Ciberseguridad para el Ayuntamiento de Gijón

El Ayuntamiento de Gijón, con una población de 270.000 de habitantes, está obligado a cumplir el Esquema Nacional de Seguridad (ENS) en todos sus sistemas de información. Como capital de Asturias, gestiona servicios públicos digitales críticos para los ciudadanos: padrón municipal, sede electrónica, gestión tributaria, servicios sociales y policía local. El cumplimiento del ENS y la preparación para NIS2 no son opcionales: son obligaciones legales que afectan a la continuidad de estos servicios.

¿Qué requisitos de ciberseguridad debe cumplir el Ayuntamiento de Gijón?

El Ayuntamiento de Gijón debe cumplir el ENS (Real Decreto 311/2022) en todos los sistemas que soporten servicios públicos electrónicos. Dada la población de 270.000 y los sectores económicos de la ciudad (industria, portuaria, tecnología), la mayoría de sus sistemas críticos requerirán nivel ENS medio o alto.

Además, con la transposición de NIS2, los servicios esenciales del municipio (abastecimiento de agua, transporte público, gestión de residuos) quedarán sujetos a requisitos adicionales de gestión de riesgos y notificación de incidentes.

¿Qué nivel ENS necesita el Ayuntamiento de Gijón?

Los sistemas críticos del Ayuntamiento de Gijón (padrón, sede electrónica, gestión tributaria, policía local) requieren como mínimo nivel ENS medio. Los sistemas que gestionen datos especialmente sensibles (servicios sociales, datos de menores, policía local) deben categorizarse como nivel alto.

La categorización debe realizarse sistema por sistema, evaluando el impacto de un incidente de seguridad sobre la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información.

¿Cómo puede el Ayuntamiento de Gijón empezar a cumplir el ENS?

1. Designar un responsable de seguridad con dedicación y formación
2. Inventariar todos los sistemas de información municipales
3. Categorizar cada sistema con la herramienta PILAR del CCN
4. Realizar el análisis de riesgos según la metodología MAGERIT
5. Implementar las medidas de seguridad exigidas por el nivel asignado
6. Aprobar la política de seguridad municipal por el pleno
7. Someterse a auditoría de cumplimiento ENS
8. Mantener el cumplimiento continuo con revisiones periódicas

¿Qué herramientas gratuitas del CCN puede usar el Ayuntamiento de Gijón?

El CCN-CERT pone a disposición de todas las administraciones públicas herramientas gratuitas: PILAR para el análisis de riesgos, INES para reportar el estado de cumplimiento del ENS, LUCIA para la gestión de ciberincidentes, microCLAUDIA para la protección de endpoints y REYES para la gestión de ciberinteligencia.

¿Qué impacto tiene un ciberataque en un ayuntamiento como Gijón?

Un ciberataque al Ayuntamiento de Gijón afectaría directamente a 270.000 de ciudadanos. Los servicios de padrón, gestión tributaria, sede electrónica y servicios sociales quedarían interrumpidos. Según el CCN-CERT, el tiempo medio de recuperación de un ayuntamiento español tras un ataque de ransomware es de 23 días, con un coste directo que puede superar los 200.000 euros.

Preguntas frecuentes

¿Cuánto cuesta al Ayuntamiento de Gijón cumplir el ENS?

El coste depende del número de sistemas y del nivel de seguridad requerido. Para un ayuntamiento del tamaño de Gijón, el presupuesto total (consultoría, implementación y auditoría) oscila entre 30.000 y 100.000 euros para nivel medio-alto. Las herramientas del CCN son gratuitas.

¿Puede el Ayuntamiento de Gijón externalizar el cumplimiento del ENS?

Sí. Muchos ayuntamientos trabajan con empresas especializadas en ciberseguridad que ayudan en la implementación y el mantenimiento del ENS. Lo que no puede externalizarse es la responsabilidad: el responsable de seguridad del ayuntamiento sigue siendo el último responsable del cumplimiento.

¿Cómo afecta NIS2 al Ayuntamiento de Gijón?

NIS2 amplía las obligaciones de ciberseguridad a los servicios municipales esenciales. El Ayuntamiento de Gijón deberá notificar incidentes significativos en menos de 24 horas, implementar gestión de riesgos a nivel de dirección y garantizar la seguridad de su cadena de suministro TIC.

Artículos relacionados:

• Qué es el ENS
• NIS2: qué es y a quién afecta
• Ciberseguridad en Asturias