Hasta hace poco, la ciberseguridad en El Salvador era un tema de bancos y de grandes corporativos. Eso cambió. Hoy un taller con 20 empleados recibe los mismos correos de phishing que una financiera, un ransomware no pregunta cuántas sucursales tiene su empresa antes de cifrarle los archivos, y desde noviembre de 2024 la ley exige a cualquier empresa que trate datos personales, sea del tamaño que sea, proteger los datos que maneja y poder demostrarlo.
Esta guía explica, sin jerga y sin alarmismo, qué significa la ciberseguridad para una empresa salvadoreña en 2026: qué la obliga, qué la amenaza de verdad, cuánto cuesta un incidente, qué controles son los esenciales y por dónde empezar según su tamaño y su industria. Está escrita para quien dirige un negocio o responde por su tecnología, no para especialistas.
Por qué 2026 es distinto: la ley ya le aplica a su empresa
El 12 de noviembre de 2024 la Asamblea Legislativa aprobó dos leyes que cambiaron el terreno para todo el sector privado, vigentes desde el 24 de noviembre de ese año: la Ley de Protección de Datos Personales (LPDP) y la Ley de Ciberseguridad y Seguridad de la Información, ambas bajo la autoridad de la Agencia de Ciberseguridad del Estado (ACE).
La parte que muchas empresas todavía no interiorizan es el alcance. La LPDP aplica a toda persona natural o jurídica que trate datos personales de salvadoreños. Si su empresa tiene planilla, cartera de clientes, cámaras de vigilancia o una base de correos, ya es sujeto obligado. No hace falta ser banco. Entre las obligaciones centrales están el consentimiento informado, contar con una política y un aviso de privacidad, aplicar medidas de seguridad sobre los datos, designar un delegado de protección de datos y responder las solicitudes de los titulares (los derechos conocidos como ARCO-POL) en los plazos que fija la ley. Ante una brecha de seguridad, la ley establece un plazo de 72 horas desde la detección para notificarla.
La Ley de Ciberseguridad, por su parte, pide algo que un antivirus solo no resuelve: evaluar el riesgo de forma periódica, capacitar al personal de manera continua, notificar incidentes de forma oportuna y poder demostrar todo eso por escrito. A julio de 2026 la puesta en marcha reglamentaria ha avanzado más lento de lo previsto, pero la obligación está vigente, y la lentitud del reglamento no suspende ni el deber ni el riesgo reputacional de una fuga. Para el detalle completo de obligaciones y de lo que cambia por industria, vea nuestra guía de cumplimiento LPDP y Ley de Ciberseguridad en El Salvador.
Las amenazas que sí llegan a empresas salvadoreñas
No todas las amenazas de las que se habla en las noticias son relevantes para su operación. Estas cuatro sí, porque son las que vemos tocar la puerta de empresas locales de todos los tamaños.
Ransomware: el secuestro de su operación
Un ransomware cifra sus archivos y sistemas y pide un rescate por devolverlos. El daño real no es el rescate: es la operación detenida. Facturación que no sale, planilla que no se procesa, clientes que esperan. Y desde la LPDP, un ransomware que toca datos personales es además una brecha con reloj de notificación. La defensa combina protección de endpoints, respaldos que se prueban restaurando y un plan de respuesta ensayado.
Fraude por correo: la estafa que no necesita hackear nada
El fraude del correo empresarial no explota una falla técnica sino la confianza: un mensaje que parece venir del gerente o de un proveedor pide cambiar una cuenta bancaria o aprobar un pago urgente. Se previene con autenticación multifactor, protección del correo y, sobre todo, procedimientos de verificación para pagos y cambios de cuenta que el personal conozca y aplique.
Fuga de datos: el incidente que ahora tiene consecuencias legales
Una base de clientes expuesta, una laptop perdida sin cifrar o un acceso que un exempleado conservó. Antes era un problema reputacional; hoy es también un incumplimiento con plazos de notificación y posibles sanciones. El control de accesos, el cifrado de equipos y la bitácora de quién accede a qué son la primera línea.
La caída del proveedor o del sistema del que todo depende
No toda interrupción viene de un atacante. Un proveedor de internet caído, un servidor único sin redundancia o la persona que es la única que sabe cómo funciona algo. La ciberseguridad madura incluye identificar esos puntos únicos de falla y decidir, con números, cuáles vale la pena eliminar.
