El reto del cumplimiento de la Directiva NIS 2 para las administraciones locales

En un momento en el que el número de ciberataques se ha disparado, con un aumento del 22 % en Europa en 2025[1], este tipo de normativas constituyen un primer paso hacia la creación de una fortaleza digital en el Viejo Continente. Más aún cuando, a través de esta versión revisada de la directiva, Bruselas pretende no solo homogeneizar el nivel de madurez cibernética de los Estados miembros, sino también ampliar su ámbito de aplicación al máximo posible.

Y es que, a diferencia de su predecesora, la Directiva NIS 1, que se centraba en los operadores de servicios esenciales (OSE) y los proveedores de servicios digitales (FSN), la Directiva NIS 2 distingue ahora dos nuevas categorías: las entidades esenciales (EE) y las entidades importantes (EI). Ahora bien, esta redefinición de las categorías tiene como consecuencia que se incluyan nuevas organizaciones, entre ellas las administraciones públicas centrales y locales.

En Francia, la inclusión de las entidades territoriales supone una auténtica oportunidad, ya que estas llevan muchos años sufriendo ciberataques de forma habitual[2]. Pero también supone una fuente de retos, tanto políticos como económicos y sociales. De hecho, las administraciones públicas locales constituyen la propia red del territorio francés y, por lo tanto, son objetivos ideales para los ciberatacantes. Sin embargo, no disponen de los mismos recursos financieros ni de protección que algunas administraciones centrales, y el presupuesto que pueden destinar a la ciberseguridad y a la resiliencia de sus sistemas varía de una entidad a otra en función de sus ingresos, pero también de las prioridades de cada mandato. Además, la gestión en gran medida autónoma de sus sistemas y de los servicios a los que están suscritas aumenta considerablemente la superficie de ataque y complica su protección. Entonces, ¿en qué medida el cumplimiento de la Directiva NIS 2 representa tanto una oportunidad como un reto para las entidades territoriales?

Los retos (geo)políticos

Los retos políticos y geopolíticos, directamente relacionados con la aplicación de la Directiva NIS 2, siguen siendo los principales desafíos de este proceso de cumplimiento. Como se ha señalado anteriormente, Francia y su sistema descentralizado hacen que las entidades territoriales constituyan hoy en día la propia red del país. Por lo tanto, unos ciberataques bien ejecutados y coordinados podrían paralizar fácilmente el territorio y obstaculizar el funcionamiento de unos servicios que, sin embargo, son esenciales para el buen funcionamiento del país. En octubre de 2025, la región de Hauts-de-France[3] se vio afectada por un ransomware del Grupo Qilin, procedente de la esfera de influencia rusa. Este ciberataque afectó, entre otras cosas, al 80 % de los institutos públicos de la región, lo que supone un total de 60 000 ordenadores[4]. Además, se habría sustraído más de un terabyte de datos[5].

Del mismo modo, en agosto de 2025, fue la ciudad de Poitiers la que sufrió un ciberataque, lo que provocó el bloqueo de los servicios de urbanismo y de la mediateca durante varias semanas[6]. Hasta la fecha, ningún grupo ha sido identificado oficialmente ni ha reivindicado la acción[7]. A través de estos dos ejemplos aislados, que ya han tenido graves repercusiones a nivel local, es fácil imaginar las consecuencias de un ataque simultáneo que afectara a muchas más organizaciones de este tipo, no solo para la continuidad del servicio público, sino también para la confidencialidad de los datos alojados por esas mismas organizaciones…

Aunque los ciberataques que han afectado a estas organizaciones han tenido, por el momento, repercusiones limitadas, nada garantiza que otros no puedan tener efectos más devastadores. Ahora bien, Francia es hoy en día el blanco de un número cada vez mayor de Estados y organizaciones criminales que se valen de medios financieros, en ocasiones colosales, para alcanzar sus fines. Además de los Estados contrarios al modelo democrático francés, como Rusia o Corea del Norte, las organizaciones ciberterroristas o incluso las bandas criminales tienen intereses convergentes a la hora de atacar los sistemas de información (SI) de las organizaciones locales francesas. En este contexto, las administraciones locales representan, como se ha señalado anteriormente, el medio para causar daño fácilmente al Estado. Ya sea para desplegar ransomware lucrativo, robar datos sensibles o, simplemente, perturbar el funcionamiento de los servicios públicos, existen numerosas motivaciones para atacar a estas organizaciones.

