Kit Digital ciberseguridad: qué incluye para tu pyme

Te ha llamado un comercial para venderte «la ciberseguridad del Kit Digital, que te sale gratis». Antes de firmar nada, conviene que sepas exactamente qué se paga con ese bono y qué no. El resumen honesto: la ayuda existe, es real y merece la pena pedirla, pero cubre los ordenadores de tus empleados, no tu página web. Si lo que te preocupa es que te hackeen el WordPress, esta ayuda concreta no es la que estás buscando, y es mejor saberlo antes que después.

Aquí tienes qué incluye de verdad la categoría de Ciberseguridad, qué se queda fuera, cómo se pide sin dejar el bono a medias y qué alternativas hay para lo que la ayuda no cubre.

Qué es el Kit Digital y qué no es

El Kit Digital es un programa de ayudas a la digitalización de pymes y autónomos, gestionado por Red.es y financiado con fondos europeos. Funciona con una lógica distinta a la de una subvención clásica, y ahí es donde se pierde mucha gente:

No te dan dinero. Te conceden un bono digital, que es un derecho de gasto con un importe máximo asignado a tu empresa.
No puedes gastarlo donde quieras. Solo con proveedores dados de alta como agentes digitalizadores en el programa.
No puedes comprar lo que quieras. El catálogo está dividido en categorías de solución, cada una con una lista de funcionalidades mínimas que el proveedor está obligado a entregar.
El importe depende del segmento en el que caiga tu empresa según su número de personas empleadas. Los tramos y las cantidades han cambiado entre convocatorias, así que no te fíes de la cifra que te diga un comercial: consúltala en la convocatoria vigente en la sede de Acelera pyme.

Dicho de otra forma: es un vale con condiciones. Y las condiciones importan mucho más que el importe.

Qué incluye la categoría de Ciberseguridad

La solución de Ciberseguridad del catálogo se define por un conjunto de funcionalidades mínimas que el agente digitalizador tiene que implantar por cada puesto de trabajo que cubras con el bono. Aunque la redacción exacta cambia entre convocatorias, el bloque es siempre reconocible:

Antimalware y antiespía en los dispositivos de los usuarios.
Correo seguro: filtrado de spam y de correos de suplantación.
Navegación segura: control de contenidos y bloqueo de publicidad maliciosa.
Análisis y detección de amenazas en el dispositivo, con capacidad de reacción.
Monitorización de la red para detectar comportamientos anómalos.
Configuración inicial y actualización de todo lo anterior durante el periodo de prestación.
Formación de concienciación para las personas que usan esos equipos, con un kit de concienciación en el puesto de trabajo.

Hay además otras categorías relacionadas que a veces se confunden con esta, como el puesto de trabajo seguro (que incluye el propio equipo informático para determinados segmentos) o las comunicaciones seguras, orientadas a conexión remota cifrada. Comprueba en el catálogo cuáles están abiertas para tu segmento antes de decidir.

La formación de concienciación, por cierto, es la parte que todo el mundo despacha como trámite y la que más rinde. Casi todos los incidentes que acaban costando dinero en una pyme empiezan con alguien haciendo clic donde no debía o reutilizando una contraseña. Aprovéchala de verdad.

Lo que el Kit Digital no cubre (y suele ser justo lo que te hackea)

Esta es la parte que ningún comercial te va a subrayar. La categoría de Ciberseguridad está construida alrededor del puesto de trabajo: portátiles, sobremesas y móviles de tu plantilla. Fuera de esa frontera queda una lista incómoda:

Tu página web y tu WordPress. El antivirus del portátil de tu comercial no protege el wp-login.php de tu web ni impide que exploten un plugin desactualizado.
El servidor o el hosting donde vive esa web. Su configuración, sus versiones de PHP y sus permisos siguen siendo cosa tuya y de tu proveedor. Si nunca has revisado eso, la guía de configuración segura de hosting, HTTPS, correo y DNS es el mejor sitio por donde empezar.
El mantenimiento y las actualizaciones de la web. Parchear plugins no es una funcionalidad de esta categoría. Es un trabajo mensual, y lo tienes explicado en la guía para actualizar los plugins de WordPress sin romper la web.
Las copias de seguridad de la web y su restauración probada. Aunque tu antivirus corporativo haga copias de los equipos, eso no es lo mismo que tener copias útiles de tu sitio. Mira qué debe incluir una copia de seguridad de una web para ver la diferencia.
La autenticación del correo de tu dominio. SPF, DKIM y DMARC no son un producto que se instale en un puesto: son registros DNS que alguien tiene que configurar.
La respuesta a un incidente. Si mañana te hackean la web, el bono no paga la limpieza, ni el análisis forense, ni el informe que necesitas.
El cumplimiento legal. El bono no te redacta el registro de actividades de tratamiento ni te arregla el banner de cookies.

