El Centro Criptológico Nacional (CCN) ha presentado PILAR Web, una evolución de su conocida herramienta PILAR para el análisis y la gestión de riesgos de los sistemas de información. La principal novedad es clara: el trabajo pasa a un entorno accesible desde navegador, con nuevas funciones de colaboración y un proceso más ágil para el registro y la gestión de licencias. Para las Administraciones Públicas, que utilizan el análisis de riesgos como una pieza central de la seguridad y del cumplimiento del Esquema Nacional de Seguridad (ENS), el cambio puede simplificar tareas que hasta ahora dependían en mayor medida de instalaciones locales y flujos menos compartidos.
El anuncio se publicó el 14 de septiembre de 2026 y el propio CCN ha programado para el 1 de octubre un seminario de presentación. Más allá de la migración a web, el interés está en cómo cambia la organización del trabajo: una plataforma online puede facilitar que equipos de seguridad, responsables de sistemas, auditores y unidades distintas de una misma entidad compartan información y mantengan análisis coordinados. Esa posibilidad es especialmente relevante en organismos complejos y en entidades locales que dependen de servicios compartidos o de apoyo supramunicipal.
Qué es PILAR y por qué importa en el sector público
PILAR es una herramienta ampliamente asociada al análisis y la gestión de riesgos en el ámbito de la Administración y de la seguridad de los sistemas de información. Su uso se vincula a metodologías como MAGERIT y a procesos de identificación de activos, amenazas, salvaguardas, impacto y riesgo. En la práctica, permite estructurar una parte del trabajo que las organizaciones deben realizar para entender qué protegen, frente a qué amenazas y con qué medidas.
El análisis de riesgos no es un ejercicio documental aislado. Sus resultados condicionan decisiones de arquitectura, prioridades de inversión, medidas de seguridad, continuidad, gestión de incidentes y planes de adecuación. Cuando se hace correctamente, ayuda a evitar que la ciberseguridad se limite a comprar herramientas sin una relación clara con los riesgos reales de la organización.
Para una Administración Pública, este análisis adquiere todavía más peso porque muchos sistemas soportan servicios esenciales para la ciudadanía, expedientes, registros, información personal, pagos, notificaciones, contratación o intercambio de datos con otras administraciones. La disponibilidad y la integridad pueden ser tan relevantes como la confidencialidad.
Qué aporta PILAR Web frente al enfoque tradicional
El CCN destaca tres cambios: funcionamiento online, colaboración y trabajo compartido, y un proceso más ágil de registro y solicitud de licencias. El acceso desde navegador reduce la fricción de despliegue en puestos concretos y puede facilitar el uso desde entornos controlados sin necesidad de instalar la aplicación en cada equipo.
La colaboración es probablemente el punto con más impacto organizativo. Un análisis de riesgos rara vez depende de una sola persona. El área de sistemas conoce activos y arquitectura; los responsables funcionales entienden la criticidad de los servicios; seguridad define amenazas, medidas y criterios; continuidad aporta escenarios de interrupción; y dirección debe asumir determinados niveles de riesgo. Cuando toda esa información se gestiona mediante intercambios de archivos o copias locales, aparecen problemas de versiones, duplicidades y falta de trazabilidad.
Una plataforma compartida puede reducir parte de esa complejidad. Eso no garantiza por sí mismo una buena gobernanza, pero sí permite diseñar procesos más ordenados, con responsabilidades claras y una fuente común de trabajo.
Por qué la gestión del riesgo se está volviendo más colaborativa
La ciberseguridad pública ha evolucionado desde modelos centrados en infraestructuras relativamente delimitadas a ecosistemas donde participan servicios en nube, proveedores, aplicaciones SaaS, APIs, dispositivos, sedes remotas, servicios compartidos y conexiones con otras entidades. El mapa de dependencias se ha vuelto más complejo.
En ese contexto, la persona que administra un servidor ya no dispone por sí sola de toda la información necesaria para valorar el riesgo. Se necesita contexto funcional, contractual, legal, técnico y organizativo. Un mismo activo puede depender de servicios externos, tratamiento de datos personales, componentes de terceros y procedimientos manuales.
PILAR Web encaja en esta necesidad al facilitar una forma de trabajo donde varias personas pueden participar de manera más coordinada. Para que esa colaboración funcione, las organizaciones tendrán que definir quién mantiene cada parte del inventario, quién valida los impactos y quién aprueba los resultados.