En estas circunstancias, resulta, por tanto, imprescindible que un Estado como Francia esté lo suficientemente protegido como para hacer frente a todas las ciberamenazas a las que está expuesto. Como séptima potencia mundial y gracias a su «hard power», también desempeña un papel ejemplar en el ámbito de la ciberseguridad. La Directiva NIS 2 es, por tanto, un paso imprescindible para confirmar que Francia se adapta a los nuevos retos tecnológicos y geopolíticos de la actualidad.

El ámbito de las entidades territoriales a las que se refiere concretamente

Según el Código General de las Entidades Territoriales (CGCT) y la Constitución de 1958, una entidad territorial es una persona jurídica de derecho público, distinta del Estado, que goza de autonomía jurídica y financiera para gestionar los asuntos de un territorio determinado. Dispone de sus propias competencias, de un presupuesto y de personal específico. Entre los tres niveles principales se encuentran el municipio, el departamento y la región.

En este contexto de división administrativa muy regulada, el primer reto al que se enfrentó la ANSSI fue distribuir estas diferentes entidades entre las dos categorías imprescindibles de NIS 2: las entidades esenciales y las importantes.[8]

Una Entidad Esencial (EE) es una organización que emplea al menos a 250 personas, o que tiene una cifra de negocios anual superior a 50 millones de euros y un balance anual superior a 43 millones de euros. La ANSSI ha decidido incluir en esta categoría a las regiones, los departamentos, los municipios de más de 30 000 habitantes, así como a las entidades públicas de cooperación intermunicipal (EPCI) que cuenten con una localidad de más de 30 000 habitantes.

Por otro lado, están las Entidades Importantes (EI). Si una organización no es una entidad esencial, emplea al menos a 50 personas o tiene una cifra de negocios y un balance anual superiores a seis millones de euros, entra en esta categoría. La ANSSI ha incluido en esta categoría, en particular, al resto de EPCI con menos de 30 000 habitantes.

Esta primera clasificación permite fijar objetivos adaptados al tamaño de las distintas administraciones. Sin embargo, genera una desigualdad en la protección de los sistemas de información de estas organizaciones. De hecho, esto podría incitar a los ciberatacantes a centrar sus ataques en las entidades importantes, que están menos protegidas y cuentan con un presupuesto más limitado para la ciberseguridad.

El reto de la sensibilización sobre la ciberseguridad en las administraciones locales

Probablemente sea este el problema más importante en este tipo de estructuras: lograr implantar una verdadera cultura de la ciberseguridad. Si bien las organizaciones más grandes han logrado hoy en día poner en marcha campañas de sensibilización periódicas que, en general, han tenido una buena acogida por parte de sus empleados, las entidades más pequeñas siguen siendo el eslabón débil en materia de ciberseguridad.

Según el informe de situación «Datos, IA y ciberseguridad en los territorios»[9]publicada por la Banque des Territoires en 2025, el 50 % de los municipios de menos de 300 habitantes consideran que «no son un objetivo», cuando en realidad representan una auténtica oportunidad para los atacantes. Esta indiferencia ante el riesgo digital se ve reforzada, en particular, por la elevada rotación de los cargos electos en estas organizaciones, que dan prioridad a otros proyectos considerados más importantes para el interés general. También se ve agravada por la propia despreocupación de la población, que tiene otras preocupaciones: así, se observa que la ciberseguridad no suele ser uno de los temas estrella de los programas electorales. Los representantes electos concentran sus presupuestos y esfuerzos en temas que tienen un mayor impacto para sus ciudadanos.

Paradójicamente, en el estudio mencionado anteriormente, el 49 % de los municipios de menos de 3.500 habitantes consideran ahora las amenazas cibernéticas como un reto de gobernanza y ya no solo como un problema técnico.

