Informe sobre la ciberseguridad en las empresas de Galicia. Edición 2025

El informe contiene el análisis de los resultados de la Encuesta sobre ciberseguridad en las empresas Gallegas en 2025.

La encuesta es fruto de la cooperación por una parte de la Subárea de Seguridad y OSIMGA, dependientes de la Axencia para a Modernización Tecnolóxica de Galicia (AMTEGA), y del IGE mediante el “Convenio de colaboración entre la Axencia para a Modernización Tecnolóxica de Galicia y el Instituto Galego de Estatística para optimizar las estadísticas en el ámbito de la sociedad de la información” por lo que el IGE se encarga del diseño mostral, proyecto técnico presentado y aprobado en el Consejo Gallego de Estadística, tareas de trabajo de campo y depuración de resultados. El diseño del cuestionario, planificación y análisis se hace en colaboración entre el IGE y OSIMGA.

Esta colaboración impulsó la redacción del proyecto técnico “4102-03 Encuesta de ciberseguridad en las empresas gallegas”, que será de aplicación en 2026. En 2025 se realiza la primera edición de esta encuesta, que ha previsto repetirse un año más, y permite la elaboración de este informe.

Tipos de incidentes

Más del 15% de las empresas gallegas sufrió algún incidente de ciberseguridad a lo largo de 2025. El tipo de incidente de ciberseguridad más habitual (10,2%) es el phishing externo seguido, aunque con bastante diferencia (2,6%), de la suplantación de identidad dentro de la empresa. En tercer lugar están los ataques por virus informáticos y de denegación de servicios por sobrecarga, que afectaron a más del 2% de las empresas en el último año. Las intrusiones en sistemas mediante accesos no autorizados supusieron el 1,9% de los incidentes y la instalación de software malicioso para dañar sistemas o datos el 1,2%.

La consecuencia más habitual de los incidentes de ciberseguridad es la falta de disponibilidad de servicios tecnológicos, que afecta al 53,3% de las empresas que sufrieron algún incidente, seguida de la pérdida de productividad, que afectó 29,8% y de gastos económicos adicionales (24,8%).

Durante 2025, el 14,4% de las empresas de 50 o más trabajadores sufrieron algún tipo de consecuencia tras un incidente de ciberseguridad. Este porcentaje bajo hasta el 8,3% en el segmento de empresas de 10 a 49 empleados y al 5,6% en el caso de las empresas de menos de 10. Por sectores, el comercio es el que más consecuencias sufrió (9,6%), seguido de la construcción (5,9%) y la industria (5,1%).

Más del 33% de las empresas que tuvieron incidentes de seguridad recibieron asistencia externa. Más del 17% recurrieron a una empresa especializada, el 7,2% a los cuerpos y fuerzas de seguridad, el 3,2% al INCIBE y menos de un 3% a un organismo autonómico.

Inversión y capacitación

El 81,6% de las empresas de Galicia aplican alguna medida de seguridad en sus equipos y comunicaciones tecnológicas. Por sector y tamaño, emplean medidas de ciberseguridad la práctica totalidad de las empresas de 50 o más personas empleadas. En las empresas de 10 a 49, los porcentajes oscilan entre lo 86,2% de la hostelería y el 100% en el del comercio.

En cuanto a inversión en ciberseguridad, el 40% de las empresas gallegas afirman haber destinado un promedio de 3.217 euros anuales a este fin. Cerca del 70% de las empresas de 50 o más personas empleadas, gastan en ciberseguridad, destacando el sector de servicios, excluido comercio y hostelería.

En el último año el 22,1% de las empresas ofreció a su personal empleado a posibilidad, de cursar actividades formativas sobre ciberseguridad. Este porcentaje supera el 50% en el caso empresas de 50 o más empleados. Por sectores, en el de “otros servicios” la media es más de diez puntos superior a cualquier otro con el 35,7%.

Percepción del nivel de seguridad

El 60,3% de las empresas declaran estar preparadas de manera adecuada o alta en la seguridad TIC. Este valor oscila entre lo 88,8% en las empresas más grandes y el 58,7% en las pequeñas.

En cuanto a sectores de actividad, nuevamente encontramos como el “resto de servicios” y el de la industria se definen como más preparados. La una mayor distancia está la hostelería, donde solo el 44,7% de las empresas se declaran preparadas de forma adecuada o alta frente a la posibles ciberataques.