El 31% de las pymes españolas sufrió un ataque de ransomware en los últimos doce meses. Casi una de cada tres. Y de las que pagaron el rescate para recuperar sus datos, solo el 57% los recuperó de forma parcial o total. El resto lo perdió todo, según los datos publicados por el INCIBE en su balance de ciberseguridad de 2026.
Estos números no describen un problema de grandes corporaciones con infraestructuras complejas. Describen empresas de cinco, diez, veinte empleados que un día llegaron a la oficina y encontraron sus archivos cifrados, sus bases de datos inaccesibles y un mensaje pidiendo dinero a cambio de la clave.
La única diferencia entre las que sobrevivieron y las que no es que algunas tenían un backup que funcionaba. Y las que no lo tenían cerraron: el 60% de las empresas que sufren una pérdida de datos importante cierra en los seis meses siguientes.
Por qué la mayoría de las pymes creen que tienen backup cuando no lo tienen
Aquí está el problema real: muchas empresas tienen copias de seguridad que solo funcionan en papel. Las principales señales de alarma son estas: tienes una copia que se hace automáticamente en una carpeta del mismo servidor donde están los datos originales; tienes un NAS conectado permanentemente a la red de producción; o tienes copias en la nube pero nunca has probado a restaurar desde ellas.
Un backup real cumple tres condiciones: está en un lugar físicamente distinto al original, se verifica periódicamente que funciona, y puede restaurarse en un tiempo razonable sin paralizar el negocio. Si tu copia de seguridad no cumple las tres, no es un backup: es una ilusión de seguridad.
El ransomware moderno no solo cifra el servidor. Busca activamente las copias conectadas a la red y las cifra también. Si tu NAS está montado como unidad de red en los equipos de la empresa, ya no es una copia segura.
Qué es la regla 3-2-1 y por qué funciona
La estrategia 3-2-1 de backup es el estándar recomendado por organismos como el INCIBE y el NIST precisamente porque funciona frente a casi cualquier escenario de pérdida de datos. Su lógica es simple:
3 copias de tus datos: el original más dos copias de seguridad independientes. Cuantas más copias, menor probabilidad estadística de perderlo todo.
2 soportes diferentes: no guardes las dos copias en el mismo tipo de soporte ni en la misma ubicación. Por ejemplo, una en un NAS local y otra en un servicio de backup en la nube.
1 copia offsite: al menos una copia tiene que estar fuera de tus instalaciones físicas. Si hay un incendio, una inundación o un robo en la oficina, las copias locales mueren también.
La combinación de los tres elementos garantiza que ningún evento único, ya sea un fallo de hardware, un ataque informático o un desastre físico, pueda destruir todos tus datos a la vez.
La evolución: de la regla 3-2-1 a la 3-2-1-1-0
En 2026 el estándar profesional ha evolucionado. La regla básica sigue siendo la base, pero los profesionales de ciberseguridad añaden dos elementos clave que la hacen realmente robusta frente al ransomware moderno.
+1 copia inmutable: al menos una de tus copias debe ser inmutable, es decir, que no pueda modificarse ni eliminarse durante un período definido. Ni tú, ni un administrador, ni un atacante con tus credenciales robadas puede borrarla. Es el escudo definitivo contra el ransomware que ataca específicamente las copias de seguridad.
+0 errores verificados: las restauraciones deben probarse periódicamente. Un backup que nunca se ha probado es un backup del que no puedes fiarte. La sorpresa más habitual cuando llega el momento de restaurar es descubrir que las copias llevan semanas fallando en silencio.
Esta es la regla 3-2-1-1-0, el estándar que exige la Directiva NIS2 para empresas con datos críticos, y la referencia de cualquier política de backup seria en 2026.
Qué debería incluir una política de backup para pymes
Una política de backup empresarial no es solo elegir dónde se guardan los archivos. Es un conjunto de decisiones que determinan cuánto puedes permitirte perder y cuánto tiempo puedes estar sin operar si algo falla.
Lo mínimo que debes definir antes de implementar nada son estas variables: el RTO (Recovery Time Objective), cuántas horas puede estar tu empresa sin acceso a sus datos antes de que el impacto sea inaceptable; y el RPO (Recovery Point Objective), hasta qué punto en el tiempo puedes restaurar, o lo que es lo mismo, cuántas horas o días de trabajo puedes permitirte perder.
Para la mayoría de las pymes, copias de seguridad completas semanales y copias incrementales diarias cubren un RPO razonable. Pero si tu negocio genera datos críticos varias veces al día, como un ecommerce o una clínica, necesitas copias más frecuentes.
Otro aspecto que muchas pymes ignoran: tus datos de clientes están sujetos al RGPD. La copia de seguridad también debe cumplir con las obligaciones de protección de datos, incluyendo cifrado y control de acceso a esas copias.
Backup en la nube para empresas: ventajas y lo que hay que tener en cuenta
Las soluciones de backup en la nube para empresas han democratizado el acceso a copias offsite para cualquier tamaño de negocio. Hoy es posible tener una copia fuera de las instalaciones por un coste mensual razonable, incluso para pymes pequeñas.
Pero hay un error muy extendido que conviene aclarar: almacenar archivos en servicios de sincronización en la nube no es lo mismo que tener un backup. Si alguien borra accidentalmente un archivo o un ransomware lo cifra, la sincronización automática propaga el daño a todos los dispositivos conectados en cuestión de segundos. La nube es un soporte de almacenamiento; no una estrategia de recuperación por sí sola.
El backup en la nube real implica copias versionadas, retención histórica y, en entornos más exigentes, copias inmutables que no pueden modificarse desde ninguna cuenta. La diferencia entre los dos escenarios puede ser la diferencia entre recuperar todo o no recuperar nada.
Por dónde empezar si tu estrategia de backup actual no te convence
El primer paso es auditar lo que tienes hoy: qué se está copiando, dónde, con qué frecuencia y cuándo fue la última vez que alguien probó a restaurar. La mayoría de las veces, esa auditoría revela copias programadas que llevan meses fallando en silencio sin que nadie se haya enterado.
Si necesitas revisar o implementar una estrategia de copias de seguridad para pymes desde cero, en Apolo Group te ayudamos a hacerlo dentro de nuestro servicio de ciberseguridad para empresas: análisis de la situación actual, diseño de la política de backup adecuada a tu operativa y acompañamiento en la implantación.
Porque la pregunta no es si tu empresa va a sufrir un incidente. Es si cuando ocurra vas a poder recuperarte.
