Los ayuntamientos dependen cada vez más de sistemas digitales, pero sus capacidades de ciberseguridad son muy desiguales. Esa brecha ha estado en el centro de LocalCiber, el primer Congreso de Ciberseguridad del mundo local organizado por el Consorcio Localret los días 17 y 18 de septiembre de 2026 en Badalona.
El encuentro se planteó como un espacio para compartir experiencias reales y buenas prácticas entre entidades locales. La agenda no se limitó a amenazas actuales: Localret destacó expresamente la inteligencia artificial y la computación cuántica como retos que marcarán el futuro de la seguridad pública local.
Por qué los ayuntamientos son un objetivo especialmente complejo
Una entidad local concentra servicios muy variados: padrón, tributos, policía, servicios sociales, urbanismo, contratación, registro y atención ciudadana. Esa diversidad genera una superficie tecnológica amplia.
Al mismo tiempo, muchos municipios tienen equipos TIC reducidos. El responsable de sistemas puede atender soporte, redes, aplicaciones, contratación y seguridad al mismo tiempo.
La combinación de datos sensibles, servicios esenciales y recursos limitados convierte la cooperación en una necesidad.
La ciberseguridad municipal no puede basarse solo en herramientas
Comprar antivirus, firewall o monitorización es importante, pero no suficiente. La mayoría de incidentes atraviesan procesos, usuarios, proveedores y configuraciones.
Una estrategia municipal debe comenzar por inventario, gestión de identidades, copias, actualización, segmentación y procedimientos de incidente. También necesita formación para personal que maneja correo, expedientes y documentación sensible.
El ENS ofrece un marco para estructurar muchas de estas medidas, pero la implantación exige convertir requisitos en tareas operativas.
Compartir casos reales acelera la madurez
LocalCiber se diseñó alrededor de experiencias y buenas prácticas. Este enfoque tiene valor porque muchas entidades afrontan problemas similares y no necesitan descubrir las mismas lecciones de forma independiente.
Saber cómo otro municipio gestionó un incidente, implantó autenticación multifactor o estructuró su continuidad puede ahorrar tiempo. Las comunidades de práctica ayudan a traducir guías técnicas a situaciones reales.
También permiten identificar soluciones que funcionan a escala municipal y otras que requieren recursos difíciles de mantener.
La inteligencia artificial introduce nuevas oportunidades y riesgos
La IA puede ayudar a analizar alertas, clasificar correos o detectar patrones, pero también amplía las capacidades de los atacantes. Campañas de phishing más convincentes, automatización de reconocimiento y generación de contenido malicioso reducen barreras.
Para los ayuntamientos esto significa que la concienciación tradicional debe evolucionar. Un correo fraudulento ya no tiene por qué contener errores evidentes.
También es necesario controlar el uso interno de herramientas generativas para evitar que información sensible termine en servicios no autorizados.
La amenaza cuántica entra en la planificación
La computación cuántica todavía no implica sustituir inmediatamente toda la criptografía municipal, pero sí obliga a pensar en horizontes largos. Algunos datos deben conservarse durante años y pueden ser capturados hoy para intentar descifrarlos en el futuro.
La preparación comienza por inventariar dónde se utiliza criptografía y qué sistemas tienen ciclos de vida largos. No es un proyecto aislado de compra, sino una transición que requerirá planificación.
El propio CCN ha advertido durante 2026 sobre la necesidad de prepararse frente a la amenaza cuántica.
Proveedores: el eslabón que a menudo queda fuera del inventario
Un ayuntamiento utiliza software y servicios de numerosas empresas. Cada conexión, acceso remoto o integración puede convertirse en dependencia crítica.
Los contratos deberían incluir requisitos de seguridad, notificación de incidentes, tiempos de respuesta, control de subcontratación y devolución de datos. También deben limitar cuentas compartidas y accesos permanentes.
La gestión de terceros es una de las áreas donde los municipios pueden beneficiarse de modelos y cláusulas comunes.
Servicios compartidos y papel de diputaciones
Las diputaciones y organismos supramunicipales pueden prestar capacidades que un municipio pequeño difícilmente puede mantener: SOC, asesoramiento ENS, respuesta a incidentes, copias o formación.
Centralizar determinadas capacidades genera economías de escala, pero requiere definir responsabilidades. El municipio debe saber qué cubre el servicio compartido y qué tareas siguen siendo propias.
La colaboración territorial es una de las vías más realistas para reducir la brecha entre municipios grandes y pequeños.
Continuidad: pensar más allá del ciberataque
La ciberseguridad no termina en evitar intrusiones. Una Administración debe poder seguir prestando servicios cuando un sistema falla.
