Amilivia presenta en las Cortes otros 6 informes sobre la ciberseguridad en las entidades locales

El presidente del Consejo de Cuentas, Mario Amilivia, presentó esta tarde en la Comisión de Economía y Hacienda de las Cortes de Castilla y León otros seis informes sobre el estado de la ciberseguridad en las entidades locales de la Comunidad.

Ha sido su primera comparecencia en este inicio del periodo de sesiones tras un paréntesis de nueve meses como consecuencia de todo el proceso de convocatoria electoral y puesta en marcha de la duodécima legislatura. Circunstancia que ha producido que, en cuanto a la carga de trabajo, el Consejo de Cuentas tenga en la actualidad 61 informes en diferentes fases de tramitación, y que, de ellos, 18 se encuentran ya aprobados y pendientes de comparecencia.

Con todo ello, Amilivia apuntó que “en lo que va de año hemos aprobado 9 fiscalizaciones y la previsión es terminar otros 16 trabajos antes de finalizar el año hasta sumar un total de 25 informes en 2026. Entre ellos, los siete correspondientes a la contabilidad electoral que se concluirán próximamente”.

En el inicio de su intervención, reconoció a quien vuelve a ejercer la Presidencia de la Comisión parlamentaria, Paloma Vallejo, e igualmente a los miembros de su Mesa, Laura Dorreis y Benjamín Fernández, “convencido de que seréis garantía del excelente clima institucional que ha caracterizado las relaciones con el Consejo de

Cuentas”. A pesar de seguir en funciones desde 2023, destacó que la institución de control externo continúa trabajando “con absoluta normalidad”. Subrayó al respecto que, al Consejo de Cuentas, “dependiente de las Cortes, no solo desde el punto de vista presupuestario y en los términos de la Ley 4/2013, sino especialmente respecto ante quien rendimos nuestro trabajo de control, le corresponde, de acuerdo con el artículo 90 del Estatuto de Autonomía, la fiscalización externa de la gestión económica, financiera y contable del sector público de la comunidad autónoma y demás entes públicos de Castilla y León”.

Una institución, independiente, que debe, por lo tanto, “gozar de autonomía orgánica y funcional, además de la imprescindible suficiencia presupuestaria”. En tal sentido, afirmó que el Consejo ha multiplicado por siete la capacidad de fiscalización que anteriormente tenía en Castilla y León el Tribunal de Cuentas.

Destacó en esta línea que en el ánimo de seguir mejorando el papel del Consejo de Cuentas para garantizar la transparencia y la calidad democrática del sector público autonómico y local, “planteamos la necesidad de una serie de reformas normativas que permitan reforzar su autonomía orgánica y funcional, así como mejorar las condiciones de sus funcionarios, dad su especial cualificación”.

Así, además de recordar la “anomalía” de que Castilla y León sea la única Comunidad donde su órgano de control externo no tiene la potestad de aprobar su plan anual de fiscalizaciones, consideró “consustancial a nuestra independencia funcional la suficiencia presupuestaria, más aun teniendo en cuenta la adscripción orgánica a esta institución de la Autoridad Independiente en materia de corrupción, creada hace dos años y que, actualmente, está siendo sostenida con cargo a remanentes, sin perjuicio de que esperamos sea contemplada en los próximos presupuestos”.

Y como balance general del trabajo realizado para la mejora de la gestión de los recursos públicos mediante sus tres tipos de fiscalización (auditorías de cumplimiento, legalidad o regularidad; financieras y operativas, de rendimiento o gestión), precisó que en los 328 informes aprobados en toda la serie histórica del Consejo se han realizado ya un total de 2.700 recomendaciones.

Durante el presente mandato del Consejo de Cuentas, Amilivia ha comparecido ante este Comisión en 74 ocasiones, el 58% sobre el total de 128 comparecencias registradas en la serie histórica de esta Institución. Asimismo, ha presentado 157 informes, lo que representa la mitad de los 328 aprobados por esta Institución desde sus inicios.

