El context de ciberseguretat per a empreses mitjanes a Espanya està canviant en tres fronts simultàniament: la pressió regulatòria de NIS2, uns atacants que operen amb eines d'IA més accessibles i unes asseguradores que estan redefinint què significa ser assegurable. Aquests no són canvis que arribaran: ja estan arribant.
Canvi 1: les ciberassegurances exigiran més
Les asseguradores porten dos anys endurint les condicions de les pòlisses de ciberrisc. El que abans era un 'nice to have' —MFA en tots els accessos privilegiats, EDR en tots els endpoints, gestió documentada de pedaços— està passant a ser un requisit de contractació. Les empreses que no compleixin aquests controls bàsics veuran les seves primes augmentar significativament o es quedaran sense cobertura.
Canvi 2: els atacs automatitzats amb IA baixaran el llindar d'entrada
El cost de llançar un atac de phishing sofisticat i personalitzat ha caigut dràsticament amb la democratització de models de llenguatge. Un atacant sense capacitats tècniques avançades pot ara generar correus de phishing en català o castellà correcte, adaptats al sector i al càrrec del receptor, a escala.
Canvi 3: NIS2 començarà a tenir conseqüències reals
La Directiva NIS2 transposada a Espanya està elevant les obligacions de seguretat per a sectors que abans no estaven en el radar regulatori. Les obligacions inclouen gestió de riscos documentada, notificació d'incidents en 24-72 hores i responsabilitat directiva. La finestra de preparació s'està tancant.
Canvi 4: el mercat de MSSPs es concentrarà
El nombre de proveïdors de seguretat gestionada petits que no poden invertir en les capacitats que exigeix el mercat actual va a reduir-se. Per a les empreses client, això significa que alguns dels seus actuals proveïdors de seguretat podrien no estar en condicions de donar el servei que necessitaran en els pròxims 12-18 mesos.
Què hauries de revisar abans de finals d'any
- MFA activat en tots els accessos a sistemes crítics i accessos remots
- EDR desplegat en tots els endpoints, incloent equips de teletreball
- Procés de gestió de pedaços documentat i executat amb freqüència mensual com a mínim
- Revisió d'accessos de tercers: tancar tots els que no tenen ús actiu verificat
- Prova de restauració des de còpia de seguretat documentada i executada en els últims 90 dies
- Inventari de sistemes actualitzat amb criticitat de negoci assignada
- Avaluació de si la teva empresa entra en l'àmbit de NIS2 i quines obligacions implica
- Revisió del qüestionari de renovació de la ciberassegurança per identificar gaps
Cap d'aquests canvis requereix una inversió extraordinària per a empreses que parteixen d'una base raonable. La majoria són mesures d'higiene que ja haurien d'estar en marxa. El problema és que per a moltes empreses mitjanes no ho estan.
Si vols saber com està la teva empresa davant d'aquests canvis, fem un diagnòstic de postura de seguretat que identifica els gaps més urgents en menys d'una setmana.
Avaluar la teva postura de seguretat