Eso requiere copias verificadas, procedimientos manuales alternativos y prioridades de recuperación. No todos los sistemas deben restaurarse al mismo tiempo.
Los ejercicios de continuidad permiten comprobar si los planes funcionan antes de una crisis real.
Qué debería revisar un ayuntamiento después de LocalCiber
El primer ejercicio es saber qué tiene. Inventario de sistemas, proveedores, usuarios privilegiados y datos. Después conviene revisar autenticación, copias y vulnerabilidades.
También debe existir un procedimiento de incidente que indique a quién avisar y quién toma decisiones. En una crisis, improvisar contactos y responsabilidades consume un tiempo crítico.
Checklist básico de ciberseguridad municipal
- Mantener inventario actualizado de activos y proveedores.
- Aplicar autenticación multifactor a accesos críticos.
- Eliminar cuentas obsoletas y compartidas.
- Segmentar redes y limitar privilegios.
- Verificar copias mediante restauraciones periódicas.
- Actualizar sistemas y gestionar vulnerabilidades.
- Definir un plan de respuesta a incidentes.
- Incluir seguridad en contratos tecnológicos.
- Controlar el uso de IA generativa por empleados.
- Inventariar dependencias criptográficas a largo plazo.
Preguntas frecuentes
¿Cuándo se celebró LocalCiber?
El congreso se celebró los días 17 y 18 de septiembre de 2026 en Badalona.
¿Quién lo organizó?
El Consorcio Localret, con colaboración del Ayuntamiento de Badalona, Reactivació Badalona y la Agencia de Ciberseguridad de Cataluña.
¿Qué tecnologías de futuro destacó?
La organización señaló la inteligencia artificial y la computación cuántica entre los retos a considerar.
¿Qué puede hacer un municipio pequeño?
Priorizar controles básicos, apoyarse en servicios compartidos y exigir seguridad a sus proveedores antes de abordar proyectos muy complejos.
Fuente oficial
La información procede de la página oficial de Localret dedicada al congreso LocalCiber.
En Digitalización Pública News seguiremos la evolución de la ciberseguridad local y las iniciativas que ayuden a municipios a mejorar su resiliencia.
Priorizar cuando los recursos municipales son limitados
La ciberseguridad municipal suele competir con muchas otras necesidades tecnológicas. Por eso conviene priorizar controles con alto impacto: autenticación multifactor, copias verificadas, actualización, segmentación, inventario y reducción de privilegios. Estos elementos disminuyen riesgo en numerosos escenarios y crean una base sobre la que incorporar capacidades más avanzadas.
La priorización debe apoyarse en riesgo y criticidad. Un sistema que gestiona policía local o servicios sociales no tiene el mismo impacto que una web informativa. La inversión debería reflejar esas diferencias.
Cómo organizar la respuesta a incidentes
Un plan útil contiene contactos, responsabilidades, criterios de escalado y acciones iniciales. Debe indicar cómo aislar equipos, conservar evidencias, comunicar internamente y contactar con organismos de apoyo. La primera hora de un incidente no es el momento para decidir quién tiene autoridad.
Los simulacros permiten comprobar si los teléfonos, accesos y copias realmente funcionan. También revelan dependencias que no aparecen en documentos.
Identidades: la frontera más importante
Muchas intrusiones empiezan con credenciales. Los ayuntamientos deberían revisar cuentas administrativas, accesos remotos y usuarios de proveedores. Las cuentas compartidas dificultan atribuir acciones y deben evitarse.
Cuando un empleado cambia de puesto o abandona la organización, sus permisos deben revisarse de inmediato. La gestión de identidades es un proceso continuo, no una configuración inicial.
El papel de la contratación
Los proveedores pueden acceder a sistemas críticos para mantenimiento. Los contratos deberían limitar ese acceso al tiempo y funciones necesarios, exigir autenticación robusta y establecer notificación de incidentes. También conviene conocer subcontratistas y servicios en nube utilizados.
Un inventario de proveedores ayuda a responder cuando se publica una vulnerabilidad que afecta a una tecnología concreta.
Formación adaptada a funciones
Una formación genérica anual tiene utilidad limitada si no se adapta a los riesgos reales. Personal de contratación, intervención, policía o servicios sociales maneja información y procesos diferentes.
Los ejercicios breves y frecuentes, acompañados de canales claros para reportar sospechas, suelen integrarse mejor en el trabajo cotidiano.
Preparación frente a tecnologías emergentes
La IA y la computación cuántica no deben desplazar los problemas actuales, pero sí incorporarse a la planificación. El municipio puede empezar por políticas de uso de IA y por inventariar sistemas criptográficos de larga vida.
La transición ordenada es preferible a esperar a que una tecnología se convierta en urgencia.
