Ciberseguridad en 2026: siete tendencias

Los ataques apoyados en inteligencia artificial, los nuevos estándares criptográficos y unas exigencias de seguridad más estrictas siguen ocupando a las empresas en 2026. A ello se suman cuestiones sobre identidades, cadenas de suministro de software, operación en la nube y ciberseguros. Siete tendencias muestran dónde deberían revisar sus medidas los responsables de seguridad.

Ataques con IA y nuevos procedimientos criptográficos

1. La IA en ambos bandos. Los atacantes utilizan la IA para apoyar sus actividades. La Agencia de la Unión Europea para la Ciberseguridad, ENISA observa un uso creciente por parte de grupos maliciosos. Para las empresas sigue siendo esencial verificar las solicitudes por canales independientes y evaluar cuidadosamente los avisos de seguridad. Las herramientas de IA pueden ayudar en el análisis, pero sus resultados deben verificarse.

2. Prepararse para la criptografía poscuántica. El Instituto Nacional de Estándares y Tecnología de Estados Unidos, NIST publicó en 2024 tres estándares para procedimientos destinados a proteger frente a futuros ataques con ordenadores cuánticos. Las empresas pueden comenzar por identificar dónde utilizan criptografía y qué información debe permanecer confidencial a largo plazo. A partir de ahí pueden hablar con los fabricantes sobre la sustitución y el soporte. Los estándares del NIST por sí solos no establecen una obligación general de migración.

Proteger las identidades y las cadenas de suministro de software

3. Proteger las identidades de forma específica. Un enfoque de confianza cero verifica los accesos a partir de las identidades y los permisos. La mera pertenencia a una red conocida no justifica la confianza. En la práctica cuentan los permisos limitados, la autenticación multifactor y la revisión periódica de las cuentas privilegiadas.

4. Evaluar las cadenas de suministro según el riesgo. Las vulnerabilidades del software y de los proveedores de servicios pueden afectar a sus clientes. Conforme a la Ley alemana de la Oficina Federal de Seguridad de la Información, las entidades afectadas deben tener en cuenta la seguridad de su cadena de suministro, incluidas las relaciones con proveedores directos y proveedores de servicios. Un inventario útil recoge las dependencias críticas, las medidas de seguridad acordadas y los canales de notificación de incidentes.

Revisar la operación en la nube y los seguros

5. Seguridad en la operación continua de la nube. Las configuraciones seguras en el despliegue son un punto de partida. A ello se suman la supervisión de accesos y eventos y un procedimiento para corregir las vulnerabilidades detectadas. Las responsabilidades del proveedor de la nube y de la empresa deben quedar documentadas.

6. Evaluar el ciberseguro según sus condiciones. Antes de contratar o renovar una póliza, las empresas deberían comprobar qué medidas de seguridad exige el contrato, qué daños cubre y cómo deben notificarse los incidentes. Esto incluye poder demostrar la aplicación efectiva de las medidas acordadas. Los requisitos y las coberturas dependen de cada contrato.

Interpretar la regulación según su ámbito de aplicación y sus plazos

7. Examinar las obligaciones por separado. NIS2, DORA, el Reglamento de Ciberresiliencia y el Reglamento de Inteligencia Artificial tienen distintos ámbitos de aplicación. Por ello, las empresas deberían determinar primero qué normas se aplican a su actividad o a sus productos.

En el caso del Reglamento de Ciberresiliencia, las obligaciones de notificación para los fabricantes se aplican desde el 11 de septiembre de 2026. Cuando los fabricantes tengan conocimiento de una vulnerabilidad explotada activamente en un producto afectado, deberán emitir, en principio, una alerta temprana sin demora y en un plazo máximo de 24 horas. El resto del reglamento se aplica, en su mayor parte, a partir del 11 de diciembre de 2027. Para las entidades afectadas, la Ley alemana de la Oficina Federal de Seguridad de la Información ya exige medidas de gestión de riesgos adecuadas y proporcionadas.

Preguntas frecuentes

Cada pregunta está cerrada. Pulsa para abrir la respuesta.

¿Por dónde empieza la preparación para la criptografía poscuántica?

Por un inventario de los procedimientos y sistemas utilizados. Es especialmente relevante la información que debe permanecer confidencial durante mucho tiempo.

¿Hay que notificar todas las vulnerabilidades en un plazo de 24 horas?

No. El Reglamento de Ciberresiliencia prevé, entre otras cosas, una alerta temprana para las vulnerabilidades explotadas activamente en productos afectados de las que los fabricantes hayan tenido conocimiento. También establece requisitos específicos para los incidentes graves de seguridad.

¿Qué medidas ayudan a los equipos de seguridad más pequeños?

Un buen comienzo son los accesos protegidos, los permisos limitados, las copias de seguridad verificadas y los procedimientos establecidos para los incidentes de seguridad. Los proveedores externos pueden asumir tareas y conviene aclarar las responsabilidades por contrato.

Selección editorial

RecomendadoSeguridad de la cadena de suministro de software en 2026

Más de la red MBF Media

Digital Chiefs149.000 puestos de TI vacantes: cómo los CIO utilizan los copilotos de IA como sustitutos de profesionales cualificadosMyBusinessFutureIA Hecha en Alemania: 935 startups y un ecosistema que maduracloudmagazinPlatform Engineering 2026: Por qué las IDP son el nuevo CI/CD

Más de la red MBF Media

• Inteligencia artificial en las pymes
• Tendencias de IA para directivos: oportunidades y riesgos
• Ingeniería de plataformas en 2026: por qué las plataformas internas para desarrolladores son la nueva base

Fuente de la imagen: generada por IA (November 2026)

Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.