Miguel Ángel Valero
En el II Encuentro Anual de la Fundación Esys ‘Cuando la geopolítica se convierte en ciberseguridad’, Carlos López Blanco, su presidente presenta el II Informe Anual ESYS 2026 ‘Seguridad en tiempos de incertidumbre’, subrayando que “la geopolítica ha dejado de ser un mero contexto para las empresas y se ha convertido en un factor determinante de su ciberseguridad”. Alerta de la especial peligrosidad de los ciberataques impulsados por intereses geopolíticos, “pues no responden a una lógica de coste-beneficio. El objetivo del ciberatacante por motivos geopolíticos no es obtener un beneficio económico, sino causar el máximo daño posible. Además, a diferencia de la ciberdelincuencia tradicional, estos ataques suelen responder a estrategias a largo plazo, orientadas a obtener información sensible y alcanzar objetivos estratégicos”.
El informe también aborda la evolución de la gobernanza en ciberseguridad, medida a través de un sistema de indicadores propio de Fundación ESYS que, por primera vez, incorpora una comparativa de dos años. En este sentido, el estudio muestra una evolución favorable de los indicadores empresariales. En una escala de 0 a 5, el Índice de Cumplimiento Corporativo y Cultura de la Seguridad alcanza los 3,25 puntos en las grandes empresas, frente a los 3 de 2025, mientras que las pymes pasan de 1 a 1,61 puntos. Aunque éstas registran el mayor avance, todavía presentan una brecha importante respecto a las grandes compañías. No en vano, el informe recuerda que de los 122.223 incidentes de ciberseguridad gestionados por Incibe en 2025 (un 26% más que el año anterior), 6 de cada 10 afectaron a pymes y autónomos.
Esta brecha entre grandes empresas y pymes también responde a las dificultades de las pequeñas compañías para incorporar la ciberseguridad a su estrategia. En ese sentido, Lucía Bort, CEO de INTK Business Security, destaca que “las pymes están muy centradas en el día a día y no siempre existe una cultura de planificación alargo plazo. Hasta hace poco, los ciberataques se percibían como algo lejano, pero en el último año hemos notado que cada vez más pequeñas empresas van tomando conciencia de la importancia de irse adaptando a estos riesgos”.
Nazaret Rodrigáñez, directora ejecutiva de Tetuan Valley, ha defendido la necesidad de “incluir a las startups en los debates sobre seguridad y geopolítica”, dado su papel en la cadena de suministro. “Las startups avanzamos rápido, a través del ensayo y error, y a veces no prestamos suficiente atención a los riesgos”, ha señalado, aunque también ha recordado que “el riesgo es inherente a la innovación”.
En el ámbito institucional, el Índice de Madurez Regulatoria y Gobernanza Pública se sitúa en 2,25 sobre 5, frente al 2,4 de la edición anterior. Este retroceso refleja las dificultades que persisten en el desarrollo del marco normativo, en un momento marcado por la transposición pendiente de las directivas europeas NIS2 y CER. No obstante, el informe también identifica avances en la implementación de las políticas de ciberseguridad por parte de las administraciones.
La creciente preocupación por la capacidad de respuesta ante las ciberamenazas también se refleja a escala internacional. Según el informe Global Cybersecurity Outlook 2026, el 31% de los líderes tiene poca confianza en que su país esté preparado para afrontar un ciberincidente grave, frente al 26% del año anterior.
La inestabilidad geopolítica eleva los riesgos para las compañías españolas
Según el informe de Fundación Esys, el 64,3% de las organizaciones españolas reconoce que la situación geopolítica afecta directamente a su ciberseguridad. Los ataques contra infraestructuras esenciales y la actividad de grupos vinculados a Estados obligan a las empresas a revisar sus medidas de protección, y a ello se suma el riesgo que supone depender de proveedores tecnológicos compartidos. De hecho, el 65% de las grandes empresas europeas considera estas dependencias su principal obstáculo para mejorar la resiliencia, según el informe Global Cybersecurity Outlook 2026.
Tras la presentación del Informe, Ana Palacio, exministra de Asuntos Exteriores de España, ha mantenido un diálogo con Carlos López Blanco sobre las consecuencias que los cambios en el equilibrio internacional pueden tener para la seguridad empresarial y la autonomía estratégica europea. Durante la conversación, Palacio ha advertido sobre “el proceso de arsenalización que está afectando a todos los elementos económicos. Una situación estratégica, véase los estrechos por donde pasan las principales rutas comerciales, unos minerales críticos, unos derechos de aduana… Todo se arsenaliza, esa es la diferencia frente al mundo anterior”.
En este sentido, Ana Palacio ha explicado que estamos asistiendo a un cambio profundo respecto al orden internacional de siglos pasados, basado en la prosperidad a través del intercambio y el comercio: “la geopolítica le ha pegado una patada a la economía, que era la que dominaba. Ahora estamos en una situación completamente distinta y ahí es donde Europa tiene que jugar un papel importante”.
Más responsabilidad del consejo en la gestión de la ciberseguridad
Ante esta situación, la Fundación ESYS considera necesario que los consejos de administración de las empresas incorporen la ciberseguridad a sus decisiones estratégicas y asuman una mayor responsabilidad en su gestión. La jornada ha abordado estas cuestiones en la mesa ‘Autonomía estratégica y ciberseguridad: el gran reto de los consejos de administración’, que ha contado con la participación de Ana Palacio y Emma Fernández, consejera independiente en compañías como 74Software u Openbank. Durante la conversación, moderada por Maite Arcos, directora general de la Fundación ESYS, ambas expertas han coincidido en la necesidad de reforzar la capacidad de anticipación de las empresas ante un escenario geopolítico cada vez más incierto.
