PYME Cibersegura 2026: el protocolo de INCIBE y la USC frente a un ciberataque

En marzo de 2026, la cátedra CECOCIB —la Cátedra de Economía de la Ciberseguridad que la Universidade de Santiago de Compostela (USC) mantiene junto a INCIBE— puso en marcha «PYME Cibersegura 2026», una campaña dirigida a pequeñas empresas gallegas de entre 5 y 20 empleados. Dentro de sus materiales había una pieza que trasciende el ámbito gallego y le sirve a casi cualquier autónomo: un protocolo de actuación por fases —primera hora, primer día y primera semana— pensado para responder a la única pregunta que de verdad importa cuando un incidente ya está ocurriendo: «me acaba de pasar, ¿qué hago ahora?».

Conviene decir desde el principio en qué clave leemos esto. La campaña arrancó y se desarrolló en marzo. Cuando consultamos la web de la cátedra (cecocib.es) meses después, en julio, la portada ya no mostraba la iniciativa. Así que no estamos ante una convocatoria abierta a la que apuntarse, sino ante un enfoque —el del protocolo por fases— que merece la pena conocer porque cualquiera puede trasladarlo a su propia rutina, tenga empleados o trabaje solo.

Qué era «PYME Cibersegura 2026»

La campaña partía de una organización conjunta de la USC e INCIBE a través de la cátedra CECOCIB. Según lo recogido por medios gallegos que citan a esa organización —entre ellos El Correo Gallego, que titulaba «PYME Cibersegura 2026: una campaña de INCIBE y la Universidade de Santiago para proteger a las pymes gallegas»—, la iniciativa se apoyaba en cuatro bloques de materiales:

• Un catálogo de más de 30 amenazas, es decir, un inventario de los tipos de ataque y riesgo a los que se expone una empresa pequeña.
• Un conjunto de medidas mínimas priorizadas: no todo a la vez, sino lo esencial ordenado por importancia.
• Una autoevaluación, para que cada empresa pudiera situarse y detectar sus puntos débiles antes de que ocurra nada.
• Un protocolo de actuación por fases, dividido en primera hora, primer día y primera semana.

El público objetivo declarado eran pymes gallegas de 5 a 20 empleados. Es un tramo con una característica muy concreta: son negocios lo bastante grandes como para manejar datos de clientes, facturación electrónica y varios equipos conectados, pero demasiado pequeños como para tener un departamento de sistemas o alguien dedicado a la seguridad. Cuando algo va mal, no hay a quién llamar dentro de la empresa. Ese vacío es exactamente el que intenta cubrir un protocolo escrito de antemano.

El protocolo por fases: lo verdaderamente reutilizable

De los cuatro bloques, el que más viaja fuera de Galicia y fuera del tramo de 5 a 20 empleados es el protocolo por fases. La razón es sencilla: la mayoría de guías de ciberseguridad se centran en la prevención —qué instalar, qué contraseñas usar, qué copias de seguridad hacer— y dejan sin respuesta el momento posterior, el del incidente ya consumado, que es justo cuando el afectado está más nervioso y menos capaz de improvisar.

Dividir la reacción en tres horizontes temporales —primera hora, primer día, primera semana— resuelve un problema práctico: obliga a priorizar por urgencia en lugar de intentar hacerlo todo de golpe. Hay decisiones que no pueden esperar sesenta minutos; otras que pueden y deben tomarse con más calma en las horas siguientes; y otras que solo tienen sentido una vez pasado el susto, cuando toca cerrar la brecha para que no vuelva a ocurrir. Tener ese orden escrito antes de que pase nada evita el error más común: bloquearse, o tomar en caliente decisiones que empeoran la situación.

Para un autónomo, la lectura útil no es tanto el detalle concreto de cada paso —que la campaña dirigía a su público específico— como la idea de fondo: conviene tener un pequeño plan de reacción antes de necesitarlo. Saber, aunque sea en una nota de dos líneas, qué mirar primero, a quién avisar y qué no tocar. Un protocolo por fases funciona porque convierte una situación de pánico en una lista de tareas.

A quién afecta y por qué le importa a un autónomo

Formalmente, la campaña se dirigía a pymes gallegas de un tamaño determinado. Pero la lógica del protocolo es generalizable a cualquier autónomo o micropyme, dentro y fuera de Galicia. Un profesional que factura desde su portátil, que guarda datos de clientes o que cobra por pasarela electrónica está expuesto a buena parte de esas amenazas, y suele estar aún más solo que una empresa de quince personas: no tiene a nadie a quien delegar la respuesta.

Por eso la parte más transferible no es la marca de la campaña ni su ámbito regional, sino el hábito que propone: pensar la seguridad no solo como algo que se instala una vez, sino como una secuencia de decisiones que hay que tener ordenadas de antemano. La autoevaluación apunta en la misma dirección —conocer los propios puntos débiles— y también es un ejercicio que cualquiera puede replicar por su cuenta.

Qué queda vigente y qué no sabemos

Aquí toca ser honestos con los límites de esta información. Son varios, y conviene enumerarlos:

• La campaña cerró. Se desarrolló en marzo de 2026 y en julio la portada de cecocib.es ya no la mostraba. No hay, por tanto, un plazo abierto ni una inscripción que recomendar. Escribimos esto como archivo, no como aviso de una oportunidad vigente.
• La fuente directa es limitada. La web de la cátedra ya no exhibía la iniciativa cuando la consultamos. El grueso del detalle procede de dos medios gallegos coincidentes que citan a la organización conjunta de la USC e INCIBE; el más identificable es El Correo Gallego. No hemos podido contrastar el material original completo.
• No conocemos el contenido concreto. Sabemos que había un catálogo de más de 30 amenazas, medidas mínimas priorizadas, una autoevaluación y un protocolo estructurado en tres fases. No disponemos de la lista detallada de esas amenazas, ni del texto exacto de qué hacer en la primera hora, en el primer día o en la primera semana. Por eso en esta pieza no reproducimos pasos concretos: sería inventarlos.
• No sabemos si los materiales siguen accesibles en algún otro apartado de la cátedra ni si se prevé una edición posterior.

Con todo, el valor de la noticia no depende de que la campaña siga en pie. Lo aprovechable es el planteamiento: una pyme o un autónomo que hoy no tiene ningún plan de reacción puede quedarse con la idea central —ordenar la respuesta a un incidente por horizontes de urgencia— y construirse su propia versión, aunque sea artesanal. Frente a un ciberataque, casi cualquier plan escrito de antemano es mejor que improvisar con las manos temblando.