Vivimos un momento en el que sectores como la energía, la sanidad, el transporte o las telecomunicaciones se han convertido en objetivos prioritarios para los atacantes. No es casualidad: son servicios esenciales para el funcionamiento del país, y cualquier interrupción puede tener consecuencias graves para la sociedad y la economía. Por eso, la ciberseguridad en este tipo de organizaciones ya no es una cuestión puramente técnica, sino una prioridad estratégica y legal.
La Unión Europea decidió ir un paso más allá con la nueva Directiva NIS2, que se suma a otras normas como el Reglamento DORA en el sector financiero o la actualización del Esquema Nacional de Seguridad en España. El mensaje es claro: las entidades esenciales no pueden operar sin una base mínima de ciberseguridad sólida. La norma ya no es solo un marco de referencia. Es una obligación concreta con consecuencias legales y reputacionales si se ignora, pero ¿qué implica esto en la práctica?
Podemos acudir a los conceptos que se deducen de la norma: que ya no basta con tener el «plan director» en un cajón, que los plazos y la responsabilidad se acortan o las temidas sanciones. Pero la realidad, para adaptar todas las medidas técnicas y regulatorias, es que se necesitan recursos para llevar a cabo todas esas tareas. Cada vez más se duplican los roles en las organizaciones (públicas y privadas) para cubrir estos puestos, lo que conlleva un ahorro de costes y, a la vez, una sobrecarga operativa que hace que los procesos se ralenticen y, en muchas ocasiones, fracasen en tiempo y ejecución.
De ahí la importancia relevante de los partners, los socios tecnológicos, los proveedores que se convierten en las manos que las organizaciones no disponen y que aportan el talento necesario para remediar estas situaciones. Aunque en muchas ocasiones, y precisamente por los mismos motivos, se convierten en víctimas de la propia solución.
Normativa
Cumplir con la normativa es solo el principio. El objetivo real debe ser garantizar la resiliencia de la organización: su capacidad de anticipar, resistir y recuperarse ante un incidente.
Para ello, y como síntesis muy arriesgada, se deben llevar a cabo medidas, que, aunque duras, son las mínimas necesarias para empezar ese duro camino:
- Involucrar a la dirección: la ciberseguridad tiene que estar en la agenda del comité de dirección, con una visión clara del riesgo y recursos adecuados, ya sea por alineación y buenas prácticas o por obligación.
- Sumario: la seguridad no es un proyecto que nos ocupa dos meses de trabajo intenso, es un proceso continuo y adaptable
- Clasificar la información y protegerla con criterio: no todos los datos tienen el mismo valor. Identificar los más sensibles y asegurar su trazabilidad y control de accesos es fundamental, vigilando estrechamente las fugas de información.
- Seguir un modelo Zero Trust. es decir, no dar por hecho que nadie es de confianza solo por estar dentro del perímetro corporativo. Es necesario auditar y gestionar de manera continua los permisos de acceso a la información.
- Evaluarse de forma continua: medir el nivel de madurez en ciberseguridad, detectar brechas y seguir mejorando. La seguridad no es un proyecto que nos ocupa dos meses de trabajo intenso, es un proceso continuo y adaptable.
- Tener un plan para lo peor: simular ataques, preparar escenarios de crisis, contar con protocolos claros de respuesta técnica y comunicación y automatizar reportes y generación de evidencias para adelantarse a los tiempos exigentes de respuesta.
La seguridad no es un proyecto que nos ocupa dos meses de trabajo intenso, es un proceso continuo y adaptable
Directiva NIS2: seguridad real
Desde un punto de vista operativo de la seguridad de la información, además de talento y estrategia, las organizaciones necesitan automatización, visibilidad y trazabilidad. No para sustituir a los equipos humanos, sino para darles margen, claridad y contexto. Sistemas que permitan clasificar la información de forma dinámica, revisar permisos y accesos sin depender de hojas de cálculo, generar evidencias y alertas de forma proactiva y detectar ineficiencias que están devorando tiempo sin aportar seguridad real. Y no solo con inteligencia artificial, sino sobre uso de la propia inteligencia artificial.
En este punto, un actor principal es el Centro Criptológico Nacional, máxima entidad certificadora de herramientas de seguridad en nuestro país y garante de los mayores estándares de seguridad aplicados a las herramientas tecnológicas que homologa.
Preparación
Muchas organizaciones solo reaccionan ante la urgencia: un incidente, una inspección, un titular en prensa. Pero la ciberseguridad no puede seguir siendo algo reactivo. No nos lo podemos permitir.
En el caso de las entidades esenciales, es parte del servicio público que prestan, de su reputación y de su sostenibilidad a largo plazo. Hoy, no se trata solo de evitar ataques. Se trata de garantizar que, aunque lleguen, estemos preparados. Que nuestro nivel de exposición sea el mínimo posible. Y eso implica liderazgo, inversión (a veces no todo está en manos de las organizaciones, también quienes «subvencionan» deben entender la situación real para «remar juntos»), formación y una visión clara de lo que está en juego.
El cumplimiento no es una foto fija cada dos años. Es un sistema vivo que hay que poder observar, entender y ajustar. Y eso no se consigue con más informes ni más burocracia, sino con recursos y herramientas que permitan responder, con datos objetivos, a una pregunta cada vez más urgente: ¿Estamos seguros o solo lo parece? Esta pregunta empezará a tener respuesta a partir de 2026, cuando comience nuestra época particular de exámenes.
