Cyberzaintza afronta el ecuador de su Plan Estratégico con la mayor parte de sus líneas de actuación ya en marcha y el objetivo de completar el despliegue del modelo vasco de ciberseguridad antes de 2028. Su director general, Javier Diéguez, analiza en esta entrevista el aumento de las amenazas digitales, los retos para las empresas, la necesidad de reforzar la soberanía tecnológica europea y el potencial de Euskadi para consolidarse como un referente en ciberseguridad.

 ¿En qué punto se encuentra el Plan Estratégico de Cyberzaintza 2025-2028 y cuáles son los próximos objetivos?
El balance es positivo. Durante el primer año del Plan, se activaron servicios en el 75% de las líneas de actuación y ya se han completado las tres iniciativas estratégicas previstas, entre ellas la incorporación de Cyberzaintza como órgano de auditoría técnica del Esquema Nacional de Seguridad para el sector público vasco. El objetivo para 2028 es culminar todas las líneas de actuación y consolidar el modelo de ciberseguridad en las administraciones vascas.

Usted ha advertido que es una posibilidad tangible, un incidente grave que afecte a infraestructuras críticas. ¿Está
Euskadi preparada?
Sí. Euskadi dispone hoy de un modelo mucho más coordinado y de mayores capacidades de detección, vigilancia y respuesta. Aunque las amenazas son cada vez más sofisticadas, el territorio cuenta con una estructura más robusta y resiliente para hacer frente a un incidente de gran impacto.

¿Qué tipo de ciberataque podría obligar a activar un LABI?
Sería una medida excepcional, reservada para ataques que afecten de forma grave a servicios esenciales o a la seguridad de la población. Un ejemplo sería la interrupción prolongada de infraestructuras críticas como el suministro eléctrico, el agua o las telecomunicaciones. En esos casos se requiere una respuesta coordinada de país.

¿Cuál es hoy la principal amenaza en ciberseguridad?
La creciente sofisticación de los ataques y su capacidad para afectar a procesos críticos. Los ciberdelincuentes buscan cada vez más paralizar la actividad de organizaciones esenciales y aprovechan la elevada interconexión entre sistemas, donde una vulnerabilidad puede extenderse rápidamente a toda la cadena.  

¿Por qué la ciberseguridad debe entenderse como una inversión y no como un coste?
La ciberseguridad protege la continuidad del negocio. Un incidente puede detener la actividad, generar importantes pérdidas económicas y dañar la reputación de una empresa. Invertir en protección es invertir en competitividad, confianza y gestión del riesgo.

¿Cuál es el nivel de madurez de las empresas vascas?
Existe una realidad muy heterogénea. Más que el tamaño de la empresa, lo importante es conocer el propio nivel de exposición al riesgo, identificar los activos críticos y aplicar medidas de protección adaptadas a cada organización.

¿Dónde se detectan actualmente las mayores vulnerabilidades?
Siguen concentrándose en tres ámbitos: las personas, los sistemas que no están suficientemente actualizados y la creciente interconexión entre organizaciones. La vigilancia de la cadena de suministro y de los servicios en la nube resulta cada vez más determinante.

¿Qué sectores económicos considera más expuestos?
Todos los sectores están expuestos, pero los datos nos dicen que se producen más incidentes graves en aquellos que prestan servicios esenciales o gestionan información crítica. También destacan la industria y las empresas estratégicas, por su papel en la economía y en la cadena de suministro, así como las infraestructuras críticas. Cuanto mayor es el impacto en la sociedad, mayor es también la exposición al riesgo.

La estrategia vasca proyecta el territorio como referente internacional. ¿Cómo ha evolucionado la amenaza sobre las infraestructuras críticas?
La principal fortaleza es un modelo de colaboración público-privada muy consolidado, unido a un tejido industrial potente, un ecosistema tecnológico en crecimiento y una apuesta sostenida por la innovación y el talento.

En una entrevista anterior afirmó que Europa ha perdido años al no impulsar antes tecnología propia. ¿Estamos a tiempo de recuperar terreno?
Sí, pero es necesario actuar con rapidez. Europa debe reforzar su soberanía tecnológica con más inversión, apoyo a la industria y una estrategia común. Cada año de retraso dificulta competir con otras regiones que avanzan con mayor velocidad.

¿Qué necesita Euskadi para crear empresas especializadas con dimensión internacional?
El potencial existe, pero para que surjan empresas con dimensión europea o global, hacen falta principalmente tres cosas: más inversión, mayor acceso a financiación para escalar y consolidar proyectos, y seguir reforzando la conexión con mercados internacionales. El reto es acelerar el crecimiento y ganar escala para competir en el ámbito global.

¿Existe suficiente talento para cubrir la demanda?
No. La demanda supera a la oferta, aunque Euskadi ha avanzado notablemente gracias al crecimiento de la FP especializada y a iniciativas como CyberLehia. La IA también permitirá multiplicar la capacidad de los profesionales.

¿Qué riesgos plantea la IA para la ciberseguridad?
 Facilita ataques más rápidos, automatizados y sofisticados, además de convertirse en un nuevo objetivo para los ciberdelincuentes. Al mismo tiempo, es una herramienta que refuerza la defensa  y permite analizar grandes volúmenes de información y detectar amenazas con mayor rapidez. Cyberzaintza ya trabaja, además, en ámbitos como la criptografía post-cuántica para anticiparse a los retos futuros.