La ciberseguridad de los sectores críticos de la Unión Europea mejora, pero el avance sigue siendo desigual. El informe NIS360 de la Agencia de la Unión Europea para la Ciberseguridad (ENISA) muestra una evolución positiva en la madurez cibernética de los sectores esenciales, aunque advierte de que algunas áreas continúan expuestas por la diferencia entre su nivel de criticidad y su preparación real frente a las amenazas.
El estudio funciona como una herramienta anual de evaluación para autoridades nacionales, responsables políticos y otros actores implicados en la aplicación de la Directiva NIS2. Su objetivo es medir tanto la madurez en ciberseguridad como la criticidad de los sectores considerados de alta importancia para el funcionamiento de la sociedad y la economía europea.
La principal conclusión es que el marco regulatorio europeo, especialmente la NIS2, empieza a tener efectos visibles. Las organizaciones están invirtiendo más, reforzando sus capacidades y adaptando sus políticas internas a un escenario de amenazas cada vez más exigente. Sin embargo, el informe también deja claro que no todos los sectores avanzan al mismo ritmo.
Sanidad, ferrocarril, agua y administraciones públicas, en zona de riesgo
Uno de los conceptos clave del informe es la llamada zona de riesgo. En ella se sitúan los sectores cuya madurez en ciberseguridad está por debajo de la media y cuya criticidad supera su nivel de preparación.
En esta edición, la zona de riesgo incluye sanidad, ferrocarril, transporte marítimo, servicios de gestión TIC, espacio, administraciones públicas, agua potable y aguas residuales.
La presencia de estos sectores no significa necesariamente que estén desprotegidos, sino que su nivel de preparación no está suficientemente alineado con la importancia que tienen para la sociedad. Dicho de forma sencilla: son sectores muy relevantes, pero todavía necesitan reforzar sus capacidades de ciberseguridad para estar a la altura de los riesgos que afrontan.
El informe señala además que la composición de esta zona cambia con el tiempo. Ferrocarril, agua potable y aguas residuales, que antes estaban en el límite, aparecen ahora dentro de la zona de riesgo. En cambio, el sector del gas muestra una evolución positiva y empieza a salir de ella, impulsado por una mejor colaboración, más intercambio de información y una aplicación más sólida de medidas de gestión del riesgo.
Los sectores más críticos de Europa
Aunque la madurez cambia de forma progresiva, la criticidad tiende a mantenerse más estable. Esto se debe a que depende de factores estructurales: cuánto depende la sociedad de un sector, qué impacto tendría su interrupción y qué relación mantiene con otros servicios esenciales.
Según el NIS360, los sectores que se mantienen entre los más críticos son banca, electricidad, aviación, espacio y servicios digitales por defecto, entre los que se incluyen telecomunicaciones, servicios cloud y centros de datos.
La entrada del sector espacial en este grupo refleja su creciente papel en la vida cotidiana y en otros sectores estratégicos. Satélites, comunicaciones, navegación, observación terrestre y servicios vinculados a infraestructuras críticas dependen cada vez más de sistemas espaciales. Esa interdependencia eleva su impacto potencial en caso de incidente.
El ferrocarril también aumenta su nivel de criticidad, en parte por su papel creciente en la logística militar y por una mayor exposición a amenazas cibernéticas.
Qué mide el informe NIS360
ENISA analiza cada sector desde una perspectiva amplia. No solo tiene en cuenta a las empresas que operan en él, sino también a las autoridades responsables, los organismos europeos implicados y el marco legislativo aplicable.
La madurez de un sector se determina a partir de varios factores: la legislación y su eficacia, la preparación de las empresas, la capacidad institucional de las autoridades y la solidez de los ecosistemas sectoriales. En otras palabras, no basta con que existan normas; también es necesario que las organizaciones las apliquen, que las autoridades supervisen adecuadamente y que haya colaboración dentro del propio sector.
La criticidad, por su parte, mide el impacto que tendría una interrupción grave. Para ello se tienen en cuenta elementos como la relevancia sistémica, la exposición a amenazas y las consecuencias que una caída podría tener sobre otros sectores, servicios esenciales o la ciudadanía.
