La consultora internacional de estrategia y gestión de tecnología Eraneos, ha un estudio elaborado a partir de las conclusiones del primer Eraneos Cybersecurity Summit. Este informe recoge la visión, prioridades y retos de más de treinta directores de ciberseguridad de compañías españolas líderes en sus respectivos sectores y procedentes de prácticamente todos los ámbitos de actividad.
El 88% de los CISO afirma contar con un plan director de ciberseguridad aprobado por la alta dirección
Una de las conclusiones más interesantes que nos deja este análisis es que la ciberseguridad ha alcanzado un elevado nivel de madurez estratégica en las organizaciones españolas. De hecho, el 88% de los CISO afirma contar con un plan director de ciberseguridad aprobado por la alta dirección, un dato que confirma la plena integración de esta función en la toma de decisiones corporativas.
Este dato refleja que la protección digital ya no se percibe como un conjunto de controles técnicos, sino como un factor crítico para garantizar la resiliencia y la continuidad del negocio, proteger la reputación corporativa y preservar la confianza de clientes e inversores.
Según Eduvigis Ortiz, Cybersecurity Head Iberia en Eraneos y coautora del estudio, la identidad, el cibercrimen industrializado y la creciente complejidad de los ecosistemas digitales están redefiniendo el riesgo. “En este nuevo entorno, la resiliencia deja de ser un ideal y se convierte en el factor decisivo para proteger y sostener el negocio”.
Es evidente que se plantea un interesante cambio de paradigma: las organizaciones están pasando de intentar proteger, evitando el ataque, a priorizar la capacidad de recuperarse antes y mejor.
Riesgo de terceros
A pesar del aumento en la madurez estratégica, el estudio identifica también un punto crítico: el riesgo de terceros. Actualmente, las empresas españolas operan con una media de más de seis proveedores de ciberseguridad, lo que dispara la complejidad operativa. La desconfianza es palpable, ya que solo el 23% de los CISO afirma confiar plenamente en sus proveedores actuales.
El informe complementa este dato señalando que el 50% de los directivos considera que los riesgos de proveedores sin gestionar son su principal amenaza en la cadena de suministro. Por ello, la recomendación de los expertos es clara: solo se deben externalizar procesos que ya sean maduros internamente para evitar una dependencia excesiva del conocimiento del proveedor.
El mensaje es claro: el principal riesgo ya no está dentro de las organizaciones, sino en el ecosistema, donde hay terceros sin gestionar, exceso de proveedores y falta de visibilidad real sobre la cadena de suministro. Esto exige pasar a una gestión continua de este escenario, basada en criterios de criticidad, controles verificables, monitorización, planes de contingencia y pruebas conjuntas.
Inversión pragmática
En este contexto, los responsables de seguridad están reorientando sus prioridades de inversión hacia la eficiencia, la simplificación y el control. Frente a la proliferación de herramientas, el foco se desplaza hacia la consolidación de plataformas y la optimización del entorno tecnológico. Las áreas que concentran un mayor esfuerzo inversor adicional son:
- La gestión de identidades y accesos privilegiados (46,2%).
- La optimización y consolidación tecnológica (34,6%).
- La seguridad en la nube (30,8%).
- Las capacidades de detección y respuesta extendida (XDR) con un 19,2% .
Además, la inteligencia artificial (IA) y la automatización han dejado de ser opciones para convertirse en necesidades operativas. El 73% de los CISO considera la automatización una prioridad crítica para este año. La IA no solo se utiliza para escalar las defensas ante ataques de última generación, sino también para paliar la escasez de talento especializado en el sector.
El 73% de los CISO considera la automatización una prioridad crítica para este año
Además, los responsables de seguridad están empezando a poner el foco en los riesgos emergentes de la propia tecnología, como los deepfakes y el abuso de modelos de lenguaje (LLM).
En definitiva, el rol del CISO en 2026 es más estratégico que nunca. La ciberseguridad se ha consolidado como el habilitador silencioso de la estrategia empresarial, permitiendo que las organizaciones tomen decisiones valientes sobre su crecimiento digital sabiendo que cuentan con los mecanismos de respuesta necesarios ante el peor de los escenarios.
