← Volver al blog

El rescate británico de JLR por 1.500 millones de libras sienta un peligroso precedente cibernético — Europol desmantela 373.000 sitios de la web oscura

El rescate de Jaguar Land Rover por 1.500 millones de libras por parte del Gobierno británico, tras un ciberataque devastador, está generando peticiones para crear un marco formal de respuesta gubernamental. Europol desmantela 373.000 sitios de la web oscura en su mayor operación hasta la fecha. Tres empleados de Supermicro se enfrentan a cargos por el contrabando a China de chips restringidos de Nvidia valorados en 2.500 millones de dólares. La aplicación de la CRA sigue cobrando impulso. Este es su resumen diario sobre regulación de seguridad en la EU.

---

🏛️ El rescate británico de JLR por 1.500 millones de libras plantea cuestiones fundamentales sobre el marco regulatorio

Esta es la mayor intervención financiera gubernamental provocada por un incidente cibernético en la historia europea. El rescate pone de manifiesto una carencia creciente en los marcos regulatorios: aunque NIS2 y DORA imponen requisitos de resiliencia cibernética, no existe ningún marco común para la EU o el Reino Unido que determine qué sucede cuando esas defensas fallan en empresas de importancia sistémica.

Por qué es importante para las organizaciones de la EU

• Riesgo moral: Otras grandes empresas podrían reducir su inversión en ciberseguridad si esperan que los rescates gubernamentales actúen como red de seguridad
• Vacío normativo: Ni NIS2, ni DORA, ni ninguna normativa vigente de la EU contempla la intervención financiera gubernamental tras incidentes cibernéticos
• Implicaciones para los seguros: Las aseguradoras cibernéticas observarán la situación atentamente, ya que los rescates gubernamentales podrían distorsionar el mercado de seguros cibernéticos y los modelos de tarificación del riesgo
• Presión política: Otras víctimas de ciberataques, especialmente las pymes, podrían exigir el mismo trato, lo que generaría una exposición fiscal insostenible

---

🌐 Europol desmantela 373.000 sitios de la web oscura en su mayor operación hasta la fecha

Europol ha completado su operación más amplia hasta la fecha contra la web oscura, desmantelando más de 373.000 sitios en una operación multinacional coordinada. La operación se dirigió contra redes que distribuían material de explotación infantil, credenciales robadas, herramientas de ransomware y servicios ilegales.

Aspectos destacados de la operación

• Escala: Más de 373.000 sitios desmantelados en múltiples proveedores de alojamiento de la web oscura
• Coordinación: Operación multiinstitucional con la participación de cuerpos policiales de toda la EU y de países socios
• Identificación: Operadores y usuarios identificados para continuar con las acciones judiciales
• Infraestructura: Infraestructura de servidores incautada, incluidos proveedores de alojamiento que facilitaban deliberadamente actividades delictivas

---

🔒 Contrabando de chips por 2.500 millones de dólares: empleados de Supermicro acusados

Tres empleados de Supermicro han sido acusados de conspirar para introducir de contrabando en China GPU Nvidia H100, H200 y B200 restringidas, eludiendo los controles de exportación estadounidenses. La trama —que utilizaba cajas señuelo, etiquetas falsas y una empresa intermediaria— está valorada en aproximadamente 2.500 millones de dólares.

Implicaciones para el control de exportaciones

• Normativa equivalente de la EU: La propia normativa de la EU sobre el control de exportaciones de productos de doble uso (Reglamento 2021/821) se está reforzando para impedir que se eludan de forma similar las restricciones a la exportación de tecnología avanzada
• Integridad de la cadena de suministro: Los productos sujetos a la CRA que dependan de chips avanzados de AI deben verificar la procedencia de su cadena de suministro para evitar riesgos de incumplimiento
• Amenaza interna: Este caso subraya que las infracciones de los controles de exportación suelen originarse dentro de organizaciones de confianza, no en agentes de amenazas externos
• Armonización de sanciones: Las recientes sanciones de la EU contra entidades chinas e iraníes por ciberataques (18 de marzo) muestran una armonización cada vez mayor entre la EU y Estados Unidos en la aplicación de controles tecnológicos

---

🤖 Simplificación del AI Act: avanzan las propuestas de IMCO/LIBE

Tras la votación del 18 de marzo en las comisiones IMCO y LIBE del Parlamento, las medidas propuestas para la simplificación del AI Act continúan su recorrido legislativo. Entre los principales elementos en debate se encuentran:

