El Tribunal de Cuentas Europeo alerta de falta de coordinación entre los Veintisiete ante grandes ciberataques

El Tribunal de Cuentas Europeo (TCE) ha advertido de que la Unión Europea solo está preparada "parcialmente" para detectar y responder a grandes ciberataques ante el escaso intercambio de información entre los Estados miembro, la infranotificación de incidentes y los retrasos en la puesta en marcha de algunos de sus principales mecanismos de respuesta.

En un informe publicado este lunes, los auditores han analizado el funcionamiento de los mecanismos de cooperación que la UE ha ido desplegando en los últimos años para hacer frente a incidentes "significativos" y "a gran escala" relacionados con la ciberseguridad, desde las redes que conectan a las autoridades nacionales hasta los nuevos mecanismos europeos para detectar amenazas y coordinar la respuesta cuando afectan a varios países.

Aunque el tribunal ha reconocido avances en la construcción de este sistema, concluye que todavía existen "carencias" que limitan su eficacia, especialmente a la hora de compartir información entre los Veintisiete y determinar cuándo un ataque tiene dimensión transfronteriza y requiere una respuesta coordinada a nivel europeo.

Más concretamente, ha advertido de una infranotificación de los incidentes con dimensión transfronteriza: en 2025, solo siete Estados miembro comunicaron un total de 14 incidentes significativos que afectasen a más de un país, mientras que la Agencia de la Unión Europea para la Ciberseguridad (ENISA) llegó a identificar en 2024 hasta 322 incidentes que afectaron a dos o más países de la UE.

El TCE ha señalado, además, que desde 2016 ningún Estado miembro ha considerado oficialmente un incidente como "de gran escala", incluso después de episodios que provocaron importantes daños o interrupciones a nivel internacional, como el ciberataque a Collins Aerospace de septiembre de 2025, que provocó retrasos y cancelaciones en aeropuertos como Bruselas, Londres, Berlín y Dublín.

Como consecuencia, nunca se ha activado plenamente por un incidente de este tipo el mecanismo de escalada de EU-CyCLONe, la red creada por los Estados miembro en 2020 para coordinar la gestión de incidentes y crisis de ciberseguridad a gran escala a nivel operativo.

RETRASOS EN EL SISTEMA EUROPEO DE ALERTA

A estas deficiencias se suman los "retrasos" en la puesta en marcha del Sistema Europeo de Alerta de Ciberseguridad, concebido para mejorar la detección y el intercambio de información sobre amenazas mediante una red de centros nacionales y transfronterizos. En el momento de la auditoría, sin embargo, el sistema todavía no estaba operativo, según ha advertido el TCE.

El tribunal ha indicado además que todavía faltan acuerdos de cooperación entre los Estados miembro, una "taxonomía común" para clasificar las amenazas, así como normas de "interoperabilidad" que permitan a estos nuevos centros compartir información de forma eficaz con las estructuras europeas ya existentes.

"La UE ha avanzado en el establecimiento de un marco de cooperación en materia de ciberseguridad, pero este todavía no ha alcanzado todo su potencial", ha resumido el miembro del tribunal responsable de la auditoría, George-Marius Hyzler, quien ha defendido que disponer de información "práctica y puntual" resulta fundamental para responder a incidentes graves.

DUPLICIDADES ENTRE ORGANISMOS

El TCE también ha detectado "solapamientos" entre algunas de las estructuras creadas por Bruselas. En particular, apunta al centro de situación cibernética puesto en marcha por la Comisión Europea en 2022, cuyas tareas se superponen en algunos ámbitos con las capacidades que ya tiene la Agencia de la Unión Europea para la Ciberseguridad.

Para mantener este centro, la Comisión adjudicó en diciembre de 2022 un contrato externo de casi 18 millones de euros para cuatro años, que expira a finales de 2026. Sin embargo, los auditores han señalado que el Ejecutivo comunitario todavía no disponía de un "plan detallado" para garantizar la continuidad de sus actividades una vez finalice el contrato.

El informe analiza igualmente el uso de los fondos europeos destinados a reforzar la ciberseguridad, llegando a detectar deficiencias en los controles sobre algunas de las entidades que reciben las ayudas, en particular a la hora de comprobar su "propiedad y control". Esas carencias, han avisado, plantean un riesgo para "infraestructuras sensibles, datos operativos y tecnologías críticas".

RECOMENDACIONES DEL TRIBUNAL

Ante estas deficiencias, el Tribunal de Cuentas Europeo ha reclamado a la Comisión que, en colaboración con la Agencia de la Unión Europea para la Ciberseguridad (ENISA), "racionalice" las capacidades de la UE para conocer "en tiempo real" la situación de ciberseguridad en el continente y estudie "la posibilidad de recopilar y analizar conjuntamente" la información disponible.

Los auditores también piden que esta información y los correspondientes informes sobre ciberseguridad se pongan a disposición de los organismos europeos pertinentes, con el objetivo de evitar duplicidades y mejorar su difusión entre los distintos servicios y agencias europeos.

El TCE ha reclamado además mejorar el intercambio de información entre los Estados miembro, avanzar hacia la notificación "en tiempo real" de incidentes a ENISA, poner plenamente en funcionamiento el Sistema Europeo de Alerta de Ciberseguridad y reforzar los controles sobre las entidades que reciben financiación europea.

Por su parte, la Comisión Europea ha acogido con satisfacción el informe y ha asegurado que estudiará "detenidamente" sus recomendaciones para seguir reforzando las capacidades de la UE de detección, conocimiento de la situación y respuesta ante las ciberamenazas y los incidentes.