Las ciberamenazas que están marcando 2026: qué revela el nuevo informe de ENISA
El último informe de ENISA dibuja un escenario en el que las amenazas evolucionan con rapidez y obligan a las organizaciones a revisar cómo protegen su información
Octubre vuelve a poner la ciberseguridad en el centro del debate europeo. Durante todo el mes se celebra el Mes Europeo de la Ciberseguridad, una iniciativa impulsada por la Agencia de la Unión Europea para la Ciberseguridad (ENISA) y la Comisión Europea para concienciar a ciudadanos y organizaciones sobre los riesgos digitales y la necesidad de adoptar buenas prácticas de seguridad.
Este año, además, la campaña coincide con la publicación de nuevos datos sobre las principales amenazas de ciberseguridad en Europa.
El pasado 22 de septiembre, ENISA publicó su Threat Landscape 2026, el informe anual en el que analiza los principales incidentes y tendencias de ciberseguridad que están afectando a la Unión Europea. En esta edición, el análisis recoge eventos observados entre enero y diciembre de 2025 y deja una conclusión clara: las amenazas no solo continúan evolucionando, sino que la creciente dependencia de los sistemas digitales está generando nuevos riesgos para las organizaciones.
El ransomware sigue entre las amenazas de mayor impacto
El ransomware continúa ocupando un lugar especialmente relevante. Se trata de un tipo de ataque en el que los ciberdelincuentes bloquean o cifran los sistemas y la información de una organización y exigen un pago para recuperar el acceso. En muchos casos, además, roban previamente los datos y amenazan con publicarlos, aumentando así la presión sobre la organización afectada.
ENISA lo identifica como el tipo de incidente con mayor impacto a corto plazo, con organizaciones de distintos sectores afectadas por operaciones que combinan cifrado de información, robo de datos y extorsión.
Sin embargo, su impacto no significa que sea el ataque más frecuente. De hecho, el informe señala que los ataques de denegación de servicio (DDoS), que buscan saturar sistemas y dejarlos fuera de funcionamiento, representan el 51,3 % de los incidentes analizados. También destaca el peso del hacktivismo y las motivaciones ideológicas, presentes en el 57,3 % de los casos.
En cuanto a los ataques con fines económicos, que suponen el 29,2 % del total de incidentes, el ransomware representa el 40 %, seguido de las brechas de datos (31 %) y el fraude y la suplantación de identidad (19 %).
Más allá de las cifras, estos datos reflejan una realidad: un ciberataque puede tener consecuencias que van mucho más allá de los sistemas informáticos. La pérdida de información, la interrupción de servicios o los daños a clientes y proveedores pueden llegar a comprometer la continuidad de una organización.
La Administración pública concentra el mayor número de incidentes
El impacto de las ciberamenazas no es igual en todos los sectores. Algunos, por la naturaleza de sus servicios y su dependencia de las infraestructuras digitales, presentan una mayor exposición a los incidentes de seguridad.
Es el caso de la Administración pública, que concentra el 31,8 % de los incidentes analizados por ENISA, situándose por delante de sectores como los servicios empresariales, el transporte, la industria manufacturera o el financiero. La gran mayoría de estos incidentes (81,8 %) fueron ataques de denegación de servicio (DDoS), vinculados en buena parte al hacktivismo. Esta situación refleja hasta qué punto la digitalización de los servicios públicos y la interconexión de sistemas plantean nuevos desafíos para la seguridad y la continuidad de su actividad.
Otro dato significativo es que el 73 % de las organizaciones objetivo de los incidentes analizados pertenecían a categorías consideradas esenciales o importantes según la Directiva NIS2. Una realidad que pone de manifiesto la necesidad de integrar la ciberseguridad en la gestión de las organizaciones, especialmente en aquellas cuya actividad depende de información crítica, infraestructuras conectadas o cadenas de suministro complejas.
Directiva NIS2: un marco europeo para reforzar la ciberseguridad
La Directiva NIS2 (UE 2022/2555) surge precisamente para reforzar la ciberseguridad y establecer un nivel común de protección en la Unión Europea. Esta normativa amplía el número de sectores y organizaciones sujetos a obligaciones de seguridad e introduce requisitos más exigentes en materia de gestión de riesgos, prevención y respuesta ante incidentes, seguridad de la cadena de suministro y responsabilidad de los órganos de dirección.
También establece obligaciones de notificación de incidentes significativos y mecanismos de supervisión para garantizar su cumplimiento. Su objetivo es que la ciberseguridad deje de abordarse únicamente como una cuestión tecnológica y pase a formar parte de la gestión estratégica y la continuidad operativa de las organizaciones, reforzando su capacidad para prevenir, afrontar y recuperarse de las amenazas digitales.
