- Los ayuntamientos de Segovia, Soria y Zamora no alcanzan el nivel de madurez mínimo en ciberseguridad.
- La Bañeza, Villaquilambre y Astorga siguen con serias carencias, aunque Astorga ha aprobado recientemente su política de seguridad.
- El Consejo de Cuentas reclama una reforma normativa para reforzar su autonomía y más presupuesto.
La ciberseguridad se ha convertido en un pilar básico para el funcionamiento de las administraciones públicas, y los ayuntamientos no son una excepción. En Castilla y León, el Consejo de Cuentas ha puesto el foco en la protección de los sistemas informáticos municipales tras elaborar un exhaustivo informe de fiscalización que abarca a seis localidades. Los resultados, presentados recientemente en las Cortes autonómicas, reflejan una realidad desigual: mientras algunos consistorios avanzan, otros siguen anclados en niveles de cumplimiento muy bajos.
El presidente del Consejo, Mario Amilivia, quiso dejar claro durante su comparecencia que el gasto en ciberseguridad debe considerarse una inversión necesaria y no un capítulo presupuestario secundario. A su juicio, el trabajo de fiscalización y las recomendaciones emitidas por el órgano están ayudando a mejorar la seguridad informática, pero reconoce que los ayuntamientos de la Comunidad tienen todavía un amplio margen de mejora.
Diagnóstico por municipios
El análisis detallado de las capitales de provincia muestra que ninguna alcanza el nivel 3 de madurez que el Consejo considera el mínimo exigible para garantizar una protección adecuada. El Ayuntamiento de Segovia logra un 56% de cumplimiento, situándose en el nivel 2, con carencias importantes en la relación de puestos de trabajo y en el impulso para cubrir plazas de informática. A pesar de ello, el consistorio ha mostrado voluntad de avance, y el informe le reconoce haber obtenido la certificación de conformidad con el Esquema Nacional de Seguridad (ENS) en 2023.
Por su parte, Soria presenta una situación similar, con un índice del 61% y también en nivel 2. Las deficiencias en el ámbito laboral y de organización interna son el principal lastre, aunque el ayuntamiento está trabajando en su adaptación al ENS. En ambos casos, el Consejo ha emitido 11 recomendaciones para corregir el rumbo.
El caso más preocupante entre las capitales es el de Zamora, que apenas alcanza un 45% de cumplimiento y se sitúa en el nivel 1 de madurez. Según la auditoría, el consistorio carece de un plan de adecuación al ENS y de una política de seguridad formalmente aprobada, además de no tener cubiertas plazas clave. El Consejo le ha remitido 10 recomendaciones y destaca que, al menos, ha iniciado un proceso selectivo para contratar personal informático.
Situación en los municipios leoneses
Los informes de seguimiento de La Bañeza, Villaquilambre y Astorga, que actualizan las auditorías realizadas en 2021, revelan avances muy desiguales. La Bañeza sigue en una situación de alta vulnerabilidad, con un cumplimiento global del 18% y sin una estrategia definida de tecnologías de la información. Aunque ha realizado una contratación temporal y mejoras en copias de seguridad, el compromiso con la seguridad informática es prácticamente nulo, y el Consejo ha añadido 4 nuevas recomendaciones.
Villaquilambre tampoco ha iniciado su adaptación al ENS y mantiene un nivel 1 de madurez, con un cumplimiento que ha pasado del 39% al 45% en tres años. La falta de una política de seguridad aprobada bloquea cualquier avance, aunque ha sacado a concurso una plaza de técnico informático. En este caso, las recomendaciones han sido 3.
Astorga muestra el único avance significativo: ha aprobado su política de seguridad, un primer paso que ahora debe trasladarse a acciones concretas. Su cumplimiento ha pasado del 18% al 20%, pero sigue lejos del objetivo. El Consejo le ha enviado 4 recomendaciones para que formalice roles y procedimientos.
La labor del Consejo de Cuentas
Amilivia aprovechó la presentación para reivindicar la labor de la institución y pedir una reforma de su marco normativo. Castilla y León es la única comunidad donde el órgano de control externo no tiene potestad para aprobar su plan anual de fiscalizaciones, algo que considera una anomalía. También reclamó más presupuesto, especialmente para sostener a la Autoridad Independiente de Corrupción, que actualmente se financia con remanentes.
El Consejo ha realizado hasta la fecha 24 auditorías de ciberseguridad, siendo uno de los pioneros entre los órganos autonómicos. Además, tiene previstas otras siete en su programación. La actividad fiscalizadora no se detiene y ya se han aprobado nueve informes en lo que va de año, con la previsión de cerrar 2026 con 25. Todo ello se enmarca en una labor más amplia que acumula 328 informes y 2.700 recomendaciones a lo largo de su historia.
En definitiva, el diagnóstico es claro: la ciberseguridad en los ayuntamientos de Castilla y León exige una implicación decidida y recursos suficientes. Los informes del Consejo de Cuentas no solo sirven para detectar carencias, sino también para orientar a los consistorios en la adopción de medidas concretas. Aunque el camino es largo, el seguimiento y las recomendaciones están empezando a dar sus frutos, como demuestra que algunos ayuntamientos hayan puesto en marcha procesos de selección o aprobado políticas de seguridad. La labor del órgano de control externo se antoja imprescindible para que las administraciones locales estén preparadas frente a las amenazas digitales.