Impacto para ayuntamientos y diputaciones
Las entidades locales son un caso especialmente interesante. Muchos ayuntamientos no disponen de un departamento de ciberseguridad propio y se apoyan en diputaciones, consorcios, proveedores tecnológicos o servicios centralizados. En estos entornos, compartir un análisis de riesgos mediante archivos puede ser poco escalable cuando una misma unidad presta apoyo a decenas o cientos de entidades.
Un entorno web puede facilitar modelos de asistencia más estructurados. Una diputación podría acompañar a distintos municipios manteniendo criterios homogéneos, mientras cada entidad conserva su contexto y sus activos. También puede simplificar revisiones periódicas, porque no sería necesario reconstruir el estado de cada análisis a partir de múltiples copias.
Esto no significa que una entidad pueda externalizar por completo la responsabilidad. El conocimiento sobre procesos y servicios sigue estando dentro de la organización. Un proveedor puede ayudar a modelar el riesgo, pero la valoración de impacto y la aceptación de determinados riesgos requieren participación de los responsables correspondientes.
PILAR Web y el Esquema Nacional de Seguridad
El ENS exige una aproximación basada en riesgos y establece la necesidad de adoptar medidas adecuadas al sistema y a su categorización. PILAR es una de las herramientas que puede ayudar a estructurar ese proceso, pero no debe confundirse la herramienta con el cumplimiento. Tener un análisis cargado en una aplicación no demuestra, por sí solo, que las medidas estén implantadas o que las evidencias sean suficientes.
La utilidad aparece cuando el análisis se conecta con la gestión real: inventario de activos, planes de tratamiento, responsables, presupuesto, auditorías, incidentes y revisiones. PILAR Web puede facilitar esa conexión si la organización define un proceso vivo y no limita su uso a preparar documentación justo antes de una auditoría.
El reto de mantener los datos actualizados
Uno de los problemas habituales del análisis de riesgos es la obsolescencia. Una organización realiza un ejercicio exhaustivo, documenta decenas de activos y dependencias y, meses después, parte de la arquitectura ha cambiado. Se han contratado nuevos servicios, se han migrado aplicaciones o han cambiado responsables.
El acceso web y el trabajo compartido pueden reducir la barrera para actualizar la información, pero la herramienta no puede saber por sí sola cuándo se ha producido un cambio relevante. Por eso conviene conectar la revisión del riesgo con procesos internos: altas de nuevos sistemas, modificaciones de arquitectura, contratación de servicios tecnológicos, cambios de proveedores, incidentes relevantes o revisiones periódicas.
Una buena práctica es definir eventos que obliguen a revisar el análisis, además de una periodicidad mínima. De ese modo, el documento deja de ser una fotografía puntual y se acerca a un proceso continuo.
Qué deberían revisar los responsables de seguridad antes de migrar
Antes de adoptar cualquier nueva modalidad de trabajo conviene revisar aspectos de operación y gobernanza. En primer lugar, quién tendrá acceso y qué perfiles serán necesarios. Después, cómo se importarán análisis existentes y si habrá que depurar previamente inventarios o datos duplicados.
También será importante documentar el procedimiento de copias, exportación y conservación de la información. Incluso cuando la herramienta sea oficial, una entidad debe conocer cómo recuperará sus datos, qué mecanismos de trazabilidad existen y cómo se integrará la información con sus expedientes, auditorías o repositorios documentales.
Otro punto es la capacitación. El paso a web puede simplificar el acceso, pero la calidad del análisis sigue dependiendo del conocimiento de la metodología. Un interfaz más cómodo no sustituye la necesidad de entender activos, dependencias, impactos, amenazas y salvaguardas.
Cómo puede cambiar una auditoría con un entorno más accesible
Las auditorías de seguridad necesitan evidencias consistentes y una visión clara de la evolución de los riesgos. Cuando el análisis se mantiene actualizado y con una trazabilidad adecuada, resulta más sencillo justificar decisiones y explicar por qué determinadas medidas se priorizaron.
PILAR Web puede ayudar a reducir el problema de las copias divergentes, siempre que la organización establezca un uso disciplinado. La persona auditora debería poder identificar la versión relevante, los responsables y la fecha de las revisiones. Esto es especialmente útil cuando hay varios sistemas con categorías diferentes o cuando el alcance incluye servicios compartidos.
La auditabilidad no depende únicamente de la herramienta, sino de los registros y del proceso. Por eso conviene acompañar el despliegue con un procedimiento interno que defina cuándo se revisa, quién aprueba y cómo se documentan los cambios.
