# Ciberseguridad y copias de seguridad para autónomos Medidas básicas, qué hacer si algo sale mal y cuándo hay que avisar a la AEPD. Página: https://simplifico.es/herramientas/guias/ciberseguridad · Actualizado: 2026-10 La mayoría de los incidentes en pequeños negocios se evitan con hábitos sencillos: contraseñas robustas con doble verificación, actualizaciones, copias de seguridad y desconfianza ante correos y llamadas urgentes. Si ocurre un incidente, INCIBE ofrece ayuda gratuita en el 017 y, si hay datos personales afectados con riesgo, tienes 72 horas para notificar a la AEPD. ## Datos clave - Ayuda INCIBE: 017, servicio gratuito y confidencial, todos los días de 8:00 a 23:00 - Plazo de notificación de brecha: 72 horas desde que se tiene constancia, si hay riesgo para las personas - Regla de copias: 3-2-1: tres copias, dos soportes, una fuera del local ## Paso a paso 1. 1. Contraseñas y doble verificación: Usa una contraseña larga y distinta para cada servicio, guardadas en un gestor de contraseñas. Activa la verificación en dos pasos (2FA) al menos en correo, banca, redes, nube y cuentas de la web. 2. 2. Actualiza todo: Activa las actualizaciones automáticas en ordenadores, móviles, router, programas, el gestor de tu web y sus plugins. Retira lo que ya no tenga soporte. 3. 3. Haz copias de seguridad con la regla 3-2-1: Mantén tres copias de tus datos importantes, en dos tipos de soporte distintos, con una de ellas fuera de tu local (en la nube o en un disco que guardes en otro sitio). Programa la copia de forma automática y prueba una restauración al menos una vez al año: una copia que nunca se ha restaurado no es de fiar. Aísla al menos una copia para que un ransomware no pueda cifrarla. 4. 4. Aprende a reconocer el phishing y el fraude de la factura: Desconfía de mensajes urgentes que piden pagar, cambiar un IBAN, abrir un adjunto o iniciar sesión desde un enlace. Antes de pagar una factura cuyo número de cuenta ha cambiado, confirma por un canal distinto (llamada a un teléfono que ya tuvieras). Lo mismo con el fraude del CEO, en el que alguien se hace pasar por el jefe o un directivo para pedir una transferencia urgente. 5. 5. Protege la wifi y la red: Cambia la contraseña de fábrica del router, usa cifrado WPA2 o WPA3, separa la wifi de clientes de la de tu negocio y no uses redes públicas para operar con el banco o con datos de clientes sin una VPN. 6. 6. Protege móviles y portátiles: Bloqueo con PIN o biometría, cifrado del dispositivo, función de localizar y borrar en remoto, antivirus o protección integrada actualizada y descarga de aplicaciones solo de tiendas oficiales. Si un dispositivo se pierde, cambia las contraseñas desde otro. 7. 7. Si hay un incidente, actúa en este orden: Desconecta el equipo afectado de la red, no lo apagues si puedes evitarlo para conservar pruebas, cambia contraseñas desde un dispositivo limpio, avisa a tu banco si hay dinero en juego, llama al 017 de INCIBE para recibir ayuda, guarda capturas y correos, y valora denunciar ante las Fuerzas y Cuerpos de Seguridad. 8. 8. Valora si hay brecha de datos personales: Si el incidente ha afectado a datos personales (de clientes, empleados o proveedores), debes valorar si hay riesgo para sus derechos y libertades. Si es probable que lo haya, notifica a la AEPD en 72 horas desde que tuviste constancia; si el riesgo es alto, comunícalo también a los afectados. Si decides no notificar, documenta igualmente la brecha y tu razonamiento. ## Medidas esenciales INCIBE, en su sección para empresas (Protege tu empresa), recoge herramientas, guías y formación para micropymes y autónomos. Un buen punto de partida es su decálogo de ciberseguridad para empresas y su kit de concienciación. - Contraseñas únicas y 2FA. - Actualizaciones automáticas. - Copias 3-2-1 probadas. - Formación básica para ti y tus empleados. - Mínimo acceso: cada persona solo accede a lo que necesita. - Inventario de dispositivos y cuentas. ## Ayuda de INCIBE INCIBE presta un servicio gratuito, confidencial y personalizado de atención en el teléfono 017 (Tu Ayuda en Ciberseguridad), para ciudadanos, empresas y menores, todos los días de 8:00 a 23:00. En su web para empresas ofrece también el apartado 'Reporta tu incidente', ayuda ante ransomware y ante fraude por email comprometido, el servicio Antibotnet y recursos de RGPD para pymes. ## Notificación de brechas a la AEPD Según la AEPD, tienes 72 horas