Presupuesto de ciberseguridad 2027: cómo priorizar con evidencia
Entre septiembre y diciembre se decide el presupuesto de ciberseguridad de 2027. En la mayoría de las organizaciones se decide igual que el año pasado: se renueva lo que ya estaba y se le suma un ajuste. El problema no es el monto. Es que cuando alguien pregunta por qué esa partida y no otra, la respuesta suele ser que así viene desde hace años.
Esta guía propone decidirlo con tres criterios y en un orden específico, con una matriz para clasificar cada partida y cinco preguntas que su presupuesto debería poder contestar. Todas las cifras que aparecen aquí llevan fuente y fecha, y las que no encontramos con respaldo verificable las decimos en lugar de rellenarlas.
Casi todos van a gastar más y menos de la mitad sabe contra qué
El estudio Digital Trust Insights 2026 de PwC en su edición México, publicado en diciembre de 2025 sobre 166 ejecutivos de empresas con presencia en el país, encontró que 86% de las organizaciones incrementará su presupuesto de ciberseguridad, ocho puntos por encima del promedio global. En el mismo estudio, solo 40% cuantifica financieramente el impacto potencial de sus riesgos, y 47% reportó que su brecha más dañina de los últimos tres años costó entre 100 mil y 10 millones de dólares.
Esa distancia entre el 86% y el 40% es todo el argumento de esta guía. Se va a gastar más sin saber contra qué.
Al mismo tiempo, el presupuesto dejó de crecer por inercia. El Security Budget Benchmark Report de IANS Research y Artico Search, publicado el 5 de agosto de 2025 sobre una muestra global de 587 responsables de seguridad, midió que el gasto en seguridad como proporción del presupuesto de tecnología bajó de 11.9% a 10.9%, la primera caída en cinco años, y que el crecimiento promedio del presupuesto se desaceleró a 4% anual, el ritmo más bajo del quinquenio.
La lectura práctica es incómoda y útil a la vez. Lo que se apruebe en 2027 va a ser lo que se pueda defender, no lo que se pueda pedir.
Una advertencia sobre los benchmarks de gasto
No existe hoy una referencia pública, verificable y desagregada por tamaño de empresa que diga cuánto debería gastar una organización mexicana en ciberseguridad. Las cifras que circulan por sector y por tamaño no resisten una verificación de origen. Por eso esta guía no responde cuánto gastar. Responde cómo decidirlo, que además es la pregunta que sí se puede contestar con evidencia.
Criterio 1: qué se está explotando activamente
No lo que aparece en titulares. Existe evidencia pública, gratuita y verificable por cualquiera: el catálogo de vulnerabilidades explotadas conocidas que publica la agencia de ciberseguridad estadounidense CISA.
Al corte del 18 de agosto de 2026, ese catálogo contenía 1,670 vulnerabilidades. De ellas, 186 se agregaron durante 2026 y 349 tienen uso confirmado en campañas de ransomware, una de cada cinco. El catálogo se descarga en formato abierto y se puede cruzar contra el inventario propio en una tarde.
Si el top de riesgos de su organización no coincide con lo que arroja ese cruce, el presupuesto está persiguiendo la amenaza equivocada.
La ventana para actuar también se acortó. En junio de 2026 CISA emitió una directiva que sustituyó los plazos fijos por un modelo de riesgo con cuatro variables: si el activo está expuesto públicamente, si la vulnerabilidad está en el catálogo, qué tan automatizable es el ataque y qué control gana el atacante. En el escalón más alto exige remediar y además hacer triage forense del activo en tres días. Esa directiva obliga a agencias federales estadounidenses y no a organizaciones mexicanas, pero describe el ritmo al que hoy se mueve el problema.
Traducido a presupuesto: la partida de gestión de vulnerabilidades ya no se dimensiona por número de activos escaneados, sino por capacidad de remediar lo explotado dentro de una ventana que se mide en días.
Criterio 2: qué exige su posición en la cadena y su marco regulatorio
La seguridad dejó de ser un asunto interno. La exige el cliente que audita a sus proveedores, el supervisor que revisa el expediente y el adquirente que valida la operación de pagos. La diferencia entre una obligación real y una preocupación general es simple: la obligación tiene fecha y tiene quién la exige.
