La ANSSI de Francia confirma que los ataques de ransomware a organizaciones francesas cayeron significativamente en 2025, una señal de que la inversión en seguridad impulsada por la regulación está dando frutos. Mientras tanto, Google completa su histórica adquisición de Wiz por 32.000 millones de dólares, reconfigurando para siempre el cumplimiento en seguridad de la nube. La Unit 42 de Palo Alto descubre que las barreras de seguridad de los LLM pueden eludirse trivialmente, planteando preguntas urgentes para el cumplimiento de la Ley de IA de la UE. Y los ciberataques en el Reino Unido se disparan a cuatro veces la tasa mundial.
Impacto normativo: NIS2 · DORA · Estrategia Nacional de Ciberseguridad de Francia
La agencia nacional de ciberseguridad de Francia, ANSSI, ha publicado su informe anual de amenazas que confirma que los ataques de ransomware a organizaciones francesas disminuyeron en 2025. Las pequeñas y medianas empresas siguieron siendo el segmento más atacado, pero los volúmenes generales de ataques cayeron, un cambio respecto a la implacable tendencia al alza de años anteriores.
El momento es significativo. Francia fue uno de los primeros Estados miembros de la UE en comenzar a aplicar los requisitos de NIS2 a finales de 2024, con obligaciones de notificación de incidentes y gestión de riesgos que entraron en vigor para las entidades esenciales e importantes. El informe de ANSSI sugiere que la combinación de presión regulatoria, mayor gasto en seguridad y mejores posturas de resiliencia está empezando a mostrar resultados medibles.
El BSI de Alemania y la autoridad NIS de Austria deberían esperar tendencias similares a medida que madure su transposición de NIS2. Las organizaciones de la región DACH que aún trabajan hacia el cumplimiento deberían tomar los resultados de Francia como una validación de que la inversión en seguridad bajo marcos regulatorios ofrece un ROI medible.
Impacto normativo: DORA · Requisitos de Proveedores de Nube NIS2 · Soberanía de Datos de la UE
Google ha cerrado oficialmente su adquisición de Wiz por 32.000 millones de dólares, el mayor acuerdo de ciberseguridad de la historia. Wiz operará dentro de Google Cloud manteniendo su identidad de marca y su soporte multinube, un detalle crítico para los clientes europeos que navegan los requisitos de proveedores de nube de DORA y NIS2.
El acuerdo reconfigura fundamentalmente el panorama del cumplimiento en seguridad de la nube. Las capacidades de la Plataforma de Protección de Aplicaciones Nativas de la Nube (CNAPP) de Wiz —que abarcan gestión de vulnerabilidades, configuraciones incorrectas, riesgos de identidad y amenazas en tiempo de ejecución— cuentan ahora con el respaldo de la infraestructura y las inversiones en soberanía de datos de Google en Europa.
| Marco | Impacto |
|---|---|
| DORA | Las entidades financieras que usan Google Cloud obtienen herramientas integradas de gestión de riesgos TIC. Las evaluaciones de riesgos de terceros para proveedores de nube se vuelven más complejas con las pilas de seguridad consolidadas. |
| NIS2 | Las entidades esenciales deben evaluar si la integración de Wiz en Google Cloud cambia su perfil de riesgo de la cadena de suministro. Las capacidades de monitoreo multinube se convierten en un diferenciador competitivo. |
| Soberanía de Datos de la UE | El compromiso de Google de mantener el soporte multinube de Wiz significa que las organizaciones no quedan atadas a un único proveedor, algo crítico para las estrategias de nube soberana en toda la UE. |
El equipo de investigación Unit 42 de Palo Alto Networks ha desarrollado ataques exitosos que eluden las barreras de seguridad de las herramientas populares de IA generativa. Las organizaciones que despliegan sistemas de IA bajo las clasificaciones de riesgo de la Ley de IA de la UE deben reevaluar urgentemente sus implementaciones de barreras de seguridad.
Los investigadores de la Unit 42 de Palo Alto han publicado hallazgos que demuestran que las barreras de seguridad de las principales plataformas de LLM pueden eludirse sistemáticamente. Los ataques no son teóricos: funcionan contra sistemas en producción y pueden forzar a las herramientas de IA a generar resultados dañinos, sesgados o no conformes.
Esta investigación llega en un momento crítico. El marco basado en el riesgo de la Ley de IA de la UE exige que los sistemas de IA de alto riesgo implementen medidas de seguridad robustas, incluidos el filtrado de salidas, la detección de sesgos y mecanismos de supervisión humana. Si las propias barreras diseñadas para garantizar el cumplimiento pueden eludirse trivialmente, la eficacia de todo el marco regulatorio queda en entredicho.
