Guía · 5 min de lectura

Ciberseguridad para gestorías y asesorías: cómo proteger los datos de tus clientes

Una gestoría guarda nóminas, DNI, cuentas bancarias y certificados digitales de decenas o cientos de empresas. Eso la convierte en un objetivo, y en la primera a la que un cliente llamará si algo sale mal. Aquí tienes qué proteger, qué te exige la ley y cómo convertirlo en un servicio.

Por Hugo Arribas Muñoz · Actualizado el 20 de octubre de 2026

Por qué una gestoría es un objetivo

Datos valiosos: identificaciones, IBAN, nóminas, contratos y declaraciones.
Accesos delegados: certificados digitales y credenciales para presentar trámites en nombre de tus clientes ante las administraciones.
Mucho intercambio por correo: documentos adjuntos que van y vienen, el entorno perfecto para el phishing y el fraude del falso jefe.
Confianza del cliente: un aviso falso «de tu gestoría» pidiendo un pago o un dato suele pasar sin sospecha.

Qué te exige el RGPD

Cuando tratas datos personales por cuenta de un cliente, sueles ser encargada del tratamiento y el cliente es el responsable. Eso supone, entre otras cosas:

Un contrato de encargo del tratamiento por escrito con cada cliente (art. 28 del RGPD).
Medidas técnicas y organizativas adecuadas al riesgo (art. 32): cifrado, control de accesos, copias, formación.
Avisar al cliente sin dilación indebida si sufres una brecha de seguridad (art. 33.2). Él debe notificarla a la AEPD, en general, en un máximo de 72 horas desde que la conoce. Mira la guía de brecha de datos.
Recurrir a otros proveedores con garantías y autorización del cliente si subcontratas parte del tratamiento (por ejemplo, un servicio en la nube).

Esta guía es orientativa. Para tu caso concreto, apóyate en la AEPD o en un profesional de protección de datos.

Checklist de medidas básicas para tu despacho

Doble factor en todo: correo, almacenamiento en la nube y accesos remotos. Mira la guía de 2FA.
Protege los certificados digitales: con contraseña, en equipos concretos, sin dejarlos instalados en cualquier PC ni enviarlos por correo.
Copias 3-2-1 y probadas: una copia fuera de línea te salva del ransomware. Mira la regla 3-2-1.
Correo con SPF, DKIM y DMARC: que nadie pueda escribir a tus clientes «como tú». Mira la guía de correo.
Documentos por un canal seguro y no por correo normal, sobre todo los que llevan DNI, IBAN o nóminas.
Equipos actualizados y con el disco cifrado: si se pierde un portátil, que no se pierdan los datos.
Permisos mínimos: cada persona accede solo a los clientes que lleva. Retira accesos cuando alguien deja el despacho.
Formación corta y recurrente sobre correos falsos, en especial avisos que imitan a la Agencia Tributaria o a la Seguridad Social.
Un plan por escrito para el día que algo falle: quién llama a quién y qué se dice a los clientes. La guía de ransomware es un buen punto de partida.

Cómo ofrecer ciberseguridad a tus clientes

La mayoría de tus clientes no tiene un informático y no sabe por dónde empezar. Tú ya tienes su confianza. Ofrecerles una revisión de su seguridad como parte de tu servicio es una forma de fidelizar y de abrir una línea de ingresos sin convertirte en una empresa de informática.

Empieza por lo gratuito: invítales a hacer la comprobación de su web y su correo y comentad el resultado en la próxima reunión.
Entrega un informe con tu marca, que ellos puedan enseñar a su seguro o a un cliente que se lo pida.
Mantén la vigilancia: un panel donde ves la nota de todos tus clientes y cuáles necesitan atención primero.

Preguntas frecuentes

¿Una gestoría es responsable o encargada del tratamiento?

Depende del tratamiento. Cuando trata los datos de los clientes de sus clientes por cuenta de estos (nóminas, facturas), suele ser encargada. Cuando trata sus propios datos (los de sus empleados o su facturación), es responsable. Conviene tenerlo claro en cada contrato.

¿Qué debo hacer si una gestoría sufre un ransomware?

Aislar los equipos, avisar a los clientes afectados sin dilación (ellos son los responsables y deben decidir si notificar a la AEPD), documentar lo ocurrido y pedir ayuda a un profesional. La guía de ransomware tiene los primeros pasos.

¿Estoy obligada a hacer una auditoría de ciberseguridad?

No hay una obligación general para todas las gestorías, pero el RGPD exige medidas adecuadas al riesgo y poder demostrarlas. Una revisión periódica es una buena forma de dejar constancia.

¿Puedo ofrecer ciberseguridad a mis clientes sin ser informática?

Sí, siempre que seas clara con lo que haces y lo que no: revisar y recomendar, no certificar ni sustituir a un especialista. Una herramienta que genere el informe y te muestre el estado de tus clientes lo hace mucho más fácil.

¿Qué hago con los certificados digitales de mis clientes?

Guárdalos con contraseña, en pocos equipos y con acceso limitado; no los envíes por correo; y registra quién los usa. Si alguien deja la gestoría, revisa dónde estaban instalados.

Sigue leyendo

Fuentes y más información

Esta guía es orientativa y no sustituye el asesoramiento técnico o legal de un profesional. Se actualiza cuando cambian los hechos.