Etiqueta
El anteproyecto que transpone NIS2 en España sigue en tramitación parlamentaria en 2026, pero las obligaciones técnicas de la directiva ya son exigibles desde octubre de 2024. Mapa práctico: las diez medidas mínimas de seguridad, la ventana de notificación en 24 horas, 72 horas y un mes, y las nuevas obligaciones de cadena de suministro.
El red teaming de modelos de lenguaje ha pasado de actividad esotérica a práctica obligatoria. Con OWASP Agentic Top 10 y CSA Agentic AI Red Teaming Guide convergiendo en un vocabulario común, este es el manual operativo que cualquier equipo que despliegue agentes necesita tener.
NIS2 entró en vigor el 17 de octubre de 2024. Seis meses después, las empresas ya están en el barro. Cuento qué ha cambiado en serio en seguridad operativa, qué era teatro de papel y dónde la directiva sigue apretando.
Cuando un LLM pasa de contestar texto a ejecutar herramientas, la superficie de ataque cambia de categoría. La inyección de prompts, la contaminación de memoria y el abuso de protocolos entre agentes son el nuevo OWASP Top 10.
La directiva NIS2 entró en vigor el 17 de octubre de 2024, pero a mediados de 2026 solo una parte de los estados miembros la ha transpuesto del todo: Alemania y Países Bajos cerraron su ley, España y Francia siguen en trámite bajo presión de Bruselas. Esto es lo que obliga ya y cómo prepararse sin pánico.
En 2023, la cadena de suministro de software fue el blanco favorito de los atacantes: MOVEit expuso datos de cientos de organizaciones por una vulnerabilidad 0-day, el instalador de 3CX llegó troyanizado a millones de usuarios, y npm y PyPI siguieron recibiendo paquetes maliciosos por typosquatting. La defensa práctica combina SBOM, firma de artefactos con Sigstore, niveles SLSA y escaneo continuo de dependencias.
La Directiva NIS2 amplía la ciberseguridad europea de 7 a 18 sectores, exige 10 medidas técnicas mínimas y notificación de incidentes en 24 horas, e impone sanciones de hasta 10 millones de euros o el 2% de la facturación global, con responsabilidad personal para los órganos directivos que incumplan.
El puesto de CIO lleva años bajo presión. La automatización recorta su carga operativa, la fusión con el CDO y el CTO genera ambigüedad sobre quién lidera qué, y la transformación digital exige competencias que antes no se le pedían. El CIO que evoluciona sigue siendo clave; el que no, queda fuera.
El aprendizaje de máquina adversarial estudia los ataques deliberados contra sistemas de IA (evasión, envenenamiento y extracción de modelos) y las defensas para resistirlos, sobre todo el entrenamiento adversarial, la certificación de robustez y la monitorización de la distribución de datos de entrada en producción.
La ciberseguridad combina controles técnicos (cifrado, MFA, segmentación de red), formación del equipo y un plan de respuesta a incidentes para reducir el riesgo de ransomware, phishing, malware y robo de identidad. Ninguna medida aislada basta: la eficacia depende de aplicar todas las capas a la vez y de auditar el sistema con regularidad.
