En resumen
- El 9 de noviembre de 2026 la CNIL anunció sanciones simplificadas, de 3.000 a 20.000 euros, contra diez colectividades territoriales y un establecimiento público.
- Los fallos sancionados (accesos permanentes de proveedores, administradores sin MFA, registros sin explotar) coinciden con las exigencias de NIS 2.
- El proyecto de ley Résilience, que transpone NIS 2, llegó al pleno de la Asamblea Nacional el mismo día y ampliaría las entidades reguladas de unas 500 a cerca de 15.000.
La Commission nationale de l’informatique et des libertés (CNIL) ha anunciado sanciones contra diez colectividades territoriales y un establecimiento público por deficiencias de ciberseguridad, y el proyecto de ley Résilience, que transpone la directiva NIS 2, ha llegado al pleno de la Asamblea Nacional francesa. Ambos hechos apuntan a las mismas debilidades, según IT Social.
Qué ha sancionado la CNIL
El 9 de noviembre de 2026 la CNIL comunicó que había dictado diez sanciones por procedimiento simplificado, por incumplir el RGPD y la ley Informatique et Libertés. Los importes van de 3.000 a 20.000 euros, el tope de este procedimiento, y se modularon según la gravedad, los datos tratados, el presupuesto de cada entidad y las medidas ya adoptadas. La CNIL no publica los nombres.
Entre los fallos figuran, en relación con el artículo 32 del RGPD (seguridad adecuada al riesgo): conexiones remotas con autenticación débil, administradores sin autenticación multifactor (MFA), servidores con sistemas ya sin soporte del fabricante, contraseñas débiles y proveedores de software con acceso permanente a la red o mediante cuentas compartidas. También se señalaron registros incompletos o sin explotar y una segmentación insuficiente de la red.
Otras decisiones recogen teleservicios puestos en marcha sin la homologación de seguridad exigida a las autoridades administrativas, y la ausencia de evaluación de impacto (artículo 35 del RGPD) en servicios escolares para familias y en videovigilancia de la vía pública. La CNIL indica que dedicará en 2026 la mitad de sus controles y acciones represivas a la seguridad de los datos.
El proyecto Résilience y NIS 2
El proyecto de ley Résilience llegó a sesión plenaria en la Asamblea Nacional el 9 de noviembre. Según la fuente, el número de entidades reguladas pasaría de unas 500 a cerca de 15.000. Todavía no se trata de una ley aprobada ni en vigor: falta el resto de la tramitación parlamentaria.
La directiva NIS 2 cita, en su artículo 21, la seguridad de la cadena de suministro, la autenticación multifactor y la gestión de incidentes. Su artículo 23 prevé una alerta temprana en 24 horas y una notificación en 72 horas. Quien no registre los accesos de sus proveedores difícilmente cumplirá esos plazos.
Qué conviene preparar
- Inventariar los accesos remotos de proveedores y eliminar cuentas compartidas.
- Abrir accesos bajo demanda, trazados y limitados en el tiempo.
- Activar MFA en todas las cuentas privilegiadas y retirar sistemas sin soporte.
- Explotar de verdad los registros y revisar los contratos con proveedores.
La mirada de CEA Digital Law
El caso francés muestra que el cumplimiento de NIS 2 no empieza el día de la transposición: los reguladores de protección de datos ya exigen medidas equivalentes. Para los países de la Unión que aún transponen, y para América Latina y el Caribe o África, que debaten marcos de ciberseguridad, la lección es que una sola batería de controles (MFA, trazabilidad, gestión de terceros) sirve a ambos regímenes.
Proponemos dos líneas. Primero, ampliar de 500 a 15.000 entidades exige apoyo para las más pequeñas: la contratación conjunta, los sindicatos informáticos y los operadores públicos pueden imponer cláusulas a proveedores que un municipio no logra negociar solo. Segundo, la coordinación entre autoridades de protección de datos y de ciberseguridad evitaría duplicidades para las entidades. Queda abierta la cuestión de los recursos humanos y presupuestarios de las entidades locales para sostener estas obligaciones.
Fuentes
CEA Digital Law
Boletín
Eventos, noticias y análisis sobre derecho digital, en tu correo. Solo cuando hay algo que contar.