Cuánto cuesta un incidente: la cuenta que conviene hacer antes
La pregunta correcta no es cuánto cuesta la ciberseguridad, sino cuánto cuesta no tenerla. La fórmula básica del costo de inacción suma tres componentes: el ingreso que deja de entrar por cada hora detenida, el costo de la planilla que sigue corriendo mientras nadie puede trabajar, y los costos de recuperación y de reputación que llegan después. Para la mayoría de empresas medianas salvadoreñas, ese número por hora sorprende la primera vez que se calcula.
En el costo real de una hora detenido puede dejar sus datos y recibir la calculadora en Excel para estimar el suyo. Ese número es el que convierte la conversación de ciberseguridad de un gasto técnico a una decisión financiera.
Los controles esenciales: por dónde se empieza de verdad
La buena noticia es que la mayoría de incidentes que vemos en empresas salvadoreñas se habrían evitado o contenido con un conjunto relativamente corto de controles bien implementados. No hacen falta veinte herramientas; hacen falta los controles correctos, funcionando y con evidencia. Agrupados en siete categorías:
- Identidades y accesos. Autenticación multifactor en correo y sistemas críticos, cuentas con el mínimo privilegio necesario y bajas de acceso el mismo día que alguien deja la empresa.
- Protección de equipos. Detección y respuesta en endpoints (más que un antivirus tradicional), cifrado de discos en laptops y control de los equipos que se conectan a su red.
- Correo y navegación. Filtrado de phishing, autenticación del dominio propio y reglas contra el fraude de pagos.
- Respaldos y recuperación. La regla de oro: respaldos automáticos, al menos una copia fuera del alcance de un atacante, y restauraciones probadas con regularidad. Un backup que nunca se restauró no es un backup.
- Red e infraestructura. Firewall administrado, red de invitados separada de la operativa y parches de seguridad aplicados a tiempo.
- Personas. Capacitación breve y recurrente al personal, que además es una obligación explícita de la Ley de Ciberseguridad, y procedimientos claros para reportar algo sospechoso sin miedo.
- Gobierno y evidencia. Un responsable definido, una política escrita, bitácoras de lo que se hace y un plan de respuesta a incidentes que contemple el reloj de las 72 horas de la LPDP.
Si quiere evaluar en qué punto está su empresa control por control, descargue el checklist de ciberseguridad de 20 controles esenciales: toma unos 10 minutos y le da un mapa de brechas priorizado por riesgo.
La ciberseguridad según el tamaño de su empresa
Pequeña empresa (5 a 49 empleados)
Sin equipo de TI propio, el riesgo típico es la dependencia: todo funciona hasta que la única persona que sabe no está, o hasta que un correo falso engaña a quien maneja los pagos. La estrategia correcta no es comprar herramientas sueltas sino un servicio administrado que cubra lo esencial (protección de equipos, correo, respaldos probados) por una cuota mensual predecible. La LPDP también le aplica: su cartera de clientes y su planilla son datos personales.
Mediana empresa (50 a 499 empleados)
Lo que funcionaba con 30 personas se vuelve riesgo con 300. Aquí aparecen los clientes corporativos que envían cuestionarios de seguridad, los seguros que preguntan por controles y las auditorías. La prioridad es pasar de esfuerzos informales a controles documentados: saber quién accede a qué, poder recuperar la operación en horas y tener la evidencia lista cuando alguien la pida.
Gran empresa (500 o más empleados)
El comité exige evidencia, no promesas. La conversación gira alrededor de marcos como ISO 27001, de la continuidad probada (no solo documentada) y de responder ante reguladores, casa matriz y clientes internacionales. La ciberseguridad se gestiona como un programa con métricas, no como una lista de compras.
La ciberseguridad según su industria: cada sector tiene su marco
La LPDP y la Ley de Ciberseguridad son el piso común, pero cada industria suma sus propias reglas y sus propios disparadores. En el sector financiero, la SSF y el BCR piden evidencia de controles y continuidad (vea cómo salir del ciclo de hallazgos de la SSF); en salud, el dato del paciente es dato sensible y la ley lo protege con más fuerza (vea qué exige la LPDP a una clínica privada); en educación, los datos de menores son la categoría más protegida (vea lo que un colegio debe tener en orden); en manufactura y agroindustria exportadora, quien audita es el comprador internacional con normas como ISO 27001 e ISO 22301 (vea el cuestionario de seguridad que su comprador le va a enviar); en logística, el cliente exige un plan de continuidad probado; en hotelería y comercio, cada registro de cliente y cada pago con tarjeta es un tratamiento de datos con responsabilidades.