El Consejo de Cuentas, uno de los OCEX pioneros en estas fiscalizaciones

Con relación a los seis informes sobre seguridad informática de entidades locales presentados agrupadamente ante la Comisión, explicó que el Consejo comenzó a realizar auditorías de este tipo hace 5 años, siendo uno de los órganos de control externo autonómicos pioneros en esta materia, con la incorporación de personal especializado. Trabajos que reflejan que, aunque queda mucho margen de mejora, están posibilitando avances evidentes en el proceso de alcanzar una seguridad

informática adecuada y conforme a la normativa vigente. Así, el Consejo ha realizado ya hasta la fecha 24 auditorías sobre ciberseguridad, tanto en las entidades locales como en la Administración autonómica, y además contempla otras siete en su programación fiscalizadora.

En 2021 elaboró auditorías a 7 municipios de Castilla y León de entre 10.000 y 20.000 habitantes. A partir de 2022 y hasta el presente ejercicio llevó a cabo las referidas a los ayuntamientos de las 9 capitales de provincia. También, desde el pasado año se están efectuando informes específicos de seguimiento de recomendaciones, “revisando el grado de cumplimiento y mejora, en su caso, experimentado por las entidades locales previamente fiscalizadas”.

En cuanto a dichas fiscalizaciones de seguimiento de las recomendaciones efectuadas ya hace 5 años, el Consejo ha aprobado hasta ahora los correspondientes a 6 de las 7 entidades locales de población intermedia (Béjar, Ciudad Rodrigo y Benavente) los cuales fueron presentados en su día en el Parlamento autonómico y Amilivia expuso esta tarde los referidos a los consistorios leoneses de La Bañeza, Villaquilambre y Astorga, restando solo por finalizar el de Santa Marta de Tormes (Salamanca).

Al mismo tiempo el presidente del Consejo de Cuentas presentó los correspondientes a los ayuntamientos de Segovia, Soria y Zamora con los que se completa la serie de auditorías dedicada a la seguridad informática en las 9 capitales de provincia.

Tal y como subrayó en anteriores comparecencias, destacó la importancia de la seguridad informática en los ayuntamientos, especialmente con la transformación digital que están experimentando las nuevas tecnologías, ante procesos básicos como la gestión contable y presupuestaria, la recaudación de tributos o la gestión del padrón municipal. Además, para el ejercicio de su función fiscalizadora, “los órganos de control externo debemos poder confiar en los datos contenidos en la entidad fiscalizada como único soporte existente de la información económica y financiera.

Estas fiscalizaciones se llevan a cabo conforme a una guía que utilizan todos los órganos de control externo autonómicos sobre la revisión de controles básicos de ciberseguridad. Se analizan en cada una de estas auditorías ocho controles básicos, un conjunto priorizado de medidas de seguridad orientadas a mitigar los ataques más comunes y dañinos.

Al respecto, el Esquema Nacional de Seguridad (ENS), que se rige en la actualidad por el Real Decreto 311/2022, es el marco normativo que regula la política de seguridad para la protección de la información y los servicios electrónicos en el sector público.

Los controles básicos de ciberseguridad en estas fiscalizaciones se evalúan según un modelo de madurez de procesos que establece 6 niveles, del 0 al 5. El Consejo de Cuentas considera que la actividad organizativa de los controles debe alcanzar como mínimo el nivel 3 de madurez, que implica un proceso bien definido y estandarizado, equivaliendo ello en la evaluación global de los controles a un índice de cumplimiento del 80%.

Amilivia valoró el “efecto espejo” que vienen propiciando estos informes en el ámbito de las entidades locales destacando además la “gran aceptación que tienen estas auditorías por parte de los entes fiscalizados” y como muestra de ello señaló que sólo el de la capital segoviana presentó alegaciones al informe.

La ciberseguridad en los ayuntamientos de Segovia, Soria y Zamora

Con relación a la fiscalización sobre el Ayuntamiento de Segovia, cuyo ámbito temporal alcanzó a la situación existente en 2024, el presidente del Consejo de Cuentas significó que “realiza todas las acciones necesarias para una dirección efectiva de la política de seguridad informática; no obstante, presenta carencias muy importantes en el ámbito de una adecuada relación de puestos de trabajo en tecnologías de la información e impulso de la cobertura de plazas”.