Este es el calendario en firme que cae dentro del ejercicio 2027 o que ya está vigente. Verifique cuál aplica a su organización.
| Vertical | Fecha | Obligación y quién la exige |
|---|---|---|
| Automotriz | 1 de enero de 2027 | El catálogo VDA ISA2027, publicado el 1 de julio de 2026, aplica a toda evaluación TISAX solicitada a partir de esa fecha. Las evaluaciones bajo el catálogo anterior corren hasta el 31 de diciembre de 2026 y las etiquetas vigentes conservan su validez de hasta tres años. Lo exige el cliente, no un regulador. |
| Exportadores con producto que incorpora inteligencia artificial | 2 de agosto de 2027 | Aplicabilidad plena del reglamento de inteligencia artificial de la Unión Europea, incluidos los proveedores establecidos fuera de la Unión que colocan sistemas en ese mercado. |
| Instituciones de crédito | Vigente | Las disposiciones de la Comisión Nacional Bancaria y de Valores exigen un Plan Director de Seguridad que detalle, por cada proyecto, objetivo, alcance, fechas y la inversión proyectada. Lo elabora el responsable de seguridad de la información, lo aprueba la dirección general y su contenido se informa al consejo, con evidencia de implementación. Otras figuras del sector financiero se rigen por disposiciones propias. |
| Sector público federal | Vigente desde el 18 de diciembre de 2025 | La Política General de Ciberseguridad para la Administración Pública Federal organiza el cumplimiento en ocho ejes, crea la figura del responsable institucional de ciberseguridad y prevé su propia revisión a los dos años de vigencia. |
| Comercio con pagos con tarjeta | Vigente desde el 31 de marzo de 2025 | PCI DSS v4.0.1 con la totalidad de sus requisitos de fecha futura ya obligatorios. No hay fecha nueva anunciada para 2027, de modo que el gasto del ejercicio es de sostener evidencia y validación, no de implementar. |
| Cualquier organización que trate datos personales | Vigente | La Ley Federal de Protección de Datos Personales en Posesión de los Particulares obliga a mantener medidas de seguridad administrativas, técnicas y físicas, y establece que no se adopten medidas menores a las que la organización usa para su propia información. Las vulneraciones que afecten de forma significativa los derechos del titular se informan de forma inmediata. |
Dos lecturas que conviene no pasar por alto
La primera. En banca múltiple, el presupuesto de seguridad ya es por norma un documento con cifras por proyecto que alguien firma y que el consejo conoce. Lo que esta guía propone para todos los demás sectores, en el más regulado del país ya es obligatorio desde hace años. No hay que inventar el formato, hay que copiarlo.
La segunda. Revisamos el texto completo de la política de ciberseguridad del sector público federal buscando las palabras presupuesto, recursos financieros y suficiencia. No aparecen. La obligación existe sin partida etiquetada, y ese hueco entre lo que se exige y lo que se financia es justamente el problema que una dirección de tecnología pública tiene que resolver en su anteproyecto. Escribimos aparte sobre esa política y sus plazos en nuestra guía del Plan Nacional de Ciberseguridad.
Lo que cuesta no cumplir, en pesos
La ley de datos personales sanciona hasta con 320,000 veces la Unidad de Medida y Actualización, y los montos pueden incrementarse hasta por dos veces cuando se trata de datos sensibles. Con la UMA vigente desde el 1 de febrero de 2026, en 117.31 pesos diarios, ese tope equivale a 37 millones 539 mil 200 pesos, y hasta 75 millones 78 mil 400 pesos en el supuesto agravado.
Es aritmética sobre dos cifras oficiales y cualquiera puede rehacerla. Para una institución educativa o una empresa que administra datos de decenas de miles de personas, ese número ordena una conversación de presupuesto mejor que cualquier lámina de amenazas.
Criterio 3: qué duele parar
El costo de una hora detenida ordena prioridades mejor que cualquier matriz de riesgo cualitativa, porque convierte una discusión de percepción en una de aritmética.
El informe The True Cost of Downtime 2024, de Siemens y Senseye, midió que una hora de paro no planeado en una planta automotriz grande cuesta 2.3 millones de dólares, más de 600 dólares por segundo, el doble que en 2019. En consumo masivo la misma hora cuesta 36 mil dólares. Y una planta grande promedio pierde 27 horas al mes por paros no planeados, contra 39 en 2019.
Conviene decirlo con precisión: ese informe mide paro no planeado por cualquier causa, no exclusivamente por incidente de seguridad. Lo que aporta es el orden de magnitud de la hora detenida, que es el número que casi ninguna organización tiene a la mano y que hace falta para presupuestar.
Del lado del incidente, el Cost of a Data Breach Report 2026 de IBM, presentado el 29 de julio de 2026 sobre 602 organizaciones con brechas entre marzo de 2025 y febrero de 2026, ubicó el promedio global en 4.99 millones de dólares, un récord, con servicios financieros en 6.29 millones. Y el informe The State of Ransomware 2026 de Sophos, sobre 2,158 responsables de tecnología y seguridad en 17 países, midió un costo promedio de recuperación de 1.7 millones de dólares sin contar el rescate.