En este sentido, Ana Palacio ha apuntado que “las empresas siempre han gestionado riesgos, pero eran de otra naturaleza y lo hacían en un marco de cierta estabilidad. Ahora, las reglas del juego pueden cambiar de un día para otro”. Ante ello, Palacio ha definido al mapa de riesgos como “un concepto fundamental en la hoja de ruta de cualquier empresa”. Las empresas deben cotar con alternativas en las cadenas de suministro ante las incertidumbres, “las redundancias son fundamentales, son seguridad”.
Por su parte, Emma Fernández ha destacado la importancia de trasladar los grandes desafíos geopolíticos y geoestratégicos a la gestión cotidiana de las compañías: “El riesgo 0 no existe”, aunque las empresas no pueden controlar todos los acontecimientos externos, sí pueden prepararse para responder a ellos”. En este sentido, ha advertido de que “el statu quo puede cambiar de un día para otro”, por lo que ha defendido que “los consejos de administración concedan mayor protagonismo a la innovación, a la protección de las cadenas de suministro y la relación con los proveedores”.
Otro de los momentos clave de la jornada ha sido la ponencia de Judith Arnal, economista e investigadora del Real Instituto Elcano y Fedea, sobre los pasos que la Unión Europea debe dar para poder competir en la carrera tecnológica con EEUU y China: “No podemos liderar todos los mercados tecnológicos. Tenemos que seleccionar en qué áreas queremos especializarnos”.
En el ámbito de la IA, “será difícil competir en el desarrollo de modelos generales, pero nuestro mercado fragmentado nos ofrece una gran cantidad de datos en sectores como sanidad e industria. Esto nos garantiza un potencial europeo para desarrollar IA especializada”.
Esta misma estrategia debería aplicarse a la tecnología cuántica, según la investigadora del Real Instituto Elcano: “¿por qué no nos centramos en otras áreas, como las comunicaciones, la sensórica o la ciberseguridad cuántica?”. En el caso de los semiconductores, ha defendido una estrategia vinculada a las necesidades de la industria europea, especialmente de la automoción: “Tenemos que centrarnos en la tecnología que más necesita nuestra industria, no tanto en la que sea más avanzada”.
El debate sobre la competitividad tecnológica europea tuvo continuidad en la mesa redonda 'Europa ante la Inteligencia Artificial: regulación, seguridad y competitividad', moderada por Vicente Moret, secretario del Patronato de Fundación ESYS. Durante la conversación, Francisco Pérez Bes, adjunto de la Agencia Española de Protección de Datos, ha señalado que EEUU y China también desarrollan una intensa actividad regulatoria en IA, aunque con objetivos distintos: “el primero busca ampliar la influencia de sus empresas, mientras que el segundo pretende proteger sus intereses nacionales. Frente a estos modelos, Europa apuesta por la sostenibilidad. Europa no está haciendo mal las cosas, pero los demás no lo están haciendo con nuestro esquema".
Enrique Andrés-Pretel, editor de Político España, ha cuestionado que el principal obstáculo para la competitividad tecnológica europea sea el exceso de regulación: "No estamos regulando por encima de nuestras posibilidades, creo que estamos invirtiendo menos que nuestros competidores".
Radar de Riesgos Emergentes
El informe de Fundación ESYS también presenta una nueva herramienta de análisis de elaboración propia con el Radar de Riesgos Emergentes, que identifica 12 amenazas (de las cuales 7 podrían tener consecuencias graves a corto y medio plazo) y analiza su posible impacto en las organizaciones durante los próximos diez años. Entre las más inmediatas se encuentran el uso de la IA para automatizar ciberataques y las operaciones de guerra híbrida, en las que las intrusiones informáticas pueden combinarse con campañas de desinformación para desestabilizar a empresas einstituciones. Una preocupación en línea con lo que se refleja en el informe Global Cybersecurity Outlook 2026, según el cual el 87% de los líderes globales identifica a la IA como el ciberriesgo de mayor crecimiento.
El Radar advierte especialmente de las consecuencias de los ataques contra infraestructuras críticas, cuya interrupción puede afectar a numerosos sectores económicos. De acuerdo con los datos de ENISA, el 53,7% de los incidentes registrados en la Unión Europea afectó a entidades consideradas esenciales bajo la Directiva NIS2. A esta exposición se añade la creciente conexión entre los sistemas industriales y las redes informáticas corporativas, que amplía las posibilidades de que un ataque digital comprometa su funcionamiento.
La capacidad de respuesta de las organizaciones se ve además condicionada por la escasez de profesionales especializados. No en vano, el informe cifra en cerca de cuatro millones los puestos de ciberseguridad sin cubrir en todo el mundo, una carencia que dificulta la adaptación a un entorno de amenazas cada vez más complejo.
La Fundación ESYS también identifica amenazas cuyos efectos podrían manifestarse a más largo plazo, pero que requieren medidas de preparación desde ahora. Es el caso de la computación cuántica, cuyo desarrollo podría permitir, entre 2030 y 2035, vulnerar sistemas criptográficos utilizados actualmente.