Phishing, vulnerabilidades y personas: las puertas de entrada siguen abiertas
No todas las amenazas comienzan con técnicas especialmente complejas. La ingeniería social continúa siendo una herramienta habitual para los atacantes, especialmente mediante campañas de phishing diseñadas para aprovechar la confianza de los usuarios.
ENISA también señala un aumento del uso de técnicas como ClickFix y de servicios que facilitan la creación y distribución de campañas fraudulentas. El ClickFix consiste en engañar al usuario mediante falsos avisos de error o problemas técnicos para que ejecute instrucciones que pueden comprometer la seguridad de su equipo.
La explotación de vulnerabilidades de seguridad, tanto conocidas como recién descubiertas, sigue siendo una vía habitual de ataque. En 2025 se identificaron más de 48.000 nuevas vulnerabilidades (CVE), un 22 % más que el año anterior. Además, según ENISA, en el reducido grupo de incidentes en los que pudo identificarse cómo accedieron los atacantes (el 5 % de los accesos no autorizados), el 60 % se produjo aprovechando una vulnerabilidad.
Contar con herramientas de seguridad no es suficiente. También es necesario mantener los sistemas actualizados, detectar posibles vulnerabilidades, controlar quién accede a la información y formar a las personas para que sepan reconocer las amenazas y actuar ante ellas.
La inteligencia artificial empieza a jugar un doble papel
El informe de ENISA introduce además otro elemento que adquiere cada vez más importancia: la inteligencia artificial.
Los atacantes están utilizando estas herramientas para generar textos, crear contenidos falsos de audio y vídeo y desarrollar campañas fraudulentas capaces de llegar a más personas.
Al mismo tiempo, a medida que las organizaciones incorporan la IA a sus procesos, estos sistemas también pueden convertirse en objetivos de los ataques. Por eso, además de proteger los equipos y la información, las empresas necesitan conocer qué herramientas de IA utilizan, qué datos procesan y quién tiene acceso a ellas.
De proteger sistemas a gestionar el riesgo: URS Spain
El informe de ENISA refleja cómo amenazas como el ransomware, el phishing o la explotación de vulnerabilidades se suman a nuevos riesgos relacionados con la inteligencia artificial y la dependencia de terceros. Ante esta situación, las organizaciones no pueden limitarse a reaccionar cuando se produce un incidente, sino que necesitan anticiparse a los riesgos y prepararse para afrontarlos.
Es precisamente en este punto donde los sistemas de gestión adquieren especial relevancia. La ISO/IEC 27001, norma internacional para los Sistemas de Gestión de Seguridad de la Información, establece un marco para identificar y gestionar de manera sistemática los riesgos relacionados con la información de una organización. Además, sus requisitos y controles están estrechamente relacionados con las medidas de gestión de riesgos contempladas en la Directiva NIS2, por lo que pueden servir como base para estructurar las medidas de seguridad y facilitar la adaptación a sus exigencias.
No elimina la posibilidad de sufrir un incidente ni sustituye las medidas técnicas de ciberseguridad. Su función es diferente: ayudar a que la seguridad de la información deje de depender de actuaciones aisladas y pase a integrarse dentro de un sistema organizado, evaluable y sujeto a mejora continua.
En un escenario en el que las amenazas evolucionan constantemente, quizás la pregunta ya no sea únicamente qué herramientas de seguridad tiene una organización, sino si realmente dispone de un sistema capaz de identificar, gestionar y revisar sus riesgos antes de que se conviertan en un incidente. En URS Spain evaluamos y certificamos sistemas de gestión conforme a ISO/IEC 27001, ayudando a las organizaciones a demostrar de forma independiente su compromiso con la seguridad de la información.
Además, en URS Spain nos encontramos en proceso de acreditación para la ISO/IEC 42001, la norma internacional que establece los requisitos para implantar un Sistema de Gestión de Inteligencia Artificial (SGIA). Su objetivo es ayudar a las organizaciones a identificar y gestionar los riesgos asociados al uso de la IA, estableciendo responsabilidades, controles y mecanismos de supervisión que permitan utilizar esta tecnología de forma segura, transparente y responsable. También facilita la evaluación de sus posibles impactos y su integración en los procesos de gestión de las empresas.
Con la obtención de esta acreditación buscamos ampliar nuestro alcance de certificación acreditada y dar respuesta a los nuevos desafíos que plantea la inteligencia artificial, reafirmando nuestro compromiso con una evaluación independiente, rigurosa y orientada a generar confianza en las organizaciones.
