CaixaBank, Ferrovial, Fluidra e Inditex son las empresas del IBEX 35 con una gestión más transparente en materia de ciberseguridad, según el ‘V Ranking de Tranparencia en Ciberseguridad’, elaborado por Watch&Act Protection Services a partir de información sobre el ejercicio 2024 facilitada por las 35 mayores cotizadas.

PUBLICIDAD

El ranking analiza el grado de apertura informativa de las empresas en sus prácticas sobre ciberseguridad, y las clasifica en tres niveles: organizaciones transparentes, traslúcidas y opacas.

CaixaBank, Ferrovial, Fluidra e Inditex alcanzan los 160 puntos, la puntuación máxima prevista en la evaluación. Les siguen Mapfre (152 puntos), Indra (150) y BBVA (147). Completan el ‘top 10’ Banco Santander, Enagás y Meliá, las tres con 145 puntos. ACS protagoniza el mayor ascenso de 2025, al subir ocho posiciones en el ranking respecto a la edición anterior.

Según el informe, casi el 94% de las compañías analizadas reflejan explícitamente el compromiso de la alta dirección con la ciberseguridad. Además, un 60% menciona ya el uso de la Inteligencia artificial (IA) en este terreno, lo que confirma su papel creciente como palanca clave para reforzar la protección y anticipar nuevas amenazas.

El informe evidencia una maduración tecnológica heterogénea en la transparencia en ciberseguridad: mientras los sectores más regulados se sitúan a la vanguardia y consolidan prácticas avanzadas de gestión y reporting, los sectores más tradicionales aún presentan amplias oportunidades de mejora.

Telecos y finanzas

En el análisis sectorial, el ranking sitúa al sector de telecomunicaciones en primera posición, gracias a su liderazgo en el uso de IA y a un elevado nivel de transparencia en recursos humanos dedicados a ciberseguridad.

En segundo lugar aparece finanzas y seguros, un sector altamente regulado que muestra una madurez notable en certificaciones y en el cumplimiento de DORA, seguido del sector energético en tercer lugar.

A continuación, figuran servicios de consumo, construcción e inmobiliario. Cierra la clasificación bienes de consumo, el sector que registra la mayor caída en el ranking y que presenta, al mismo tiempo, un mayor margen de mejora y oportunidad de desarrollo.

“Las empresas tenemos la obligación de garantizar no solo nuestro propio cumplimiento de los estándares necesarios, sino también el de todos nuestros proveedores y socios, para evitar que se conviertan en el eslabón débil”, afirma Jacinto Muñoz, director de Resiliencia Operativa y GRC Mapfre, sobre la visión actual de las empresas del IBEX 35 y el contexto al que se enfrentan en la actualidad. “Además, cumplir con las nuevas normativas, aunque suponga un reto, redunda en elevar el nivel de seguridad de las empresas y hemos de usarlo a nuestro favor”, añade este experto.

En 2024, el Reglamento General de Protección de Datos (RGPD) alcanza un nivel de implantación del 100% entre las empresas del IBEX 35, que declaran cumplirlo en su totalidad. La situación es distinta en la Directiva NIS2 sobre seguridad de redes y sistemas, traspuesta en octubre de 2024, cuyo cumplimiento sólo es mencionado por el 34% de las compañías afectadas. En el ámbito financiero, el Digital Operational Resilience Act (DORA), vigente desde enero de 2025, ya ha sido adoptado por el 67% de las empresas del sector. La Ley de Ciberresiliencia, actualmente en fase de implementación progresiva, registra el porcentaje más bajo de menciones, con solo un 8% de compañías que aluden a su cumplimiento.

Respecto a los aspectos legales del incumplimiento de las nuevas normativas, Patricia Pérez, directora del equipo de TMT en Baker McKenzie, subraya la importancia de respetar los plazos establecidos por las autoridades, afirmando que “poder cumplir, al menos en tiempo y forma, con lo que requiere la normativa es clave para que la empresa se perciba de manera favorable”.

Los sectores más regulados declaran mayores niveles de preparación y ofrecen una comunicación más detallada sobre su grado de cumplimiento, mientras que el resto de las empresas avanzan de forma más gradual en la adopción de estas normas.

En ese sentido, Pedro Coll, Europe Crisis & Issues director LLYC, sostiene que el enfoque debe cambiar: “No se trata de culpar a la empresa, sino de comunicar que ha sido víctima de un ataque. Ser transparentes al respecto es clave para preservar su reputación, credibilidad e integridad”.

PUBLICIDAD