¿Qué es ENISA y qué papel tendrá tras el CSA2?

¿Qué es ENISA?

ENISA, la Agencia de la Unión Europea para la Ciberseguridad, es el organismo dedicado a la ciberseguridad de la UE. Su cometido es ayudar a los Estados miembros, las instituciones de la UE y las empresas a alcanzar un nivel de ciberseguridad más alto y coherente en toda la Unión, actuando como punto común de conocimiento y coordinación más que como regulador nacional.

La agencia se creó por primera vez en 2004 y, tras varios mandatos, recibió uno permanente con la Cybersecurity Act de 2019, Reglamento (UE) 2019/881. Esa misma norma creó el marco europeo de certificación de ciberseguridad y situó a ENISA en su centro. Desde entonces ENISA se ha convertido en un nombre familiar por sus informes del panorama de amenazas, su orientación y su apoyo durante grandes incidentes cíber.

Entender ENISA importa ahora porque su papel está a punto de cambiar. La propuesta de Cybersecurity Act 2 la movería de ser principalmente un órgano consultivo y de certificación hacia uno mucho más operativo, situado en el corazón de cómo la UE detecta, notifica y responde a las amenazas cíber. Para ver por qué es significativo, conviene mirar primero qué hace ENISA en realidad hoy.

¿Qué hace ENISA hoy?

Bajo su mandato actual, el papel de ENISA es amplio pero en gran medida de apoyo. Estas son las principales funciones que desempeña hoy, antes de que las reformas del CSA2 entren en vigor.

¿Qué cambia la normativa CSA2?

La propuesta de Cybersecurity Act 2 (CSA2), publicada el 20 de enero de 2026, sustituiría a la Cybersecurity Act de 2019 y remodelaría de raíz el papel de ENISA. El cambio principal es de carácter: de una agencia que sobre todo asesora y certifica a una que opera directamente sistemas a escala de la UE.

Esto importa porque el corpus normativo de ciberseguridad de la UE se ha vuelto denso, con NIS2, el CRA, DORA y el Cyber Solidarity Act sumando requisitos. Buena parte de la maquinaria en la que se apoyan esas normas, como las plataformas de notificación y las bases de datos de vulnerabilidades, necesita un operador central. El CSA2 designa a ENISA para ese papel, consolidando funciones operativas que hoy están dispersas o planificadas en varios instrumentos.

Junto al giro operativo, el CSA2 también moderniza la certificación, permitiendo certificar no solo productos y servicios sino la propia postura de ciberseguridad de las entidades, y añade un marco para la seguridad de la cadena de suministro TIC. Para ENISA en concreto, sin embargo, el cambio definitorio es el paso del asesoramiento a las operaciones, y ahí es donde entran sus nuevas responsabilidades.

Nuevas responsabilidades operativas

El CSA2 daría a ENISA un conjunto de deberes operativos y concretos que van mucho más allá de su trabajo consultivo actual. Estas son las principales nuevas responsabilidades que asigna la propuesta.

Presupuesto y cronología

Un mandato operativo necesita recursos operativos, y sigue siendo solo una propuesta. La tabla expone las cifras y etapas clave que definen el nuevo papel propuesto de ENISA.

¿Qué significa ENISA y el papel de Teldat?

Una ENISA más operativa cambia el telón de fondo sobre el que las organizaciones gestionan la ciberseguridad, ya que las plataformas y servicios que operaría tocan el mismo ecosistema en el que funciona la infraestructura de red y seguridad. Teldat es un fabricante europeo cuyo portfolio encaja en ese ecosistema.

Preguntas frecuentes sobre ENISA y el CSA2

❯ ¿Qué es ENISA?

ENISA es la Agencia de la Unión Europea para la Ciberseguridad, el organismo de la UE que apoya la ciberseguridad en toda la Unión. Se creó para ayudar a los Estados miembros y a las instituciones de la UE a elevar su nivel de ciberseguridad, y recibió un mandato permanente con la Cybersecurity Act de 2019, Reglamento (UE) 2019/881. Su trabajo abarca apoyar la política de ciberseguridad, coordinar la cooperación entre Estados miembros, publicar análisis de amenazas y orientación, y gestionar el marco europeo de certificación de ciberseguridad voluntaria. Históricamente ENISA ha sido principalmente un órgano consultivo y de apoyo más que operativo, aunque la propuesta de Cybersecurity Act 2 cambiaría eso significativamente.

❯ ¿Qué cambia el CSA2 para ENISA?

La propuesta de Cybersecurity Act 2 (CSA2), publicada el 20 de enero de 2026, transformaría a ENISA de un órgano principalmente consultivo en un hub operativo dentro de la arquitectura de ciberseguridad de la UE. Asumiría nuevas responsabilidades operativas, incluidas mantener la European Vulnerability Database, operar la plataforma única de notificación de incidentes, gestionar la EU Cybersecurity Reserve, proporcionar un servicio de asistencia ante ransomware en cooperación con Europol, y ofrecer alertas tempranas y situational awareness. Para apoyar este mandato ampliado, la propuesta prevé un incremento significativo del presupuesto, con una cifra indicativa de unos 341 millones de euros para 2028 a 2034, un aumento del 81,5% respecto a 2025.

❯ ¿Cuánto aumentará el presupuesto de ENISA con el CSA2?

Con la propuesta del CSA2, el presupuesto de ENISA aumentaría sustancialmente para acompañar su papel operativo ampliado. La propuesta fija un presupuesto indicativo de unos 341 millones de euros para el periodo 2028 a 2034, lo que supone una media aproximada de 49 millones de euros al año. Eso representa un incremento de en torno al 81,5% respecto a 2025. La magnitud del aumento refleja el paso de un papel consultivo a funciones operativas prácticas como operar plataformas, mantener la base de datos de vulnerabilidades y prestar apoyo ante incidentes y ransomware, todo lo cual requiere una capacidad técnica y de personal considerable.

❯ ¿Está ya en vigor el CSA2?

No. El CSA2 es una propuesta, publicada por la Comisión Europea el 20 de enero de 2026 como parte de un paquete de ciberseguridad más amplio que también modifica la Directiva NIS2. Ahora recorre el procedimiento legislativo ordinario de la UE, con negociaciones en trílogo entre el Parlamento Europeo, el Consejo y la Comisión previstas a lo largo de 2026, y su texto todavía puede cambiar antes de la adopción. Hasta que se adopte y entre en vigor, la Cybersecurity Act de 2019 y el mandato actual de ENISA siguen aplicando. Por tanto, las organizaciones deberían seguir la propuesta mientras continúan trabajando dentro del marco existente.

❯ ¿Cómo se relaciona el papel ampliado de ENISA con Teldat?

El papel operativo ampliado de ENISA toca el mismo ecosistema en el que opera la infraestructura de Teldat. A medida que ENISA asuma la plataforma única de notificación y la European Vulnerability Database, los fabricantes y operadores interactuarán con sistemas a escala de la UE para la notificación y la información de vulnerabilidades, y la detección y monitorización integradas en la infraestructura de red y seguridad es lo que alimenta esos procesos. Como fabricante europeo que opera bajo jurisdicción europea, Teldat encaja en la dirección hacia la coordinación y la soberanía europeas que refuerza el CSA2. Teldat no certifica el cumplimiento ni actúa por ENISA, pero su portfolio apoya la resiliencia y la visibilidad de las que depende el marco cíber de la UE en su conjunto.