A fin de aportar información lo más actualizada posible, indicó que el ayuntamiento puso en marcha el pasado 17 de abril el proceso selectivo para la provisión de una plaza de técnico medio de Informática, que será el responsable de los sistemas TIC en cumplimiento del ENS.

La fiscalización anotaba un nivel 2 de madurez, que se corresponde con un índice de cumplimiento global del 56%. El consistorio estaba desarrollando por entonces un plan de adecuación partiendo de la certificación de la conformidad con el ENS obtenida en 2023, así como otros aspectos tales como la gestión y monitorización por parte de un Centro de Operaciones en Seguridad o la utilización de un sistema de gestión de información y eventos de seguridad.

Con respecto a ello, la auditoría apunta que “es necesario seguir avanzando en la adaptación de los sistemas de información y en la implementación de las medidas definidas en el nuevo ENS. Y destaca que, de acuerdo con las evidencias aportadas, “en el informe se deja constancia de la voluntad y trabajo del ayuntamiento en la mejora y desarrollo de un ámbito tan específico y complejo como es la seguridad informática”, realizando el Consejo de Cuentas 11 recomendaciones.

En cuanto al informe sobre la capital soriana, la situación es similar, trabajando en una dirección efectiva de su política de seguridad informática, pero con carencias muy importantes en tal sentido en el ámbito de una adecuada relación de puestos de trabajo. Alcanzaba un nivel 2 de madurez, que se correspondía con un índice de cumplimiento global del 61%, es decir, también inferior al 80% (nivel 3 de madurez) que es expresión de un proceso “bien definido y estandarizado”.

Al finalizar la auditoría estaba trabajando en la adaptación al ENS y avanzaba en otros aspectos, pero en todo caso era necesario continuar avanzando en la adaptación de los sistemas de información y en la implementación de las medidas definidas en el nuevo ENS. Fueron a tal fin 11 las recomendaciones que le fueron enviadas.

Respecto al consistorio de la capital zamorana, el ámbito temporal de la fiscalización alcanzó a la situación que tenía en 2025. En este caso, el ayuntamiento no realiza todas las acciones necesarias para una dirección efectiva de la política de seguridad

informática, especialmente en el ámbito de impulso de la cobertura de plazas, así como del nombramiento de los principales responsables de la gestión y seguridad informática”.

El ayuntamiento, no obstante, estaba realizando varios procesos selectivos para cubrir las vacantes. En concreto, el pasado 15 de junio el BOP publicó la convocatoria de una bolsa de empleo de personal informático.

Al finalizar la auditoría, precisó, alcanzaba un nivel 1 de madurez, que se corresponde con un índice de cumplimiento global del 45%. Es decir, no se disponía de un ambiente estable para la prestación del servicio requerido, careciendo de un plan de adecuación a la normativa para la implantación progresiva de los requisitos del ENS y de una política de seguridad formalmente aprobada. El Consejo efectuó 10 recomendaciones para orientar su proceso de mejora en esta materia.

Seguimiento de recomendaciones y actualización de la situación en los ayuntamientos leoneses de La Bañeza, Villaquilambre y Astorga

Estos tres informes actualizan los análisis respectivos de los controles básicos de ciberseguridad en relación con la revisión que se llevó a cabo en 2021, comprobando además la implantación, en su caso, de las medidas recomendadas en aquella fiscalización. De todo ello dio cuenta el presidente en sus distintas intervenciones.

En el caso de La Bañeza, el informe concluye que “el ayuntamiento sigue careciendo de una estrategia de tecnologías de la información”, sin contar con una gobernanza adecuada para “afrontar con garantías el proceso de dotar a sus sistemas de información de un nivel de seguridad suficiente”.

Hace poco más de un año se realizó una contratación temporal para contar con un recurso especializado, pero “siendo un paso necesario es provisional y no supone todavía un cambio organizativo relevante”. Dos han sido las actuaciones realizadas para cumplir con las recomendaciones del Consejo: cambios en el proceso de copias de seguridad (con un almacenamiento en la nube que podría redundar en una mejora de su protección) y una renovación tecnológica para solucionar la obsolescencia de elementos de los sistemas.

