La directiva NIS2 transpuesta en derecho español cambia las reglas del juego para las direcciones de sistemas de información territoriales. Las entidades locales ya no eligen invertir en ciberseguridad: están legalmente obligadas a hacerlo, con sanciones de por medio. Este marco regulatorio redistribuye las prioridades presupuestarias y técnicas de todo el sector público local.
Obligaciones NIS2 y ciberseguridad de las entidades locales
La clasificación de las entidades en dos niveles de exigencia constituye el cambio estructural más importante. Las regiones, departamentos, metrópolis, comunidades urbanas y municipios de más de 30,000 habitantes son ahora clasificados como entidades esenciales, sometidas al régimen más estricto. Las comunidades de aglomeración, comunidades de municipios y algunos SDIS se encuentran bajo el estatus de entidades importantes, con un nivel intermedio.
Las obligaciones no se limitan a una declaración de intenciones. Cada entidad afectada debe formalizar una política de seguridad de los sistemas de información, llevar a cabo un análisis de riesgos documentado y establecer un plan de continuidad de actividad para sus servicios digitales críticos.
La notificación de incidentes significativos a la ANSSI en un plazo de 24 horas, seguida de un informe detallado en 72 horas, transforma la gestión de crisis. Las DSI territoriales que funcionaban con procedimientos informales deben ahora estructurar una guardia y circuitos de escalada operativos. Observamos que esta presión temporal empuja a muchas entidades a externalizar total o parcialmente su supervisión de seguridad a centros operativos de seguridad compartidos.
Para profundizar en los desafíos técnicos que surgen, la informática en Collectivité Numérique detalla las arquitecturas adaptadas a las restricciones del sector público local.
Gobernanza de los datos territoriales y datos abiertos
La fragmentación de los sistemas de información sigue siendo el principal obstáculo para una gobernanza coherente de los datos en las entidades locales. Cada dirección de negocio (urbanismo, estado civil, finanzas, vialidad) ha desplegado históricamente sus propias herramientas, a menudo sin interoperabilidad. Unificar los referentes de datos antes de hablar de datos abiertos es un requisito técnico innegociable.
La apertura de los datos públicos impone, además, conciliar dos marcos jurídicos en tensión. Por un lado, la obligación de publicación de documentos administrativos y bases de datos. Por otro, las exigencias del RGPD sobre la protección de datos personales. La CNIL recuerda que las entidades deben anonimizar o seudonimizar los conjuntos de datos antes de su publicación, lo que supone competencias y herramientas que muchas pequeñas intercomunidades no poseen internamente.
- Cartografiar todas las bases de datos de negocio e identificar duplicados, formatos propietarios y datos personales a tratar antes de cualquier apertura
- Designar un referente de gobernanza de datos distinto del DPO, encargado de dirigir la calidad, la actualización y la interoperabilidad de los conjuntos de datos
- Priorizar formatos abiertos y APIs estandarizadas en lugar de exportaciones CSV puntuales, para permitir una reutilización real por parte de los actores del territorio
Nube soberana y modo SaaS para los servicios públicos locales
La migración hacia la nube en modo SaaS avanza rápidamente en las entidades, impulsada por la reducción de costos de infraestructura y la simplificación del mantenimiento de aplicaciones. La cuestión de la soberanía digital estructura ahora la elección de los proveedores. Alojar los datos de los administrados en un proveedor sujeto a legislaciones extraterritoriales expone a la entidad a un riesgo jurídico directo.
Recomendamos distinguir claramente los datos sensibles (estado civil, ayuda social, fiscalidad local) de los datos de funcionamiento cotidiano. Los primeros requieren un alojamiento calificado SecNumCloud o equivalente. Los segundos pueden tolerar un nivel de certificación menor, siempre que el contrato especifique la localización de los datos y las condiciones de reversibilidad.
La trampa clásica del SaaS territorial reside en la dependencia del proveedor. Una entidad que migra su gestión financiera o sus herramientas de RRHH a una plataforma propietaria sin una cláusula de reversibilidad clara se encuentra cautiva. La exigencia de exportar los datos en un formato abierto, probado en condiciones reales antes de la firma del contrato, debería figurar en todo pliego de condiciones.
Inteligencia artificial y digital responsable en las entidades
La inteligencia artificial llega a las entidades a través de casos de uso específicos en lugar de despliegues masivos. Tratamiento automatizado de correos entrantes, clasificación de solicitudes de usuarios, detección de anomalías en el consumo energético de edificios públicos: estas aplicaciones generan ganancias medibles sin necesidad de una reestructuración completa del SI.
El principal obstáculo no es tecnológico, sino organizativo. Formar a los agentes en el uso de herramientas potenciadas por la IA, definir los casos en los que la decisión automatizada debe ser validada por un humano, documentar los algoritmos utilizados para cumplir con las obligaciones de transparencia: estos proyectos requieren tiempo y competencias que los efectivos actuales de las DSI territoriales tienen dificultades para liberar.
El aspecto de digital responsable añade una capa de restricciones. La ley REEN impone a las entidades de más de 50,000 habitantes una estrategia de reducción de la huella ambiental del digital. Concretamente, esto se traduce en criterios ambientales en los contratos públicos informáticos, una prolongación de la vida útil de los equipos y una racionalización de las infraestructuras de servidores.
- Integrar criterios ambientales en los contratos públicos informáticos, de acuerdo con las obligaciones derivadas de la ley Clima y Resiliencia
- Medir la huella de carbono del parque digital existente antes de establecer objetivos de reducción cuantificados
- Fomentar el reutilización y reacondicionamiento de los puestos de trabajo, en relación con los sectores locales de la economía circular
- Documentar los algoritmos de IA desplegados para garantizar la transparencia hacia los administrados y los elegidos
La articulación entre estos cuatro ejes (ciberseguridad regulatoria, gobernanza de datos, soberanía en la nube, IA responsable) dibuja el perímetro real de la transformación digital territorial para los próximos años. Las entidades que abordan estos temas en silos reproducen los errores de fragmentación que han hecho que sus sistemas de información sean tan difíciles de hacer evolucionar. Dirigir estos proyectos de manera transversal, bajo la autoridad de una dirección de digital y no solo de una DSI técnica, sigue siendo la condición para que estas inversiones produzcan resultados duraderos.