{"id":127431,"date":"2026-11-12T09:40:37","date_gmt":"2026-11-12T08:40:37","guid":{"rendered":"https:\/\/ceadigilaw.org\/?p=127431"},"modified":"2026-11-12T09:40:37","modified_gmt":"2026-11-12T08:40:37","slug":"francia-cnil-sanciona-diez-entes-locales-nis-2","status":"publish","type":"post","link":"https:\/\/ceadigilaw.org\/es\/blog\/francia-cnil-sanciona-diez-entes-locales-nis-2\/","title":{"rendered":"Francia: la CNIL sanciona a diez entes locales y NIS 2 llega a la Asamblea"},"content":{"rendered":"<div class=\"cea-blog-resumen\">\n<p><strong>En resumen<\/strong><\/p>\n<ul>\n<li>El 9 de noviembre de 2026 la CNIL anunci\u00f3 sanciones simplificadas, de 3.000 a 20.000 euros, contra diez colectividades territoriales y un establecimiento p\u00fablico.<\/li>\n<li>Los fallos sancionados (accesos permanentes de proveedores, administradores sin MFA, registros sin explotar) coinciden con las exigencias de NIS 2.<\/li>\n<li>El proyecto de ley R\u00e9silience, que transpone NIS 2, lleg\u00f3 al pleno de la Asamblea Nacional el mismo d\u00eda y ampliar\u00eda las entidades reguladas de unas 500 a cerca de 15.000.<\/li>\n<\/ul>\n<\/div>\n<p>La Commission nationale de l&#8217;informatique et des libert\u00e9s (CNIL) ha anunciado sanciones contra diez colectividades territoriales y un establecimiento p\u00fablico por deficiencias de ciberseguridad, y el proyecto de ley R\u00e9silience, que transpone la directiva NIS 2, ha llegado al pleno de la Asamblea Nacional francesa. Ambos hechos apuntan a las mismas debilidades, seg\u00fan <a href=\"https:\/\/itsocial.fr\/cybersecurite\/cybersecurite-articles\/acces-des-prestataires-authentification-des-administrateurs-la-cnil-sanctionne-dix-collectivites\/\" target=\"_blank\" rel=\"noopener\">IT Social<\/a>.<\/p>\n<h2>Qu\u00e9 ha sancionado la CNIL<\/h2>\n<p>El 9 de noviembre de 2026 la CNIL comunic\u00f3 que hab\u00eda dictado diez sanciones por procedimiento simplificado, por incumplir el RGPD y la ley Informatique et Libert\u00e9s. Los importes van de 3.000 a 20.000 euros, el tope de este procedimiento, y se modularon seg\u00fan la gravedad, los datos tratados, el presupuesto de cada entidad y las medidas ya adoptadas. La CNIL no publica los nombres.<\/p>\n<p>Entre los fallos figuran, en relaci\u00f3n con el art\u00edculo 32 del RGPD (seguridad adecuada al riesgo): conexiones remotas con autenticaci\u00f3n d\u00e9bil, administradores sin autenticaci\u00f3n multifactor (MFA), servidores con sistemas ya sin soporte del fabricante, contrase\u00f1as d\u00e9biles y proveedores de software con acceso permanente a la red o mediante cuentas compartidas. Tambi\u00e9n se se\u00f1alaron registros incompletos o sin explotar y una segmentaci\u00f3n insuficiente de la red.<\/p>\n<p>Otras decisiones recogen teleservicios puestos en marcha sin la homologaci\u00f3n de seguridad exigida a las autoridades administrativas, y la ausencia de evaluaci\u00f3n de impacto (art\u00edculo 35 del RGPD) en servicios escolares para familias y en videovigilancia de la v\u00eda p\u00fablica. La CNIL indica que dedicar\u00e1 en 2026 la mitad de sus controles y acciones represivas a la seguridad de los datos.<\/p>\n<h2>El proyecto R\u00e9silience y NIS 2<\/h2>\n<p>El proyecto de ley R\u00e9silience lleg\u00f3 a sesi\u00f3n plenaria en la Asamblea Nacional el 9 de noviembre. Seg\u00fan la fuente, el n\u00famero de entidades reguladas pasar\u00eda de unas 500 a cerca de 15.000. Todav\u00eda no se trata de una ley aprobada ni en vigor: falta el resto de la tramitaci\u00f3n parlamentaria.