Por otra parte, el ayuntamiento sigue contando con apoyo específico en materia de administración electrónica, nóminas, padrón y gestión presupuestaria a través de la Diputación de León. En el periodo transcurrido no ha adoptado un “compromiso firme con la seguridad informática, especialmente relevante en lo referido a la falta de aprobación de la política de seguridad como paso fundamental para iniciar el proceso de adaptación al ENS, a pesar de encontrarse muy avanzada en la anterior revisión”.

En este sentido, dado el tiempo transcurrido y las novedades normativas, “el borrador existente debe ser objeto de revisión en profundidad”. La entidad continúa en una situación “muy vulnerable” frente a riesgos informáticos, con un nivel de madurez 1 y un índice de cumplimiento global del 18% en 2024, por lo que el Consejo efectuó 4 nuevas recomendaciones a fin de que logre un nivel de seguridad adecuado.

Con relación a la auditoría de seguimiento de Villaquilambre, este ayuntamiento sigue careciendo de una estrategia de tecnologías de la información y no ha iniciado el proceso de adecuación al ENS. En el transcurso de estos 5 años “no ha adoptado un compromiso firme con la seguridad informática, especialmente relevante en lo referido a la falta de aprobación de la política de seguridad, paso fundamental para iniciar el proceso de adaptación al ENS”.

A fecha de aprobación del informe -el pasado 29 de diciembre- el entorno tecnológico se mantenía sin cambios relevantes, con un modelo mayoritariamente local, lo que implica una necesidad de recursos internos importante, y contando con el apoyo de la Diputación leonesa para la dotación de determinados recursos específicos de seguridad. Pues bien, el pasado 3 de julio puso en marcha el proceso selectivo para la provisión de una plaza de técnico informático mediante oposición por turno libre.

En cuanto a la evolución de los controles básicos de ciberseguridad, el índice de cumplimiento global pasó del 39% en 2021 al 45% en 2024. Es decir, registraba mejoras en la implantación de controles, continuando globalmente en el nivel 1 de madurez, pero acercándose al nivel 2. En cualquier caso, sin poder avanzar en el ENS por no tener establecida una política de seguridad formal que defina claramente los roles y responsabilidades. Por ello, se le realizaron 3 nuevas recomendaciones a fin de alcanzar un nivel de ciberseguridad adecuado.

Por último, en cuanto a la fiscalización de seguimiento de recomendaciones del ayuntamiento de Astorga, aprobada el pasado 23 de julio, los avances se limitan a la elaboración de una política de seguridad, “que se encontraba en tramitación durante la elaboración de la auditoría y que ya ha sido aprobada”. Primer paso positivo, que ahora debe traducirse en acciones concretas y, sobre todo, en un plan para dirigir de forma continuada la mejora de la ciberseguridad, en particular, con la adecuación al ENS”.

También se ha incluido en la relación de puestos de trabajo un puesto de personal técnico informático, permitiendo al menos contar con un recurso especializado. Amilivia remarcó en esta línea que, tras la aprobación de la política de seguridad, deben formalizarse los roles exigidos por el ENS.

Se da además la circunstancia de que “el entorno tecnológico del consistorio implica la coexistencia de varios modelos para sus sistemas más relevantes, que van desde soluciones llave en mano proporcionadas por la Diputación, a sistemas instalados en una plataforma externalizada cuyo mantenimiento se contrata a otro proveedor”.

Globalmente, la evolución desde 2021 a 2024 pasó del 18 al 20% en índice de cumplimiento, que se correspondía con un nivel 1 de madurez global. Para alcanzar el nivel 3 requerido, además de aprobar la Política de Seguridad, le resultará imprescindible asignar responsabilidades y formalizar procedimientos, así como resolver las carencias contractuales y de recursos que condicionan la implantación efectiva de los controles. A tal fin, el Consejo trasladó a la entidad 4 nuevas recomendaciones.