Ciberataque en Canarias: a quién avisas, en qué plazos y qué decide la recuperación

Qué ha pasado

El 2 de noviembre el Ayuntamiento de San Cristóbal de La Laguna detectó un incidente de ciberseguridad que afectó a parte de su infraestructura tecnológica. Se quedaron sin servicio la web, la sede electrónica, el gestor de expedientes y varias aplicaciones de gestión tributaria y contable (Canal 4 Tenerife).

El consistorio activó sus protocolos de respuesta, trasladó los hechos al Centro Criptológico Nacional y amplió los plazos administrativos en curso. La atención presencial se mantuvo, con limitaciones (Radio Marca Tenerife).

Los responsables del ataque pidieron un rescate de cinco millones de dólares. El alcalde, Luis Yeray Gutiérrez, explicó que denunciaron desde el primer momento, y el gobierno municipal mantiene que no va a pagar. También hubo que suspender el pleno del martes, en el que tocaba el sorteo de las mesas electorales del 29 de noviembre (BitLife Media).

Cuatro días después, la web y la sede electrónica seguían caídas. La prioridad del Ayuntamiento era levantar la infraestructura con garantías, asegurándose antes de que no queda ninguna puerta trasera que permita repetir el ataque (COPE Canarias).

No entramos a valorar cómo estaba configurado nada ni qué falló. Eso solo lo sabe quien está dentro, y en caliente se dicen muchas cosas que luego no son.

A quién hay que notificar y en qué plazos

Un ayuntamiento es sujeto obligado del Esquema Nacional de Seguridad (Real Decreto 311/2022). Su artículo 33 obliga a las entidades del sector público a notificar al CCN los incidentes que tengan un impacto significativo en la seguridad de sus sistemas, conforme a la Instrucción Técnica de Seguridad correspondiente. No todo incidente llega ahí: la clasificación por peligrosidad e impacto es la que decide qué se notifica y con qué urgencia. En La Laguna trasladaron los hechos al Centro Criptológico Nacional desde el primer día, además de denunciar.

Un detalle que casi nadie tiene claro: si quien sufre el incidente es una empresa privada que presta servicios al sector público, el mismo artículo 33 la dirige al INCIBE-CERT, que a su vez lo pone en conocimiento del CCN-CERT. El canal no es el mismo.

Si hay datos personales de por medio, el reloj es otro y tiene más letra pequeña de la que se suele contar. El artículo 33 del RGPD da 72 horas desde que el responsable tiene constancia de la brecha, pero la notificación a la AEPD solo es obligatoria cuando sea probable que la brecha suponga un riesgo para los derechos y libertades de las personas. Si ese riesgo es alto, además hay que comunicárselo a los afectados. Y aunque no haya que notificar, la brecha se documenta igual: eso no es opcional, y es lo primero que la Agencia pide si algún día pregunta.

Con NIS2 conviene ser precisos, porque se repite mucho y mal. La Directiva (UE) 2022/2555 fija una alerta temprana en 24 horas, una notificación en 72 y un informe final al mes, pero España no la ha transpuesto: la Ley de Coordinación y Gobernanza de la Ciberseguridad sigue sin publicarse en el BOE, y el 8 de julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por ello. Con las Cortes disueltas desde el 6 de octubre, no es realista esperarla antes de bien entrado 2027. Mientras tanto, lo aplicable en España sigue siendo el Real Decreto-ley 12/2018 y su desarrollo, para operadores de servicios esenciales y proveedores de servicios digitales. Lo contamos entero en NIS2 en España.

Y esto no va solo de ayuntamientos. El ENS alcanza también a empresas privadas, aunque no a todas por igual: lo vemos más abajo.

Dónde se gana o se pierde un incidente así

Lo que decide el daño no es el antivirus. Es lo que tienes preparado antes de que pase.

La recuperación depende de las copias de seguridad: que existan, que estén aisladas de la red que te han cifrado y que alguien las haya restaurado alguna vez en una prueba real. Una copia que nunca se ha restaurado es una suposición.

La continuidad depende de saber qué servicios tienen que volver primero y en qué orden. Si eso se decide con los sistemas caídos y el teléfono sonando, se decide mal.

La respuesta depende de tener escrito quién manda, a quién se avisa y qué se comunica. Notificar al CCN-CERT, a la Agencia Española de Protección de Datos si hay datos personales, y a clientes y ciudadanía, con plazos que corren desde el minuto uno.

Y el acceso depende de los proveedores. Casi siempre hay una empresa externa con credenciales en tus sistemas, y casi nunca se revisa qué puede hacer con ellas.

Nada de esto es opcional en el ENS, aunque la exigencia no es la misma para todos. En el Anexo II del RD 311/2022, las copias de seguridad [mp.info.6] se exigen desde el nivel bajo de la dimensión de disponibilidad; el refuerzo R1, que son las pruebas de recuperación, entra en nivel medio, y el R2, mantener al menos una copia almacenada en un lugar distinto, en nivel alto. La gestión de incidentes [op.exp.7] aplica desde categoría básica, con refuerzos en media y alta. De continuidad, el análisis de impacto [op.cont.1] entra en nivel medio, y el plan de continuidad [op.cont.2] y sus pruebas periódicas [op.cont.3] solo en nivel alto. Si tu organización ya tiene ISO 27001, su equivalente está en los controles A.5.24 a A.5.30 y A.8.13. En los dos casos son puntos que un auditor pide demostrar, no describir.

Cinco preguntas para esta semana

No hace falta un proyecto para responderlas. Hace falta media hora con quien lleve los sistemas.

