Herramienta 03 · Hazte una idea de las posibles consecuencias económicas de un incidente de ciberseguridad.
Calculadora de Impacto de un Ciberataque
Elige tu sector y los ataques que te preocupan. Verás cuánto podría costarte, partida a partida y en tres niveles de gravedad.
¿En qué sector trabajas?
Los datos de salud son categoría especial en el RGPD. Muchas citas se pueden reprogramar, pero no todas.
Tus datos no se guardan. Solo se envía un resumen de las cifras para redactar la explicación.
Fuga de datos
Coste operativo y de fuga de clientes. No incluye extorsión (desaconsejada), reclamaciones de terceros, sanciones ni activos intangibles.
Leve
8.623 €
total 104.623 €
Probable
12.807 €
total 108.807 €
Grave
22.173 €
total 118.173 €
Coste directo
12.807 €
+ 96.000 € en clientes · total 108.807 €
Impacto total estimado: 108.807 €
Además, podrías perder clientes. Esta cifra es una estimación con más incertidumbre: depende de cómo reaccione cada cliente.
- Investigación forense1.800 €
Horas de técnico × tarifa del técnico
- Asesoría legal y notificación a la AEPD3.000 €
Importe fijo
- Comunicación de crisis y reputación5.000 €
Importe según gravedad
- Comunicación a afectados2.000 €
Afectados × 1 € por aviso
- Atención de consultas367 €
Afectados × % que llama × minutos por llamada × coste hora
Riesgo adicional sin cuantificar: reclamaciones de afectados (art. 82 del RGPD)
- Clientes perdidos (medio plazo)96.000 €
Facturación anual × % de clientes perdidos × ajuste por compras
- Horas de dirección640 €
Horas de dirección × coste hora de dirección
Tienes 72 horas para notificar la brecha a la AEPD (art. 33 del RGPD).
Qué no incluye este total
Extorsión o rescate: no se incluye. Pagar se desaconseja siempre: no garantiza recuperar ni borrar los datos.
Reclamaciones de terceros: demandas e indemnizaciones de clientes, empleados u otros afectados por la fuga.
Activos intangibles: pérdida o exfiltración de secretos empresariales y de Propiedad Intelectual o Industrial (I+D, código fuente, patentes, carteras confidenciales). Su impacto requiere peritaje caso a caso.
Sanciones de la AEPD: según la Memoria 2025 de la AEPD, la multa media impuesta fue de unos 148.000 €. Es una cifra orientativa: muchas sanciones son mucho menores y otras, en casos graves, superan el millón. El importe final depende de la gravedad, el tamaño de la empresa y cómo haya respondido ante el incidente. Límites legales máximos: fallos de seguridad (art. 32) o de notificación (arts. 33 y 34 del RGPD), hasta 10.000.000 €; incumplir el principio de confidencialidad (art. 5.1.f), hasta 20.000.000 €. Se aplica la cifra mayor entre el importe fijo y el % de facturación (art. 83).
Qué pesa más en tu resultado
Explicación generada automáticamente a partir de tus datos. Orientativa.
10,9
meses de beneficio para cubrirlo
19,9
días de ventas equivalentes
Puntos a reforzar
- — EDR: detección y respuesta avanzada en equipos y servidores
- — Seguridad perimetral y accesos seguros (Zero Trust, VPN, MFA)
- — Cifrado y control de fugas de información (DLP)
- — Concienciación continua del equipo frente a phishing y engaños
- — Póliza de ciberriesgo que cubra parada, recuperación y responsabilidad
Podemos revisar cómo proteges los datos de tus clientes.
Asfalion Asesores
Cómo se calcula
Ventas por día = facturación anual / días laborables. Días equivalentes = días de parada × 0,75: la primera mitad se para casi todo y la segunda se trabaja al 50 %.
Solo se pierde el margen de las ventas, no la facturación entera: por eso se aplica un ajuste por compras según tu sector.
Clientes perdidos = facturación anual × % de clientes perdidos × ajuste por compras. En ransomware sin robo de datos el % es siempre del 2 %: los clientes se van por no ser atendidos. En una fuga de datos el % depende de la sensibilidad de los datos, se duplica y nunca supera el 30 %.
Leve, Probable y Grave cambian los días de parada (ransomware), las personas afectadas (fuga), las transferencias (fraude) o las horas de caída (web).
Los escenarios no se suman entre sí. Los sueldos durante la parada ya están dentro del margen perdido. No se incluye ningún rescate ni la sanción de la AEPD.
Datos de contexto
Proceden sobre todo de empresas grandes y de Estados Unidos. No se usan en el cálculo.
— Sophos, State of Ransomware 2025: más de la mitad de las organizaciones atacadas se recuperó en una semana; solo el 54 % pudo recuperarse con sus copias.
— FBI, informe IC3 2024: 21.442 denuncias por fraude con correo corporativo y casi 2.800 millones de dólares en pérdidas en Estados Unidos.
— IBM, Cost of a Data Breach 2025: coste medio global de una fuga de 4,44 millones de dólares; en sanidad, 7,42 millones.
Estimación orientativa basada en los datos que introduces. No es un peritaje ni una oferta de seguro. Los valores por defecto de cada sector son puntos de partida. Ajústalos a tu empresa.
Siguiente paso
¿Comentamos sus resultados?
Otros recursos