Ese mismo informe trae el dato más relevante para una organización mediana: solo 34% de las organizaciones de 100 a 250 empleados logró detener el ataque antes del cifrado, contra 46% de las grandes. La diferencia no es de presupuesto total, es de tiempo de detección y de capacidad de contener a cualquier hora.
Si su organización no tiene el número de lo que cuesta una hora de su proceso crítico detenido, esa es la primera tarea del ejercicio, antes de discutir cualquier partida. Publicamos aparte cómo se construye ese cálculo en la guía de RTO, RPO y qué cuesta parar.
Por dónde están entrando ahora, que no es por donde se presupuesta
Hay un cambio que conviene incorporar al presupuesto 2027 porque contradice la intuición. Los incidentes corporativos más caros de los últimos dieciocho meses no entraron por una vulnerabilidad de perímetro. Entraron por el mostrador de ayuda y por un tercero.
El 29 de julio de 2025, CISA y sus contrapartes de Canadá, Australia y Reino Unido actualizaron un aviso conjunto sobre un grupo criminal cuya técnica central es llamar al área de soporte haciéndose pasar por un empleado, para conseguir un restablecimiento de contraseña o la transferencia del segundo factor de autenticación a un dispositivo del atacante. Lo complementan con saturación de notificaciones de autenticación y con suplantación de tarjeta SIM. La mitigación que recomiendan es autenticación multifactor resistente a phishing y monitoreo de uso indebido de cuentas.
Dos casos públicos ilustran el costo. En abril de 2025, dos cadenas minoristas británicas, Marks & Spencer y Co-op, fueron atacadas con esa técnica. El impacto conjunto se ha estimado entre 270 y 440 millones de libras, con suspensión de venta en línea durante días. Y el 31 de agosto de 2025 la armadora Jaguar Land Rover detuvo producción tras un ciberataque, con una interrupción que se extendió alrededor de seis semanas, pérdidas estimadas por encima de 300 millones de libras y una intervención del gobierno británico con una línea de crédito de 1,500 millones. La investigación inicial apunta a un proveedor de software como origen.
En los tres casos, el control que falló no estaba donde el presupuesto lo suponía. Estaba en el proceso de atención al usuario, operado en parte por terceros, y en la cadena de proveedores.
En México el patrón se refleja en escala. Durante 2025 y lo que va de 2026 se han reportado filtraciones que suman terabytes de información de decenas de organismos públicos y de instituciones financieras, con datos personales de millones de personas expuestos en portales de extorsión. No nombramos organizaciones concretas aquí porque el punto no es señalarlas: el punto es que el dato personal, una vez publicado, no se recupera, y que la partida que lo hubiera evitado casi siempre era más barata que el incidente.
La matriz de decisión
Tome su presupuesto actual, línea por línea, y ubique cada partida según dos ejes. El vertical es la evidencia que la respalda: si el riesgo que reduce aparece en el catálogo de vulnerabilidades explotadas cruzado con su inventario, o si responde a una obligación con fecha de la tabla anterior. El horizontal es el costo de interrupción del proceso que protege.
Sostener
Evidencia alta, costo de interrupción alto, cobertura suficiente. Es el núcleo defendible del presupuesto. Se renueva sin discusión y se documenta el porqué una sola vez, para todo el año.
Invertir
Evidencia alta, costo de interrupción alto y cobertura insuficiente hoy. Aquí va el incremento del ejercicio, y solo aquí. Si el incremento se reparte fuera de este cuadrante, se diluye.
Negociar
Evidencia alta pero costo de interrupción bajo o sin medir. Antes de renovar, mida el proceso. Si nadie puede poner el número, el gasto se reduce, se pospone o se renegocia.
Retirar
Sin evidencia de explotación, sin obligación con fecha y sin costo de interrupción medido. Es la partida que financia el incremento del cuadrante Invertir. Casi todos los presupuestos tienen una.
Cómo se llena, en cinco pasos
- Liste cada partida 2027 tal como está hoy, incluidas renovaciones automáticas, licencias recurrentes y servicios contratados.
- Para cada una, escriba en una línea el riesgo concreto que reduce. Si no cabe en una línea, la partida no está entendida.
- Marque si ese riesgo aparece en el cruce del catálogo de vulnerabilidades explotadas contra su inventario, o si responde a una obligación con fecha que le aplique.
- Anote el costo por hora de interrupción del proceso que protege. Si nadie tiene ese número, anótelo como la primera tarea del ejercicio.
