Cómo calcular el coste del riesgo cibernético para que dirección apruebe el presupuesto
Resume este artículo con tu IA
Convierte el riesgo en euros con cuatro cifras que ya tienes y compara tres escenarios. El caso de negocio que dirección entiende y aprueba en una página.
Un comité de dirección aprueba lo que puede comparar, y compara inversiones frente a riesgos expresados en euros. La conversión es sencilla —riesgo esperado = probabilidad × impacto— y el impacto que más pesa es la parada de operación. Con cuatro cifras que ya están en la empresa se construye un caso de negocio defendible.
Todo responsable de IT conoce el momento: has detectado lo que la empresa necesita en seguridad, tienes claro qué proteger y por qué, y llega la reunión con dirección para pedir presupuesto. En esa mesa conviven el director financiero, el de operaciones y la gerencia, cada uno con sus propias prioridades y con varias inversiones compitiendo por los mismos recursos.
La propuesta de seguridad gana esa conversación cuando habla el mismo idioma que las demás: euros, escenarios y retorno. Un comité decide con rapidez cuando ve cuánto cuesta un día de operación detenida, qué alternativas existen y cuál de ellas rinde más. Con esos tres elementos sobre la mesa, la seguridad pasa a ocupar su sitio natural, como una inversión que protege la facturación y la continuidad del negocio.
La buena noticia es que los datos para construir ese caso ya están dentro de la empresa. En este artículo verás cómo convertir el riesgo en euros con cuatro cifras que tienes a mano, cómo presentar tres escenarios comparables y cómo resumirlo todo en una página que el director financiero pueda defender por sí mismo.
El comité aprueba lo que puede comparar
Frente a una inversión comercial con retorno estimado y a una de producción con ahorro calculado, una propuesta de seguridad compite bien cuando llega con las dos mismas piezas: una cifra de impacto y una alternativa comparable.
Esa es la diferencia entre las propuestas que se aprueban y las que se aplazan. Cuando el comité puede poner las tres opciones en la misma tabla, la conversación pasa de «¿gastamos?» a «¿cuál de las tres?», que es justo donde interesa que esté.
La parada: el coste que determina la decisión
La factura de un incidente tiene cinco partidas, y la primera suele ser la mayor:
- Parada operativa. Días o semanas de operación detenida. Es la partida decisiva y la que conviene calcular primero.
- Recuperación técnica. Forense, reconstrucción de sistemas, restauración de copias y soporte externo de urgencia.
- Coste legal y regulatorio. Notificación, asesoría y el régimen sancionador que corresponda.
- Impacto comercial. Contratos pendientes de renovación y procesos de compra que se congelan mientras dura la investigación.
- Coste humano. Meses de atención de dirección y de IT dedicados a la recuperación.
Como referencia externa, el coste medio de una brecha en la mediana empresa se sitúa en el orden de 1,24 millones de dólares, y la media para detectar y contener un incidente está en 241 días (IBM, 2025). Son cifras de semestre, y eso es exactamente lo que las hace útiles en un comité.
Tu propia cifra convence más que cualquier estadística global
El dato que cambia la conversación es el de la propia empresa, y se calcula en diez minutos:
- Facturación diaria media × días estimados de parada.
- Coste de nómina del personal que quedaría a la espera.
- Penalizaciones contractuales por incumplimiento de SLA con tus clientes.
- Coste estimado de recuperación técnica externa.
Cuatro números que ya existen en la empresa y que producen un caso de negocio propio, verificable por el director financiero.
Tres escenarios comparables convierten una petición en una decisión
Este es el orden de magnitud para una empresa de unos 300 empleados:
| Escenario | Coste anual | Qué obtienes |
|---|---|---|
| Mantener la situación actual | 0 € visibles | El riesgo esperado íntegro en el balance, y las evidencias para clientes y aseguradora quedan pendientes |
| Equipo interno | ≈ 150.000 € | 1,6 FTE (≈108.600 €) + tecnología (≈33.500 €) + evaluaciones (≈8.000 €), con cobertura en horario laboral |
| Servicio gestionado | 70.000 – 90.000 € | Vigilancia 24×7, respuesta, cumplimiento y reporting, con un ahorro del 40% al 53% |
La propuesta que se aprueba cabe en una página
Estructura que funciona, en este orden:
- Situación. Una línea con una cifra objetiva procedente de un diagnóstico independiente.
- Riesgo. El impacto económico de un día de parada y la exposición regulatoria o contractual.
- Propuesta. Qué se contrata, por fases, con coste anual.
- Alternativas consideradas. Modelo interno, mantener la situación actual, seguro con las medidas que exige.
- Cómo lo mediremos. Tres indicadores, elegidos para que cada uno oriente una decisión.
Criterio de verificación: la propuesta cabe en una diapositiva y el director financiero puede repetir el argumento en una reunión en la que tú no estás.
Preguntas frecuentes
Que la mayoría de los ataques son oportunistas y buscan el acceso más sencillo. El argumento que mejor funciona es un dato propio: credenciales corporativas reales localizadas en una filtración convencen más que cualquier porcentaje de mercado.
Suele rendir más una primera fase con resultado visible en noventa días. Se aprueba con más facilidad y crea el historial que respalda la petición siguiente.
La cifra más sólida sale de dimensionar desde el impacto calculado y desde el coste de la alternativa interna. Ese cálculo es propio de cada empresa y resiste mejor las preguntas del comité que un porcentaje genérico de facturación.
