La digitalización ha transformado la sociedad, multiplicando los riesgos y el impacto económico de los ataques. Empresas, gobiernos y ciudadanos enfrentan amenazas cada vez más sofisticadas, lo que exige una respuesta global desde una práctica de ciberseguridad sólida y proactiva. Ese será el único modo de garantizar la necesaria confianza del ecosistema digital.
La transformación digital ha revolucionado la economía y la sociedad, pero también ha incrementado la exposición a ciberamenazas cada vez más sofisticadas con un mayor impacto. El cibercrimen ha evolucionado rápidamente, situándose entre los principales riesgos globales, con millones de incidentes y un impacto económico anual que alcanza cifras billonarias.
Por ejemplo, en España, atendiendo a los datos de la memoria del Ministerio del Interior, los delitos informáticos han crecido exponencialmente en los últimos años, evidenciando la digitalización del crimen y el desplazamiento de los delitos tradicionales hacia el ámbito digital.
Las organizaciones que gestionan grandes volúmenes de información confidencial son especialmente vulnerables, ya que estos datos resultan muy atractivos para los ciberdelincuentes, que los utilizan para cometer fraudes y suplantaciones.
En este entorno complejo y sofisticado el usuario se convierte en el eslabón más débil, en principio como víctima, pero también como medio para cometer ataques a terceros. Por esta razón, la prevención, la monitorización continua, la capacidad de respuesta y la concienciación son pilares fundamentales en la gestión de los ciberriesgos.
La protección en el ámbito de la ciberseguridad exige que los gobiernos asuman un papel relevante y activo
Con independencia de los altísimos daños económicos que producen, el mayor impacto que provocan los ciberataques está relacionado con la erosión en la confianza digital de ciudadanos, empresas y gobiernos, contribuyendo de forma subversiva a la percepción de desprotección en la sociedad.
A pesar de los esfuerzos en formación y concienciación, la protección a través de herramientas tecnológicas avanzadas y el incremento de la colaboración activa —tanto en ámbito público-privado como privado-privado a través de redes de intercambio de inteligencia de amenazas—, los números de incidentes y de pérdidas económicas no paran de crecer de forma alarmante.
Son sobradamente conocidos los impactos significativos derivados de incidentes de ransomware como el del grupo JLR, que llegaron a tener que hacer actuar económicamente al gobierno de Reino Unido. Aparte de estos incidentes, las brechas masivas globales arrojan millones de datos de ciudadanos de un gran número de países que están en manos de ciberdelincuentes. Incluso existen sospechas, en algunos casos, de que están relacionados con algunos estados.
Regular para estimular
Los gobiernos perciben el ámbito digital como un riesgo sustancial y material a la defensa de los intereses de sus ciudadanos. Pero, además, existe un hándicap especial: necesitan controlar un terreno al que no se le ha puesto casi ninguna “cortapisa” durante muchos años, dejando a las empresas en general —y al sector TIC en particular— una completa libertad.
En Europa, la Directiva NIS2 (UE 2022/2555), aprobada en diciembre de 2022, establece un marco común para garantizar un alto nivel de ciberseguridad en los países miembros, sustituyendo a la anterior NIS de 2016. Su objetivo es reforzar la resiliencia frente a ciberamenazas, reducir la fragmentación normativa y mejorar la cooperación entre los Estados.
La normativa amplía su ámbito de aplicación a sectores como energía, transporte, salud, banca, infraestructuras digitales, gestión de residuos, alimentación, industria química, administración pública y proveedores de servicios tecnológicos.
Entre las obligaciones clave se encuentran la gestión de riesgos mediante medidas técnicas, operativas y organizativas, la protección de la cadena de suministro TIC, la implementación de planes de respuesta ante incidentes y auditorías periódicas, la cooperación entre Estados miembros y la comunicación de incidentes a los reguladores.
Otro aspecto importante es que la normativa también introduce la responsabilidad directa de los equipos directivos, quienes pueden ser sancionados personalmente en caso de incumplimiento, así como un aspecto punitivo para las organizaciones centrado en multas elevadas.
Además, la regulación ayuda, pero no es la solución. La NIS2 supondrá un cambio normativo de gran alcance, afectando a más de cien mil empresas en toda la Unión Europea. Les obligará a reforzar sus sistemas de gestión de ciberseguridad y cumplir con requisitos más estrictos en materia de protección, notificación y gobierno de la ciberseguridad. Pero el reto es de una enorme complejidad y requiere de un alcance multifacético y global. Para ello se requiere:
Mayor cooperación Internacional
Hasta hace unas pocas semanas el Convenio de Budapest de 2003 era el único acuerdo mundial que abordaba el problema del cibercrimen, con un pobre resultado hasta la fecha. Afortunadamente la conferencia de la ONU en Hanói, en 2025, ha marcado un hito con la firma del primer tratado internacional real contra la ciberdelincuencia, suscrito por más de setenta países.
