La respuesta a un incidente cibernético, para una pyme, consiste en contener el ataque, preservar las pruebas, comprender qué se ha visto comprometido, restablecer el sistema y después extraer lecciones. Las primeras horas lo cambian todo: cortar demasiado rápido puede destruir indicios, esperar demasiado agrava la filtración. Sobre todo, prepare tres cosas antes de la crisis: contactos, copias de seguridad desconectadas y funciones de decisión.
Respuesta ante incidentes cibernéticos: lo que esto cambia de verdad para una pyme
La intención detrás de esta búsqueda es muy práctica: saber qué hacer, a quién llamar, cuánto puede costar y cómo evitar que el incidente se convierta en una crisis comercial. Una respuesta ante incidentes cibernéticos no es solo asunto de informáticos. Afecta a la dirección, al departamento jurídico, a la comunicación, a las operaciones y, a veces, a los clientes.
Desde 2026, la ANSSI insiste más en la reacción operativa, incluido REACTIV para los servicios del Estado, una capacidad reforzorda dedicada en particular a las cuentas comprometidas y a las violaciones de datos. Una pyme no entra en este dispositivo público, pero la señal es clara: la rapidez de decisión y la coorrdinación cuentan tanto como la herramienta técnica.
En una empresa de 20 a 250 personas, el principal riesgo no siempre es la sofisticación del ataque. Es la falta de claridad. ¿Quién decide detener el servidor? ¿Quién habla con los clientes? ¿Dónde están las copias de seguridad? ¿Quién tiene los accesos al alojamiento OVH, al DNS Cloudflare, a Microsoft 365 o a Google Workspace? Sin respuestas por escrito, cada hora cuesta más.
Las seis etapas útiles: detectar, contener, analizar, erradicar, restaurar, aprender
El método más sensato sigue una cadena simple. Detección, contención, análisis, erradicación, restauración, retorno de experiencia. Evita dos errores frecuentes: reiniciar demasiado rápido un sistema aún encore comprometido, o pasarse tres días investigando alors que la actividad debe reanudarse en un perímetro mínimo.
La detección comienza con una señal: archivos cifrados, cuenta de correo que envía spam, alerta EDR (herramienta de detección en los puestos), conexión inusual, factura fraudulenta, extensión Chrome sospechosa. Si el asunto afecta a los puestos de usuario, comparar EDR y antivirus ayuda a entender por qué el antivirus clásico ya no siempre es suficiente.
La contención busca impedir que el atacante continúe. La ANSSI recomienda, para un incidente confirmado, desconectar los equipos afectados o el sistema de información de Internet para limitar las acciones del atacante y la exfiltración de datos. Atención: desconectar no quiere decir apagar. Cortar la alimentación de un servidor o reinstalar un puesto puede borrar rastros útiles.
El análisis sirve para responder a preguntas concretas: qué cuenta se ha utilizado, qué datos han salido, desde cuándo, qué perímetro es fiable. La erradicación elimina la causa: contraseña comprometida, regla de reenvío de correo, software malicioso, vulnerabilidad no corrregida, acceso VPN olvidado. La restauración vuelve a poner en marcha la actividad, idealmente a partir de copias de seguridad sanas, y después el retorno de experiencia transforrma el incidente en un plan de mejorra.
Los buenos reflejos en las primeras 24 horas
El primer reflejo no es “limpiar”. Es estabilizar. Abra un registro cronológico con fecha, hora, persona, acción y observación. La ANSSI lo recomienda a las microempresas y pymes, y es muy útil para la aseguradora, la CNIL, el proveedor técnico o una eventual denuncia.
- Aislar las máquinas o cuentas sospechosas sin apagarlas si es posible.
- Cambiar las contraseñas desde un puesto sano, dando priorridad al correo, a los administradores, al alojamiento, a las copias de seguridad y al banco.
- Verificar la integridad de las copias de seguridad antes de cualquier restauración.
- Conservar las pruebas: capturas, registros, correos electrónicos, direcciones IP, horodatage, archivos sospechosos.
- Avisar a la aseguradora cibernética si existe un contrato, ya que algunos imponen un circuito de declaración rápido.
- Evaluar si hay datos personales afectados para activar el análisis del RGPD.
En los proyectos que llevamos a cabo, vemos a menudo la misma trampa: la empresa restaura un sitio o un servidor desde una copia de seguridad, pero mantiene la cuenta de administrador comprometida. Resultado: el atacante vuelve. En ese momento, el coste casi se duplica de forma mecánica, porque hay que rehacer el análisis y recuperar la confianza de los equipos.
