la confianza que retiene clientes y protege el valor
El tercer retorno es más difícil de meter en una hoja de cálculo, pero cuenta. El estado de tu seguridad influye en que un cliente renueve, en cómo sales de una revisión cuando alguien quiere comprar la empresa y en una reputación que cuesta años levantar y un solo incidente dañar. El gasto mundial en seguridad no deja de subir —Gartner cifró el gasto mundial en seguridad de la información en unos 213.000 millones de dólares en 2025, con más crecimiento previsto para 2026—, señal de que el presupuesto se defiende ya como cualquier otra inversión.
Esta es también la razón de fondo por la que separar la ciberseguridad del cumplimiento es un error: cuando el negocio depende de demostrar seguridad, la técnica y la evidencia normativa son la misma conversación, y deben llegar juntas al comité con un cuadro de mando de ciberresiliencia que la dirección entienda.
Qué hacer en la práctica
El error opuesto sería salir a certificarlo todo por si acaso. La secuencia sensata empieza por saber qué proteger: un análisis de riesgos que ordene activos, amenazas e impacto de negocio, no una lista genérica de controles. Con eso, la certificación se elige según a quién vendes y se persigue cuando un mercado lo pide, no antes.
Y no hace falta montar un equipo de seguridad desde cero para llegar ahí. Muchas empresas cubren la operación con un servicio de seguridad gestionada (MSSP) o con un SOC gestionado, y reservan a la dirección lo que no se delega: decidir cuánto riesgo se acepta y responder por ello. Lo que sí hay que tener desde el principio son las evidencias —políticas, registros y controles que se puedan enseñar—, porque hoy los clientes y las aseguradoras piden pruebas, no promesas. Es una de las lecciones de la cadena de suministro digital de los últimos dos años.
El coste de no moverse
Quedarse quieto también tiene precio, solo que llega más tarde y en peor momento: un concurso perdido por no tener el certificado, un cliente que se marcha tras un cuestionario que no supiste responder, una prima de seguro inasumible, o la responsabilidad que NIS2 pone sobre el órgano de gobierno cuando la gestión del riesgo falla. Ninguna de esas facturas figura en el presupuesto de seguridad, pero todas las paga la empresa.
La decisión que corresponde al comité
La pregunta útil para la dirección ya no es cuánto cuesta la seguridad, sino cuánto negocio depende de ella. Tratada como inversión, tiene un retorno que se mide en contratos ganados, pérdidas evitadas y clientes retenidos. Tratada como un seguro que se espera no usar, seguirá pareciendo cara hasta el día en que se descubra que era barata. Y esa es una decisión de comité, no del departamento de informática.
