Ayudas SPRI de ciberseguridad para empresas industriales de Euskadi: programa Ciberseguridad Industrial 2026

Qué cubre y qué no

El art. 5 organiza los proyectos elegibles en dos bloques; no hace falta cubrir todas las fases:

• Ciberseguridad en la empresa: diagnóstico inicial (evaluación de controles, auditorías, medición de concienciación de la plantilla), estrategia y planes de acción (planes directores de seguridad), implantación de medidas (inventario de activos, políticas, análisis de riesgos, gobierno y cumplimiento normativo, accesos remotos OT, segmentación de redes, firewalls, EDR, XDR, tests de penetración, cifrado, servicios gestionados y SOC, planes de respuesta, continuidad y recuperación ante desastres), y evaluación, auditoría y certificación sobre marcos normativos de ciberseguridad.
• Ciberseguridad de producto: marco de ciclo de vida seguro, consultoría de diseño y desarrollo seguro, cifrado, gestión de vulnerabilidades y evaluación y certificación del producto.

No son elegibles, según los artículos 5 y 6: los productos o servicios del propio catálogo de la empresa beneficiaria (salvo cumplimiento normativo o certificación), el equipamiento y software de puestos de oficina, los trabajos del propio solicitante, los desplazamientos de la empresa experta, el IVA y la exportación. Los proyectos deben ejecutarse en un máximo de 12 meses y los gastos deben estar devengados o facturados desde el 1 de enero de 2026 (art. 6.1.a).

Requisitos de la empresa

• Ser una empresa industrial o de servicios conexos ligados al producto-proceso industrial. No es un programa para cualquier pyme vasca (art. 4.1).
• Tener un centro de actividad en Euskadi en el que el proyecto tenga impacto y figurar de alta en el IAE del País Vasco; SPRI lo comprueba de oficio, igual que las obligaciones tributarias y con la Seguridad Social (art. 4.4).
• No estar adscrita a la Red Vasca de Ciencia, Tecnología e Innovación ni pertenecer al sector público, y no estar incursa en las prohibiciones del art. 13 de la Ley 20/2023 (art. 4.2).
• Respetar el límite de minimis y declarar las demás ayudas para el mismo proyecto (art. 8 y 9).
• Firmar la solicitud la persona con poder de representación mediante firma electrónica avanzada, en el aplicativo de la web de SPRI (art. 9).

Qué se exige al proveedor

Qué significa «operar regularmente en ciberseguridad». El art. 6.1.b exige que los gastos sean realizados por empresas expertas externas y define empresa externa experta como «toda entidad privada independientemente de su forma jurídica, que ejerza su actividad económica de forma regular en el ámbito del proyecto objeto de subvención». A continuación añade: «Sin perjuicio de admitirse otros casos, se presumirá que la empresa cumple con este requisito si aparece referenciada dentro del Libro Blanco de la Ciberseguridad en Euskadi».

Dicho de forma precisa: figurar en el Libro Blanco no es un requisito, es una presunción a favor de las empresas que aparecen en él. El requisito real es ser una entidad privada con actividad regular en el ámbito del proyecto, y el propio texto admite «otros casos». Las bases no dicen cómo se acredita esa actividad regular fuera del Libro Blanco; es una valoración de SPRI en cada expediente.

• Art. 6.5: la empresa externa no puede pertenecer ni formar parte de ningún sector público.
• Art. 6.6.f: si el gasto supera la cuantía del contrato menor de la normativa de contratación pública, la empresa debe solicitar como mínimo tres ofertas de proveedores diferentes antes de comprometer el gasto, salvo que el mercado no tenga suficientes oferentes. Si no elige la más barata, debe justificarlo en una memoria. Las ofertas se aportan con la solicitud o con la justificación.
• Solicitud: debe incluir una oferta técnica y económica del proyecto (límite 25 páginas) con tareas, solución, presupuesto desglosado, horas por tarea y calendario (art. 9.6.f).
• Art. 12.4.d: la justificación incluye una memoria técnica con el descargo de horas por consultor y tarea.

No consta restricción de ubicación del proveedor (leído art. 6.1.b y 6.5). Las bases no piden certificados concretos (como ISO 27001 o ENS) a la empresa proveedora para ser elegible; sí contemplan como proyecto elegible la certificación de la empresa o del producto sobre marcos de ciberseguridad (art. 5).

Cómo puede ayudarte SmartWay Studio

SmartWay Studio es una consultora tecnológica pyme con sede en el Parque Científico de Murcia que trabaja en remoto con empresas de otras comunidades autónomas. Esta es la parte que podemos hacer, y lo que no:

• Valoramos contigo si el proyecto encaja en el programa antes de pedir nada: qué actuación subvencionable sería, qué se contrataría y a quién.
• Si encaja, preparamos la descripción técnica y el presupuesto detallado que la ayuda exige al proveedor (tareas, dedicaciones, calendario), para que la empresa los adjunte a su solicitud.
• En proyectos de cumplimiento y certificación (por ejemplo, adecuación al Esquema Nacional de Seguridad o a la ISO 27001) podemos asesorar y preparar la documentación técnica.
• La solicitud la presenta y firma la propia empresa. No somos agente del organismo ni tramitamos la ayuda, y no podemos garantizar su concesión.

Según el tipo de proyecto, el trabajo se enmarca en implantación de IA, automatización con IA, software a medida o consultoría informática. Si prefieres validar primero con poco riesgo, existe el piloto de IA; para dimensionar un desarrollo puedes usar el estimador de proyecto software. Nuestras certificaciones de seguridad están en certificaciones.

SmartWay Studio dispone de certificación ISO 27001 y de conformidad con el ENS categoría Alta, que puedes consultar en la página de certificaciones. No afirmamos que eso satisfaga la cláusula de «actividad regular en el ámbito del proyecto» del art. 6.1.b, ni que figuremos en el Libro Blanco de la Ciberseguridad en Euskadi: esa valoración corresponde a SPRI en cada expediente.

Cuándo se publica

• Edición 2026: resolución de 27 de abril de 2026, publicada en el BOPV el 18 de mayo de 2026, que aprueba a la vez las bases y la convocatoria (BDNS 906384).
• Ediciones anteriores: la BDNS registra dos convocatorias de SPRI con el nombre «Ciberseguridad Empresarial»: la 768981 (registrada el 18/06/2024, 4.500.000 €, cierre el 08/11/2024) y la 840238 (registrada el 16/06/2025, 4.500.000 €, cierre el 24/11/2025). No hemos contrastado que sus bases coincidan con las de 2026.
• Próxima edición: no confirmada. Las bases de 2026 no fijan periodicidad.