En 2023, el 21,5 % de las empresas de la UE experimentaron incidentes de seguridad de las TIC que tuvieron diferentes tipos de consecuencias, como la falta de disponibilidad de servicios de TIC, la destrucción o corrupción de datos o la divulgación de datos confidenciales.
El mayor porcentaje de empresas que experimentaron incidentes de seguridad de las TIC con consecuencias se registró en Finlandia, con más de dos quintos (42,2%), seguida de Polonia (32,5%) y Malta (28,7%). En el otro extremo de la escala, los porcentajes más bajos se registraron en Austria (11,5%), Eslovenia (11,6%) y Bulgaria (12,1%).
Las empresas que más sufrieron incidentes de seguridad relacionados con las TIC en 2023 fueron las del sector de suministro de electricidad, gas, vapor y aire acondicionado (28,8%), información y comunicación (27,9%), actividades profesionales, científicas y técnicas (26,8%), actividades inmobiliarias (25,0%) y suministro de agua, incluidas las actividades de alcantarillado, gestión de residuos y remediación (24,1%).
En los últimos años, Europa ha visto una proliferación de incidentes graves de ciberseguridad que afectan directamente a empresas, sectores industriales, proveedores de servicios críticos y cadenas de suministro. Las empresas europeas ya no solo se enfrentan a ataques aislados de alto perfil, sino a un escenario en el que más de una de cada cinco empresas registró al menos un incidente grave en 2023 que implicó interrupción de servicios, destrucción o corrupción de datos, o la divulgación de información confidencial. Este punto de partida permite entender que la ciberseguridad es hoy un asunto estructural en Europa, no únicamente una preocupación técnica.
Uno de los ejes clave del problema es el sector de la manufactura e industria, donde una investigación reciente de Kaspersky muestra que el 22 % de las empresas manufactureras europeas atribuyen sus incidentes a una falta de inversión suficiente en seguridad. La concatenación de entornos operativos conectados (OT, IoT, sistemas SCADA) con prácticas de ciberseguridad menos maduras convierte a ese sector en un objetivo deseable para los ciberdelincuentes.
Así, en esa industria no solo se producen brechas de datos, sino interrupciones operativas, lo que añade un componente de riesgo que va más allá de la mera pérdida de información.
Una segunda característica es el crecimiento de los ataques por ransomware y el compromiso de datos (data exfiltration). Por ejemplo, en febrero de 2024 se informó que más de 50 millones de registros fueron comprometidos en Europa, incluyendo carpetas de una gran empresa automovilística europea, cuya filial sufrió el robo de 3 TB de datos por parte del grupo Black Basta.
Otro caso paradigmático: el grupo ALPHV/BlackCat reivindicó en 2023 el robo de más de 24 millones de archivos a la cadena hotelera alemana Motel One. Estos ejemplos ilustran que el riesgo ya no se limita al “sitio web hackeado”, sino a interrupciones amplias, pérdida de continuidad de negocio, impacto reputacional y costes elevados.
El tercero de los grandes vectores es el ataque a la cadena de suministro y proveedores tecnológicos, la denominada “supply-chain attack”. El Parlamento Europeo destaca esta modalidad como emergente: el proveedor o contratista es comprometido, y a través de él se llega al cliente final. Esta vía es especialmente peligrosa porque muchas empresas confían en que su proveedor tiene estándares adecuados de ciberseguridad, cuando en muchos casos no es así. Este modelo también permite ataques más amplios y de efecto en cadena, incluso sin un objetivo directo inicial en el blanco final.
Para ilustrar los efectos concretos, basta citar que en el sector del transporte y aeroespacial, un incidente reciente destacable afectó al proveedor Collins Aerospace, cuya plataforma de check-in y embarque impactó varios aeropuertos europeos, incluidos los de Bruselas, Londres y Berlín.
La consecuencia, cancelaciones de vuelos, demoras generalizadas y un claro recordatorio de que incluso los proveedores de servicios “invisibles” para el cliente final pueden convertirse en un eslabón crítico vulnerable.
