La Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI) ha dado recientemente un paso importante en la protección de las infraestructuras estatales con el lanzamiento del dispositivo REACTIV. Esta nueva herramienta de intervención confiere a la agencia la capacidad de obligar directamente a los ministerios a actuar en caso de ciberataque inminente. Esta medida de urgencia se articula en torno a una hoja de ruta estratégica para el periodo 2026-2027, un documento ambicioso que detalla diez proyectos prioritarios destinados a reforzar la resiliencia digital del Estado frente a una creciente ciberamenaza.

El calendario de implementación refleja una voluntad de modernización progresiva, pero también subraya disparidades temporales marcadas. Si bien la eliminación de las cuentas genéricas está prevista para mediados de 2026, la adopción generalizada de la autenticación de múltiples factores (MFA) para todos los sistemas de la administración no se completará hasta febrero de 2028. Del mismo modo, el despliegue de soluciones de detección avanzada, como EDR y XDR, así como la homologación obligatoria de los sistemas esenciales, siguen una trayectoria escalonada. Este enfoque a dos velocidades, entre la reacción inmediata en caso de crisis y la adecuación a las normas a largo plazo, cuestiona, sin embargo, la viabilidad de los objetivos frente a las restricciones presupuestarias persistentes que ya habían frenado los ciclos anteriores.

Un aspecto crítico de esta estrategia concierne a la criptografía poscuántica, ámbito en el que el Estado francés prevé realizar un inventario de los datos sensibles para 2026, seguido de un despliegue técnico completo de cara al 2030. Esta transición responde a la amenaza del «harvest now, decrypt later» (cosechar ahora, descifrar después), que consiste en interceptar datos hoy para descifrarlos cuando la potencia de cálculo necesaria esté disponible. Curiosamente, aunque este desafío afecta directamente a la seguridad de los activos digitales, el documento omite cualquier referencia explícita a las criptomonedas, aun cuando el sector privado y el ecosistema blockchain ya están avanzando en soluciones técnicas concretas para contrarrestar el riesgo cuántico.

En definitiva, esta hoja de ruta revela un desfase estructural entre los discursos sobre la ciberurgencia y las capacidades de ejecución real del aparato estatal. Si bien la introducción de REACTIV marca un punto de inflexión en la capacidad de intervención rápida, los plazos lejanos para medidas básicas subrayan los desafíos logísticos y financieros a los que se enfrenta la administración. La cuestión central sigue siendo la de la concreción: mientras el Estado privilegia un enfoque prudente y gradual, la amenaza no disminuye. La transición hacia una seguridad poscuántica y la generalización de los estándares básicos servirán como una prueba de fuego para medir la voluntad real de transformar la ciberseguridad pública.