El error más común es aplicar el marco equivocado: prepararse para la SSF cuando a usted lo va a auditar su comprador, o ignorar la LPDP porque su sector no tiene superintendencia. Puede ver cómo trabajamos cada sector en nuestras páginas por industria, desde servicios financieros hasta salud, educación y manufactura.
De la seguridad a la continuidad: qué pasa cuando algo falla igual
Ningún control reduce el riesgo a cero. Por eso la ciberseguridad madura termina siempre en la misma pregunta: si mañana falla algo crítico, ¿cuánto tardamos en volver a operar y cuántos datos perdemos? Esas dos respuestas (tiempo y punto de recuperación) son el corazón de un plan de continuidad del negocio. Un plan que vive en la cabeza de una persona, o en un documento que nunca se ensayó, no cuenta. Si todavía no tiene el suyo por escrito, la plantilla de plan de continuidad le da los cinco pasos con tablas listas para completar.
Cómo se demuestra: la evidencia vale más que la intención
Todos los marcos, la LPDP, la Ley de Ciberseguridad, ISO, la SSF y hasta el cuestionario de seguridad de un cliente, piden en el fondo lo mismo: poder demostrar el control, no solo afirmarlo. Bitácoras de accesos, registros de restauración de respaldos, constancias de capacitación, un plan de respuesta fechado. Empezar a generar esa evidencia desde el primer día cuesta poco; reconstruirla la semana antes de una auditoría es imposible. Si ya tiene una auditoría, un cliente o un regulador pidiendo cuentas, el dossier de cumplimiento resume qué evidencia le van a pedir y cómo ordenarla.
Un plan realista de 90 días para empezar
- Días 1 a 15: mida. Evalúe sus 20 controles esenciales, calcule su costo por hora detenido y haga un inventario simple de qué datos personales maneja y dónde viven.
- Días 16 a 45: cierre lo crítico. Multifactor en correo y sistemas clave, respaldos automáticos con una restauración probada, protección de endpoints y bajas de acceso al día.
- Días 46 a 75: ordene el cumplimiento. Política y aviso de privacidad, responsable designado, procedimiento de respuesta a incidentes con el plazo de notificación contemplado, y la primera capacitación breve al personal.
- Días 76 a 90: pruebe y documente. Un simulacro corto de incidente, una restauración completa de respaldo y la carpeta de evidencia iniciada. A partir de ahí, es rutina, no proyecto.
Preguntas frecuentes
¿La Ley de Protección de Datos aplica a mi empresa aunque sea pequeña?
Sí. La LPDP aplica a toda persona natural o jurídica que trate datos personales de salvadoreños, sin mínimo de tamaño. Si tiene planilla, clientes registrados, cámaras o una base de correos, ya es sujeto obligado y debe aplicar medidas de seguridad y responder a los titulares.
¿Cuánto debería invertir una empresa en ciberseguridad?
Depende de lo que cuesta un incidente en su operación, no de un porcentaje genérico. Calcule primero su costo por hora detenido y el valor de los datos que maneja; la inversión razonable es la que reduce ese riesgo con controles esenciales bien implementados, empezando por los de mayor impacto.
¿Con un antivirus y un firewall ya estoy protegido?
Son necesarios pero no suficientes. La mayoría de incidentes actuales entran por correo, contraseñas débiles o accesos mal gestionados, y la ley pide además evaluar riesgos, capacitar al personal y demostrar controles. La protección real combina tecnología, procedimientos, respaldos probados y evidencia.
¿Qué hago primero si no tengo nada formal de ciberseguridad?
Empiece midiendo: evalúe los controles esenciales con un checklist, calcule cuánto le costaría una hora detenido e inventaríe los datos personales que maneja. Con ese mapa, cierre primero lo crítico: multifactor, respaldos probados y protección de equipos. En 90 días se avanza mucho.
El siguiente paso
Si esta guía le dejó la duda de en qué punto está su empresa, la forma más rápida de resolverla es medirlo: descargue el checklist de 20 controles esenciales y evalúe su situación en 10 minutos. No requiere hablar con nadie.
Nota: este artículo es informativo y refleja el estado de la normativa a julio de 2026. No constituye asesoría legal; para dictámenes sobre su situación específica consulte a su asesor jurídico y las publicaciones oficiales de la ACE.