Lo m\u00e1s importante en resumen<\/p>\n
- \n
- El riesgo dirige el presupuesto, no una lista de herramientas.<\/strong> El p\u00e1rrafo 30 del BSIG convierte la proporcionalidad en la medida y menciona expresamente los costes de implementaci\u00f3n y la exposici\u00f3n al riesgo como criterios de ponderaci\u00f3n.<\/li>\n
- No existe una cifra obligatoria.<\/strong> Bitkom mide en 2025 de media un 18 por ciento de participaci\u00f3n de seguridad inform\u00e1tica en el presupuesto de TI; como valor de referencia, Bitkom y la presidenta del BSI mencionan el 20 por ciento. No existe un importe m\u00ednimo fijo por ley.<\/li>\n
- El orden decide.<\/strong> El an\u00e1lisis de riesgos, la protecci\u00f3n de identidades, las copias de seguridad y la higiene b\u00e1sica preceden a un SIEM completo.<\/li>\n
- La frase que convence al CFO:<\/strong> \u00bfQu\u00e9 reducci\u00f3n de riesgo compramos con cada euro?<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/strong> Cinco indicadores que el consejo de supervisi\u00f3n realmente entiende \u00b7 Qu\u00e9 controles no pueden eliminarse al reducir herramientas<\/p>\n
\u00bfQu\u00e9 es la presupuestaci\u00f3n de seguridad basada en riesgos?<\/h2>\n
\u00bfQu\u00e9 es la presupuestaci\u00f3n de seguridad basada en riesgos?<\/strong> La presupuestaci\u00f3n de seguridad basada en riesgos asigna cada gasto a un riesgo documentado y financia primero las medidas que reducen el mayor da\u00f1o esperado por euro invertido. El est\u00e1ndar es la proporcionalidad seg\u00fan el p\u00e1rrafo 30 del BSIG. Una lista completa de herramientas no sustituye este est\u00e1ndar.<\/p>\n
La diferencia se hace visible en la conversaci\u00f3n con el CFO. Una lista de herramientas responde a la pregunta \u00ab\u00bfQu\u00e9 compramos?\u00bb. Una financiaci\u00f3n basada en riesgos responde a la pregunta \u00ab\u00bfQu\u00e9 riesgo reducimos con ello y en qu\u00e9 medida?\u00bb. La segunda pregunta resiste una pregunta cr\u00edtica de seguimiento; la primera, rara vez.<\/p>\n
\n\n18 %<\/div>\nProporci\u00f3n media de seguridad inform\u00e1tica en el presupuesto de TI, encuesta Bitkom 2025 (n=1.002)<\/p>\n<\/div>\n
\n20 %<\/div>\nValor de orientaci\u00f3n de Bitkom y de la presidenta del BSI Plattner<\/p>\n<\/div>\n
\n\u00a7 30<\/div>\nexige medidas proporcionadas, no un importe m\u00ednimo fijo<\/p>\n<\/div>\n<\/div>\n
La l\u00f3gica detr\u00e1s del orden<\/h2>\n
Tres magnitudes determinan qu\u00e9 partida recibe dinero primero. La primera es el da\u00f1o esperado, aproximadamente el producto de la probabilidad de ocurrencia y la magnitud del da\u00f1o. La segunda es el apetito de riesgo, es decir, el umbral por debajo del cual la direcci\u00f3n asume conscientemente un riesgo residual. Este determina las medidas por encima del equipamiento b\u00e1sico legal. Las diez medidas m\u00ednimas del p\u00e1rrafo 30 apartado 2 del BSIG siguen siendo obligatorias y se implementan de forma proporcionada. La tercera es la eficiencia econ\u00f3mica, la reducci\u00f3n del da\u00f1o por euro invertido.<\/p>\n
De ello surge una regla de priorizaci\u00f3n sencilla: primero las medidas con alta probabilidad de ocurrencia, un impacto notable en el da\u00f1o y costes bajos. Este orden coincide con el marco legal. El p\u00e1rrafo 30 apartado 1 del BSIG exige medidas \u00abadecuadas, proporcionadas y eficaces\u00bb y menciona para la proporcionalidad, entre otros, la magnitud de la exposici\u00f3n al riesgo, el tama\u00f1o de la entidad, los costes de implementaci\u00f3n as\u00ed como la probabilidad de ocurrencia y la gravedad de los incidentes. El legislador no exige con ello una lista completa de herramientas. Exige una ponderaci\u00f3n fundamentada que no quede por debajo del equipamiento b\u00e1sico legal.<\/p>\n
Cinco partidas que necesitan presupuesto antes del SIEM<\/h2>\n
1. An\u00e1lisis de riesgos documentado y necesidad de protecci\u00f3n<\/h3>\n
Se financia el propio an\u00e1lisis de riesgos: un inventario de activos y procesos, un apetito de riesgo registrado y una hoja de ruta de medidas derivada de \u00e9l. Sin esta base falta la informaci\u00f3n com\u00fan sobre la que se decide todo debate presupuestario posterior. Esta partida cuesta principalmente tiempo de personal, pero dirige toda la asignaci\u00f3n. El p\u00e1rrafo 30 apartado 1 frase 3 del BSIG exige adem\u00e1s documentar el cumplimiento de las medidas. Sin una situaci\u00f3n de riesgo documentada no se puede ni justificar ni demostrar la proporcionalidad.<\/p>\n