A nivel cuantitativo, los últimos datos de Eurostat del pasado mes de octubre muestran, como se ha señalado ya, que el 21,5 % de las empresas de la UE experimentaron incidentes de seguridad de TI en 2023. No todos son de la magnitud de grandes brechas de datos o interrupciones industriales, pero esto resalta una incidencia ya generalizada. En cualquier caso, la realidad es que los sectores que sustentan infraestructuras críticas y servicios esenciales están particularmente expuestos.
También cabe destacar que el contexto geopolítico potencia estas amenazas. La guerra entre Rusia y Ucrania ha supuesto un “terreno” añadido en el que los actores estatales o proxys intervienen en el ciberespacio, aumentando la sofisticación, el volumen y el alcance de los ataques. En este sentido, para las empresas europeas operando con o dentro de entornos críticos, la ciberseguridad ya no es únicamente un tema interno, sino una cuestión de riesgo estratégico que puede tener implicaciones nacionales o transnacionales.
Desde la óptica de las causas de vulnerabilidad, pueden destacarse varios factores: presupuestos insuficientes para seguridad, falta de visibilidad de los activos conectados (especialmente en entornos industriales/OT), complejidad creciente de las cadenas de suministro, dependencia de terceros, y un aumento de las herramientas automatizadas de ataque por parte de los ciberdelincuentes. Estos factores interactúan y generan un escenario en que la amenaza ya no es “si” sino “cuándo” una empresa será comprometida.
En cuanto al impacto para las empresas europeas, los efectos son múltiples: desde la interrupción de la actividad productiva o de servicios, pérdida de datos sensibles, fuga de propiedad intelectual, daño reputacional, multas por incumplimiento normativo (como el RGPD) hasta costes directos de recuperación, que pueden ascender a decenas o cientos de millones de euros. En el caso de la cadena de suministro y servicios compartidos, los efectos pueden propagarse a subcontratistas, socios y clientes, ampliando el daño más allá de la empresa inicialmente atacada.
El entorno regulatorio europeo también responde a este desafío: normas como la directiva NIS2 Directive y otras exigencias regulatorias obligan a las empresas a mejorar sus capacidades de resiliencia, reportar incidentes, cooperar con autoridades nacionales y establecer medidas de gestión de riesgos y continuidad. Sin embargo, algunos estudios señalan que la implementación es desigual entre estados miembros y sectores, lo que plantea un riesgo de fragmentación regulatoria.
La pregunta clave ahora es: ¿Qué pueden hacer las empresas europeas para adaptarse a este nuevo panorama? En primer lugar, elevar la ciberseguridad al nivel de riesgo corporativo estratégico, no sólo de TI. Esto implica que los consejos de administración y altos directivos comprendan que un incidente puede paralizar operaciones, afectar la reputación o incluso su supervivencia.
En segundo lugar, invertir en protección proactiva: segmentación de redes, visibilidad de activos, parches actualizados, formación del personal, simulacros de incidentes. En tercer lugar, reforzar la ciberresiliencia de la cadena de suministro: conocer quiénes son los proveedores, establecer cláusulas contractuales de seguridad, exigir auditorías, y contar con planes de contingencia que asuman que «el proveedor será atacado». Finalmente, colaborar con autoridades, grupos sectoriales, intercambio de información sobre amenazas, y considerar seguros de ciber riesgos como parte integral de la estrategia.
En conclusión, el panorama de ciberseguridad empresarial en Europa es complejo, dinámico y exigente. No se trata sólo de protegerse ante hackers tradicionales, sino de adaptarse a un entorno donde los ataques son más sofisticados, donde las líneas entre conflicto geopolítico, crimen organizado y vulnerabilidades corporativas se difuminan, y donde la resiliencia se convierte en un factor competitivo. Las empresas europeas que no vean la ciberseguridad como un coste inevitable sino como una inversión estratégica probablemente enfrentarán riesgos crecientes. La pregunta ya no es “si seré atacado”, sino “cómo responderé cuando me ataquen”.