Es precisamente esta contradicción la que explica hoy en día la heterogeneidad en la aplicación de las buenas prácticas de ciberseguridad entre las distintas administraciones locales. Por ello, en este caso, la Directiva NIS 2 ofrece la posibilidad de imponer a estas últimas una serie de normas que permitan homogeneizar en mayor medida las buenas prácticas de ciberseguridad.

También cabe esperar que, en el caso de las entidades territoriales más grandes que cuentan con mayores recursos, los últimos ciberataques de este verano contra numerosas administraciones públicas —que han provocado la filtración de cantidades colosales de datos sensibles de los ciudadanos (Educación Nacional, DGFIP, la plataforma pública «Zéro Logement Vacant», France Travail, Santé publique France, la CCI de Niza Costa Azul…), hayan suscitado también una cierta toma de conciencia por parte de las administraciones y los ciudadanos, lo que ha motivado a los representantes electos a dar mayor prioridad al tema de la ciberseguridad.

Las cuestiones relacionadas con la financiación

Probablemente sea uno de los mayores retos en lo que respecta al cumplimiento de la Directiva NIS 2. Las administraciones locales, sobre todo las más pequeñas, suelen disponer de un presupuesto reducido para ciberseguridad. Sin embargo, aunque formen parte de las entidades esenciales, los costes de cumplimiento, en particular la implantación de soluciones de seguridad o la protección reforzada de las infraestructuras, pueden alcanzar cifras muy elevadas para organizaciones de tamaño modesto.

Por ello, el Gobierno ha decidido poner en marcha una estrategia basada en tres ejes para financiar la adaptación de las entidades territoriales a la norma NIS 2:

• Mayor apoyo por parte de la ANSSI: esta última ha desarrollado dos herramientas para ayudar a las organizaciones afectadas a cumplir con la normativa NIS 2. Se trata de MonEspaceNIS2[10], para la autoevaluación y el registro, y del servicio MonServiceSécurisé[11], que sirve de ayuda para la redacción de políticas de seguridad.
• Programas específicos para la seguridad de los sistemas de información: se han previsto fondos, en particular a través de itinerarios de ciberseguridad, así como mediante convocatorias de proyectos específicas gestionadas por los CSIRT regionales.
• La puesta en común de recursos: el Gobierno fomenta, entre otras cosas, la puesta en común de recursos dentro de las EPCI para compartir los costes derivados de esta adaptación a la normativa, así como el uso de centrales de compras como la Unión de Agrupaciones de Compras Públicas (UGAP) para obtener tarifas preferentes en soluciones de seguridad.

Mediante la puesta en marcha de estas tres medidas diferentes, el Estado pretende facilitar al máximo la financiación del proceso de adaptación a la norma NIS 2 para las entidades territoriales, especialmente las de menor presupuesto. Este esfuerzo por parte del Gobierno simboliza asimismo su voluntad de acelerar el proceso de ciberseguridad de sus organizaciones y de protegerse mejor contra las diversas amenazas que se ciernen hoy en día sobre Francia. Al mismo tiempo, el Estado establece una hoja de ruta más clara para las entidades territoriales en función de la categoría a la que pertenezcan.

Retos importantes, pero una oportunidad única

Por ello, al igual que el resto de entidades a las que afecta la Directiva NIS 2, las administraciones locales tienen la obligación de cumplir con esta normativa. De este modo, se reforzará sin lugar a dudas la solidez de todos los sistemas de información del sistema administrativo del Estado y se protegerá a la sociedad en su conjunto frente a las amenazas digitales que se multiplican en la actualidad.

El cumplimiento de la normativa NIS 2 por parte de las administraciones locales, aunque supone un reto difícil de afrontar, representa así una oportunidad única para que el Estado impulse la ciberseguridad de su ecosistema y se proteja frente a las amenazas que se ciernen hoy en día sobre Francia y Europa. A pesar de los problemas de sensibilización, las dificultades de financiación y los importantes retos geopolíticos, la Directiva NIS 2 pretende ser un catalizador de la ciberseguridad en la Unión Europea, permitiendo armonizar las entidades esenciales e importantes de los Estados miembros en torno a normas de ciberseguridad. Son estas normas las que permitirán, en el futuro, hacer frente a los grupos paraestatales, a los ciberdelincuentes y al terrorismo digital.