Impacto normativo: Estrategia Cibernética Posterior al Brexit · GDPR del Reino Unido · Protección de Infraestructuras Críticas
Los últimos datos de Check Point revelan que los volúmenes de ciberataques contra organizaciones del Reino Unido están creciendo a cuatro veces la media mundial. El repunte afecta a todos los sectores, siendo los servicios financieros, la sanidad y la infraestructura crítica los que se enfrentan a la mayor incidencia.
La divergencia regulatoria del Reino Unido respecto a la UE tras el Brexit crea un punto de comparación especialmente interesante. Mientras los Estados miembros de la UE se benefician del marco coordinado NIS2, el Reino Unido persigue de forma independiente su propio Proyecto de Ley de Ciberseguridad y Resiliencia y sus reglamentos actualizados de Redes y Sistemas de Información (NIS).
Para las organizaciones que operan tanto en la UE como en el Reino Unido, esta divergencia crea obligaciones de cumplimiento duales:
Impacto normativo: Ley de IA de la UE · Estándares de Seguridad de IA · Evaluaciones de Conformidad
OpenAI ha anunciado su adquisición de Promptfoo, una startup de pruebas de seguridad de IA que ayuda a los desarrolladores a identificar vulnerabilidades en aplicaciones de LLM. El acuerdo indica que incluso los mayores actores de la IA reconocen la brecha crítica entre las capacidades de la IA y la seguridad de la IA, exactamente la brecha que la Ley de IA de la UE está diseñada para abordar.
La plataforma de Promptfoo permite el red-teaming automatizado, las evaluaciones de seguridad y las pruebas de seguridad para agentes de IA, capacidades que se corresponden directamente con los requisitos de la Ley de IA de la UE para las evaluaciones de conformidad y el monitoreo continuo de los sistemas de IA de alto riesgo.
Impacto normativo: Cooperación Ciber EE. UU.-UE · Flujos de Datos Transatlánticos · Defensa de Infraestructuras Críticas
El Senado de EE. UU. ha confirmado a Joshua Rudd para dirigir tanto la Agencia de Seguridad Nacional como el Cyber Command de EE. UU. bajo el controvertido acuerdo de «doble sombrero». La confirmación llega mientras la cooperación transatlántica en ciberseguridad se somete a escrutinio bajo las cambiantes prioridades de la administración estadounidense.
Para las organizaciones europeas, los cambios en el liderazgo cibernético de EE. UU. importan por la profunda interconexión entre la defensa de infraestructuras críticas de EE. UU. y la UE, el intercambio de inteligencia bajo el Marco de Privacidad de Datos UE-EE. UU. y las respuestas coordinadas a las amenazas de estados-nación. Cualquier cambio en la doctrina cibernética de EE. UU. repercute en la postura de ciberdefensa cooperativa de la OTAN y en los acuerdos bilaterales con los Estados miembros de la UE.
| Normativa | Estado | Fecha Límite Clave | Acción requerida |
|---|---|---|---|
| NIS2 | ⚡ En vigor | Oct 2024 (transpuesta) | Cumplimiento total obligatorio. Notificación de incidentes activa. |
| DORA | ⚡ En vigor | 17 de enero de 2025 | Las entidades financieras deben tener marcos de riesgo TIC operativos. |
| EU AI Act | 🔶 Aplicación Progresiva | Ago 2025 (IA prohibida) / Ago 2026 (alto riesgo) | Clasificar los sistemas de IA. Iniciar las evaluaciones de conformidad para los de alto riesgo. |
| GDPR | ✅ Maduro | En curso | Notificación de brechas en 72 horas. Requisitos de DPO. Transferencias transfronterizas. |
| CRA | 🟡 En Transición | Dic 2027 (completo) | Los fabricantes de productos digitales deben planificar las obligaciones de seguridad por diseño. |
El escaneo de seguridad automatizado de KENSAI se corresponde directamente con los requisitos de cumplimiento de NIS2, DORA y la Ley de IA de la UE. Sepa cuál es su situación en minutos, no en meses.
Ejecutar un Escaneo de Cumplimiento Gratuito →Publicado por el Equipo de Investigación de Seguridad de KENSAI · 12 de marzo de 2026
Fuentes: ANSSI, Infosecurity Magazine, SecurityWeek, Check Point Research, Palo Alto Unit 42
🛡️ ¿Es seguro su sitio web?
Descubra vulnerabilidades antes que los atacantes.
Analice su sitio web gratis →