Lecturas relacionadas
Para profundizar, consulta el análisis del ENS legible por máquina, PILAR Web, el modelo de servicios compartidos de la AOC y la estrategia europea de código abierto.
Un modelo de madurez para municipios
No todos los ayuntamientos necesitan la misma infraestructura. Puede plantearse una evolución por niveles. El primero cubre inventario, copias, actualización y autenticación. El segundo incorpora segmentación, monitorización y procedimientos de incidente. El tercero añade capacidades avanzadas de detección, automatización y análisis.
Este enfoque permite invertir según riesgo y capacidad real. Saltar directamente a herramientas complejas sin una base operativa suele generar alertas que nadie puede atender.
Copias de seguridad: la diferencia entre tenerlas y poder restaurar
Una copia solo es útil si puede recuperarse. Las entidades deberían programar pruebas de restauración y conservar al menos una copia protegida frente a alteración desde la red ordinaria. También es importante definir objetivos de recuperación para saber cuánto dato y tiempo puede perder cada servicio.
Los sistemas más críticos necesitan procedimientos documentados que puedan ejecutarse incluso cuando parte de la infraestructura principal no esté disponible.
Seguridad del correo y fraude
El correo sigue siendo una vía habitual para phishing y fraude de pagos. Además de filtros, se necesitan procedimientos internos para verificar cambios de cuenta bancaria, solicitudes urgentes o instrucciones inusuales.
La IA generativa puede hacer más convincentes estos mensajes. La defensa debe apoyarse en procesos de verificación independientes y no solo en detectar errores de redacción.
Coordinación durante una crisis
Un incidente puede afectar a alcaldía, secretaría, intervención, protección de datos, comunicación y proveedores. El plan debe contemplar esa coordinación y definir quién comunica con ciudadanía y otros organismos.
La comunicación prematura o imprecisa puede generar problemas adicionales. Por eso conviene preparar plantillas y canales alternativos antes de necesitarlos.
Inventario criptográfico y transición futura
La preparación poscuántica comienza identificando certificados, VPN, firma, cifrado de bases de datos y protocolos utilizados. Una entidad que no sabe dónde depende de criptografía tendrá dificultades para migrar cuando cambien las recomendaciones.
No es necesario sustituirlo todo de inmediato, pero sí incorporar la capacidad de actualización a nuevas compras y renovaciones.
Indicadores para saber si mejora la seguridad
Un municipio puede medir porcentaje de cuentas con multifactor, tiempo de parcheo, restauraciones probadas, activos inventariados o incidencias detectadas. Estos indicadores son más útiles que contar herramientas compradas.
La dirección puede utilizar esta información para priorizar presupuesto y justificar mejoras ante órganos de gobierno y auditoría.
Presupuesto y seguridad deben planificarse juntos
La ciberseguridad municipal no debería aparecer únicamente como una partida extraordinaria después de un incidente. Renovaciones de sistemas, nuevas aplicaciones y contratos de mantenimiento deben incorporar desde el inicio costes de seguridad, actualización y continuidad. Esto evita que controles esenciales queden fuera por no haberse previsto en el presupuesto inicial.
También conviene reservar capacidad para formación y pruebas de restauración. Son actividades menos visibles que una nueva herramienta, pero tienen un impacto directo en la resiliencia. Un plan plurianual permite repartir inversiones y priorizar los sistemas de mayor criticidad.
Cooperar para reducir la brecha entre municipios
Las redes de colaboración permiten compartir plantillas, procedimientos, formación y capacidades de respuesta. Esta cooperación es especialmente valiosa para entidades pequeñas, que pueden acceder a conocimiento especializado sin mantener equipos completos de forma individual.
La continuidad debe probarse antes de una crisis
Un plan de continuidad que nunca se ha ensayado puede fallar por detalles básicos: credenciales caducadas, copias inaccesibles, proveedores sin disponibilidad o teléfonos desactualizados. Los municipios deberían realizar ejercicios periódicos, aunque sean sencillos, para comprobar tiempos de recuperación y coordinación. Estas pruebas permiten corregir debilidades con calma y convierten la resiliencia en una capacidad operativa real.
El objetivo final es que la seguridad deje de depender de esfuerzos puntuales y pase a formar parte del funcionamiento ordinario del ayuntamiento. Revisiones periódicas, responsables definidos y controles básicos bien mantenidos suelen aportar más resiliencia que incorporar herramientas avanzadas sin capacidad para operarlas de forma continuada.
Este enfoque continuo permite además justificar mejor las prioridades presupuestarias, porque cada inversión se vincula con riesgos, servicios afectados y mejoras medibles. La ciberseguridad deja así de verse como un gasto aislado y pasa a formar parte de la calidad del servicio público digital.
Fotografía: Markus Spiske / Pexels.