- Ubique la partida en un cuadrante y sume los totales por cuadrante. La conversación con la dirección deja de ser cuánto pedimos y pasa a ser qué riesgo aceptamos si esto no se aprueba.
Ese cambio de pregunta es todo el valor del ejercicio. La primera versión se discute contra el presupuesto de las demás áreas. La segunda se discute contra la tolerancia al riesgo de quien firma, que es una conversación que se gana con más frecuencia.
Las cinco preguntas que su presupuesto debe poder contestar
Si las cinco tienen respuesta documentada, el presupuesto se defiende solo ante dirección general, consejo, supervisor u órgano fiscalizador. Si alguna no la tiene, ahí está el trabajo del trimestre.
¿Su top de riesgos viene de evidencia de su entorno o de titulares?
Se contesta en una tarde cruzando su inventario contra el catálogo público de vulnerabilidades explotadas. Si el resultado no se parece a su lista actual, la lista estaba mal.
¿Puede mapear cada partida 2027 a un riesgo u obligación concreta?
Una línea por partida. Las que no la tengan son candidatas del cuadrante Retirar, y son las que financian lo demás.
¿Cuánto cuesta una hora de su proceso crítico detenido, y quién en la organización tiene ese número?
Solo cuatro de cada diez organizaciones cuantifican financieramente el impacto potencial de sus riesgos. Tener ese número cambia quién dirige la conversación.
¿Qué obligación con fecha cae dentro del ejercicio 2027, y quién la exige: un regulador, un cliente o un adquirente?
La respuesta determina quién audita y con qué evidencia, no solo cuánto cuesta. No es lo mismo prepararse para un supervisor que para el cuestionario de un cliente.
¿Qué está en su presupuesto solo porque estaba el año pasado, y qué riesgo desaparecería si lo quita?
Si nadie en la organización puede contestarla, esa partida está financiando la inercia y no la operación.
La partida que casi ningún presupuesto tiene todavía
En el ciclo anterior escribimos sobre el activo que nadie inventarió. Vale la pena retomarlo aquí porque es la partida que 2027 vuelve inevitable: lo que no está inventariado no se puede priorizar ni presupuestar, y la inteligencia artificial desplegada fuera del inventario es hoy el ejemplo más claro.
Los números lo dimensionan. El informe de IBM de julio de 2026 encontró que una de cada cuatro brechas maliciosas fue habilitada por inteligencia artificial, con un promedio de 6 millones de dólares, un millón por encima del promedio general. Más del 20% de las organizaciones reportó una brecha dirigida a modelos o aplicaciones de inteligencia artificial, y 92% de esas carecía de controles de acceso adecuados.
Del lado mexicano, el estudio de PwC de diciembre de 2025 encontró que 69% de las organizaciones señala el malware potenciado por inteligencia artificial como su amenaza principal para el siguiente año, pero solo 37% ha implementado prácticas de inteligencia artificial responsable dentro de su estrategia de seguridad.
La distancia entre ese 69% que la teme y ese 37% que la gobierna es una partida presupuestal que en la mayoría de las organizaciones no existe. Para 2027 el marco de referencia disponible es la norma ISO/IEC 42001, de sistemas de gestión de inteligencia artificial, y para quien exporta a Europa hay además una fecha: el 2 de agosto de 2027.
No hace falta un programa completo para arrancar. Hace falta el inventario, que es la parte que casi nadie tiene y que no cuesta licencias.
El calendario contra el que corre
En el sector público el ritmo lo fija la ley. La Ley Federal de Presupuesto y Responsabilidad Hacendaria establece que el Ejecutivo remite al Congreso el paquete económico a más tardar el 8 de septiembre, que la Ley de Ingresos se aprueba a más tardar el 31 de octubre y que el Presupuesto de Egresos se aprueba a más tardar el 15 de noviembre.
Quien vende al gobierno, o depende de presupuesto público, opera contra ese mismo reloj. Y en el sector privado el calendario no está en la ley pero se comporta igual: entre septiembre y noviembre se cierran los números y en diciembre ya solo se ajustan.
La implicación práctica es que el trabajo de evidencia, que es la parte lenta, tiene que ocurrir antes que la discusión de montos. Cruzar el inventario contra el catálogo de explotación, levantar el costo por hora de los procesos críticos y mapear las obligaciones con fecha toma semanas, no días. Empezarlo en noviembre significa presupuestar otra vez por inercia.
Preguntas frecuentes
¿Cuánto debería representar la ciberseguridad dentro del presupuesto de tecnología?