La NIS2 supondrá un cambio normativo de gran alcance, afectando a más de cien mil empresas en toda la Unión Europea
El acuerdo establece un marco legal global para tipificar delitos digitales como ransomware, fraude financiero y explotación infantil, entre otros. Además, incluye mecanismos de cooperación judicial y policial, intercambio rápido de pruebas electrónicas y asistencia técnica para países con menos recursos.
El tratado busca fortalecer la defensa colectiva frente a amenazas cibernéticas, aunque no está libre de polémica pues genera cierto debate sobre posibles riesgos para la privacidad y la libertad de expresión. Tampoco se espera un gran cambio a corto plazo, pues este tratado servirá como una base común sobre la que construir un espacio seguro para la generación de riqueza (en ámbitos como los mares, el espacio aéreo, el espacio exterior, etc.)
Responsabilidad de los gobiernos
La protección en el ámbito de la ciberseguridad exige que los gobiernos asuman un papel relevante y activo, que vaya mucho más allá de la mera regulación. Al igual que en la seguridad física, donde los ejércitos y las fuerzas policiales protegen fronteras y ciudadanos, en el mundo digital los riesgos son transnacionales, complejos y pueden afectar infraestructuras críticas, servicios esenciales y la estabilidad social y económica.
Las empresas, aunque responsables de proteger sus activos y datos, no pueden ni deben afrontar solas amenazas como el cibercrimen organizado, el ciberespionaje o los ataques a infraestructuras nacionales. Los gobiernos deben liderar la defensa colectiva, invirtiendo en capacidades de inteligencia, respuesta y prevención, coordinando la cooperación internacional y asegurando la resiliencia de los servicios públicos y privados.
Las empresas no pueden ni deben afrontar solas amenazas como el cibercrimen organizado
Además, deben fomentar la concienciación, la formación y el intercambio de información, así como establecer mecanismos de apoyo y respuesta ante incidentes graves. Solo con una implicación activa y estratégica de los gobiernos se puede garantizar una protección eficaz y equitativa para toda la sociedad en el entorno digital.
Concienciación real de las personas
La sensibilización de los ciudadanos en ciberseguridad es esencial no solo para protegerse como víctimas directas, sino también por la responsabilidad social y colectiva que cada persona tiene en el entorno digital. Cada usuario puede ser un punto de entrada para ataques que afecten a empresas, servicios públicos o incluso a otros ciudadanos.
Adoptar buenas prácticas y estar informado ayuda a reducir el riesgo de incidentes, pero también contribuye a la protección del conjunto de la sociedad. La ciberseguridad no es solo una cuestión individual, sino un esfuerzo compartido donde la actitud responsable de cada uno refuerza la defensa global frente a amenazas. De este modo, la concienciación ciudadana se convierte en un pilar fundamental para construir una cultura digital segura y resiliente
Responsabilidad de las empresas tecnológicas
Por su parte, las empresas tecnológicas deben asumir una mayor sensibilización en ciberseguridad durante la creación de productos y servicios porque su impacto va mucho más allá de sus propios intereses comerciales.
Al diseñar soluciones digitales, tienen la responsabilidad de proteger a usuarios, organizaciones y a la sociedad frente a amenazas que pueden comprometer datos sensibles, infraestructuras críticas y la confianza en el entorno digital. Incorporar medidas de protección desde el inicio —como el cifrado, la autenticación robusta y la gestión segura de datos— ayuda a prevenir vulnerabilidades que pueden ser explotadas por ciberdelincuentes y reduce el riesgo de incidentes masivos e incidentes en cadena.
La protección por defecto debe ser una prioridad ética y social, no solo una cuestión técnica
Además, la protección por defecto debe ser una prioridad ética y social, no solo una cuestión técnica. Las empresas tecnológicas tienen la capacidad y el deber de establecer estándares elevados de seguridad, contribuyendo a una cultura digital más segura y resiliente.
Al hacerlo, no solo protegen a sus clientes, sino que también refuerzan la defensa colectiva frente a amenazas globales, minimizando el impacto de los ataques. Esta actitud proactiva es esencial para garantizar la confianza y la sostenibilidad del ecosistema digital.
