NOUSEC es una plataforma de gestión del riesgo humano que se utiliza en servicios financieros, sanidad, sector público e industria y energía. La plataforma es la misma en todos ellos: simulación de phishing en ocho canales, formación adaptativa con verificación de finalización en el servidor y un único Human Risk Score de 0 a 100 con metodología publicada. Lo que cambia según el sector es la evidencia que debe aportar, las personas a las que debe llegar y el canal que usa el atacante. Los servicios financieros afrontan los módulos de formación obligatorios de DORA y el fraude en pagos con voz clonada; en sanidad, la mayor exposición humana es tanto el error en el correo como el engaño; el sector público tiene la mayor proporción de elemento humano y la carga de evidencia más pesada; y la industria y la energía registran la mayor participación de terceros del Verizon DBIR.
Cambian tres cosas. La plataforma no es una de ellas.
Todos los proveedores le venden una página por sector. Esto es lo que de verdad varía por debajo.
Lo que tiene que demostrar
NIS2 convierte la ciberhigiene y la formación en una medida mínima obligatoria para las entidades esenciales e importantes. DORA va más allá para las entidades financieras y cita expresamente la concienciación como módulo obligatorio. Un organismo público puede no enfrentarse ni a multas ni a la inhabilitación de sus directivos, y aun así tiene que convencer a un auditor.
A quién tiene que llegar
Una mesa de tesorería lee el correo todo el día. Una enfermera en el turno de noche, no. Un operario de máquina puede no tener ni puesto informático. Llegar a la gente es un problema de formato y de canal antes que de formación.
Lo que usa de verdad el atacante
El phishing es el segundo vector de acceso inicial más común en servicios financieros, sanidad y administración pública por igual, pero el pretexto cambia; y en la industria la puerta de entrada suele ser un proveedor más que un buzón.
Cuatro sectores, uno al lado del otro
Cada cifra procede de la sección del sector en el informe que se indica debajo. Nada se ha promediado, suavizado ni estimado.
| Finanzas y Seguros (52) | Sanidad (62) | Administración Pública (92) | Industria (31–33) | |
|---|---|---|---|---|
| Brechas con elemento humano | 65 % | 54 % | 69 % | 56 % |
| Phishing como acceso inicial | 20 % | 14 % | 20 % | 13 % |
| Actores externos | 88 % | 81 % | 56 % | 95 % |
| Actores internos | 12 % | 19 % | 44 % | 5 % |
| Motivo de espionaje | 3 % | 2 % | 33 % | 15 % |
| Participación de terceros | 34 % | 32 % | 36 % | 61 % |
| Brechas cubiertas por los tres patrones principales | 81 % | 81 % | 80 % | 91 % |
| Los patrones humanos dentro de esos tres | Ingeniería social | Errores diversos, ingeniería social | Errores diversos, uso indebido de privilegios | Ingeniería social |
Verizon 2026 Data Breach Investigations Report, sección por sectores, p. 84[1]. Corpus: más de 31.000 incidentes, más de 22.000 brechas confirmadas, 145 países, oct. 2024 – nov. 2025. El DBIR es una muestra de conveniencia de casos aportados, no una muestra representativa de todas las brechas; las secciones por sector sirven para priorizar, no para predecir. Un punto marca el valor más alto de cada fila; las dos últimas filas no son una clasificación.
Empiece por donde empieza su regulador.
Servicios financieros
Sus controles funcionaron. La voz que autorizó el pago estaba clonada. DORA cita la concienciación como módulo obligatorio, y el consejo tiene además su propia obligación.
Sanidad
En sanidad el error figura junto a la ingeniería social entre los tres patrones de brecha principales. Y un facultativo entre turno y turno no va a sentarse veinte minutos.
Sector público
El sector más atacado de la UE, con la mayor proporción de elemento humano y de actores internos de los cuatro. Lo difícil no es la formación: es la evidencia.
Industria y energía
La mayor participación de terceros de todos los sectores del DBIR, y adversarios que engañan directamente al personal de operaciones. Muchas de las personas expuestas no tienen un puesto informático asignado.
Qué norma menciona expresamente la formación.