  1. ¿Cuándo fue la última vez que restaurasteis una copia de seguridad completa, y cuánto tardó?
  2. ¿Las copias están en un sitio al que no llega un atacante que ya tiene administrador de dominio?
  3. ¿Qué tres servicios tienen que estar en pie el primer día, y quién decide el orden?
  4. ¿Quién avisa al CCN-CERT y a la AEPD, y con qué datos de contacto a mano si el correo está caído?
  5. ¿Qué proveedores tienen acceso remoto a vuestros sistemas y con qué permisos?

Si alguna respuesta es no lo sé, ahí tienes el primer trabajo.

Las primeras 48 horas

Lo que se hace los dos primeros días marca el resto. Este es el orden que siguen los equipos que salen bien parados.

Primero se contiene, no se restaura. Aislar los sistemas afectados, cortar accesos remotos y revocar credenciales con privilegios. Restaurar sobre una red todavía comprometida es volver a empezar en una semana.

En paralelo se conserva la evidencia. Imágenes de los sistemas, registros de actividad y la nota de rescate si la hay. Sin eso no hay análisis forense posible, y lo necesitarás para la denuncia, para el seguro y para saber si han salido datos.

Se activa el canal alternativo. Si el correo corporativo está caído, hace falta una vía acordada de antemano para hablar entre el equipo, con los proveedores y con la ciudadanía o los clientes. En La Laguna fue la atención presencial y los comunicados públicos.

Y se arranca el reloj de la notificación. Las 72 horas del RGPD cuentan desde que tienes constancia del incidente, no desde que sabes el alcance. Si hay indicios de datos personales afectados, se notifica con lo que se sepa y se amplía después.

Sobre el rescate, la postura de La Laguna fue no pagar, y es la línea que recomendamos. Pagar no garantiza recuperar la información, no evita que los datos se publiquen igualmente, financia a quien te atacó y te deja marcado como objetivo que paga. Dicho eso, no es una decisión que se tome sola ni en caliente: cuando está en juego la supervivencia de la organización, hay que tomarla con asesoramiento especializado, con el seguro delante y en coordinación con las autoridades.

Preguntas frecuentes

¿Hay que notificar un ciberataque aunque no se hayan filtrado datos?

No todos. Una entidad del sector público notifica al CCN los incidentes con impacto significativo en sus sistemas, según el artículo 33 del RD 311/2022 y la Instrucción Técnica de Seguridad que lo concreta, así que la clasificación del incidente es la que manda. La notificación a la AEPD es otra cosa y depende de que haya datos personales afectados y de que sea probable un riesgo para los derechos y libertades de las personas.

¿Cuánto tarda en recuperarse una organización?

No hay una cifra honesta que dar, porque depende de la magnitud del incidente, de la infraestructura y de la capacidad de recuperación de cada organización. Lo que sí es constante es el factor que más pesa: tener copias de seguridad aisladas y probadas acorta los plazos de forma muy notable, y no tenerlas los alarga sin techo claro, hasta la pérdida definitiva de información.

¿El ENS obliga a tener plan de continuidad?

Depende del nivel de la dimensión de disponibilidad de tu sistema, no de la categoría a secas. El plan de continuidad [op.cont.2] y sus pruebas periódicas [op.cont.3] solo se exigen en nivel alto. En nivel medio lo que entra es el análisis de impacto [op.cont.1]. Las copias de seguridad [mp.info.6], en cambio, aplican ya desde nivel bajo, con pruebas de recuperación a partir de nivel medio y copia separada en nivel alto.

¿Una empresa que presta servicios a un ayuntamiento necesita cumplir el ENS?

No automáticamente por tener un contrato. El artículo 2.3 del RD 311/2022 aplica el ENS a los sistemas de información de empresas privadas cuando, en virtud de una relación contractual, prestan servicios o proveen soluciones a entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas. La clave está en qué servicio prestas y sobre qué sistemas, no en que el cliente sea una administración. Por eso hay que mirar dos cosas: el servicio real y lo que diga el pliego, porque los pliegos deben incluir los requisitos para asegurar la conformidad, incluida la Declaración o Certificación correspondiente. Y la cautela se extiende a tu propia cadena de suministro en la medida en que lo determine el análisis de riesgos. Lo desarrollamos en ENS para empresas privadas.

¿Sirve de algo la ISO 27001 si lo que me piden es el ENS?

Sirve, y bastante. Si ya tienes un sistema de gestión conforme a ISO 27001, buena parte del trabajo hecho se aprovecha para la adecuación al ENS: ambos marcos comparten objetivos y muchas medidas de seguridad. Pero el ENS tiene requisitos propios que hay que evaluar según la categoría del sistema y los niveles de sus dimensiones, así que no es una equivalencia automática ni un porcentaje que se pueda prometer de antemano.

Por qué lo contamos desde aquí

En Novaciber acompañamos la adecuación al ENS de ayuntamientos, entidades públicas y de las empresas privadas que les prestan servicio. Desde 4.000 € en categoría Básica. La conformidad la emite una entidad de certificación acreditada en categoría Media y Alta; en Básica basta la declaración, y también te la preparamos.

Copias, continuidad, gestión de incidencias y control de proveedores no son el extra del proyecto: son el núcleo de lo que se audita. Tienes el detalle en consultoría ENS, cuánto cuesta el ENS y, si eres proveedor de la administración, en ENS para empresas privadas.

Primera llamada de 30 minutos, gratis y sin compromiso. Te decimos qué categoría te toca y cuál es el camino más corto.

Fuentes