• Prohibición explícita de los sistemas de desnudo artificial: Los sistemas de AI que generan imágenes íntimas sin consentimiento se añaden a la lista de prácticas prohibidas
• Plazos más claros para sistemas de alto riesgo: Fechas de aplicación inequívocas para reducir la incertidumbre jurídica
• Reducción de la carga para las pymes: Ajustes de proporcionalidad para los desarrolladores de AI más pequeños
• Estrategia del Consejo de AI: La séptima reunión del Consejo de AI (20 de marzo) impulsó la estrategia de aplicación de la Comisión, incluida la coordinación entre las autoridades nacionales de AI que se están estableciendo en los Estados miembros

---

🛡️ Mecanismos de aplicación de la CRA: novedades de la segunda semana

Una semana después de la primera reunión del Grupo de Cooperación Administrativa (20 de marzo), la infraestructura de aplicación de la Ley de Ciberresiliencia sigue consolidándose:

• Encuesta de ENISA a las pymes: Continúa recopilando respuestas de fabricantes de productos con elementos digitales. Estos datos determinarán las prioridades de aplicación y los recursos de apoyo
• Armonización de las pruebas de productos: Las autoridades nacionales de vigilancia del mercado están desarrollando metodologías comunes para verificar la ciberseguridad de los productos
• Programa Europa Digital: Adaptado el 19 de marzo para apoyar la aplicación de la CRA, incluida la financiación de herramientas de certificación y cumplimiento en materia de ciberseguridad
• Diálogo Digital EU-Kenia: Iniciado el 18 de marzo para extender los estándares digitales de la EU —incluidos los principios de seguridad desde el diseño que sustentan la CRA— a las asociaciones comerciales internacionales

Recordatorio del calendario de la CRA

Plazo	Requisito	Estado
Septiembre de 2026	Notificación de vulnerabilidades e incidentes	Faltan 6 meses
Septiembre de 2027	Organismos de evaluación de la conformidad operativos	18 meses
Diciembre de 2027	Cumplimiento total de la CRA obligatorio	21 meses

---

💶 DORA en el primer trimestre de 2026: comprobación del cumplimiento en el sector financiero

Dado que DORA es aplicable desde enero de 2025, las entidades financieras deberían demostrar un cumplimiento activo en tres áreas fundamentales:

• TLPT (pruebas de penetración basadas en amenazas): Las entidades significativas deben estar definiendo el alcance o realizando las pruebas del primer ciclo conforme a TIBER-EU. Se requieren proveedores externos certificados y las pruebas deben dirigirse a sistemas de producción activos
• Registros de riesgos de terceros de TIC: Deben mantenerse registros completos de todos los proveedores de servicios de TIC, con evaluaciones de criticidad y derechos contractuales de auditoría
• Notificación de incidentes: Deben estar operativas las plantillas normalizadas de las ESA para notificar incidentes significativos de TIC a las autoridades nacionales competentes

---

📋 GDPR: phishing en Signal y vigilancia de la mensajería cifrada

La advertencia del FBI sobre hackers rusos que atacan a usuarios de Signal mediante sofisticadas campañas de phishing plantea nuevas consideraciones relacionadas con GDPR:

• La mensajería cifrada como tratamiento de datos: Las organizaciones que utilizan Signal, WhatsApp o herramientas similares para comunicaciones empresariales deben garantizar que estos canales estén incluidos en sus evaluaciones de impacto sobre la protección de datos conforme a GDPR
• Obligaciones de formación de los empleados: El principio de responsabilidad proactiva de GDPR exige formación demostrable sobre los riesgos de phishing, incluidos los ataques dirigidos contra plataformas cifradas
• Notificación de brechas: Si la vulneración de una cuenta de Signal provoca la exposición de datos personales, se aplica el requisito de notificación de brechas de GDPR en un plazo de 72 horas, independientemente del canal de comunicación

---

⚡ Medidas para esta semana

1. Revisión del seguro cibernético: A la luz del rescate de JLR, revise la cobertura de su seguro cibernético y la planificación financiera de respuesta ante incidentes. No dé por sentada una intervención gubernamental.
2. Inventario de productos de la CRA: Si fabrica o distribuye productos con elementos digitales, complete su inventario de productos y comience a documentar su SBOM. Faltan seis meses para septiembre de 2026.
3. Preparación para el AI Act: Confirme la clasificación de sus sistemas de AI de alto riesgo e inicie las evaluaciones de conformidad. Quedan 131 días para el plazo de agosto de 2026.
4. Diligencia debida de la cadena de suministro: Audite su cadena de suministro tecnológica para detectar riesgos de incumplimiento de los controles de exportación, especialmente en aceleradores de AI y componentes restringidos.
5. Definición del alcance de TLPT conforme a DORA: Las entidades financieras deben comprobar que la planificación de TLPT esté en marcha con proveedores externos certificados.
6. Seguridad de Signal y la mensajería: Actualice la formación de los empleados sobre phishing para incluir las plataformas de mensajería cifrada. Revise la cobertura de GDPR para las herramientas de mensajería empresarial.