|
|
|
El ecosistema global de amenazas ha dejado de ser lineal. Hoy en día, los Directores de Seguridad (CSO/CISO) de infraestructuras críticas y estratégicas se enfrentan a un escenario donde la inestabilidad geopolítica, el cibercrimen automatizado, el espionaje corporativo y el cambio climático convergen.
Ante esta realidad, los viejos modelos de seguridad compartimentados —donde
la seguridad física y la lógica operaban como reinos de taifas independientes—
ya no son ineficaces; son peligrosos. El mercado exige un nuevo paradigma: la
Seguridad Integral e Integrada, un modelo donde la protección se convierte en el
motor de la resiliencia de las organizaciones públicas y privadas.
Veamos esquemáticamente la realidad de nuestra percepción y establecer un
decálogo sobre el Nuevo Paradigma de la Seguridad Corporativa y la resiliencia
real de la Seguridad Integral e Integrada ante el nuevo Marco Regulatorio
Global.
Fundamentos
de la Seguridad Corporativa: el Valor Estratégico del Riesgo
La seguridad corporativa moderna ha superado la fase del "centro de costes"
reactivo. Su fundamento actual es la gestión holística del riesgo. El objetivo
de un Director de Seguridad en una infraestructura crítica no es el riesgo cero
—un mito técnico—, sino la gobernanza del riesgo. Esto implica identificar,
evaluar y mitigar las amenazas alineando los esfuerzos de protección con la
continuidad de los servicios esenciales que la organización presta a la
sociedad. La seguridad hoy se mide en términos de viabilidad institucional y
financiera.
El
Nuevo Marco Regulatorio: eel "Compliance" a la Resiliencia Operativa
Estamos viviendo un cambio de era legislativo. Normativas globales y
regionales (como las directivas europeas NIS2 y CER, o los marcos regulatorios
de infraestructuras críticas y la resiliencia) han cambiado las reglas del
juego.
El mero cumplimiento normativo (compliance) en papel ya no es suficiente. Las
nuevas regulaciones exigen responsabilidades penales e institucionales a la alta
dirección y penalizan la falta de diligencia. El foco ha pasado de la simple
"obligación de proteger" a la evidencia de la resiliencia operativa: demostrar
que la organización puede absorber un impacto sistémico y seguir prestando sus
servicios esenciales.
Ingeniería
Social: el Factor Humano como Vector de Ataque Crítico
Las mayores brechas de seguridad contemporáneas no explotan fallos en el
código o debilidades en el hormigón; explotan la psicología humana. La
ingeniería social avanzada (spear-phishing, vishing, e infiltraciones mediante
el factor insider) representa una de las vulnerabilidades más complejas de
gestionar. Para los responsables de seguridad, esto implica transicionar de las
charlas anuales de concienciación a la implantación de una verdadera cultura de
seguridad activa, donde cada empleado se convierta en un "sensor" y en la
primera línea de defensa de la infraestructura.
Seguridad
Física y Ambiental: la Evolución del Perímetro
El componente físico de una infraestructura crítica sigue siendo la base del
control, pero su gestión se ha tecnificado exponencialmente. Ya no hablamos solo
de barreras pasivas, sino de la convergencia de sistemas: analítica de vídeo
predictiva mediante Inteligencia Artificial, control de accesos biométrico
integrado y protección de entornos OT (Tecnologías de Operación). Asimismo, la
seguridad ambiental (resiliencia ante catástrofes climáticas o fallos de
suministro energético masivos) se sitúa hoy en el centro de las prioridades
tácticas.
Seguridad
de la Información y Datos: salvaguardando el Activo Inmaterial
En la era del dato, la información estratégica es el activo más codiciado.
Garantizar la triada CID (Confidencialidad, Integridad y Disponibilidad) en
entornos de infraestructuras críticas requiere políticas estrictas de gobierno
del dato. Una fuga de información operativa, planos de instalaciones o datos de
clientes estratégicos puede comprometer la seguridad nacional o destruir la
reputación de la corporación de manera irreversible.
Fundamentos
de Ciberseguridad: la Defensa en un Entorno Hiperconectado
La convergencia entre el mundo IT (tecnología de la información) y el mundo
OT (sistemas de control industrial como SCADA) ha difuminado las fronteras de la
protección. Un ciberataque hoy tiene la capacidad real de provocar daños
físicos, detener plantas de producción o interrumpir el suministro de agua o
energía. Los líderes de seguridad deben dominar los fundamentos de la
ciberdefensa, el principio de "Zero Trust" (Confianza Cero) y la monitorización
continua de redes para evitar que una vulnerabilidad digital paralice la
operación física.
