Oposición EPSO AD8 de ciberseguridad: EPSO/AD/430/26

La oposición EPSO/AD/430/26, publicada el 8 de septiembre de 2026 (Diario Oficial C/2026/4668), crea listas de reserva de administradores AD8 en dos ámbitos. El ámbito 2 es ciberseguridad, con 254 plazas, el mayor de los dos; el ámbito 1 es inteligencia artificial, con 240 y su propia guía. Solo puedes presentarte a un ámbito.

Está dirigida a profesionales con experiencia: AD8 está por encima de los grados de entrada habituales, y todas las vías para cumplir los requisitos exigen al menos cinco años de experiencia pertinente. El anuncio describe un perfil amplio y técnico: cinco categorías de funciones que van de la gestión de riesgos y la arquitectura al centro de operaciones de seguridad, la gobernanza y el asesoramiento, y cada una de ellas «requiere conocimientos técnicos especializados».

Además de tener la ciudadanía de la UE y dos lenguas de la UE (una con nivel C1 y otra con nivel B2), necesitas una de estas cuatro combinaciones de estudios y experiencia. La experiencia cuenta desde la fecha de tu título y tiene que corresponder a las funciones de ciberseguridad del Anexo II del anuncio.

Un máster o un doctorado en un área admitida vale para las opciones de cuatro y cinco años, sea cual sea tu primer título. Las áreas admitidas se reparten en tres grupos:

• Admitidas directamente: ciberseguridad, seguridad de la información o aseguramiento de la información; ingeniería de seguridad; análisis forense digital y respuesta a incidentes; criptografía y gestión de claves.
• Admitidas con una orientación hacia la seguridad de las TIC: arquitectura de sistemas, ingeniería de software, informática o eléctrica, sistemas de información, automatización y control, sistemas embebidos, interacción persona-ordenador, redes, telecomunicaciones, tecnología operativa, IoT y sistemas ciberfísicos, gobernanza y gestión de las TIC, auditoría informática, gestión de riesgos, informática de gestión y gestión de proyectos.
• Admitidas con una orientación hacia la seguridad, la criptografía, el análisis de riesgos o la analítica de seguridad: ciencia o ingeniería de datos, aplicaciones de IA o de aprendizaje automático, matemáticas aplicadas o estadística.

La orientación se demuestra con una especialización reconocida que conste en el título o en el expediente académico, con al menos 30 ECTS (un semestre a tiempo completo), con una tesis, con un artículo revisado por pares o una ponencia de congreso sobre ciberseguridad, o con una contribución principal a un proyecto de investigación nacional o europeo; los dos últimos, siempre que se hicieran durante tus estudios.

Todas las pruebas se hacen a distancia y con vigilancia, en las fechas que indique tu invitación, y no necesariamente en este orden.

Las pruebas de razonamiento tienen el mismo formato y las mismas notas mínimas que en las demás oposiciones de EPSO de 2026. Sobre la plataforma y las normas de las pruebas a distancia, consulta la guía de TAO.

En un orden estricto, que fija el anuncio:

1. Primero se corrigen las pruebas de razonamiento. Si no las apruebas, no se corrige nada más.
2. A quienes han aprobado el razonamiento se les corrige la prueba de especialidad de ciberseguridad. Todos los que sacan al menos 15/30 se clasifican según esa nota.
3. Empezando por arriba de esa clasificación, a un número limitado de candidatos, en principio no más de 1,5 veces el número de plazas, se les corrige la redacción y se les comprueban los requisitos. En ciberseguridad son unos 381 candidatos, más los posibles empates en el corte.
4. Quienes aprueban la redacción y cumplen los requisitos entran en la lista de reserva, por orden de clasificación, hasta cubrir las 254 plazas.

Así que la prueba de especialidad es la única nota que cuenta. No hay entrevista ni centro de evaluación antes de la lista, y los resultados solo se envían al final de la oposición, sea cual sea la fase a la que hayas llegado.

El anuncio no publica ningún temario: la prueba es «específica del ámbito». Lo más parecido es el Anexo II, que recoge cinco categorías de funciones. Es también la referencia con la que se mide tu experiencia.