<\/p>\n<p>La directiva NIS 2 cita, en su art\u00edculo 21, la seguridad de la cadena de suministro, la autenticaci\u00f3n multifactor y la gesti\u00f3n de incidentes. Su art\u00edculo 23 prev\u00e9 una alerta temprana en 24 horas y una notificaci\u00f3n en 72 horas. Quien no registre los accesos de sus proveedores dif\u00edcilmente cumplir\u00e1 esos plazos.<\/p>\n<h2>Qu\u00e9 conviene preparar<\/h2>\n<ul>\n<li>Inventariar los accesos remotos de proveedores y eliminar cuentas compartidas.<\/li>\n<li>Abrir accesos bajo demanda, trazados y limitados en el tiempo.<\/li>\n<li>Activar MFA en todas las cuentas privilegiadas y retirar sistemas sin soporte.<\/li>\n<li>Explotar de verdad los registros y revisar los contratos con proveedores.<\/li>\n<\/ul>\n<h2>La mirada de CEA Digital Law<\/h2>\n<p>El caso franc\u00e9s muestra que el cumplimiento de NIS 2 no empieza el d\u00eda de la transposici\u00f3n: los reguladores de protecci\u00f3n de datos ya exigen medidas equivalentes. Para los pa\u00edses de la Uni\u00f3n que a\u00fan transponen, y para Am\u00e9rica Latina y el Caribe o \u00c1frica, que debaten marcos de ciberseguridad, la lecci\u00f3n es que una sola bater\u00eda de controles (MFA, trazabilidad, gesti\u00f3n de terceros) sirve a ambos reg\u00edmenes.<\/p>\n<p>Proponemos dos l\u00edneas. Primero, ampliar de 500 a 15.000 entidades exige apoyo para las m\u00e1s peque\u00f1as: la contrataci\u00f3n conjunta, los sindicatos inform\u00e1ticos y los operadores p\u00fablicos pueden imponer cl\u00e1usulas a proveedores que un municipio no logra negociar solo. Segundo, la coordinaci\u00f3n entre autoridades de protecci\u00f3n de datos y de ciberseguridad evitar\u00eda duplicidades para las entidades. Queda abierta la cuesti\u00f3n de los recursos humanos y presupuestarios de las entidades locales para sostener estas obligaciones.<\/p>\n<h2>Fuentes<\/h2>\n<ul class=\"cea-blog-fuentes\">\n<li><a href=\"https:\/\/itsocial.fr\/cybersecurite\/cybersecurite-articles\/acces-des-prestataires-authentification-des-administrateurs-la-cnil-sanctionne-dix-collectivites\/\" target=\"_blank\" rel=\"noopener\">IT Social<\/a><\/li>\n<\/ul>\n<p class=\"cea-blog-firma\"><em>CEA Digital Law<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>La CNIL sanciona a diez colectividades por fallos de ciberseguridad y el proyecto R\u00e9silience (NIS 2) pasa al pleno: de 500 a unas 15.000 entidades reguladas.<\/p>\n","protected":false},"author":2,"featured_media":127436,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"wds_primary_category":0,"wds_primary_cea_women":0,"footnotes":""},"categories":[1087],"tags":[245,1425,1415,746,99],"cea_women":[],"class_list":["post-127431","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciberseguridad","tag-ciberseguridad","tag-cnil","tag-francia","tag-nis-2","tag-rgpd"],"acf":[],"_links":{"self":[{"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/posts\/127431","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/comments?post=127431"}],"version-history":[{"count":1,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/posts\/127431\/revisions"}],"predecessor-version":[{"id":127461,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/posts\/127431\/revisions\/127461"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/media\/127436"}],"wp:attachment":[{"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/media?parent=127431"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/categories?post=127431"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/tags?post=127431"},{"taxonomy":"cea_women","embeddable":true,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/cea_women?post=127431"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}