Eran las 7:50 de un martes cuando Roberto, gerente de una empresa de climatización en el polígono de Las Atalayas, recibió la llamada que llevaba años temiendo: todos los equipos mostraban una pantalla de rescate. Lo que vino después no fue el caos que imaginaba. Su equipo abrió un documento de dos páginas, desconectó la red, llamó a los contactos correctos y restauró desde una copia inmutable. En 26 horas estaban facturando. La diferencia entre Roberto y las pymes que cierran no fue la suerte: fue que habían ensayado este día seis meses antes, en un simulacro de una sola mañana.
Un plan de recuperación que no se ensaya no es un plan: es una esperanza escrita. Por eso en este artículo te contamos cómo organizar un simulacro de ransomware en una pyme de Alicante una vez al año, sin parar la empresa y sin necesidad de un presupuesto de gran cuenta. Es la inversión de medio día que decide si tu empresa sobrevive al peor día de su historia.
Por qué una pyme de Alicante necesita ensayar el plan (y no solo tenerlo)
En 2025, el 31 % de las pymes españolas sufrió un intento serio de ransomware, según los datos consolidados por INCIBE. Pero el dato que de verdad importa es otro: la mayoría de las empresas que tienen un plan de recuperación nunca lo han probado. Y un plan sin ensayar falla precisamente el día que hace falta, porque nadie sabe quién hace qué, las copias resultan estar cifradas también, o el responsable de sistemas está de vacaciones y nadie más conoce el procedimiento.
El simulacro convierte el documento en músculo. Detecta los fallos cuando todavía son baratos: una copia que no restaura, un contacto desactualizado, un orden de recuperación equivocado. Hacerlo una vez al año es suficiente para una pyme de 10 a 80 empleados, y se puede organizar sin detener la operativa si se elige bien el nivel.
Los 3 niveles de simulacro: del más ligero al más realista
No todos los simulacros paran la empresa. De hecho, los dos primeros niveles no tocan ni un solo servidor de producción. La recomendación es empezar por el nivel 1 y subir un escalón cada año.
Nivel 1 — Tabletop (mesa de trabajo, 1-2 horas)
Es una reunión guiada en la que se plantea un escenario («son las 8:00, todo está cifrado, el atacante pide 40.000 €») y cada responsable explica qué haría, a quién llama y en qué orden. No se toca ningún sistema. Sirve para validar los contactos, los roles y las decisiones, y casi siempre destapa lagunas: quién avisa a la AEPD, quién habla con los clientes, quién autoriza parar la facturación. Coste: una mañana de la dirección y del responsable de TI.
Nivel 2 — Técnico parcial (medio día, sin tocar producción)
Aquí se prueba lo que de verdad asusta: restaurar una copia de seguridad en un entorno aislado y comprobar que los datos abren y son íntegros. Se levanta un servidor temporal, se restaura el backup más reciente y se cronometra. Es el nivel que descubre las sorpresas caras: copias corruptas, backups que tardan 14 horas en restaurar, o datos incompletos. Todo ello sin afectar a la red real.
Nivel 3 — Completo (una jornada planificada, fuera de horario)
Simula el incidente de principio a fin: aislamiento, restauración a una red limpia paralela y vuelta al servicio, normalmente un sábado o en horario de baja actividad. Es el más exigente y solo se recomienda cuando los niveles 1 y 2 ya están dominados. Da la cifra real de cuánto tardaría tu empresa en volver a facturar.
Las dos métricas que tienes que cronometrar: RTO y RPO
Un simulacro sin números es una anécdota. Las dos métricas que convierten el ensayo en una decisión de negocio son:
- RTO (Recovery Time Objective): el tiempo máximo que tu empresa puede estar parada antes de que el daño sea grave. Si tu RTO objetivo es de 8 horas pero el simulacro dice que tardas 30, tienes un problema que arreglar antes del ataque real.
- RPO (Recovery Point Objective): cuántos datos puedes permitirte perder, medido en tiempo. Si haces copia cada noche, tu RPO es de 24 horas: en el peor caso pierdes un día de trabajo. Si eso es inasumible, necesitas copias más frecuentes.
