Guía práctica
Ciberseguridad y copias de seguridad para autónomos
Medidas básicas, qué hacer si algo sale mal y cuándo hay que avisar a la AEPD.
- Ayuda INCIBE
- 017, servicio gratuito y confidencial, todos los días de 8:00 a 23:00
- Plazo de notificación de brecha
- 72 horas desde que se tiene constancia, si hay riesgo para las personas
- Regla de copias
- 3-2-1: tres copias, dos soportes, una fuera del local
La mayoría de los incidentes en pequeños negocios se evitan con hábitos sencillos: contraseñas robustas con doble verificación, actualizaciones, copias de seguridad y desconfianza ante correos y llamadas urgentes. Si ocurre un incidente, INCIBE ofrece ayuda gratuita en el 017 y, si hay datos personales afectados con riesgo, tienes 72 horas para notificar a la AEPD.
Paso a paso
- 01
1. Contraseñas y doble verificación
Usa una contraseña larga y distinta para cada servicio, guardadas en un gestor de contraseñas. Activa la verificación en dos pasos (2FA) al menos en correo, banca, redes, nube y cuentas de la web.
- 02
2. Actualiza todo
Activa las actualizaciones automáticas en ordenadores, móviles, router, programas, el gestor de tu web y sus plugins. Retira lo que ya no tenga soporte.
- 03
3. Haz copias de seguridad con la regla 3-2-1
Mantén tres copias de tus datos importantes, en dos tipos de soporte distintos, con una de ellas fuera de tu local (en la nube o en un disco que guardes en otro sitio). Programa la copia de forma automática y prueba una restauración al menos una vez al año: una copia que nunca se ha restaurado no es de fiar. Aísla al menos una copia para que un ransomware no pueda cifrarla.
- 04
4. Aprende a reconocer el phishing y el fraude de la factura
Desconfía de mensajes urgentes que piden pagar, cambiar un IBAN, abrir un adjunto o iniciar sesión desde un enlace. Antes de pagar una factura cuyo número de cuenta ha cambiado, confirma por un canal distinto (llamada a un teléfono que ya tuvieras). Lo mismo con el fraude del CEO, en el que alguien se hace pasar por el jefe o un directivo para pedir una transferencia urgente.
- 05
5. Protege la wifi y la red
Cambia la contraseña de fábrica del router, usa cifrado WPA2 o WPA3, separa la wifi de clientes de la de tu negocio y no uses redes públicas para operar con el banco o con datos de clientes sin una VPN.
- 06
6. Protege móviles y portátiles
Bloqueo con PIN o biometría, cifrado del dispositivo, función de localizar y borrar en remoto, antivirus o protección integrada actualizada y descarga de aplicaciones solo de tiendas oficiales. Si un dispositivo se pierde, cambia las contraseñas desde otro.
- 07
7. Si hay un incidente, actúa en este orden
Desconecta el equipo afectado de la red, no lo apagues si puedes evitarlo para conservar pruebas, cambia contraseñas desde un dispositivo limpio, avisa a tu banco si hay dinero en juego, llama al 017 de INCIBE para recibir ayuda, guarda capturas y correos, y valora denunciar ante las Fuerzas y Cuerpos de Seguridad.
- 08
8. Valora si hay brecha de datos personales
Si el incidente ha afectado a datos personales (de clientes, empleados o proveedores), debes valorar si hay riesgo para sus derechos y libertades. Si es probable que lo haya, notifica a la AEPD en 72 horas desde que tuviste constancia; si el riesgo es alto, comunícalo también a los afectados. Si decides no notificar, documenta igualmente la brecha y tu razonamiento.
Medidas esenciales
INCIBE, en su sección para empresas (Protege tu empresa), recoge herramientas, guías y formación para micropymes y autónomos. Un buen punto de partida es su decálogo de ciberseguridad para empresas y su kit de concienciación.
- Contraseñas únicas y 2FA.
- Actualizaciones automáticas.
- Copias 3-2-1 probadas.
- Formación básica para ti y tus empleados.
- Mínimo acceso: cada persona solo accede a lo que necesita.
- Inventario de dispositivos y cuentas.
Ayuda de INCIBE
INCIBE presta un servicio gratuito, confidencial y personalizado de atención en el teléfono 017 (Tu Ayuda en Ciberseguridad), para ciudadanos, empresas y menores, todos los días de 8:00 a 23:00. En su web para empresas ofrece también el apartado 'Reporta tu incidente', ayuda ante ransomware y ante fraude por email comprometido, el servicio Antibotnet y recursos de RGPD para pymes.
Notificación de brechas a la AEPD
Según la AEPD, tienes 72 horas desde que la organización tiene constancia de la brecha para notificarla a la autoridad de control cuando sea probable que suponga un riesgo para los derechos y libertades de las personas. Si el riesgo es alto, hay que comunicarlo también a los afectados (art. 34 RGPD). La notificación se hace por vía electrónica con el formulario de la sede electrónica de la AEPD. La AEPD ofrece la herramienta Asesora Brecha para ayudar a decidir y la herramienta Comunica-Brecha RGPD para valorar si hay que informar a los afectados.
- Aunque no notifiques, documenta la brecha, sus efectos y las medidas adoptadas.
- Notificar a tiempo es, según la AEPD, muestra de diligencia y no implica necesariamente un procedimiento administrativo.
- Para el ámbito privado, la AEPD indica que le corresponde la notificación si tu único establecimiento en la UE está en España (con varios establecimientos en la UE, solo si el principal está en España).