No hay una respuesta pública y verificable para México desagregada por sector y tamaño. La referencia global más citable es el Security Budget Benchmark Report de IANS Research y Artico Search de agosto de 2025, que midió 10.9% del presupuesto de tecnología sobre una muestra global de 587 responsables de seguridad. Sirve como orden de magnitud, no como objetivo. La pregunta útil no es qué porcentaje, sino si cada partida se puede mapear a evidencia o a una obligación.
¿Dónde se consulta el catálogo de vulnerabilidades explotadas?
Lo publica CISA de forma abierta y gratuita, con actualización continua y descarga en formatos procesables. Al 18 de agosto de 2026 contenía 1,670 vulnerabilidades. Cruzarlo contra el inventario propio no requiere licencias, requiere tener el inventario.
¿Qué hago si mi organización no tiene el costo por hora de interrupción?
Anotarlo como la primera tarea del ejercicio y estimarlo con las áreas de operación y finanzas, proceso por proceso. No se necesita precisión contable para priorizar: se necesita el orden de magnitud y saber cuál proceso duele más que los otros.
¿Esta guía aplica si mi organización no está regulada?
Sí. Los tres criterios funcionan igual. Lo que cambia es el criterio de obligación: en lugar de un supervisor, quien la impone suele ser un cliente que audita a sus proveedores, un adquirente que valida la operación de pagos o un contrato con cláusulas de seguridad.
¿Cada cuándo conviene rehacer este ejercicio?
El mapeo completo, una vez al año durante el ciclo presupuestal. El cruce contra evidencia de explotación, de forma continua, porque el catálogo se actualiza durante todo el año y las ventanas de remediación hoy se miden en días.
Si quiere trabajarlo sobre su caso
La sesión de priorización 2027 son 45 minutos con un especialista de QMA, sin costo. Revisamos su presupuesto contra los tres criterios de esta guía y sale con un primer mapa de prioridades defendible ante quien lo apruebe.
No es una demostración de producto. No vendemos herramientas en esa sesión, ordenamos decisiones.
Agendar la sesión de priorización 2027
Si prefiere avanzar por su cuenta, los tres criterios se apoyan en capacidades concretas: el cruce contra evidencia de explotación en monitoreo de riesgos y vulnerabilidades, el expediente de cumplimiento en gobernanza, riesgo y cumplimiento, y el cálculo de lo que cuesta parar en continuidad de negocio y recuperación.
Fuentes
Toda estadística de esta guía proviene de una fuente citable con fecha. Ninguna cifra es estimación propia.
- CISA, Known Exploited Vulnerabilities Catalog, versión 2026.08.18.
- CISA, Binding Operational Directive 26-04, Prioritizing Security Updates Based on Risk, 10 de junio de 2026.
- CISA y contrapartes internacionales, aviso conjunto actualizado sobre ingeniería social contra áreas de soporte, 29 de julio de 2025.
- PwC, Digital Trust Insights 2026, edición México, diciembre de 2025. Muestra de 166 ejecutivos en México dentro de un estudio global de 3,887 líderes en 72 países.
- IANS Research y Artico Search, Security Budget Benchmark Report, 5 de agosto de 2025. Muestra global de 587 responsables de seguridad.
- Siemens y Senseye, The True Cost of Downtime 2024.
- IBM, Cost of a Data Breach Report 2026, 29 de julio de 2026. 602 organizaciones, marzo de 2025 a febrero de 2026.
- Sophos, The State of Ransomware 2026. 2,158 responsables de tecnología y seguridad en 17 países.
- ENX Association y VDA, publicación del catálogo VDA ISA2027, 1 de julio de 2026.
- Comisión Nacional Bancaria y de Valores, Disposiciones de carácter general aplicables a las instituciones de crédito.
- Agencia de Transformación Digital y Telecomunicaciones, Política General de Ciberseguridad para la Administración Pública Federal, Diario Oficial de la Federación, 17 de diciembre de 2025.
- PCI Security Standards Council, PCI DSS v4.0.1.
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, Diario Oficial de la Federación, 20 de marzo de 2025, última reforma del 14 de noviembre de 2025.
- INEGI, valor de la Unidad de Medida y Actualización 2026, vigente desde el 1 de febrero de 2026.
- Ley Federal de Presupuesto y Responsabilidad Hacendaria, artículo 42.
- Reglamento de inteligencia artificial de la Unión Europea, calendario de aplicación.
Esta guía es material de referencia para la planeación presupuestal. No constituye asesoría legal, fiscal ni contable, y no sustituye la revisión de las disposiciones aplicables a cada organización. QMA prepara y acompaña procesos de cumplimiento; la certificación, cuando aplica, la emite un tercero acreditado.
