El cumplimiento normativo se ha convertido en el principal motor del gasto en ciberseguridad en la Unión Europea, según el último informe anual NIS Investments de ENISA, la Agencia de la Unión Europea para la Ciberseguridad. El estudio, basado en una encuesta a 1.080 organizaciones de sectores críticos (con un 83% de grandes empresas y un 17% de pymes), ofrece una radiografía de cómo la directiva NIS2 está reconfigurando las estrategias corporativas.
En concreto, los datos revelan que, aunque la inversión se mantiene estable respecto al año anterior, representando un nueve por ciento de los presupuestos de TI, con una media de 1,5 millones de euros, la forma en que se gasta ese dinero está cambiando radicalmente para adaptarse a una realidad marcada por la falta de profesionales y las crecientes amenazas.
De personas a máquinas: la crisis de talento
Uno de los hallazgos más contundentes del informe es el desplazamiento de la inversión desde la contratación de personal hacia la tecnología y la externalización. Esta decisión no es voluntaria, sino una respuesta a la escasez crónica de talento en el sector: el 76 por ciento de las empresas admite dificultades para atraer profesionales cualificados y el 71 por ciento para retenerlos.
Como consecuencia de esta alta rotación y la feroz competencia por un capital humano limitado han obligado a las organizaciones a buscar alternativas. En lugar de ampliar sus equipos internos, las compañías están apostando por herramientas de automatización y servicios gestionados para cubrir las brechas de seguridad que sus plantillas no pueden abarcar.
Inversión en ciberseguridad: cumplimiento y desafíos
El informe confirma que el 70 por ciento de las inversiones en ciberseguridad están motivadas principalmente por la necesidad de cumplir con la normativa. Sin embargo, este esfuerzo regulatorio está teniendo efectos positivos más allá del mero compliance: las organizaciones reportan mejoras significativas en su gestión de riesgos (41%), capacidad de detección (35%) y respuesta ante incidentes (26%).
No obstante, la implementación de la directiva NIS2 no está exenta de obstáculos. Las empresas señalan tres áreas críticas donde encuentran mayores dificultades: la gestión de parches (50%), la continuidad del negocio (49%) y el control de la cadena de suministro (37%). Los retos varían según el tamaño: mientras las grandes corporaciones luchan por modernizar tecnologías heredadas (legacy), las pymes se enfrentan a la barrera de costes y la falta de orientación accesible.
Vulnerabilidades expuestas durante meses
A pesar del impulso regulatorio, las tareas básicas de «higiene» digital siguen siendo una asignatura pendiente y preocupante. El informe destaca que casi una de cada tres organizaciones no ha realizado una evaluación de seguridad en los últimos 12 meses. Más alarmante aún es la velocidad de respuesta: el 28 por ciento de las entidades tarda más de tres meses en parchear vulnerabilidades críticas.
Esta lentitud deja una ventana de oportunidad enorme para los atacantes, especialmente en el caso de las pymes, donde el 63 por ciento admite problemas graves para realizar pruebas de seguridad y el 51 por ciento para aplicar parches a tiempo.
Inversión en ciberseguridad: ‘ransomware’ y el riesgo de terceros
En el panorama de amenazas, el informe distingue entre el «ruido» diario y los verdaderos temores estratégicos. Aunque los ataques de Denegación de Servicio (DoS) son los más frecuentes en las operaciones diarias, lo que realmente preocupa a los directivos de cara al futuro es el ransomware (55%), los ataques a la cadena de suministro (47%) y el phishing (35%).
De hecho, la cadena de suministro se consolida como el «talón de Aquiles» del ecosistema europeo. Para ENISA, la creciente dependencia de proveedores externos de TIC y seguridad introduce nuevas vulnerabilidades, ya que muchos de estos proveedores son pymes con recursos defensivos limitados. De hecho, los ciberdelincuentes están apuntando cada vez más a estos eslabones más débiles para comprometer a grandes objetivos, lo que explica por qué la gestión de riesgos de terceros es ya la segunda mayor preocupación para las organizaciones europeas.
Archivado en:
