La inversión en ciberseguridad dentro de la Unión Europea refleja una transformación constante en la manera en que las organizaciones gestionan sus recursos y enfrentan riesgos digitales. Los datos muestran que los presupuestos se mantienen estables en relación con años anteriores, aunque la orientación del gasto se desplaza hacia la adquisición de tecnología y la contratación de servicios externos, en lugar de ampliar significativamente los equipos internos. Esta tendencia responde a la dificultad de encontrar profesionales especializados y a la necesidad de maximizar el impacto con recursos humanos limitados.

El panorama laboral en ciberseguridad se caracteriza por una escasez persistente de talento. Las organizaciones enfrentan obstáculos tanto para atraer como para retener personal cualificado. La falta de candidatos con las competencias necesarias, sumada a la competencia intensa entre entidades, genera un ciclo de alta rotación que incrementa el riesgo operativo. Además, factores como la sobrecarga de trabajo, la ausencia de planes de carrera claros y la insuficiencia de programas de formación interna contribuyen a la dificultad de mantener equipos estables. En este contexto, las pequeñas y medianas empresas sufren más, pues sus presupuestos limitados reducen la capacidad de ofrecer salarios competitivos o beneficios atractivos.

La regulación se convierte en el motor principal de las inversiones. Normativas como la Directiva NIS2, el Reglamento de Resiliencia Cibernética y el marco DORA impulsan a las organizaciones a destinar recursos para cumplir con requisitos legales. Sin embargo, los efectos trascienden el cumplimiento normativo, debido a que se fortalecen procesos de gestión de riesgos, se mejora la detección de incidentes y se incrementa la capacidad de respuesta. De esta manera, la regulación actúa como catalizador de una evolución hacia prácticas más maduras y sostenibles. A pesar de los avances, la implementación de NIS2 plantea retos significativos. Las entidades señalan dificultades en áreas como la continuidad de negocio, la gestión de la cadena de suministro y la aplicación de parches. Estos aspectos requieren esfuerzos adicionales, pues las vulnerabilidades críticas pueden tardar meses en ser corregidas y un porcentaje considerable de organizaciones ni siquiera realiza evaluaciones periódicas de seguridad. La falta de pruebas regulares limita la capacidad de anticipar incidentes y debilita la resiliencia frente a ataques.

La gestión de riesgos en la cadena de suministro se vuelve cada vez más relevante. El aumento de la dependencia de servicios externos introduce nuevas vulnerabilidades, especialmente cuando los proveedores son pequeñas empresas con recursos limitados. Aunque se han reforzado los controles, las preocupaciones sobre compromisos de terceros ocupan un lugar destacado en las prioridades de las organizaciones. En cuanto al panorama de amenazas, los ataques de denegación de servicio han sido frecuentes, pero la preocupación más extendida se centra en el ransomware, seguido por los ataques a la cadena de suministro y el phishing. La preparación frente a estos escenarios es desigual, con las pequeñas y medianas empresas mostrando menor confianza en su capacidad de anticipar y recuperarse de incidentes.

Las estrategias de personal para los próximos años apuntan más a la estabilidad que a la expansión. Muchas organizaciones planean mantener sus niveles actuales de personal, mientras otras buscan reforzar capacidades mediante la capacitación interna. Este enfoque coincide con iniciativas europeas que promueven el reconocimiento de microcredenciales y la priorización de competencias sobre títulos formales, lo que puede facilitar la adaptación de la fuerza laboral a las necesidades emergentes.

El panorama de inversiones en ciberseguridad refleja un equilibrio entre la presión regulatoria, la escasez de talento y la evolución tecnológica. Las organizaciones buscan cumplir con las exigencias legales, pero también mejorar su capacidad de respuesta y resiliencia. La combinación de inversión en herramientas, fortalecimiento de procesos y desarrollo de competencias internas marca una transición hacia un modelo más estratégico, donde la ciberseguridad se integra de manera estructural en la gestión de riesgos y en la operación cotidiana.

Para leer más ingrese a:

https://www.enisa.europa.eu/publications/nis-investments-2025

https://www.enisa.europa.eu/sites/default/files/2025-12/NIS%20Investments%202025%20-%20Main%20report_0.pdf