El risc cibernètic ha deixat de ser una qüestió exclusivament tecnològica per convertir-se en un dels principals riscos financers als quals s’enfronten les empreses. A Espanya, l’Institut Nacional de Ciberseguretat (INCIBE) va gestionar 122.223 incidents de ciberseguretat el 2025, un 26 % més que l’any anterior, una evolució que reflecteix com les amenaces digitals ja formen part de l’escenari habitual al qual s’enfronten les organitzacions.

Així ho conclou l’informe «El coste del silencio: por qué los directores financieros no pueden ignorar el riesgo cibernético», elaborat pel Grup ERA, consultora especialitzada en optimització de costos i gestió de proveïdors, que analitza com l’impacte dels ciberatacs transcendeix l’àmbit dels departaments de TI i afecta directament la liquiditat, la continuïtat del negoci, la reputació, les relacions amb els proveïdors, les assegurances i el compliment normatiu.

Segons l’informe, un incident cibernètic ja no suposa només la interrupció de sistemes informàtics. També pot paralitzar la producció, impedir l’emissió de factures, endarrerir comandes, comprometre dades delicades, generar responsabilitats legals i regulatòries o deteriorar la confiança dels clients i els inversors. En conseqüència, el cost veritable d’un ciberatac molt poques vegades es concentra en una única part pressupostària, sinó que s’estén a múltiples àrees del negoci.

Aquest canvi dʼescenari fa que la conversa sobre ciberseguretat també hagi dʼevolucionar. Per a ERA Group, la pregunta se centra en el fet de com minimitzar l’impacte financer i operatiu que pot tenir un incident sobre l’organització.

«Durant molt de temps la ciberseguretat s’ha considerat una responsabilitat tècnica. Tot i això, avui parlem d’un risc empresarial que pot afectar el flux de caixa, la capacitat operativa i l’estabilitat financera de qualsevol organització. Per això, la direcció financera ha de formar part d’aquesta conversa», explica [PORTAVEU], del Grup ERA.

Un risc cada vegada més freqüent i amb més impacte econòmic

L’informe també posa xifres a aquesta realitat. D’acord amb l’última enquesta sobre bretxes de ciberseguretat del Regne Unit, el 43 % de les empreses va patir almenys una bretxa o atac cibernètic durant el 2025/26, mentre que la pesca (phishing) va afectar el 38 % de les organitzacions. Tot i que les empreses estan reforçant la seva capacitat de resposta, la sofisticació creixent dels ciberatacs obliga a revisar la manera com les organitzacions avaluen i gestionen aquest risc.

La realitat espanyola mostra, a més, que aquest risc no està limitat a grans corporacions. Segons l’INCIBE, aproximadament el 60 % dels incidents gestionats el 2025 van afectar pimes i autònoms, cosa que evidencia que qualsevol organització connectada es pot convertir en objectiu i patir conseqüències econòmiques derivades d’una interrupció o una bretxa de seguretat.

Entre les amenaces amb impacte econòmic més directe destaca el frau en línia. El 2025, INCIBE va registrar 45.445 incidents d’aquest tipus, un 19 % més que l’any anterior, relacionats amb tècniques com ara la suplantació d’identitat, enganys o transferències fraudulentes que afecten directament els recursos financers de les organitzacions.

A més, ERA Group adverteix que els costos més rellevants d’un incident no sempre estan relacionats amb el rescat o la recuperació tecnològica. La impossibilitat d’atendre clients, les interrupcions a la cadena de subministrament, la contractació urgent de proveïdors alternatius, la pèrdua d’ingressos o el deteriorament de la reputació poden prolongar durant mesos les conseqüències econòmiques d’un ciberatac.

«La pregunta que haurien de fer-se les empreses no és si disposen de mesures de ciberseguretat, sinó si coneixen realment quin seria l’impacte econòmic d’una interrupció de la seva activitat i si estan preparades per afrontar-lo», afegeix [PORTAVEU].

La gestió del risc cibernètic passa per la direcció financera

L’informe subratlla que els directors financers no necessiten conèixer en profunditat els aspectes tècnics de la ciberseguretat, però sí que han d’entendre quines conseqüències tindria un incident per al negoci. Analitzar si les assegurances ofereixen una cobertura adequada, avaluar la dependència de proveïdors crítics, revisar els plans de continuïtat o comprovar si els temps de recuperació continuen sent realistes són decisions que ja formen part de la gestió financera de qualsevol organització.

ERA Group defensa un enfocament integral del risc cibernètic, en el qual la inversió en resiliència no es limiti a incrementar la despesa tecnològica, sinó que es recolzi en una revisió global de l’estructura de costos, els contractes amb proveïdors, les cobertures asseguradores i la planificació de la continuïtat del negoci. L’objectiu és identificar oportunitats per reforçar la protecció de l’empresa i optimitzar els recursos disponibles.

Les conclusions de l’informe apunten al fet que les organitzacions que incorporin el risc cibernètic dins de la seva estratègia financera estaran més ben preparades per protegir el flux de caixa, mantenir la confiança dels seus clients i respondre amb més capacitat d’adaptació en un entorn on els ciberatacs cada vegada són més sofisticats i les exigències regulatòries continuen augmentant.