1. Gestión de riesgos y garantía de la seguridad. Marcos de gestión de riesgos, de la identificación al seguimiento; modelos de capacidad y de madurez; evaluaciones de seguridad, gestión de vulnerabilidades, pruebas de penetración y revisiones de accesos; métricas e informes sobre los controles.
2. Arquitectura, diseño y tecnología. Arquitectura de seguridad durante toda la vida de los sistemas informáticos, incluidos los entornos en la nube e híbridos; productos y controles de seguridad como los dispositivos de seguridad de red, SIEM, XDR, la detección y respuesta en la nube, IAM y PAM, adaptados al riesgo; desarrollo seguro, revisión de código, criptografía y gestión de claves, DevSecOps; y el uso de la IA, el aprendizaje automático y la computación cuántica en la seguridad.
3. Operaciones de seguridad y respuesta a incidentes. Monitorización, detección y búsqueda de amenazas; análisis forense digital y respuesta a incidentes, del análisis forense de redes y sistemas al análisis de registros; mejora de un centro de operaciones de seguridad (ingeniería, automatización de la inteligencia sobre amenazas, red teaming, ingeniería de detección); y servicios de capacidad de respuesta a incidentes (CSIRC).
4. Gobernanza, política y coordinación. Gestión de proyectos, programas y carteras; dirección de equipos; una estrategia plurianual de seguridad de actualización continua; políticas, normas y procedimientos; cumplimiento, auditorías y certificaciones; representación de la institución en grupos interinstitucionales y de expertos; mejora continua.
5. Concienciación, competencias y asesoramiento. Campañas de concienciación y formación; asesoramiento experto sobre gestión de identidades y accesos, firma electrónica y servicios de confianza.

La clave es la amplitud: quien viene de un SOC tiene que prepararse la gobernanza y la estrategia, y quien viene de la gobernanza, la detección y el análisis forense. El anuncio no cita ninguna norma, pero las funciones se ejercen en el marco de normas de la UE que conviene tener a mano: el Reglamento (UE, Euratom) 2023/2841, sobre ciberseguridad en las instituciones, órganos y organismos de la Unión; la Directiva SRI 2, Directiva (UE) 2022/2555; el Reglamento de Ciberseguridad, Reglamento (UE) 2019/881; el Reglamento de Ciberresiliencia, Reglamento (UE) 2024/2847; y el Reglamento eIDAS, Reglamento (UE) n.º 910/2014, para la firma electrónica y los servicios de confianza.

1. Comprueba ya que cumples los requisitos. Cuenta tus años de experiencia desde la fecha de tu título. Si tu titulación está en el segundo o el tercer grupo, reúne los justificantes de tu orientación hacia la seguridad: expediente, ECTS, tesis o publicación. Los documentos se entregan hasta el 14 de enero de 2027, pero una carencia que aparezca entonces ya no se puede subsanar.
2. No subestimes el razonamiento. Solo hay que aprobarlo, pero va primero, y un profesional con experiencia que lleva años sin hacer un test psicotécnico puede suspenderlo con un currículum capaz de encabezar la clasificación. Practica el formato real: 40 preguntas en 65 minutos, repartidas en tres pruebas cronometradas.
3. Dedica la mayor parte de tu tiempo a la prueba de especialidad. Es la única nota que te clasifica: 30 preguntas en 40 minutos, unos 80 segundos por pregunta, en tu lengua 2. Repasa las cinco categorías del Anexo II y empieza por la más alejada de tu trabajo.
4. Aprende el vocabulario en tu lengua 2. El tratamiento del riesgo, la búsqueda de amenazas o la gestión de claves te aparecerán en esa lengua, no en la que usas para trabajar.
5. Lee la documentación de la redacción en cuanto EPSO la publique. La redacción EUFTE se basa en documentación de la UE que EPSO publica en su web antes de la prueba, y se califica la comunicación escrita, no los datos ni la lengua.
6. Inscríbete antes del último día. El plazo termina el 13 de octubre de 2026 a las 12:00, hora de Bruselas, y la copia del documento de identidad también tiene que estar subida para entonces.