El coste real de un incidente de seguridad sin certificación ENS

Cuando se habla del coste de un incidente de ciberseguridad en el sector público, la conversación suele centrarse en las sanciones del RGPD o en los expedientes del CCN-CERT. Esas son las consecuencias más visibles, pero raramente las más costosas. Este artículo desglosa el impacto económico real de un incidente en una entidad sin certificación ENS, con cifras concretas y un caso ilustrativo.

Costes directos: lo que se ve en la factura

Tiempo de inactividad

El coste más inmediato y frecuentemente subestimado es el tiempo durante el cual los sistemas están fuera de servicio. En el sector público, esto tiene una dimensión económica directa (el coste laboral del personal que no puede trabajar) pero también una dimensión de servicio: los trámites que no se procesan, las citas que no se gestionan, los ciudadanos que no pueden acceder a prestaciones.

Según datos del informe anual del CCN-CERT sobre incidentes en el sector público, los incidentes de tipo ransomware han supuesto en los últimos ejercicios periodos de interrupción de entre 5 y 45 días en entidades de tamaño medio. Con una plantilla media de 200 personas con un coste laboral de 2.500 euros mensuales por empleado, solo el coste laboral durante 15 días de inactividad supera los 250.000 euros.

Recuperación de sistemas

La recuperación tras un incidente grave implica varios componentes: análisis forense para determinar el vector de entrada y el alcance del compromiso, reinstalación o restauración de sistemas, validación de la integridad de los datos recuperados, y en muchos casos sustitución de hardware comprometido. Estos trabajos, cuando se contratan de urgencia a empresas especializadas, tienen un sobrecoste significativo respecto a los precios de mercado habituales.

Para incidentes de ransomware de alcance medio en entidades públicas, los costes de recuperación técnica se sitúan habitualmente entre 80.000 y 300.000 euros, dependiendo de la complejidad del entorno y del nivel de deterioro de los sistemas.

Comunicación de crisis

La gestión de la comunicación durante y después de un incidente requiere tanto personal interno (para responder a medios, ciudadanos e instituciones) como asesoría externa especializada. El coste de una crisis de comunicación bien gestionada en el sector público puede superar los 30.000 euros, y el de una mal gestionada es mucho mayor en términos de impacto reputacional.

Costes indirectos: lo que no aparece en la factura

Pérdida de contratos y subvenciones

Para las entidades privadas proveedoras de la Administración, un incidente de seguridad que trascienda públicamente puede suponer la pérdida de contratos en curso o la exclusión de licitaciones futuras. Los pliegos de contratación pública incluyen de manera creciente requisitos de seguridad cuyo incumplimiento puede ser causa de resolución contractual.

Daño reputacional

El daño reputacional es el coste más difícil de cuantificar y el que más tiempo tarda en recuperarse. En el sector público, la confianza ciudadana en los sistemas digitales de la Administración es un activo frágil. Encuestas del ONTSI muestran que los incidentes de seguridad en entidades públicas reducen significativamente la disposición ciudadana a realizar trámites digitales durante los meses siguientes al incidente.

Incremento de primas de ciberseguro

El mercado de ciber-seguros en España ha endurecido notablemente sus condiciones en los últimos años. Una entidad que haya sufrido un incidente grave verá incrementadas sus primas entre un 30 y un 150% en la siguiente renovación, cuando no la exclusión directa de determinadas coberturas. Sin certificación ENS, muchas aseguradoras aplican ya en la actualación inicial sobreprimas por riesgo no gestionado.

Consecuencias regulatorias

Sanciones del RGPD

Si el incidente implica una brecha de datos personales (lo que ocurre en la mayoría de los casos de ransomware, donde los atacantes exfiltran información antes de cifrarla), la Agencia Española de Protección de Datos puede incoar un procedimiento sancionador. El RGPD establece sanciones de hasta 10 millones de euros o el 2% de la facturación global para incumplimientos de medidas técnicas, y hasta 20 millones o el 4% para las infracciones más graves.

En la práctica, la AEPD tiene en cuenta como agravante la falta de medidas de seguridad adecuadas, y la ausencia de certificación ENS en sistemas de información de la Administración Pública puede considerarse como indicativo de negligencia en la adopción de medidas técnicas proporcionales.

Expedientes del CCN-CERT y del organismo de supervisión

El CCN-CERT puede emitir requerimientos de mejora tras un incidente que obligan a la entidad a implantar medidas específicas en plazos determinados, con seguimiento posterior. El incumplimiento del ENS puede derivar en expedientes administrativos que afecten a la continuidad de determinados servicios o a la habilitación para operar sistemas de información en determinadas categorías.

Caso ilustrativo: ayuntamiento con categoría MEDIA sin certificación ENS

Consideremos un ayuntamiento de tamaño medio (80.000 habitantes, 350 empleados, sistemas de categoría MEDIA según el ENS) sin certificación ni medidas de cumplimiento ENS documentadas, que sufre un ataque de ransomware que afecta a sus servidores de archivo, el sistema de gestión tributaria y el padrón municipal.

Estimación de costes directos:

• Tiempo de inactividad (18 días): coste laboral estimado en 315.000 euros, sin contar los ingresos tributarios diferidos o perdidos.
• Recuperación técnica y forense: entre 120.000 y 180.000 euros.
• Comunicación de crisis: 25.000 euros.
• Sustitución de hardware: 40.000 euros.

Estimación de costes indirectos y regulatorios:

• Sanción AEPD por brecha de datos del padrón: entre 50.000 y 200.000 euros (entidad pública).
• Asesoría legal durante el procedimiento sancionador: 15.000-30.000 euros.
• Incremento de prima de ciberseguro en renovación: 20.000-40.000 euros anuales adicionales durante tres años.
• Coste de comunicación a los ciudadanos afectados: 8.000-15.000 euros.

Coste total estimado del incidente: entre 573.000 y 780.000 euros, sin contar el impacto reputacional a largo plazo.

El ROI de la certificación ENS

La certificación ENS en categoría MEDIA para un ayuntamiento del tamaño del del ejemplo anterior tiene un coste de implementación (consultoría, herramientas, formación y auditoría) de entre 40.000 y 80.000 euros, con costes recurrentes anuales de mantenimiento de entre 10.000 y 20.000 euros.

Frente a un coste de incidente estimado en más de medio millón de euros, el ROI de la certificación es positivo incluso si la probabilidad de sufrir un incidente de esta magnitud fuera del 10% anual. Las estadísticas del CCN-CERT sugieren que la probabilidad real para entidades sin medidas de seguridad documentadas es significativamente mayor.

La certificación como argumento en licitaciones

Más allá de la reducción del riesgo, la certificación ENS genera un retorno comercial tangible para los proveedores privados. Los pliegos de licitación incluyen de forma creciente la certificación ENS o el cumplimiento de sus requisitos como criterio de adjudicación o como requisito de solvencia técnica. Una empresa certificada puede acceder a contratos que están vedados a sus competidores sin certificación, lo que en mercados de contratación pública de decenas de millones de euros convierte la inversión en certificación en un activo comercial de primer orden.