Cuatro instrumentos, cuatro exigencias distintas. Los números de artículo importan más que las siglas.
Las «prácticas básicas de ciberhigiene y formación en ciberseguridad» son una medida mínima obligatoria de gestión de riesgos, sin la salvedad de «cuando proceda».
El art. 20(2) es un deber del órgano de dirección y solo anima a formar a los empleados. El anclaje exigible para la plantilla es el 21(2)(g).
Los órganos de dirección deben aprobar y supervisar las medidas, y pueden ser responsables de los incumplimientos.
La prohibición temporal de ejercer funciones directivas del art. 32(5) solo se aplica a las entidades esenciales, y no a la administración pública.
Programas de concienciación sobre seguridad de las TIC y formación en resiliencia operativa digital como módulos obligatorios de los planes de formación, para todos los empleados y la alta dirección.
El art. 5(4) obliga además al órgano de dirección a mantener al día sus propios conocimientos sobre riesgo TIC.
La concienciación y la formación del personal forman parte de la función de supervisión del cumplimiento del DPD.
Un fallo de seguridad del art. 32 corresponde al tramo del 2 % / 10 millones de euros, no al del 4 % / 20 millones.
Competencia, toma de conciencia y el control «Concienciación, educación y formación en seguridad de la información».
Los auditores de certificación piden evidencia de eficacia, no de asistencia.
Escrito para el regulador ante el que de verdad responde.
Unión Europea
NIS2 en los 18 sectores de los anexos I y II; DORA desde el 17 de enero de 2025; el RGPD; el conjunto de controles de ISO 27001:2022. Datos alojados en Fráncfort.
España
El contenido de formación está disponible en español, localizado y no solo traducido: nombres, empresas y contexto cambian con el idioma. En el sector público español rige además el Esquema Nacional de Seguridad (RD 311/2022).
En el resto del mundo
SOC 2 e ISO 27701 seleccionables por cliente, marca blanca completa y gestión automática de la moneda.
Preguntas
Lo que preguntan los compradores antes de elegir una página de sector.
Cada cifra de esta página, y de dónde sale
Título, editor, año de edición, enlace y para qué se usó cada una. Si una cifra no está aquí, no está en la página.
Última revisión: 21 de octubre de 2026. Las citas normativas se contrastan con el texto consolidado de EUR-Lex en cada revisión.
- 2026 Data Breach Investigations ReportVerizon Business — sección sectorial, p. 84, Finanzas y Seguros (NAICS 52). Corpus: más de 31.000 incidentes, más de 22.000 brechas confirmadas, 145 países, oct. 2024 – nov. 2025 · 2026Uso: La tabla comparativa y las cuatro fichas de sector: elemento humano, phishing, actores, motivación, terceros y los tres patrones principales en Finanzas y Seguros (52), Sanidad (62), Administración Pública (92) e Industria (31–33). Corpus de más de 31.000 incidentes y más de 22.000 brechas confirmadas en 145 países, oct. 2024 – nov. 2025.
- Threat Landscape 2025ENISA — 13.ª edición, v1.2, 4875 incidentes, 1 jul. 2024 – 30 jun. 2025 · 2025Uso: La Administración Pública como sector más atacado de la UE. 4875 incidentes, 1 jul. 2024 – 30 jun. 2025.
- Directive (EU) 2022/2555 (NIS2)Diario Oficial de la Unión Europea, DO L 333, 27.12.2022 · 2022Uso: Artículos 2, 3, 20, 21(2)(g), 32(5) y 34; anexos I y II.
- Regulation (EU) 2022/2554 (DORA)Diario Oficial de la Unión Europea — aplicable desde el 17 de enero de 2025 · 2022Uso: Artículos 5(4) y 13(6).
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Organización Internacional de Normalización — 3.ª edición · 2022Uso: Cláusulas 7.2 y 7.3; título del control 6.3 del anexo A.
- Annual Report to Congress on Breaches of Unsecured Protected Health Information, CY2024Departamento de Salud y Servicios Humanos de EE. UU., Oficina de Derechos Civiles — pp. 8–14 · 2024Uso: La ficha de sanidad: 663 brechas de gran tamaño, 164 de ellas en el correo electrónico.