Cuando una PYME descubre un lunes por la mañana que sus copias de seguridad han sido cifradas durante el fin de semana, la cuestión ya no es si la ciberseguridad es un tema prioritario. El ransomware ha golpeado, el equipo de TI improvisa, y la dirección se da cuenta de que el plan de recuperación estaba en un post-it. Este escenario se encuentra cada vez más a menudo, incluso en estructuras que pensaban haber cubierto las bases.
La actualidad cibernética de 2026 no se resume a una lista de vulnerabilidades corregidas o de grupos de hackers desmantelados. Pone de manifiesto desajustes concretos entre lo que exigen las regulaciones, lo que prometen las herramientas y lo que los equipos de campo pueden realmente absorber.
NIS2 en Francia: una obligación que aún no existe sobre el papel
Se habla de NIS2 en todos los seminarios web desde hace dos años. Los consultores venden auditorías de cumplimiento, los editores muestran insignias “NIS2 ready” en sus soluciones. En el terreno, la realidad jurídica es muy diferente.
La directiva europea NIS2 (UE 2022/2555) debía ser transpuesta al derecho nacional antes del 17 de octubre de 2024. Sin embargo, al 11 de septiembre de 2026, no se ha promulgado ninguna ley francesa de transposición. El proyecto de ley Resiliencia sigue en examen parlamentario, sin un calendario firme para la publicación de los decretos de aplicación.
La consecuencia directa para las empresas francesas: las obligaciones NIS2 no son jurídicamente exigibles mientras la ley y sus decretos no sean publicados. Se pueden seguir las noticias en Cyber Vista para medir la brecha entre los anuncios regulatorios y su traducción operativa.
Esto no significa que haya que esperar. Las empresas que ya trabajan con socios europeos sujetos a NIS2 en su país (Alemania, Bélgica, Países Bajos) enfrentan una presión contractual real. Sus clientes y contratistas exigen garantías de cumplimiento, ley francesa o no.
DORA y sector financiero: la regulación que realmente se aplica desde 2025
Mientras NIS2 patina en Francia, otro texto europeo ya está produciendo sus efectos. El reglamento DORA (UE 2022/2554) es directamente aplicable desde el 17 de enero de 2025, sin necesidad de transposición. Abarca a bancos, aseguradoras, gestores de activos, proveedores de pagos y sus proveedores TIC críticos.
En el terreno, DORA impone requisitos precisos de resiliencia operativa digital. Los equipos de TI de las entidades financieras deben mapear sus dependencias respecto a proveedores externos, probar regularmente sus capacidades de recuperación y documentar cada incidente significativo.
Para las fintechs y los proveedores de la nube que sirven al sector financiero, el cambio es tangible. Un proveedor de servicios de alojamiento que no pueda demostrar su cumplimiento con DORA corre el riesgo de perder sus contratos bancarios. Los comentarios varían sobre la carga real de cumplimiento según el tamaño de la estructura, pero el marco jurídico no deja ninguna ambigüedad.
Ransomware en 2026: el robo de datos reemplaza el cifrado puro
El informe mundial 2026 sobre la respuesta a incidentes de la Unit 42 de Palo Alto Networks documenta una evolución notable. El cifrado de datos aparece en el 78 % de los casos de extorsión registrados en 2025, en descenso respecto a los niveles superiores al 90 % entre 2021 y 2024.
Este retroceso del cifrado no significa que la amenaza disminuya. El robo puro de datos se impone como método de extorsión en sí mismo. Los atacantes exfiltran archivos sensibles y amenazan con publicarlos, sin molestarse en cifrar nada. La presión recae sobre la reputación y el cumplimiento regulatorio de la víctima, no sobre la indisponibilidad de sus sistemas.
Para los equipos de defensa, este cambio altera la dinámica operativa:
- La detección de exfiltraciones de datos (movimientos laterales, transferencias voluminosas hacia el exterior) se vuelve más crítica que la simple protección clásica contra ransomware
- Los planes de recuperación tras incidentes deben integrar un componente de comunicación de crisis y notificación regulatoria, no solo la restauración de copias de seguridad
- La segmentación de red y el control de accesos privilegiados limitan la superficie de exfiltración de manera mucho más efectiva que las soluciones de descifrado a posteriori
Lo que esto cambia en la postura de seguridad diaria
No se puede simplemente verificar que las copias de seguridad funcionan. Monitorear los flujos salientes de la red se convierte en una prioridad operativa. Un pico de transferencia hacia un servidor externo a las 3 de la mañana debería activar una alerta, no un registro que nadie consulta antes del lunes.
IA ofensiva y phishing dirigido: la amenaza que avanza más rápido
El phishing personalizado por IA generativa y los deepfakes vocales figuran entre los vectores de ataque que avanzan más rápidamente.
En el terreno, se observa que los ataques de phishing generados por IA son gramaticalmente impecables y contextualizados. Un correo fraudulento puede retomar el nombre de un proyecto interno, el estilo de escritura de un colega, e incluso imitar la voz de un directivo durante una llamada telefónica. Unas pocas segundos de grabación de voz son suficientes para entrenar un modelo creíble.
Frente a este aumento de poder, las formaciones clásicas de sensibilización al phishing muestran sus límites. Pedir a los colaboradores que detecten errores ortográficos ya no funciona cuando la IA no comete ninguno.
- Las simulaciones de phishing deben incluir escenarios generados por IA, con pretextos contextuales realistas
- La verificación de identidad por un segundo canal (llamada telefónica, confirmación en mensajería interna) sigue siendo la defensa más fiable contra los deepfakes vocales
- Las herramientas de detección conductual en las mensajerías (análisis de patrones de envío, archivos adjuntos inusuales) complementan útilmente los filtros anti-spam tradicionales
Ciberseguridad de las PYME: una brecha que se amplía con las grandes empresas
Las grandes empresas invierten en SOC, contratan analistas, despliegan soluciones EDR en cada puesto. Las PYME, por su parte, a menudo funcionan con un proveedor de TI generalista que gestiona tanto la impresora de red como la política de contraseñas.
La mayoría de las PYME francesas no tienen ni CISO dedicado ni plan de respuesta a incidentes formalizado. Cuando un ransomware golpea, la primera reacción es llamar al proveedor habitual, que no siempre tiene las competencias forenses necesarias.
Los dispositivos de acompañamiento existen (Cybermalveillance.gouv.fr, diagnósticos regionales), pero su adopción sigue siendo lenta. El principal obstáculo no es el presupuesto de software, sino el tiempo humano. En una estructura de 30 personas, nadie tiene tres días para dedicar a una auditoría de madurez cibernética.
El desfase regulatorio en torno a NIS2 no ayuda. Sin una obligación legal clara, la ciberseguridad sigue siendo percibida como un centro de costo, no como una condición de supervivencia operativa. Los incidentes recientes, las filtraciones de datos que afectan a casi la mitad de los franceses según Cybermalveillance.gouv.fr, deberían ser suficientes para cambiar esta percepción.
