Las empresas que sufran un ciberataque ya pueden solicitar un ERTE hasta que vuelvan a la normalidad

1. Es necesario demostrar ante la autoridad laboral que el negocio no puede funcionar
2. Para el Supremo, lo importante es que el ataque haya superado las medidas adoptadas
3. Los riesgos si la autoridad laboral rechaza el ERTE
4. Un criterio que cambia la respuesta de las pymes ante los ciberataques

Los autónomos con empleados y las pymes se enfrentan a un riesgo creciente que puede detener su actividad por completo: los ciberataques, capaces de inutilizar servidores, bloquear equipos y dejar sin acceso a programas esenciales. El Tribunal Supremo ha aclarado por primera vez que un ataque informático de esta magnitud puede justificar un ERTE por fuerza mayor, siempre que se acrediten unos requisitos concretos.

Para las micropymes que se quedan paralizadas durante días o semanas, esta vía puede ser la diferencia entre sobrevivir o tener que echar el cierre. Una reciente sentencia reconoce que un ciberataque puede cumplir la condición de hecho externo, inevitable e imprevisible para solicitar un ERTE y dejar de pagar los salarios hasta que la empresa vuelva a la normalidad.

La abogada Claudia García Bieto, laboralista senior en Augusta Abogados, explicó a este diario que, para solicitar uno de estos expedientes por ciberataques, lo fundamental “es demostrar que la actividad quedó total o parcialmente paralizada y que la empresa no podía prestar servicios pese a emplear todos los medios a su alcance”. Esta explicación es clave para negocios pequeños, que no cuentan con estructuras tecnológicas avanzadas.

Por su parte, Estela Martín Estebaranz, abogada de Sincro, coincide en que la decisión es relevante, porque “deja claro que es factible recurrir al ERTE de fuerza mayor si la empresa sufre un ciberataque”. Según esta experta, la interpretación equipara estas interrupciones tecnológicas a las causas tradicionales de fuerza mayor, “algo que hasta ahora no estaba claramente definido para los negocios más pequeños”.

Es necesario demostrar ante la autoridad laboral que el negocio no puede funcionar

Para llevar a buen puerto la solicitud del ERTE por fuerza mayor, la primera exigencia es acreditar la existencia real del incidente desde un punto de vista técnico. García Bieto detalló que deben aportarse “informes que describan el alcance del ataque, los sistemas afectados y la imposibilidad de operar con normalidad”, ya que sin esta base no se puede justificar la paralización.

La experta recuerda que incluso un bloqueo parcial puede bastar si impide la prestación efectiva del trabajo. También es necesario demostrar que el ataque tuvo un impacto directo en la actividad y que la empresa reaccionó con diligencia.

Según García Bieto, “es imprescindible documentar desde el primer momento todas las incidencias internas, las comunicaciones con proveedores tecnológicos y las actuaciones realizadas para recuperar la actividad”. Estos elementos serán determinantes para evaluar si la empresa actuó de forma proporcional a su tamaño y recursos.

Por su parte, Martín Estebaranz añadió que el negocio debe acreditar la imposibilidad real de prestar servicios y no una simple dificultad técnica. La experta señaló que hay sucesos “que rebasan los tenidos en cuenta en el desenvolvimiento ordinario y que no pueden ser evitados”, incluso con medidas razonables. Esto implica demostrar que el daño fue temporal pero lo suficientemente grave como para impedir trabajar.

Además, la autoridad laboral solicitará un informe de la Inspección de Trabajo antes de resolver. Este informe deberá valorar si existen los elementos de fuerza mayor exigidos por la jurisprudencia, lo que obliga al negocio a presentar pruebas claras y verificables. Martín Estebaranz recuerda que la fuerza mayor “debe ser constatada por la autoridad laboral, cualquiera que sea el número de personas trabajadoras afectadas”.

