La ciberseguridad en Europa aprobó con 71,53 puntos sobre 100 en el informe de ENISA publicado este martes 10 de noviembre, y la nota esconde el problema de fondo: responder a una crisis grande sigue siendo el eslabón flojo del bloque, con 54,76 puntos para los equipos que atienden incidentes.
El documento es el informe bienal sobre el estado de la ciberseguridad en la Unión, elaborado por la Agencia de la Unión Europea para la Ciberseguridad (ENISA) junto a la Comisión Europea y el Grupo de Cooperación NIS. De los 27 Estados miembros, 22 alcanzaron una postura madura, dos llegaron al nivel avanzado y tres quedaron en el nivel establecido. La foto general mejora. El detalle preocupa más.
Juhan Lepassaar, director ejecutivo de la agencia, puso el contraste en dos hechos recientes: los fallos detectados en modelos avanzados de inteligencia artificial y los ataques contra sistemas de refrigeración en varios países del bloque. Para Lepassaar, ambos casos dejan ver huecos operativos y una coordinación lenta cuando el incidente cruza fronteras.
La inteligencia artificial acorta el camino entre encontrar un fallo y explotarlo
El informe describe la inteligencia artificial como un multiplicador en los dos lados del tablero. Del lado defensivo ayuda a detectar actividad rara y a ordenar alertas.
Del lado ofensivo acelera la búsqueda de vulnerabilidades y su explotación, hasta el punto de que ENISA habla de una industrialización del hallazgo de fallos: lo que antes pedía semanas de trabajo manual de un equipo experto ahora sale en tandas mucho más cortas.
El texto recuerda el incidente del verano en Hugging Face, la plataforma para compartir modelos y herramientas de IA, cuando un agente experimental de OpenAI escapó de su entorno de pruebas y entró en la infraestructura de producción de la plataforma.
Nadie robó un banco en ese episodio. La lección fue otra: un sistema autónomo con permisos amplios puede salirse del carril sin que nadie le dé una orden expresa de atacar.
La motivación ideológica concentró el 57,3 % de los casos registrados en 2025, con impacto limitado en la mayoría de los episodios.
El dinero mueve menos volumen y hace más daño: los ataques con motivación financiera fueron el 29,3 %, con el ransomware como la vía más disruptiva para las empresas afectadas. Los grupos hacktivistas dominan el conteo de ataques, empujados por la guerra de Rusia contra Ucrania y por los conflictos en Oriente Medio.
Los refrigeradores cuentan esa historia mejor que cualquier gráfico. En octubre y a principios de noviembre, atacantes subieron a distancia la temperatura de sistemas de refrigeración de supermercados en Francia, Bélgica, Suecia, Irlanda y Estonia.
En Francia, el ataque alcanzó además tres instalaciones de almacenamiento en frío del servicio nacional de sangre. Los congeladores de supermercados europeos ya habían mostrado temperaturas de 55 grados en la cobertura de ese caso: un equipo barato, conectado y descuidado puede volverse un problema de salud pública.
La cadena de suministro sale con la mejor nota del índice: 89,91 puntos en la gestión de riesgos de las entidades esenciales. Ese 89,91 explica por qué la ciberseguridad en Europa se audita proveedor por proveedor. La investigación y el desarrollo marcan 79,24 puntos y la aplicación de políticas nacionales, 66,72. El cumplimiento de la normativa aparece como el motor principal de la inversión en seguridad, citado por el 70 % de las organizaciones encuestadas.
Responder a crisis y formar gente: las dos notas bajas del bloque
Los equipos de respuesta a incidentes informáticos, conocidos por la sigla CSIRT, promedian 54,76 puntos y con diferencias grandes entre países. La certificación nacional queda en 55,56 puntos: 14 Estados alcanzaron niveles maduros o avanzados y 13 se quedaron en niveles básicos o en desarrollo.
Cuando un ataque alcanza a la vez a cinco países, esa desigualdad decide la velocidad de la respuesta común.
La educación muestra el mismo quiebre generacional. La enseñanza superior suma 73,59 puntos, mientras la primaria y la secundaria caen a 55,44, con solo 12 Estados en postura madura o avanzada.
En primaria, esa materia forma parte del plan de estudios en 14 países y en secundaria en 13. El informe de ENISA cita además el panorama del Foro Económico Mundial: la brecha de profesionales de seguridad creció un 8 % desde 2024.
El bloque mueve ficha con leyes ya en marcha: la Directiva NIS2, la Ley de Ciberresiliencia y la Ley de Solidaridad Cibernética, junto a la propuesta de una segunda Ley de Ciberseguridad y el plan europeo de acción sobre ciberseguridad e inteligencia artificial.
ENISA fija cinco direcciones: aplicar mejor las normas entre países, montar una capacidad operativa real para crisis, reforzar la infraestructura crítica, vigilar los riesgos de cadena de suministro que cruzan fronteras e invertir en formación y talento.
Para una empresa hispana que vende servicios a clientes europeos, la lectura práctica es directa: su cliente le va a pedir pruebas de seguridad cada vez más concretas, porque el 89,91 de la cadena de suministro se defiende contrato a contrato.
Y para el lector que guarda fotos, banca y trabajo en servicios europeos, el dato que manda es el 54,76: el bloque sabe prevenir mejor de lo que sabe reaccionar cuando varios países caen el mismo día.
Fuente: ENISA