Fraude de factura y fraude del CEO
Son fraudes de ingeniería social: el atacante se hace pasar por un proveedor o por un directivo para que se haga un pago a una cuenta controlada por él. Defensa práctica:
- Verifica cualquier cambio de IBAN por teléfono con un número que ya tuvieras.
- Exige dos personas o dos canales para transferencias fuera de lo habitual.
- Desconfía de la urgencia y de la confidencialidad exigida.
- Comprueba el dominio exacto del remitente.
Ransomware y copias
El ransomware cifra tus archivos y pide un rescate. La mejor defensa es tener copias recientes, desconectadas o inmutables, y haber probado la restauración. No es recomendable pagar el rescate: no garantiza recuperar los datos y financia al atacante.
Errores frecuentes
- Usar la misma contraseña en varios servicios.
- Hacer copias pero no probar nunca la restauración.
- Dejar la única copia conectada al mismo equipo.
- Pagar una factura con IBAN modificado sin confirmarlo por otro canal.
- Esperar días a valorar una brecha de datos personales y perder el plazo de 72 horas.
- Mantener el router y los programas sin actualizar.
Preguntas frecuentes
¿A qué teléfono llamo si me han atacado?
Al 017 de INCIBE, servicio gratuito y confidencial, abierto todos los días de 8:00 a 23:00.
¿Siempre tengo que notificar una brecha a la AEPD?
No. Solo cuando sea probable que suponga un riesgo para los derechos y libertades de las personas. Si no notificas, debes documentar la brecha y tu valoración.
¿Desde cuándo cuentan las 72 horas?
Desde que la organización tiene constancia de la brecha, según la AEPD.
¿Basta con tener los archivos en la nube?
No necesariamente. Si se sincroniza una carpeta cifrada por ransomware, la copia en la nube también se estropea. Conviene una copia versionada o desconectada.
¿Es obligatorio activar la doble verificación?
No hay una obligación general para un autónomo, pero es una de las medidas más eficaces y gratuitas, y refuerza el cumplimiento de la seguridad exigida por el RGPD.
¿Dónde encuentro recursos gratuitos para mi empresa?
En la sección Protege tu empresa de INCIBE: herramientas, guías, kit de concienciación, formación para micropymes y autónomos y avisos de seguridad.
Algunos datos de esta guía están pendientes de confirmar en la fuente oficial. Compruébalos en los enlaces oficiales antes de tomar una decisión.
Fuentes oficiales
Información general actualizada en 2026-10. No sustituye el asesoramiento profesional para tu caso concreto.
Del cálculo a la solución
Software e IA para trabajar menos
Proveedores analizados por Simplifico con su puntuación. Compara antes de contratar.
Para qué sirve: Ciberseguridad para autónomos
Un correo falso que cambia el IBAN de un proveedor, un ransomware que cifra tus facturas o un portátil robado con datos de clientes pueden parar tu negocio durante días. La mayoría de estos incidentes se evitan con hábitos sencillos, y cuando ocurren, saber qué hacer en las primeras horas marca la diferencia. Esta guía está pensada para autónomos y pequeñas empresas sin personal informático.
Encontrarás las medidas básicas que conviene aplicar ya, cómo organizar tus copias de seguridad, cómo reconocer el fraude de la factura y del CEO, los pasos a seguir ante un incidente y cuándo y cómo hay que avisar a la Agencia Española de Protección de Datos si se ven afectados datos personales, con enlaces a los recursos gratuitos de INCIBE y la AEPD.
Cómo se usa
- 1
Revisa lo básico
Contraseñas únicas con doble verificación, actualizaciones automáticas y copias 3-2-1 probadas.
- 2
Prepara a tu equipo
Enseña a reconocer el phishing y fija una regla: ningún cambio de IBAN sin confirmar por teléfono.
- 3
Ten a mano el plan ante incidentes
Desconectar, cambiar contraseñas desde un equipo limpio, avisar al banco, llamar al 017 y guardar pruebas.
- 4
Valora si hay brecha de datos
Si hay datos personales afectados y riesgo para las personas, notifica a la AEPD en 72 horas.
Preguntas frecuentes
¿Qué pasa si la brecha la sufre mi gestoría o mi proveedor en la nube?
Si un proveedor trata datos personales por cuenta tuya, es tu encargado del tratamiento y debe avisarte sin dilación indebida en cuanto conozca la brecha. La decisión de notificar a la AEPD y, en su caso, a los afectados sigue siendo tuya como responsable, y el plazo de 72 horas cuenta desde que tienes constancia. Por eso conviene que tus contratos con proveedores recojan cómo y cuándo te avisarán.
¿Y si no consigo notificar la brecha en 72 horas?
Notifícala igualmente lo antes posible. El reglamento europeo de protección de datos exige que, si la notificación a la autoridad de control llega después de las 72 horas, vaya acompañada de los motivos del retraso. Si todavía no tienes toda la información, puedes enviar una primera notificación con lo que sepas y completarla después.
¿Qué hago si ya he pagado una factura a un IBAN falso?
Llama de inmediato a tu banco para pedir que intente frenar o recuperar la transferencia: cuanto antes avises, más posibilidades hay. Después, avisa al proveedor real por un teléfono que ya tuvieras, guarda los correos con sus cabeceras y presenta denuncia ante la Policía o la Guardia Civil. El 017 de INCIBE puede orientarte sobre los pasos a seguir.
Más herramientas de tecnología e inteligencia artificial
Información general revisada el 20 de octubre de 2026. No sustituye el asesoramiento profesional para tu caso concreto.