La Unión Europea ha avanzado en la aprobación de normas para protegerse de los ciberataques, pero sigue teniendo dificultades para coordinar su respuesta cuando estos se producen. Esa es una de las principales advertencias del Informe sobre el estado de la ciberseguridad en la Unión Europea de 2026, elaborado por la Agencia de la UE para la Ciberseguridad (ENISA) en cooperación con la Comisión Europea y los Estados miembros. El documento, difundido este martes, dibuja un continente que ha reforzado sus controles de seguridad pero que sigue fragmentado: los países presentan grandes diferencias en sus capacidades de respuesta y dificultades para compartir información sobre posibles amenazas.
Un informe de la agencia comunitaria de ciberseguridad destaca que la mala comunicación y la dependencia de proveedores tecnológicos externos reducen el margen para contener los ‘hackeos’
La Unión Europea ha avanzado en la aprobación de normas para protegerse de los ciberataques, pero sigue teniendo dificultades para coordinar su respuesta cuando estos se producen. Esa es una de las principales advertencias del Informe sobre el estado de la ciberseguridad en la Unión Europea de 2026, elaborado por la Agencia de la UE para la Ciberseguridad (ENISA) en cooperación con la Comisión Europea y los Estados miembros. El documento, difundido este martes, dibuja un continente que ha reforzado sus controles de seguridad pero que sigue fragmentado: los países presentan grandes diferencias en sus capacidades de respuesta y dificultades para compartir información sobre posibles amenazas.
El diagnóstico llega en plena ola de ataques contra cadenas de supermercados y otras instalaciones europeas, como bancos de sangre, lo que ilustra el alcance de estas amenazas. Los episodios han puesto de manifiesto que un ataque informático puede terminar afectando a la cadena alimentaria y otros servicios básicos. En este contexto, la agencia advierte de que el riesgo es “sustancial”, lo que implica que numerosos objetivos pueden estar sufriendo ataques directos o estar expuestos a brechas de seguridad. El problema es que quienes lanzan estos ataques tienen cada vez más herramientas para encontrar puntos débiles y explotarlos antes de que las organizaciones, públicas y privadas, puedan reaccionar. Además, la inteligencia artificial ha agudizado el problema al automatizar la búsqueda de fallos de seguridad y preparar ataques con más rapidez y a una escala mayor.
La UE tiene un problema que va más allá de las diferencias normativas. Tampoco está preparada para responder de forma conjunta cuando se produce un ataque. Aunque 22 Estados miembros cuentan con un nivel de protección general que el índice europeo considera aceptable (71,53 puntos sobre 100), la capacidad de sus equipos para gestionar y responder a los incidentes se queda en 54,76 puntos. La distancia entre ambas cifras refleja las dificultades para trasladar los avances normativos a una respuesta efectiva sobre el terreno cuando se enfrentan a un ciberataque. Tener planes y organismos especializados no garantiza que los países puedan reaccionar a tiempo ni coordinarse cuando un hackeo cruza sus fronteras.
Uno de los principales problemas es que la UE sigue sin disponer de una “visión compartida y en tiempo real” de los ataques que se producen en el territorio comunitario. Los países tampoco utilizan los mismos criterios para comunicar los incidentes, determinar su gravedad o alertar a sus socios europeos. A ello se suma la escasa participación en el intercambio de información (este indicador obtiene apenas 26,30 puntos sobre 100). En la práctica, esto significa que las advertencias sobre nuevas amenazas no llegan a tiempo a las empresas y autoridades, lo que reduce el margen para anticiparse y contener un ataque antes de que se extienda a otros países. A esta falta de coordinación se suma la dependencia de tecnología extranjera. La agencia europea advierte de que el uso generalizado de software y servicios de terceros países (en particular de China) en las infraestructuras comunitarias hace que la cadena de suministro sea uno de los principales puntos débiles del continente, lo que puede agravar el impacto de los ciberataques sobre la economía.
El panorama de amenazas se ha hecho más complejo, al igual que los agresores. El documento insiste en que el hacktivismo (el uso de la piratería informática y herramientas digitales con fines políticos e ideológicos) concentra el mayor número de ataques en la UE, con un 57% del total. A pesar de ser los más comunes, su impacto operativo suele ser limitado. Distinto es el caso de los ataques con fines económicos, que representan el 30% de los casos y que tienen consecuencias más graves para las empresas. Entre ellos destaca el secuestro de sistemas y datos informáticos a cambio de un rescate, una práctica que puede paralizar la actividad y provocar pérdidas millonarias. A estas amenazas se suman las operaciones de grupos vinculados a Estados, que llevan a cabo campañas de espionaje para obtener información estratégica o acceder a sistemas de Administraciones públicas e infraestructuras esenciales. De confirmarse la autoría iraní del ataque contra los sistemas de refrigeración de más de 700 supermercados en Francia, este episodio encajaría en esta categoría de operaciones vinculadas a intereses estatales.
La vulnerabilidad de las empresas
Buena parte del riesgo para las empresas no está en sus propios sistemas informáticos sino en los proveedores de los que dependen. Desde las compañías que gestionan sus redes y almacenan sus datos hasta las que suministran programas y servicios digitales. Casi la mitad de las organizaciones consultadas por ENISA señalan la cadena de suministro como una de sus principales preocupaciones en materia de ciberseguridad, solo por detrás de los ataques para secuestrar información y exigir un rescate económico. El problema es que una brecha en un proveedor puede extenderse a todos sus clientes, incluso a sectores que aparentemente tienen poco que ver entre sí. La propia agencia ha puesto de ejemplo los sistemas de refrigeración que se han visto afectados en esta última ola de ataques y que, más allá del sector de la alimentación, son fundamentales en el sector sanitario y farmacéutico. El tiempo que tardan los proveedores en reforzar los sistemas expuestos agrava la exposición a más ataques. Según la agencia, algunos suministradores de servicios informáticos tardan más de tres meses en corregir los fallos que detectan.
La banca y las telecomunicaciones, sometidas a una regulación más estricta y con mayor capacidad para invertir, cuentan con defensas más desarrolladas que otros sectores. La sanidad, el transporte, las Administraciones públicas y los servicios de agua son, por contra, mucho más vulnerables a pesar de que un ataque contra sus sistemas implica interrumpir servicios esenciales. Asimismo, las pequeñas y medianas empresas son las más expuestas porque disponen de menos recursos para contratar expertos y reforzar sus sistemas. En ese sentido, el documento insiste en que el déficit de competencias en ciberseguridad ha crecido un 8% en solo dos años y dos de cada tres empresas reconocen una falta de personal cualificado.
Economía en EL PAÍS