El simulacro mide ambas con cronómetro real. Esos dos números, comparados con lo que el negocio puede tolerar, te dicen exactamente dónde invertir: en copias más frecuentes (RPO), en restauración más rápida (RTO) o en las dos cosas.
La obligación legal que no puede faltar en el guion: la AEPD en 72 horas
Un ataque de ransomware con datos personales afectados es una brecha de seguridad, y el RGPD obliga a notificarla a la AEPD en un máximo de 72 horas desde que se tiene constancia razonable del incidente. No notificar, o hacerlo tarde, conlleva sanciones que llegan al 2 % de la facturación anual. Por eso el simulacro debe incluir el ensayo de esa notificación: quién la prepara, con qué datos y en qué plazo. Es tan parte del plan como restaurar el servidor. Si la exfiltración afecta a datos sensibles, además hay que comunicar a los afectados.
Cómo montar tu primer simulacro sin parar la empresa
Para una pyme alicantina que nunca lo ha hecho, el camino realista es:
- Mes 1: redactar (o revisar) el plan de respuesta en 6-12 páginas: contactos críticos, orden de restauración por prioridad de negocio, plantillas de comunicación y checklist de las primeras 4 horas.
- Mes 2: hacer el simulacro tabletop (nivel 1) con dirección y TI. Anotar cada laguna detectada.
- Mes 3-4: corregir lo que falle y hacer el técnico parcial (nivel 2): restaurar una copia en un entorno aislado y cronometrar RTO y RPO.
- Anualmente: repetir y, cuando estés listo, subir al nivel 3.
La base de todo esto son unas copias de seguridad que resistan el ataque. Si todavía dependes de un único NAS conectado a la red, conviene revisar la regla 3-2-1-1-0 de copias de seguridad para pymes, porque el ransomware moderno cifra también las copias conectadas. Y si lo que necesitas es el plan para el día del ataque, tenemos la guía completa de recuperar una pyme tras un ataque de ransomware paso a paso.
Preguntas frecuentes
¿Con qué frecuencia hay que hacer un simulacro de ransomware en una pyme?
Al menos una vez al año. Para una pyme de 10 a 80 empleados, un simulacro anual es suficiente para mantener el plan vivo y al equipo entrenado. Lo ideal es alternar: un año un ensayo tabletop y técnico parcial, y cada dos o tres años un simulacro completo.
¿Qué diferencia hay entre RTO y RPO?
El RTO (Recovery Time Objective) es el tiempo máximo que tu empresa puede estar parada antes de que el daño sea inasumible. El RPO (Recovery Point Objective) es la cantidad máxima de datos que puedes permitirte perder, medida en tiempo (por ejemplo, las últimas 24 horas si copias cada noche). Ambos se cronometran durante el simulacro.
¿Hay que notificar un ataque de ransomware a la AEPD?
Sí. Si hay datos personales afectados, el RGPD obliga a notificar la brecha a la AEPD en un máximo de 72 horas desde que se tiene constancia del incidente. Si afecta a datos sensibles, además hay que comunicarlo a las personas afectadas. El simulacro debe incluir el ensayo de esa notificación.
¿Un simulacro obliga a parar la empresa?
No necesariamente. Los niveles 1 (tabletop) y 2 (técnico parcial) no tocan los sistemas de producción y se pueden hacer en horario laboral. Solo el nivel 3 (completo) requiere una jornada planificada, normalmente fuera de horario.
Ensaya antes de necesitarlo
El siguiente ataque no avisa. Lo único que se decide hoy es si te encuentra preparado o improvisando. En Softnet Sistemas llevamos casi tres décadas acompañando a pymes alicantinas en todas las fases de la ciberseguridad: desde el backup inmutable hasta los simulacros de respuesta. Si quieres organizar tu primer simulacro o revisar cómo de preparada está tu empresa, puedes ver nuestros servicios de seguridad informática para empresas en Alicante o contactar con nosotros para una reunión inicial sin compromiso.
🗓️ Última actualización: Junio 2026 — Softnet Sistemas, S.L. (Alicante).