CIBERREG: inversiones en ciberseguridad empresarial

Objeto

Financia proyectos que incrementen el nivel de ciberseguridad de la empresa y reduzcan el riesgo y la vulnerabilidad ante ataques. Se enmarca en la iniciativa CIBERREG del programa RETECH, dentro del componente 15, inversión 7 del Plan de Recuperación —conectividad digital, impulso de la ciberseguridad y despliegue del 5G—, financiado por Next Generation EU.

El proyecto debe incluir al menos una de estas siete tipologías:

• Convergencia e integración IT/OT: sistemas de protección ante ciberataques para entornos de tecnología de la información y de operación, diseño y ejecución de arquitecturas seguras y segmentación de redes empresariales.
• Securización de accesos remotos IT/OT a equipos.
• Securización de la información y los datos: auditorías, simulación de ataques externos y auditorías sobre perfiles internos con distintos niveles de acceso.
• Evaluación y certificación de la ciberseguridad de dispositivos electrónicos.
• Formación de la plantilla en ciberseguridad.
• Diagnósticos y planes de acción: análisis de riesgo y vulnerabilidad, inventario de elementos críticos, test de intrusión, análisis de vulnerabilidades en aplicaciones web, auditorías de comunicaciones inalámbricas y replicación de CPD para planes de recuperación o contingencia.
• Certificaciones y buenas prácticas: estándares como IEC 62443, TISAX, UNECE/R155, ISO 27001 o CAB.

Es un catálogo inusualmente amplio: cubre desde una auditoría de 3.000 € hasta un proyecto completo de arquitectura de red.

Quién puede solicitarla

Empresas de cualquier forma jurídica y tamaño, incluidos autónomos y mutualistas, válidamente constituidas al solicitar, que sean titulares en Cantabria de una actividad industrial manufacturera o de servicios de apoyo a la industria y cuenten con centro de trabajo en Cantabria.

Las definiciones son las mismas que en Grandes Proyectos y son amplias:

• Actividad industrial manufacturera: la basada en transformar una materia prima mediante la aportación de energía.
• Servicios de apoyo a la industria: las actividades necesarias para el funcionamiento operativo esencial de una actividad industrial.

Quedan excluidas las empresas y entes públicos. Y hay que estar al corriente no solo con la AEAT, la ACAT y la Seguridad Social, sino también con la propia SODERCAN.

Se admite una sola solicitud por persona interesada.

Cuantía y período de gasto

Para agotar el máximo hace falta un proyecto de 40.000 €. Con 150.000 € de crédito, la convocatoria da para siete u ocho proyectos en el tope, o para bastantes más si son diagnósticos y auditorías.

El período de elegibilidad, que es lo más favorable de esta línea

Va del 1 de enero de 2025 hasta la fecha de presentación de la solicitud. Es decir: se puede pedir por inversiones en ciberseguridad hechas hasta quince meses antes de solicitar.

La contrapartida es que todos los conceptos deben estar facturados, pagados y ejecutados íntegramente en el momento de presentar. No cabe pedir por algo en curso. En el caso de las licencias hay que especificar su período de validez.

Qué gastos entran

• Asistencias técnicas y servicios contratados: consultoría, ingeniería, auditoría y primeras certificaciones.
• Formación.
• Hardware y software, incluido el SaaS por la parte imputable al período elegible.

Dos reglas de cálculo que conviene tener presentes: no son subvencionables los impuestos, cargas ni gravámenes; y en facturas de contratación anual o periódica solo cuenta la proporción de los meses ejecutados íntegramente dentro del período, contando desde la fecha de factura, contrato o inicio del servicio.

Se permite subcontratar la totalidad de las actuaciones, cumpliendo los requisitos del artículo 29 de la Ley General de Subvenciones.

Por orden de llegada, y la subsanación penaliza el turno

A diferencia del resto de líneas de SODERCAN, aquí no hay baremo. Es concurrencia competitiva por procedimiento abreviado: se concede a las solicitudes que reúnan los requisitos «atendiendo a su prelación temporal y hasta el agotamiento del crédito».

El turno lo fija la fecha y hora de presentación de la solicitud firmada en el gestor de ayudas, siempre que esté completa. Y la penalización por subsanar está explicitada de una forma que no aparece en otras convocatorias:

Para las solicitudes que tuvieran que ser objeto de subsanación, la prelación se establecerá adicionando al orden anterior el tiempo transcurrido desde el requerimiento hasta la recepción de la información requerida.

No se pierde el puesto del todo, pero se retrasa exactamente lo que se tarde en contestar. Con un crédito de 150.000 € y un tope de 20.000 €, cada día cuenta: responder un requerimiento en 24 horas en lugar de en una semana puede ser la diferencia.

Plazo y trámite

Plazo con fecha fija, que es lo excepcional en Cantabria: desde el día siguiente a la publicación del extracto —BOC número 62, de martes 31 de marzo de 2026— hasta las 23:59 horas del 8 de mayo de 2026.

Al estar la fecha escrita en el propio texto, la BDNS la recoge correctamente: es una de las pocas convocatorias cántabras en las que registro y texto oficial coinciden sin necesidad de ir al boletín.

Tramitación en el Gestor de Ayudas de SODERCAN (ayudas.sodercan.es).

Documentación: NIF; escritura de constitución con modificaciones y estatutos inscritos, y poder de representación, si es sociedad; informe de vida laboral si es autónomo en el RETA; certificado de la mutua si es mutualista; certificado de situación censal de la AEAT actualizado a la fecha de solicitud; titularidad de la cuenta bancaria; certificados de estar al corriente con AEAT, TGSS y ACAT; y una memoria justificativa técnica y económica descriptiva de las actividades de ciberseguridad realizadas.

Nótese el matiz: la memoria es justificativa, de actividades ya realizadas, no un proyecto a futuro. Es coherente con que todo tenga que estar ejecutado y pagado al presentar.

Cuándo vuelve a convocarse

Se convoca al amparo de la Orden IND/2/2025, de 20 de enero, que estableció sus bases. En 2026: resolución de 23 de marzo, extracto el 31 de marzo y cierre el 8 de mayo.

Hay una cautela de fondo que conviene trasladar al cliente: es una línea financiada con fondos del Plan de Recuperación (Next Generation EU, programa RETECH), sujeta al cumplimiento de los hitos y objetivos del Plan y a sus mecanismos de gestión y control. El crédito procede de un expediente plurianual 2024-2026. No es una línea estructural: cuando se agoten los fondos del programa, es razonable esperar que desaparezca, a diferencia de INNOVA o de las líneas propias de SODERCAN.

Consecuencia práctica: si una empresa industrial cántabra tiene pendiente una auditoría de ciberseguridad, un test de intrusión o una certificación ISO 27001, conviene no dejarlo para dentro de dos años. Y como el período elegible arranca el 1 de enero del año anterior, quien haya invertido ya en 2025 o 2026 debería revisar sus facturas antes de descartar la ayuda por creerla fuera de plazo.