Marc Sureda
La ciberseguridad ha escalado hasta convertirse en una de las prioridades estratégicas para las organizaciones, tanto públicas como privadas, ante el repunte sostenido de ciberataques. En 2024, España recuperó el segundo puesto en el ranking mundial de países más atacados, en un contexto donde el coste del cibercrimen ya se aproxima al 1,5% del PIB global, según se puso de manifiesto en la jornada “Normativa y ciberresiliencia: ¿Qué tengo que hacer en la práctica?”, organizada por la firma especializada Secure&IT.
Durante el encuentro, diversos expertos alertaron sobre el crecimiento del riesgo digital, la evolución de los modelos de ataque y la necesidad de dar cumplimiento a las nuevas exigencias normativas europeas en materia de ciberseguridad e inteligencia artificial.
Uno de los datos más destacados del evento fue el aumento del 64% en los incidentes de ciberseguridad en 2024 respecto al año anterior, según cifras del CCN-CERT. Este incremento sitúa a España entre los países con mayor actividad delictiva digital, superada solo por una única nación en el ranking global.
El Informe de Ciberinteligencia 2024 de Secure&IT señala a grupos como Ransomhub y Lockbit 3 como los principales actores tras muchos de estos ataques. Según la compañía organizadora, la combinación de anonimato, escalabilidad y rentabilidad convierte al cibercrimen en un modelo de negocio al alza, hasta el punto de que hoy existe un fenómeno conocido como “ransomware DIY”, mediante el cual es posible ejecutar ataques con conocimientos técnicos mínimos.
El incremento de las amenazas ha afectado especialmente a sectores como la administración pública, la industria y la sanidad, aunque la situación geopolítica ha ampliado el riesgo a empresas de múltiples ámbitos. Ante este contexto, los ponentes coincidieron en que la única forma efectiva de enfrentarlo es mediante una combinación de prevención, detección y recuperación.
Normativas europeas: clave para la ciberresiliencia operativa
La respuesta de la Unión Europea a este entorno ha sido la implantación de un marco regulatorio más exigente, centrado en fortalecer la resiliencia operativa. Durante la jornada se analizaron los impactos de las normativas NIS2, el Reglamento de Inteligencia Artificial (RIA), DORA y el Reglamento de Ciberresiliencia (CRA).
La nueva directiva NIS2 implica una revisión profunda en la gestión de riesgos, especialmente para sectores críticos como energía, banca, sanidad o transporte. Las organizaciones deberán implementar medidas organizativas, técnicas y jurídicas para evitar sanciones económicas y daños reputacionales significativos.
Por su parte, el RIA obliga a certificar que los sistemas de IA generativa no vulneran las prohibiciones establecidas, lo que podría exigir la modificación o sustitución de funcionalidades. La gestión de la IA, según se destacó, requiere políticas internas claras y controles eficaces sobre los usos permitidos.
Además, el reglamento DORA impone requisitos específicos a las entidades del sector financiero en cuanto a la resistencia frente a ciberincidentes. En paralelo, el CRA establece criterios de seguridad para todos los productos con elementos digitales comercializados en el mercado europeo.
La inteligencia artificial, entre el cumplimiento y la supervisión
Un apartado destacado del evento fue la discusión en torno a la adopción de la IA en las organizaciones, donde más del 55% ya ha comenzado a incorporar esta tecnología, aunque un tercio carece de protocolos específicos para su gestión segura. Este vacío normativo y técnico ha sido uno de los factores que ha impulsado la aprobación del Reglamento de Inteligencia Artificial por parte de la UE.
Los ponentes insistieron en la necesidad de alinear el cumplimiento normativo con la estrategia tecnológica para mitigar riesgos y evitar vulnerabilidades derivadas de un uso inadecuado de sistemas automatizados.
Finalmente, se remarcó que la adaptación al marco legal no debe interpretarse como una barrera, sino como una hoja de ruta hacia la sostenibilidad digital. Entender la regulación como una herramienta para proteger activos críticos y reforzar la confianza fue uno de los mensajes centrales que dejó la jornada, especialmente para responsables de TI y directivos con responsabilidad en ciberseguridad.