Para el Supremo, lo importante es que el ataque haya superado las medidas adoptadas

Uno de los puntos que más dudas generaba entre autónomos y pymes era si un ciberataque podía considerarse inevitable, dado que estas amenazas son cada vez más frecuentes.

El Supremo ha resuelto este dilema señalando que lo relevante no es que el riesgo exista en abstracto, sino que el ataque concreto supere las medidas razonables adoptadas por la empresa.

García Bieto destaca que no se exige “un sistema infalible, sino adecuado y actualizado para la dimensión del negocio”. Y que el hecho de usar antivirus o copias de seguridad no impide que un ataque pueda desbordar las defensas. Esto es especialmente importante para pymes con recursos limitados que no pueden aspirar a los mismos niveles de ciberprotección que una gran empresa.

La previsibilidad, por tanto, no anula la inevitabilidad. Martín Estebaranz señala que, “aunque pueda ser previsible sufrir un ciberataque, esto no impide la posibilidad de poder recurrir al ERTE de fuerza mayor”, siempre que el incidente rebase lo que puede considerarse normal en la actividad empresarial. Este matiz es fundamental para que la autoridad laboral entienda la naturaleza extraordinaria del suceso.

La diferencia entre previsibilidad y evitabilidad permite que los pequeños negocios no queden desprotegidos ante incidentes que no pueden controlar. La doctrina insiste en que lo decisivo es evaluar el caso concreto, el nivel de daño y las medidas que tenía implantadas el negocio antes del ataque.

Los riesgos si la autoridad laboral rechaza el ERTE

Solicitar un ERTE por fuerza mayor no garantiza su concesión; es más, un rechazo puede tener consecuencias económicas graves. García Bieto advierte de que el principal riesgo “es que la empresa se vea obligada a afrontar el coste salarial y de cotizaciones de una plantilla que objetivamente no puede trabajar”. Lo que, para un autónomo con varios empleados, puede ser insostenible.

Además, si el negocio intenta reducir jornadas unilateralmente para paliar el impacto económico, podría incurrir en infracciones laborales o reclamaciones salariales. La experta explica que estas actuaciones pueden derivar en sanciones importantes que agravan todavía más la situación.

Mientras se tramita una impugnación en los tribunales, el negocio sigue sin actividad y sin capacidad de recuperar ingresos. Martín Estebaranz recuerda que si la autoridad laboral deniega el ERTE por fuerza mayor, “la empresa tendrá que recurrir a los tribunales, lo que implica semanas o meses de espera con la actividad bloqueada”. Esto puede llevar a cierres temporales o incluso definitivos en casos extremos.

La doctrina del Supremo también subraya que la autoridad laboral puede equivocarse en la valoración técnica del incidente, y que los tribunales están dispuestos a corregir decisiones mal fundamentadas. No obstante, el tiempo que transcurre hasta obtener una sentencia puede resultar letal para los negocios más pequeños.

Un criterio que exige a las pymes preparación ante los ciberataques

Las expertas coinciden en que la sentencia introduce un cambio relevante en la forma en la que los pequeños negocios deben prepararse para un ataque informático. García Bieto señaló que esta decisión “marca un antes y un después, porque reconoce expresamente que un ciberataque grave puede justificar un ERTE por fuerza mayor”, algo que hasta ahora estaba en un vacío jurídico.

Esto impulsará a las micropymes a mejorar su cultura de ciberseguridad, documentar protocolos básicos y conservar pruebas desde el primer momento en caso de incidente. Martín Estebaranz apuntó que la sentencia “abre un camino claro para que los pequeños negocios accedan a mecanismos de protección, hasta ahora asociados a causas tradicionales de fuerza mayor”, lo que les permite reaccionar con rapidez y proteger el empleo.

Aunque la normativa laboral aún no contempla expresamente estos supuestos, la nueva jurisprudencia ofrece a los autónomos y micropymes un marco más claro para actuar. Con ello se reduce la incertidumbre y se refuerza la seguridad jurídica en un ámbito cada vez más crítico para los negocios de todos los tamaños.