desde que la organización tiene constancia de la brecha para notificarla a la autoridad de control cuando sea probable que suponga un riesgo para los derechos y libertades de las personas. Si el riesgo es alto, hay que comunicarlo también a los afectados (art. 34 RGPD). La notificación se hace por vía electrónica con el formulario de la sede electrónica de la AEPD. La AEPD ofrece la herramienta Asesora Brecha para ayudar a decidir y la herramienta Comunica-Brecha RGPD para valorar si hay que informar a los afectados. - Aunque no notifiques, documenta la brecha, sus efectos y las medidas adoptadas. - Notificar a tiempo es, según la AEPD, muestra de diligencia y no implica necesariamente un procedimiento administrativo. - Para el ámbito privado, la AEPD indica que le corresponde la notificación si tu único establecimiento en la UE está en España (con varios establecimientos en la UE, solo si el principal está en España). ## Fraude de factura y fraude del CEO Son fraudes de ingeniería social: el atacante se hace pasar por un proveedor o por un directivo para que se haga un pago a una cuenta controlada por él. Defensa práctica: - Verifica cualquier cambio de IBAN por teléfono con un número que ya tuvieras. - Exige dos personas o dos canales para transferencias fuera de lo habitual. - Desconfía de la urgencia y de la confidencialidad exigida. - Comprueba el dominio exacto del remitente. ## Ransomware y copias El ransomware cifra tus archivos y pide un rescate. La mejor defensa es tener copias recientes, desconectadas o inmutables, y haber probado la restauración. No es recomendable pagar el rescate: no garantiza recuperar los datos y financia al atacante. ## Errores frecuentes - Usar la misma contraseña en varios servicios. - Hacer copias pero no probar nunca la restauración. - Dejar la única copia conectada al mismo equipo. - Pagar una factura con IBAN modificado sin confirmarlo por otro canal. - Esperar días a valorar una brecha de datos personales y perder el plazo de 72 horas. - Mantener el router y los programas sin actualizar. ## Preguntas frecuentes ### ¿A qué teléfono llamo si me han atacado? Al 017 de INCIBE, servicio gratuito y confidencial, abierto todos los días de 8:00 a 23:00. ### ¿Siempre tengo que notificar una brecha a la AEPD? No. Solo cuando sea probable que suponga un riesgo para los derechos y libertades de las personas. Si no notificas, debes documentar la brecha y tu valoración. ### ¿Desde cuándo cuentan las 72 horas? Desde que la organización tiene constancia de la brecha, según la AEPD. ### ¿Basta con tener los archivos en la nube? No necesariamente. Si se sincroniza una carpeta cifrada por ransomware, la copia en la nube también se estropea. Conviene una copia versionada o desconectada. ### ¿Es obligatorio activar la doble verificación? No hay una obligación general para un autónomo, pero es una de las medidas más eficaces y gratuitas, y refuerza el cumplimiento de la seguridad exigida por el RGPD. ### ¿Dónde encuentro recursos gratuitos para mi empresa? En la sección Protege tu empresa de INCIBE: herramientas, guías, kit de concienciación, formación para micropymes y autónomos y avisos de seguridad. ## Herramientas relacionadas - [Test de ciberseguridad](https://simplifico.es/herramientas/test-ciberseguridad) - [Plan de copias 3-2-1](https://simplifico.es/herramientas/plan-copias-321) Nota: Los contenidos de INCIBE sobre la regla 3-2-1, el decálogo y el fraude del CEO no se pudieron abrir (error 404); las recomendaciones sobre contraseñas, copias, wifi, móviles, fraude de factura y ransomware son buenas prácticas generales, no extraídas de una página concreta de INCIBE. La web de INCIBE no mostraba el número 017 en el texto leído; se cita por el nombre del servicio (Tu Ayuda en Ciberseguridad). ## Fuentes oficiales - [INCIBE: Protege tu empresa](https://www.incibe.es/empresas) - [AEPD: brechas de seguridad (plazo de 72 horas y cómo notificar)](https://www.aepd.es/derechos-y-deberes/cumple-tus-deberes/medidas-de-cumplimiento/brechas-de-seguridad) - [AEPD: Comunica-Brecha RGPD](https://www.aepd.es/guias-y-herramientas/herramientas/comunica-brecha-rgpd) - [AEPD: Facilita RGPD](https://www.aepd.es/guias-y-herramientas/herramientas/facilita-rgpd) Información general; no sustituye el asesoramiento profesional para cada caso. Editado por Simplifico (https://simplifico.es), portal para autónomos y pymes en España con sede en Bilbao.