Ciberriesgo en la banca europea: evolución y percepción
Análisis OFT – 32 / 2025
Fecha: 16 septiembre 2025
| LAS CLAVES La industria bancaria ha experimentado un incremento significativo en la exposición al riesgo cibernético, impulsado de forma natural tanto por la creciente digitalización de los servicios financieros como por la sofisticación y frecuencia de los ciberataques dirigidos, aunque el grado de protección también ha ido en aumento, y permanece como uno de los sectores económicos más seguros. Según los datos más recientes de la EBA procedentes del Risk Assessment Report, se ha producido un aumento de los ciberataques hacia la operativa bancaria. En marzo de 2025, el 35,3% de las entidades bancarias europeas declaraban haber recibido en los últimos seis meses un ciberataque. La percepción del sector bancario también está cambiando a medida que este tipo de riesgo digital se hace cada vez más patente. El 82,4% de las entidades bancarias europeas reconocen el ciberriesgo como un elemento central del riesgo operativo. Esta cifra se situaba en el 64,7% hace dos años, lo que refleja que los bancos europeos son cada vez más conscientes de las implicaciones de la exposición creciente a ciberataques. Se evidencia una mayor madurez en la gestión del riesgo, donde ya no se concibe el riesgo operativo sin incorporar de manera prioritaria la dimensión digital. |
El riesgo cibernético: implicaciones y respuesta
En los últimos años, la industria bancaria ha experimentado un incremento significativo en el riesgo cibernético, impulsado tanto por la creciente digitalización de los servicios financieros como por la sofisticación y frecuencia de los ciberataques dirigidos. Las consecuencias actuales y potenciales de estas amenazas van mucho más allá de la interrupción operativa: incluyen pérdidas económicas directas, sanciones regulatorias, filtración de datos sensibles, daños reputacionales y, sobre todo, la erosión de la confianza de clientes, inversores, socios comerciales y supervisores. Ante este panorama, las entidades bancarias se ven obligadas a reforzar sus sistemas de seguridad, invertir en tecnologías avanzadas de detección, prevención y respuesta temprana, así como diseñar planes de contingencia que les permitan reaccionar con rapidez, eficacia, coordinación y resiliencia. Además, resulta esencial fomentar una cultura organizativa de ciberresiliencia integral, que no solo abarque a los departamentos técnicos, sino que implique activamente a toda la organización en la prevención, gestión, supervisión, capacitación y mitigación de estos riesgos crecientes, sofisticados y cada vez más complejos.
Ciberriesgo en la banca europea: evolución
Según los datos más recientes de la EBA procedentes del Risk Assessment Report[1], se ha producido un aumento de los ciberataques. El gráfico 1 refleja una evolución clara en la frecuencia de estos episodios con afectación directa a la operativa bancaria en Europa durante los dos últimos años. En marzo de 2023, casi el 90% de las entidades declaraban no haber sufrido incidentes en los últimos seis meses, pero esta cifra se ha ido reduciendo de forma constante hasta alcanzar solo un 64,7% en marzo de 2025. Es decir, el 35,3% de las entidades bancarias europeas declaran haber recibido un ciberataque con afectación a su operativa en los últimos seis meses. Paralelamente, se observa un aumento progresivo de entidades que han sufrido entre 1 y 5 ciberataques, que pasan del 10,6% en 2023 a un 32,9% en 2025.
Gráfico 1. Ciberataques al sector bancario que han afectado la operativa de alguna entidad bancaria europea (marzo 2023 a marzo 2025)
Fuente: EBA y elaboración propia
La percepción del sector bancario europeo frente al ciberriesgo
La percepción del sector bancario también está cambiando a medida que este tipo de riesgo digital se hace cada vez más patente. El gráfico 2 pone de manifiesto una evolución muy clara en la percepción del ciberriesgo como factor determinante dentro del riesgo operativo en la banca europea. En marzo de 2023, apenas un 64,7% de las entidades lo situaban en primera línea de preocupación, pero en los dos años siguientes se observa una tendencia ascendente y sostenida. Ya en septiembre de 2023 la cifra alcanza el 75,3%, y en marzo de 2024 y septiembre de 2024 supera el 77%, consolidándose como una prioridad transversal en el sector. Finalmente, en marzo de 2025, el 82,4% de las entidades lo reconocen como un elemento central del riesgo operativo. Este incremento refleja dos realidades complementarias. Por un lado, confirma que los bancos son cada vez más conscientes de la exposición creciente a ciberataques, como muestran los datos de incidentes reales en el mismo periodo. Por otro, evidencia una mayor madurez en la gestión del riesgo, donde ya no se concibe el riesgo operativo sin incorporar de manera prioritaria la dimensión digital. El ciberriesgo se ha convertido en un factor estructural de la gestión bancaria, y su peso seguirá aumentando a medida que los servicios financieros profundicen en la digitalización y se intensifique la presión regulatoria para reforzar la ciberresiliencia.
Gráfico 2. Porcentaje de entidades bancarias europeas que consideran el ciberriesgo como un factor determinante del riesgo operativo
Fuente: EBA y elaboración propia.
[1] Disponibles en https://www.eba.europa.eu/publications-and-media/publications/operational-risks-and-resilience-1