La seguridad digital en un punto de inflexión: tres tendencias críticas en materia de seguridad para 2026

El rumbo del futuro de la seguridad digital se está redefiniendo en estos momentos. Solo en Alemania, los daños causados por los ciberataques a empresas se han estimado en unos 289 000 millones de euros en los últimos doce meses, una cifra sin precedentes. El panorama de las amenazas sigue cambiando como consecuencia de las nuevas tecnologías, como la inteligencia artificial y, en el futuro, la computación cuántica, lo que hace que los ataques sean más complejos y difíciles de predecir. Incluso los datos confidenciales que actualmente están protegidos por cifrado pueden ser utilizados indebidamente en manos equivocadas, siguiendo el lema «recoger ahora, descifrar después».

Ante esta situación de amenaza, Nils Gerhardt, director técnico de Utimaco, destaca la necesidad de adoptar medidas estratégicas y señala tres tendencias que determinarán de manera significativa la resiliencia de las organizaciones en 2026.

1) Soberanía digital: el camino hacia la independencia criptográfica

Los recientes ciberataques a infraestructuras críticas, entre ellas varios aeropuertos europeos, ponen de relieve nuestra dependencia de los grandes proveedores de tecnología. El dominio de un puñado de proveedores en áreas críticas clave, como la criptografía, plantea riesgos, especialmente cuando se ven afectadas funciones básicas fundamentales para la seguridad. Por lo tanto, la soberanía digital debe convertirse en una realidad técnicamente segura. Una amplia base de soluciones fiables constituye el fundamento para ello, especialmente en criptografía, que no debe utilizarse como una caja negra opaca.

Los gobiernos y las autoridades reguladoras reconocen la urgencia de esta cuestión, como demuestran iniciativas internacionales como el proyecto de ley de ciberseguridad y resiliencia del Reino Unido, la directiva NIS2 de la UE, los proyectos IPCEI europeos y la ley de ciberseguridad de Singapur. Las empresas deben incorporar las realidades geopolíticas en su planificación estratégica como criterio para los componentes críticos para la seguridad, especialmente en el ámbito del cifrado, y plasmarlo en sus directrices de adquisición. Esto significa alejarse activamente de un enfoque puramente orientado al precio en favor de cadenas de suministro transparentes y verificables. Además, las organizaciones deben considerar los requisitos de normativas como la NIS2 no como una mera obligación de cumplimiento, sino como una oportunidad para aumentar la ciberseguridad interna mediante inversiones estratégicas en tecnologías de seguridad y para reforzar la resiliencia digital de todo el ecosistema.

2) Criptografía poscuántica (PQC). El reloj no se detiene hasta 2035

El constante progreso en el desarrollo de ordenadores cuánticos comerciales plantea el riesgo de que la criptografía asimétrica actual pueda ser descifrada en menos de una década; algunas previsiones incluso sitúan la fecha límite antes. El enfoque de «recoger ahora, descifrar más tarde» es especialmente relevante: las identidades digitales dejarán de ser seguras y los atacantes ya están recopilando datos confidenciales y cifrados para descifrarlos más tarde utilizando ordenadores cuánticos. Esto crea una necesidad inmediata de actuar por parte de las empresas con datos que deben protegerse a largo plazo, como las del sector de las infraestructuras críticas o el financiero. La criptografía poscuántica (PQC) ofrece la respuesta estratégica en este caso, pero el tiempo es esencial: la hoja de ruta de la UE sobre la PQC exige a todos los Estados miembros que elaboren un plan nacional integral para la implementación de la PQC antes de finales de 2026, mientras que, al mismo tiempo, la directriz del NIST prohíbe el apoyo a las prácticas comunes actuales a partir de 2035. Según Forrester, se espera que el gasto en seguridad cuántica represente más del cinco por ciento del presupuesto total de seguridad informática en los próximos años.

Un elemento clave de cualquier migración a la PQC es un inventario criptográfico completo que registre todos los procedimientos, longitudes de clave y algoritmos utilizados. Sobre esta base, la transición tecnológica debe realizarse a través de una infraestructura criptográfica central y a prueba de manipulaciones que sirva de ancla de confianza (raíz de confianza).

Lo ideal sería que las empresas ya estuvieran utilizando hardware criptoágil: dispositivos que se pueden actualizar con los nuevos algoritmos PQC según sea necesario sin tener que sustituir toda la infraestructura. Aunque es probable que el PQC y otros métodos criptográficos cuánticos sigan estando limitados a escenarios muy especializados, la gestión criptoágil de claves y del ciclo de vida permite una migración pragmática y segura a largo plazo.

3) La IA generativa y el dilema de la protección de datos

El crecimiento exponencial de los modelos de IA y los conjuntos de datos en relación con los sistemas de IA generativa crea una nueva vulnerabilidad y agrava los problemas existentes en materia de protección de datos. Según un estudio de 451 Research (Voice of the Enterprise (VotE): Data & Analytics, Generative AI Adoption 2025), las preocupaciones sobre la protección y la seguridad de los datos se encuentran entre los principales obstáculos para la implementación de herramientas de IA generativa. Los riesgos surgen tanto de la introducción involuntaria de información confidencial en los modelos de entrenamiento como de ataques más sofisticados, como la «inyección de comandos». Dado que la seguridad y la privacidad son los factores decisivos más importantes a la hora de seleccionar modelos de lenguaje grandes (LLM), las empresas necesitan urgentemente cambiar sus mecanismos de control de la seguridad perimetral al nivel de los datos.

La prioridad es el cifrado coherente de los datos relevantes, de modo que los controles de seguridad se apliquen directamente a los propios datos antes de que entren en los entornos LLM. Además, se requiere la detección y clasificación sistemáticas de los datos sensibles para garantizar que solo se publiquen conjuntos de datos autorizados y limpios para las aplicaciones de IA. Dado que muchos ataques se dirigen al «factor humano», también es esencial contar con directrices claras para el uso de herramientas de GenAI y una formación continua de los empleados para evitar la «GenAI en la sombra» y garantizar una revisión humana cualificada de todo el contenido generado por la IA.

Se puede ofrecer una cita además de la alerta a los medios:

«El futuro digital estará marcado por una carrera entre las nuevas tecnologías y las medidas de seguridad necesarias. Para las organizaciones, no se trata solo de defenderse de las amenazas actuales, sino de invertir estratégicamente en un futuro independiente, cuánticamente seguro y resistente a la IA», afirma Nils Gerhardt, director técnico de Utimaco. «Por estas razones, estamos convencidos de que la soberanía digital no es un lujo, sino una necesidad. Es el ancla de seguridad en una época de amenazas exponenciales. Ahora es el momento de que las empresas integren activamente estas tendencias estratégicas de seguridad en su planificación empresarial para 2026 con el fin de garantizar la competitividad y la resiliencia a largo plazo de su organización, desarrollar la agilidad criptográfica como competencia estratégica fundamental y generar confianza a través de la tecnología europea para proteger los datos sensibles y los sistemas críticos a largo plazo».