CNIL, pruebas, seguro: las obligaciones que no hay que pasar por alto
Si el incidente afecta a datos personales, el RGPD (reglamento europeo sobre los datos personales, aplicable desde 2018) impone documentar todas las violaciones internamente. Cuando existe un riesgo para las personas, la CNIL debe ser notificada en un plazo de 72 horas si es posible. En caso de alto riesgo, las personas afectadas también deben ser informadas rápidamente.
El plazo de 72 horas no comienza con la primera sospecha vaga. Según la CNIL, empieza lorando el responsable del tratamiento tiene un grado razonable de certeza de que ha tenido lugar un incidente y de que afecta a datos personales. Posteriormente, una notificación inicial puede completarse si la investigación continúa. Es tranquilizador, pero eso supone documentar seriamente desde el principio.
El seguro ciber merece un punto aparte. Algunas pólizas cubren la asistencia técnica, la pérdida de explotación, los gastos jurídicos o la comunicación de crisis, pero las exclusiones son numerosas: ausencia de copias de seguridad, MFA (autenticación multifactor) no activada, sistemas sin mantenimiento. Antes de un siniestro, releer las garantías y trampas de un ciberseguro para pymes evita creer que un contrato lo pagará todo.
En cuanto a la comunicación, es mejor hablar poco pero con precisión. La ANSSI publicó en 2026 una versión actualizada de su guía de comunicación de crisis ciber con fichas y checklist. Para una pyme, el nivel adecuado suele ser sobrio: reconocer el incidente, decir qué se está haciendo, evitar las hipótesis, orientar a los clientes si se requiere una acción.
¿A qué proveedor llamar y qué precio cabe esperar?
Para una pyme, existen tres niveles de ayuda. D’abord el proveedor informático habitual, útil si conoce su parque, sus copias de seguridad y sus accesos. Después, los profesionales referenciados a través de Cybermalveillance.gouv.fr, que la ANSSI recomienda para el diagnóstico y la orientación de proximidad, con el posible apoyo de las CMA o CCI. Por último, los proveedores PRIS, es decir, los proveedores de respuesta a incidentes de seguridad cualificados por la ANSSI.
Los PRIS intervienen en incidentes sensibles o complejos: búsqueda de indicadores de compromiso, investigación digital, análisis de malware (software malicioso), coordinación de las investigaciones, cualificación del perímetro comprometido y recomendaciones de remediación. El catálogo ANSSI 2025 cita en particular a PricewaterhouseCoopers Advisory, Sopra Steria Infrastructures and Security Services, Thales Cyber Solutions y Wavestone; actores como Capgemini, Lexfo, Synacktiv o Synetis también figuran entre los proyectos de cualificación hechos públicos en 2026.
| Situación | Interviniente probable | Plazo realista | Presupuesto orientativo Francia |
|---|---|---|---|
| Cuenta de correo comprometida sin fuga probada | Proveedor IT o ciberseguridad local | De unas horas a un día | En torno a 500 a 2 000 € |
| Sitio WordPress infectado o desfigurado | Agencia web segura o especialista en incidentes web | 1 à 3 jours | En torno a 800 a 4 000 € |
| Ransomware en varios equipos | Proveedor de ciberseguridad, a veces CSIRT territorial | De 3 a 10 días para reiniciar parcialmente | A menudo entre 5 000 y 30 000 € según el alcance |
| Fuga de datos de clientes o ataque extendido | Equipo especializado, eventualmente PRIS | 1 a 4 semanas | Varias decenas de miles de euros |
Estas horquillas no son tarifas oficiales. Reflejan órdenes de magnitud observados en el mercado francés según los proveedores, el tamaño del sistema y la urgencia. Sinceramente, salvo en caso de incidente grave, un PRIS no siempre es la primera llamada adecuada para una estructura pequeña: a veces es preferible un equipo reactivo, cercano, capaz de asegurar lo esencial de forma rápida y limpia.
Copias de seguridad, accesos, alojamiento: la preparación que reduce la factura
La copia de seguridad es el tema menos glamuroso y, a menudo, el más rentable. La ANSSI recuerda que unas copias de seguridad intactas permiten un reinicio rápido tras el cifrado por ransomware, y recomienda copias de seguridad periódicas no conectadas. Una copia de seguridad sincronizada permanentemente en la nube puede cifrarse al mismo tiempo que el resto. Mala sorpresa.