2. Protecci\u00f3n de identidades y accesos<\/h3>\n
Aqu\u00ed se incluyen la autenticaci\u00f3n multifactor, una gesti\u00f3n de identidades endurecida, la protecci\u00f3n especial de cuentas privilegiadas y revisiones peri\u00f3dicas de accesos. El riesgo abordado es uno de los puntos de entrada m\u00e1s frecuentes: la toma de control de una cuenta mediante credenciales robadas y el posterior movimiento lateral en la red. Seg\u00fan Bitkom 2025, el ransomware, el phishing y los ataques a contrase\u00f1as se encuentran entre los tipos de ataque que causan m\u00e1s da\u00f1os. La protecci\u00f3n cuesta poco por usuario, pero act\u00faa directamente sobre las cuentas m\u00e1s cr\u00edticas. La autenticaci\u00f3n multifactor se menciona expresamente como medida en el p\u00e1rrafo 30 apartado 2 n\u00famero 10 del BSIG.<\/p>\n
3. Copias de seguridad y recuperaci\u00f3n probada<\/h3>\n
Se financian copias de seguridad m\u00faltiples seg\u00fan el principio 3-2-1, copias inmutables o mantenidas offline y una recuperaci\u00f3n que se prueba peri\u00f3dicamente. Una copia de seguridad que nunca se ha restaurado es una suposici\u00f3n, no una prueba. El riesgo es la interrupci\u00f3n operativa, seg\u00fan el Allianz Risk Barometer 2025 el segundo mayor riesgo empresarial a nivel mundial, inmediatamente despu\u00e9s de los incidentes cibern\u00e9ticos. Una copia de seguridad s\u00f3lida reduce la presi\u00f3n de extorsi\u00f3n en caso de ransomware y limita el da\u00f1o por paradas cuando la prevenci\u00f3n falla. La base se encuentra en el p\u00e1rrafo 30 apartado 2 n\u00famero 3 del BSIG.<\/p>\n
4. Gesti\u00f3n de vulnerabilidades y exposici\u00f3n<\/h3>\n
Esta partida financia la gesti\u00f3n de parches priorizada, el endurecimiento de sistemas con conexi\u00f3n a internet y una superficie de ataque deliberadamente reducida. El riesgo es la explotaci\u00f3n de vulnerabilidades conocidas desde hace tiempo y servicios abiertos que nadie ten\u00eda controlados. El impacto por euro es alto porque se cierran vectores de ataque baratos antes de que alguien los utilice. El orden se elige conscientemente: primero reducir la superficie de ataque, luego invertir en supervisi\u00f3n. Una herramienta de detecci\u00f3n sobre un entorno no endurecido genera principalmente muchas alertas.<\/p>\n
5. Respuesta a incidentes y base de logging<\/h3>\n
Para completar el equipamiento b\u00e1sico se incluyen un playbook de emergencias, una cadena de notificaci\u00f3n practicada junto con la preparaci\u00f3n para la obligaci\u00f3n de notificaci\u00f3n en 24 horas seg\u00fan el p\u00e1rrafo 32 del BSIG, una recopilaci\u00f3n central de los logs de sistemas cr\u00edticos y una sensibilizaci\u00f3n espec\u00edfica de los grupos de alto riesgo. El riesgo es la larga permanencia de un atacante, elevados costes forenses y el incumplimiento de un plazo de notificaci\u00f3n. Esta partida ocupa el \u00faltimo lugar del top cinco porque su desarrollo se construye sobre las anteriores. Sin embargo, la cadena de notificaci\u00f3n y un logging m\u00ednimo de sistemas cr\u00edticos deber\u00edan surgir pronto; el centro de operaciones externalizado y un SIEM completo pueden venir despu\u00e9s.<\/p>\n
Impacto por euro en comparaci\u00f3n<\/h2>\n
La misma l\u00f3gica se puede leer como un mapa sencillo. Muestra por qu\u00e9 la higiene precede a las plataformas costosas.<\/p>\n
\n - No existe una cifra obligatoria.<\/strong> Bitkom mide en 2025 de media un 18 por ciento de participaci\u00f3n de seguridad inform\u00e1tica en el presupuesto de TI; como valor de referencia, Bitkom y la presidenta del BSI mencionan el 20 por ciento. No existe un importe m\u00ednimo fijo por ley.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/ciso-mandat-entscheidungsrechte-eskalation-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/tprm-lieferkettenrisiko-nis2-dora-programm-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>