Qué significa para proveedores de ciberseguridad
Consultoras y proveedores que prestan servicios a Administraciones tendrán que adaptar también su forma de trabajo. Si la plataforma facilita colaboración, ya no será necesario basar todo el servicio en entregables estáticos. Puede evolucionarse hacia un acompañamiento donde el proveedor ayuda a mantener el modelo actualizado y la entidad participa directamente.
Esto puede mejorar la transferencia de conocimiento. Uno de los riesgos de algunos proyectos de consultoría es que el análisis queda encapsulado en un informe que solo entiende quien lo elaboró. Si los responsables internos trabajan sobre la misma plataforma, es más fácil que conozcan el modelo y puedan mantenerlo.
En contratación pública, las administraciones pueden empezar a pedir con más precisión qué tareas realizará el proveedor: inventario, modelado, análisis, plan de tratamiento, actualización periódica, acompañamiento en auditoría o formación. Separar esas actividades ayuda a evitar contratos demasiado genéricos.
El webinar del 1 de octubre
El CCN ha anunciado un seminario web para el jueves 1 de octubre, de 11:30 a 12:30, destinado a presentar las principales novedades de PILAR Web. La sesión abordará el acceso online, las opciones de colaboración y el nuevo procedimiento de registro y licencias. La inscripción se gestiona a través de ÁNGELES, el portal de formación y capacitación del CCN.
Para responsables públicos que ya utilizan PILAR, esta sesión puede ser útil para entender cómo se trasladan los flujos actuales a la versión web y qué cambios operativos serán necesarios. Para entidades que todavía gestionan el análisis mediante otros procedimientos, puede servir para valorar si la nueva modalidad encaja en su modelo.
Checklist para una implantación ordenada
- Inventariar los análisis de riesgos existentes y su estado de actualización.
- Identificar responsables funcionales, técnicos y de seguridad que participarán.
- Definir perfiles y reglas de acceso.
- Planificar la migración o importación de información existente.
- Revisar inventarios antes de trasladar datos obsoletos.
- Establecer una periodicidad mínima de revisión.
- Definir eventos que obliguen a actualizar el análisis.
- Relacionar los resultados con planes de tratamiento y presupuesto.
- Documentar cómo se conservarán evidencias y versiones.
- Formar a los usuarios en metodología, no solo en la interfaz.
Preguntas frecuentes
¿PILAR Web sustituye a PILAR?
El CCN la presenta como la versión online de PILAR y como una evolución que traslada sus capacidades a un entorno web con nuevas funciones de colaboración y gestión de licencias.
¿Hay que instalar software?
Según la información publicada por el CCN, PILAR Web permite trabajar directamente desde navegador, sin necesidad de instalar la herramienta en el puesto.
¿Sirve por sí sola para cumplir el ENS?
No. Es una herramienta de apoyo al análisis y gestión de riesgos. El cumplimiento requiere implantación efectiva de medidas, documentación, evidencias, responsabilidades y, cuando corresponda, auditoría.
¿Puede ser útil para un ayuntamiento pequeño?
Sí, especialmente si trabaja con una diputación, consorcio o proveedor que pueda apoyar el análisis. La modalidad web puede facilitar colaboración y revisiones compartidas.
Fuente oficial
La información procede del Centro Criptológico Nacional, que anunció PILAR Web el 14 de septiembre de 2026 y enlaza desde su publicación a la propia plataforma y al webinar de presentación.
En Digitalización Pública News seguiremos las herramientas, guías y cambios que afecten a la ciberseguridad y a la gestión del riesgo en las Administraciones Públicas.
Cómo encajar PILAR Web en el ciclo real de gestión del riesgo
El cambio de herramienta tiene sentido si se acompaña de un cambio de proceso. La entidad debería vincular cada revisión de riesgos con decisiones concretas: cambios de arquitectura, nuevas contrataciones, migraciones a nube, incorporación de proveedores o incidentes que alteren la exposición. Así, el análisis deja de ser un documento que se actualiza para una auditoría y pasa a formar parte del gobierno ordinario del sistema.
También conviene definir un calendario de revisión y responsables claros. El área técnica puede mantener activos y dependencias, mientras responsables funcionales validan impacto y seguridad coordina amenazas, salvaguardas y planes de tratamiento. Esta separación reduce el riesgo de que una sola persona tenga que interpretar por su cuenta todo el funcionamiento de la organización.
Lecturas relacionadas
Para ampliar el contexto, consulta el análisis sobre el ENS legible por máquina, la experiencia de la AOC con servicios ENS de categoría alta, los retos de ciberseguridad municipal y el papel del gobierno del dato en la transformación pública.
Fotografía: Brett Sayles / Pexels.