Nada de esto es una crítica al programa: la ayuda hace lo que dice que hace. El error es tuyo (y mío, y de todos) si damos por hecho que «ya tenemos la ciberseguridad hecha» porque hemos gastado el bono. Es una capa, y no es la capa por la que entran en las webs de las pymes españolas.

Cómo se pide, paso a paso

El circuito es siempre el mismo, aunque cambien los plazos:

Comprueba que cumples los requisitos. Estar dado de alta, al corriente con Hacienda y la Seguridad Social, no estar en crisis y no superar el límite de ayudas de minimis. Este último punto sorprende a quien ya ha recibido otras ayudas.
Haz el test de autodiagnóstico en la plataforma de Acelera pyme. Es obligatorio antes de solicitar.
Solicita el bono en la sede electrónica, con certificado digital o mediante un representante voluntario. Fíjate en si la convocatoria de tu segmento sigue abierta: se han abierto y cerrado por tramos.
Elige agente digitalizador del listado oficial y firma con él el acuerdo de prestación de soluciones.
Fase de implantación, y luego un periodo de prestación del servicio que hay que mantener (habitualmente doce meses) para que la ayuda se justifique entera.
Justificación, en dos fases. Aquí es donde se cae gente que ya había dado el trabajo por hecho.

Un detalle práctico: tú firmas el acuerdo, tú eres responsable. Si el agente digitalizador no presta el servicio durante todo el periodo, el problema administrativo termina siendo tuyo.

Errores que dejan la ayuda en nada

Elegir agente por precio y no por lo que te va a dejar puesto. Todos entregan las mismas funcionalidades mínimas sobre el papel. La diferencia está en si te configuran de verdad las políticas o te instalan un antivirus y desaparecen.
Gastar el bono en la categoría equivocada. Si tu riesgo real está en la web y en el correo, plantéate si te compensa más otra categoría del catálogo, y resolver la parte web por tu cuenta.
No pedir la documentación de la implantación. Necesitas por escrito qué se ha instalado, en cuántos puestos y con qué configuración. Te va a hacer falta en la justificación y, si algún día tienes una brecha, para demostrar diligencia ante la Agencia Española de Protección de Datos.
Creer que el bono sustituye al mantenimiento. No lo hace, y volverás a ser vulnerable en cuanto se acabe el periodo de prestación si no hay nada detrás.
No revisar el contrato con el agente. Va a tratar datos por cuenta tuya, así que necesitas el contrato de encargado del tratamiento y unas cuantas cláusulas más. Las tienes listadas en el artículo sobre las cláusulas de seguridad que deberías exigir a tu proveedor.

Otras ayudas y recursos que sí existen

Además del Kit Digital, hay dos cosas que no cuestan dinero y casi nadie usa. La primera es el catálogo de recursos gratuitos de INCIBE para empresas, incluida su línea de ayuda en ciberseguridad. La segunda son los programas de las Cámaras de Comercio y de las comunidades autónomas, que van cambiando y que suelen estar mucho menos solicitados que el Kit. Antes de dar por hecho que no hay nada, mira la sede electrónica de tu comunidad.

Y una advertencia sobre la letra pequeña del alarmismo comercial: si alguien te vende una ayuda «para cumplir NIS2», comprueba antes si esa normativa te aplica siquiera, porque a la mayoría de las pymes no le aplica de forma directa. Lo tienes explicado sin humo en el artículo sobre a quién obliga NIS2 en España.

Qué hacer si ya te gastaste el bono y sigues expuesto

Es una situación muy común y no es un drama. Solo significa que has cubierto la capa del puesto de trabajo y te falta la de tu presencia en internet. En orden de rentabilidad, y sin gastar apenas:

Comprueba qué expone tu web hoy: versiones visibles, ficheros que no deberían estar accesibles, cabeceras que faltan.
Arregla el correo del dominio. SPF, DKIM y DMARC bien puestos evitan que alguien escriba a tus clientes haciéndose pasar por ti. Es gratis y son registros DNS.
Activa la verificación en dos pasos en el panel del hosting, en el correo y en el administrador de WordPress. Coste cero, efecto enorme.
Ten copias fuera del hosting y prueba una restauración antes de necesitarla.
Ponle fecha a las actualizaciones: un día al mes, siempre el mismo, con copia previa.

Y si la web te la lleva otro, dedícale una tarde a revisar lo que te entregaron; la lista de comprobaciones está en la guía para auditar la web que te ha entregado una agencia. Después de todo eso, si el presupuesto da para más, ya tiene sentido hablar de vigilancia continua. Antes no.

Para saber cuál es tu situación real en cinco minutos y sin pagar nada, comprueba tu web gratis con PathScan. No hay que registrarse, no toca tu web y te dirá si el bono que te has gastado ha dejado alguna puerta sin cubrir por el lado de internet.

Seguir leyendo en esta sección

Ver todo en NIS2, ENS y ayudas → · Mapa completo del sitio