España está llena de municipios que quieren ser Silicon Valley. Para conseguirlo hacen falta ingredientes bastante conocidos: una rotonda, suelo industrial, fibra óptica, alguna subvención, un concejal de innovación y suficientes palabras en inglés como para que nadie pregunte demasiado. Palabras como Hub. Smart city, Inteligencia artificial o Ecosistema digital.
La ciberseguridad ya vendrá después. Y después llega. Un ransomware bloquea una empresa, compromete datos, alcanza a un proveedor municipal o amenaza un servicio público. Entonces comienza una versión administrativa de la búsqueda del tesoro: policía local, informática, INCIBE, Mossos o Policía Nacional, aseguradora, protección de datos, proveedor tecnológico y, con suerte, alguien que sepa exactamente quién debía haber previsto aquello, que es precisamente el Secretario Municipal.
Porque la responsabilidad municipal no desaparece por arte de magia diciendo que la víctima es una empresa privada. Habrá que saber qué relación mantenía con el ayuntamiento, qué servicios prestaba, qué sistemas estaban conectados, qué obligaciones contractuales existían y, sobre todo, qué debía hacer cada Administración y qué hizo realmente.
La cuestión resulta especialmente divertida cuando se mira el Esquema Nacional de Seguridad.
En mayo de 2025, según datos difundidos por el Consorci AOC y una investigación de SER Catalunya, unos 41 municipios españoles habían alcanzado una certificación ENS, completa o mediante perfiles específicos de cumplimiento. Cuarenta y uno. España tiene más de ocho mil municipios.
La certificación no equivale exactamente a afirmar que todos los demás incumplen cada obligación del ENS, pero sirve para hacerse una idea bastante razonable de la distancia entre el discurso y la capacidad de acreditarlo.
El propio Centro Criptológico Nacional reconoce que para muchas entidades locales, especialmente las pequeñas y con pocos recursos, adecuarse al ENS y certificarse resulta difícil de abordar individualmente. Por eso se han creado perfiles simplificados, mecanismos conjuntos y asistencia de diputaciones y organismos supramunicipales; y todo así, 41.
En febrero de 2026, el CCN contabilizaba ya 1.484 organismos públicos certificados en España. Magnífico avance. El problema es que esa cifra incluye todo tipo de entidades públicas y no permite saber cuántos son ayuntamientos, que pocos más serán. 1.484 de más de 20.000.
Y conviene recordar que incumplir la normativa tecnológica no sale gratis. Si un ayuntamiento desatiende obligaciones de seguridad, continuidad, contratación, protección de datos o control de sus proveedores y de esa omisión deriva un daño efectivo, evaluable e individualizado, puede acabar respondiendo patrimonialmente y pagando la correspondiente indemnización.
No basta, naturalmente, con que exista un ciberataque: habrá que acreditar qué deber se incumplió y qué relación tuvo ese incumplimiento con el perjuicio. Pero tampoco basta con señalar al hacker y encogerse de hombros. La existencia de un delincuente al otro lado de Internet no convierte automáticamente en irrelevante que la Administración local tuviera sistemas obsoletos, medidas de seguridad insuficientes, contratos mal diseñados o planes de continuidad inexistentes.
La tecnología también genera responsabilidad. Y, cuando quien no ha hecho los deberes es un ayuntamiento, la factura termina saliendo del mismo sitio de siempre: del dinero público.
Mientras tanto, la competición municipal por captar empresas tecnológicas continúa sin demasiados complejos.
Hay dinero para ofrecer suelo, bonificaciones, viveros, congresos, fibra, subvenciones y fotografías con emprendedores parece haber recursos. No lo hay para disponer de personal especializado, análisis de riesgos, planes de continuidad, control de proveedores, protocolos ante incidentes y una estructura capaz de reaccionar cuando algo se tuerce, el entusiasmo presupuestario suele ser más moderado.
No se trata de montar un SOC en cada campanario. Se trata de entender algo bastante elemental: quien convierte la tecnología en política municipal debe convertir también sus riesgos en política municipal.
Sobre todo cuando esa tecnología termina conectada al agua, la movilidad, los servicios sociales, la policía, los contratos públicos o los datos de los vecinos. O cuando está en el polígono municipal.
La smart city no consiste en poner sensores en las farolas. Consiste también en saber quién responde cuando alguien las apaga.
Y quizá eso convendría averiguarlo antes de inaugurar el próximo hub.
Y recordemos de nuevo que el garante de que un ayuntamiento ha de complir las normas, también las tecnológicas es el Secretario, garante de la legalidad en el término municipal
Añadir DiarioSabemos como fuente preferida de Google de forma gratuita
Mantente informado con las últimas noticias de actualidad.