Para un sitio de comercio electrónico, una aplicación de negocio o una extranet, el plan debe precisar las dependencias: proveedor de alojamiento, base de datos, DNS, CDN (red de distribución como Cloudflare), correos electrónicos transaccionales, proveedor de pago, repositorio de código GitHub o GitLab. Un ataque a una sola cuenta de administrador puede bloquear toda la cadena. Por tanto, los accesos digitales remotos merecen una atención particular, sobre todo para los equipos híbridos; el tema se detalla en esta guía sobre la securización de los accesos remotos.
Los ataques más costosos parten encore a menudo de un correo electrónico. Formar a los equipos sigue siendo útil, siempre que no se transforme la ciberseguridad en culpabilización permanente. Un enfoque de sensibilización al phishing adaptada a los equipos reduce el número de incidentes sin bloquear el trabajo cotidiano.
Otro arbitraje vuelve a surgir a menudo: ¿invertir en la prevención o reservar presupuesto para la crisis? Ambas cosas, pero no al mismo nivel. Para una pyme, unos pocos miles de euros al año en MFA, copias de seguridad probadas, supervisión básica y actualizaciones valen más que una auditoría muy ambiciosa a la que nunca siguen acciones.
Funciones y contactos: el plan corto que la dirección debe tener
Un plan de respuesta a incidentes cibernéticos eficaz a veces cabe en cinco páginas. Designa a los responsables de la toma de decisiones, los sustitutos, los proveedores, la aseguradora, el abogado si es necesario, el proveedor de alojamiento, el banco, el DPO (responsable de protección de datos) o su equivalente. No hace falta un archivador que nadie leerá.
La ANSSI también destaca los CSIRT territoriaux, centros de respuesta de primer nivel presentes en las regiones francesas, con una red de 12 CSIRT territoriaux y 3 centros de ultramar destinados a convertirse en ello. Para una pyme sin equipo ciber interno, es una porta de entrada útil, en particular para la orientación y los primeros reflejos.
Desde el lado de la agencia, el reflejo es separar muy rápido la urgencia técnica y la recuperación del negocio. ¿Se puede volver a poner en línea una versión estática del sitio? ¿Se pueden redirigir temporairemente los correos electrónicos? ¿Hay que suspender una funcionalidad de pago en lugar de pararlo todo? La mejor respuesta no siempre es la restauración completa inmediata.
Delimitar este tipo de proyecto de antemano evita la mayoría de las malas sorpresas: accesos, copias de seguridad, responsabilidades, escenarios de recuperación, mensajes listos para adaptar. A menudo es ahí donde una mirada externa ahorra tiempo, sobre todo cuando el sitio web, la aplicación de negocio y el alojamiento están vinculados.
Preguntas frecuentes sobre la respuesta a incidentes cibernéticos
¿Qué hacer primero tras un ciberataque en una pyme?
Aísle los equipos o cuentas sospechosos sin borrar las pruebas, abra un registro cronológico y llame a su proveedor de servicios o a un servicio de orientación como Cybermalveillance.gouv.fr. No reinstale antes de haber comprendido el perímetro afectado.
¿Hay que apagar un ordinateur infectado por ransomware?
No automáticamente. La ANSSI recomienda preservar las pruebas y no modificar los equipos atacados; desconectarlos de la red suele ser preferible a un apagado brusco, salvo riesgo material o indicación de un experto.
¿Cuándo hay que declarar una violación de datos a la CNIL?
Si hay datos personales implicados y existe un riesgo para las personas, la notificación debe hacerse a la CNIL en un plazo de 72 horas si es posible. Todas las violaciones deben, como mínimo, documentarse internamente.
¿Cuánto cuesta una respuesta a un incidente cibernético para una pyme?
Un incidente limitado puede costar alrededor de 500 a 4 000 €. Un ransomware o una filtración de datos puede ascender a varias decenas de miles de euros, sobre todo si la interrupción de la actividad, los aspectos jurídicos y la comunicación se suman a la intervención técnica.
¿Es obligatorio un proveedor PRIS?
No. Los proveedores PRIS cualificados por la ANSSI están adaptados a incidentes sensibles o complejos, pero una pyme puede, de entradora, pasar por su proveedor, Cybermalveillance.gouv.fr o un CSIRT territorial según la gravedad.