España gestionó 122.223 incidentes de ciberseguridad en 2025, un 26% más que el año anterior, según los datos del Instituto Nacional de Ciberseguridad (INCIBE). Es la cifra más alta registrada hasta la fecha, y viene acompañada de otro récord: 237.028 sistemas vulnerables detectados, de los cuales más de 26.000 eran vulnerabilidades nuevas y 4.200 fueron clasificadas como críticas.
El dato coincide con un retraso normativo relevante. La Directiva europea NIS2, que obliga a miles de empresas españolas a reforzar su ciberseguridad, tenía plazo de transposición el 17 de octubre de 2024. A mediados de 2026, sigue sin ser ley en España.
Las pymes, en el centro de la diana
Del total de incidentes gestionados en 2025, el 60% afectó a pequeñas y medianas empresas — organizaciones que, en su mayoría, no cuentan con un departamento de seguridad dedicado. El sector privado confirma la misma tendencia desde otro ángulo: Check Point Research registró una media de 2.105 ciberataques semanales por empresa española en junio de 2026, un 10% más que un año antes.
Vacantes ciberseguridad, unas 30.000 sin cubrir: un déficit que no es de vocación
Mientras la amenaza crece y la exigencia legal aprieta, el mercado se enfrenta a un problema distinto: las vacantes de ciberseguridad en España no dejan de crecer, con un déficit estimado de 30.000 puestos sin cubrir y una demanda que aumenta entre el 20% y el 25% cada año.
Y no es un problema de atractivo económico. Los salarios de entrada en el sector (20.000€–35.000€ brutos anuales) ya superan la media nacional, y un puesto de analista SOC junior se mueve en bandas similares o superiores a esa cifra.
Entonces, ¿por qué siguen sin cubrirse tantas vacantes en ciberseguridad?
“Llevamos dos años viendo el mismo patrón en los procesos de selección de nuestras empresas colaboradoras: la formación de los perfiles tiene que ser práctica y real, deben saber contener un incidente desde el primer día de trabajo. Esa es la diferencia entre una candidatura que se queda en la fase de entrevista y una que consigue la oferta. El déficit de especialistas se soluciona con profesionales que se hayan formado con una capacitación alineada con el entorno laboral antes de pisar la empresa.”
Jorge González, responsable de Empleabilidad en EIP International Business School
Dónde está realmente el desajuste
El problema no es la cantidad de gente que quiere entrar en el sector: es el tipo de formación disponible frente a las vacantes de ciberseguridad que realmente existen hoy. Las empresas necesitan cubrir perfiles muy concretos — respuesta a incidentes, cumplimiento normativo (NIS2, RGPD), seguridad en la nube y en entornos OT — y buena parte de la formación tradicional sigue centrada en la teoría, no en la simulación de escenarios reales.
Esa distancia entre teoría y práctica se traduce también en las certificaciones que el mercado exige. El CISSP se ha convertido en el estándar de referencia para perfiles senior y puestos directivos, mientras que el OSCP lidera en entornos ofensivos, como el pentesting. Ambas son ya un requisito habitual, no un simple diferencial curricular. El mercado está pidiendo profesionales que ya hayan gestionado el tipo de incidente que van a encontrarse el primer día de trabajo.
Si quieres saber cómo se estructura una formación diseñada específicamente para cubrir ese desajuste, puedes consultarlo en el Máster en Ciberseguridad de EIP.
EIP International Business School
