Summary

  • Trece Estados miembros habían optado por participar en los dos primeros centros transfronterizos de la alerta europea, ATHENA y ENSOC. En la auditoría sobre 2022–2025, ninguno estaba operativo y el nuevo sistema de alerta aún no funcionaba.
  • La primera fase de contratación se abrió en mayo de 2024 para ENSOC y en julio para ATHENA. Los candidatos seleccionados no recibieron aviso hasta abril de 2025; algunos lotes de ENSOC avanzaron en agosto, pero en el momento auditado no había contrato firmado para ningún lote.
  • La compra era solo una parte del enlace. Faltaban acuerdos de cooperación, una clasificación común de incidentes y estándares que permitieran pasar avisos entre los nuevos centros, los equipos CSIRT y EU-CyCLONe. La prueba decisiva será un ensayo fechado de funcionamiento y entrega de una alerta.

La red se inscribió antes de tener voz

El propósito del Sistema Europeo de Alerta de Ciberseguridad es concreto: compartir señales de amenazas entre países para detectar, analizar y responder con más rapidez. Los ataques no esperan a que las autoridades nacionales acuerden qué casilla del organigrama corresponde a cada incidente. Al revisar los primeros dos centros transfronterizos, los auditores encontraron trece Estados miembros participantes. Encontraron también dos centros sin capacidad operativa. La inscripción institucional había ido por delante de la instalación.

ATHENA y ENSOC empezaron sus trabajos de proyecto en enero de 2024. Tenían subvenciones para constituirse y funcionar. Las herramientas avanzadas de detección y de intercambio seguían una compra conjunta separada. El procedimiento restringido tenía dos fases para limitar la circulación de especificaciones sensibles. Proteger esa información tiene sentido. Dejarla sin terminar durante meses impide, en cambio, que los candidatos presenten ofertas para construir el servicio.

ENSOC abrió la primera fase en mayo de 2024; ATHENA, en julio. Las empresas interesadas tuvieron un mes para solicitar participar. Las elegidas recibieron la comunicación en abril de 2025. Los miembros de los centros y el Centro Europeo de Competencia en Ciberseguridad, ECCC, todavía elaboraban las especificaciones para la siguiente fase. Algunos lotes de ENSOC pasaron a ella en agosto de 2025; para ATHENA se preveía el comienzo a principios de 2026. En el corte temporal de la auditoría no se había firmado un contrato para ningún lote.

La demora tuvo un coste de calendario visible en los convenios: quince meses de ampliación para ATHENA y dieciocho para ENSOC. El tribunal concluyó que ambos centros estaban paralizados en términos operativos y que la nueva alerta europea todavía no funcionaba. No atribuyó a ese retraso un incidente concreto sin detectar. El dato que falta para saber cuándo se superó el bloqueo es una aceptación operativa fechada, con herramientas instaladas y un intercambio de prueba que haya llegado a su destino.

La segunda compra es un idioma común

Supongamos que mañana aparecen los sensores. ¿A quién hablarían? Europa ya cuenta con equipos nacionales de respuesta, la red de CSIRT y EU-CyCLONe para coordinar grandes crisis. El Cyber Blueprint de 2025 ordenó buena parte de las funciones. Los procedimientos entre CSIRT y EU-CyCLONe seguían pendientes: cuándo una señal merece escalarse, qué gravedad se le asigna y cómo se nombra el mismo hecho en sistemas distintos. Las autoridades de Irlanda, Grecia e Italia mencionaron a los auditores la falta de una taxonomía compartida.

Los nuevos centros deben intercambiar amenazas, vulnerabilidades e indicadores de compromiso. También deben comunicar los incidentes de gran escala a las redes existentes sin una demora indebida. Sin una frontera clara entre el trabajo del centro y el del CSIRT, una nueva vía puede duplicar mensajes o dejarlos en la mesa de nadie. La auditoría encontró que faltaban procedimientos acordados de cooperación e intercambio, además de las normas de interoperabilidad necesarias para integrar los centros.

La seguridad nacional limita con razón parte de la información que un Estado puede revelar. Esa limitación obliga a decidir mejor qué se comparte, con quién, en qué formato y cómo queda constancia de que se recibió. Una orden general de cooperación no puede sustituir las definiciones que necesita un sistema automático ni la persona que debe tomar la llamada a las tres de la mañana.

La página oficial de licitaciones del ECCC seguía mostrando procedimientos para la infraestructura de la plataforma ATHENA y para el alojamiento principal de ENSOC en España, con plazos de participación de septiembre de 2026. Es una señal de actividad posterior al periodo examinado por la auditoría. No equivale a la aceptación del sistema entero. Una convocatoria, una adjudicación y un aviso que cruza con éxito una frontera son acontecimientos diferentes.

Qué tiene que poder decidir una guardia

El informe del Tribunal de Cuentas Europeo se publicó en septiembre de 2026 y revisó 2022–2025. Sus dos centros examinados eran una capacidad adicional prevista, dentro de un entorno que ya disponía de CSIRT, EU-CyCLONe y proveedores de respuesta precontratados. La crítica se refiere a la nueva ruta que se prometió conectar a ese entorno.

Para quien dirige una respuesta, el número de países inscritos no resuelve la primera decisión. Necesita saber qué canal funciona hoy, quién recibe la alerta, con qué definición de gravedad y quién confirma la entrega. Un mapa de instituciones enseña quién existe. Un ejercicio observado enseña quién puede actuar. Ese recibo operativo, y no otra ceremonia de lanzamiento, pondrá la política de cooperación a prueba.

Fuentes: Tribunal de Cuentas Europeo, informe especial 19/2026; licitaciones del ECCC.