El
Núcleo del Paradigma: Seguridad Integral e Integrada
Este concepto define la madurez de una organización moderna:
| Concepto | Enfoque Principal | Objetivo Estratégico |
| Seguridad Integral | Cubre todas las dimensiones del riesgo (físico, lógico, humano, reputacional y legal). No admite puntos ciegos. | Visión de 360 grados de la organización. |
| Seguridad Integrada | Rompe los silos. Une los departamentos de seguridad física, ciberseguridad, legal y RRHH bajo una estrategia y mando unificados. | Respuesta coordinada y en tiempo real ante amenazas híbridas. |
Los ataques contemporáneos son híbridos: pueden comenzar con un engaño
telefónico a un operador (Ingeniería Social), continuar con la inserción de un
malware en la planta (Ciberseguridad) y aprovechar un fallo en el control de
accesos (Seguridad Física). Solo una estructura Integral e Integrada puede
detectar y neutralizar esta cadena de eventos.
Organización
y Resiliencia: la Vitalidad de los Planes de Seguridad
La resiliencia corporativa es la capacidad de resistir, absorber, adaptarse y
recuperarse de un evento disruptivo. Los Planes de Seguridad del Operador (PSO)
y los Planes de Protección Específicos (PPE) no deben ser manuales guardados en
un cajón para auditorías o inspecciones, deben ser herramientas vivas. Esto
requiere la creación de Comités de Crisis entrenados y la ejecución de planes de
Continuidad de Negocio (BCP) y Recuperación ante Desastres (DRP) mediante
simulacros de alta fidelidad que pongan a prueba la resiliencia real de la
organización.
Colaboración
Público-Privada: la Defensa Colectiva
Las infraestructuras críticas y estratégicas sostienen el tejido de un país.
Por ello, su protección desborda los límites de la propia organización. La
colaboración público-privada es un imperativo estratégico. Los Directores de
Seguridad deben establecer canales de comunicación bidireccionales y de mutua
confianza con las Fuerzas y Cuerpos de Seguridad, los CERT nacionales y los
centros de protección de infraestructuras críticas (como el CNPIC en España).
Compartir inteligencia de amenazas en tiempo real es el único camino para la
defensa colectiva.
Estrategia
de Seguridad y Mejora Continua: el Ciclo Dinámico
La seguridad no es un estado estático; es un proceso dinámico de adaptación.
Basándose en estándares internacionales (como la familia ISO 27001 para
información, ISO 22301 para continuidad o los marcos NIST), la estrategia de
seguridad debe regirse por el principio de la mejora continua. La auditoría
constante, el aprendizaje tras los incidentes (post-mortem) y la actualización
tecnológica constante aseguran que la organización evolucione más rápido que sus
adversarios.
CONCLUSIÓN: un Mensaje para la Alta Dirección
Dirigir la seguridad de una infraestructura crítica bajo el nuevo paradigma ya no es una labor exclusivamente técnica; es una función de alta dirección y de gobernanza corporativa. Los Directores de Seguridad del presente deben ser profesionales formados en la gestión transversal del riesgo, capaces de liderar equipos multidisciplinares y de convertir la seguridad en el activo estratégico que garantice la continuidad, la reputación y la resiliencia de la organización ante un futuro incierto.
La Copa Mundial de la FIFA 2026 marca un hito sin precedentes en la historia de la seguridad de eventos masivos e infraestructuras críticas. No se trata solo de la expansión a 48 selecciones, sino de un despliegue que abarca tres naciones, con México albergando sedes de alta complejidad operativa.
El Mundial de Fútbol de 2026 no es solo el evento deportivo más grande del
planeta; para un Director de Seguridad o Responsable de Fuerzas Públicas o de
Infraestructuras Críticas, representa el banco de pruebas definitivo en tiempo
real de la resiliencia a gran escala, la gestión de macro-masas y la protección
de servicios esenciales (transportes, energía, telecomunicaciones, sanidad) bajo
máxima presión.
Para los Directores de Seguridad y CSOs del sector estratégico, este
megaevento es el laboratorio de operaciones híbridas más complejo de la década.
Analizar su arquitectura de protección nos ofrece una hoja de ruta fundamental
para la resiliencia corporativa contemporánea.
Veamos esquemáticamente la realidad de nuestra percepción y repasar un
decálogo básico sobre el Desafío de Seguridad en el Mundial 2026.
Geopolítica:
Marco Estratégico del Operativo Mundial 2026
La seguridad de un evento transnacional comienza con el análisis del entorno
macroestratégico.
La triada organizadora (México, Estados Unidos y Canadá) opera bajo vectores
de riesgo asimétricos: desde tensiones migratorias y fronterizas, hasta
ciberamenazas de actores estatales y el crimen organizado transnacional.
El diseño de este operativo demuestra que la seguridad ya no puede
planificarse a nivel local; requiere un entendimiento profundo de la geopolítica
mundial para prever cómo los conflictos internacionales pueden traducirse en
amenazas de sabotaje o protestas extremistas en territorio nacional.
Inteligencia
Estratégica, Prevención y Seguimiento Operativo
La fase reactiva ha muerto en la alta seguridad. El éxito en el Mundial 2026
descansa sobre un ciclo de inteligencia robusto.
La recopilación de datos en fuentes abiertas (OSINT), la inteligencia de
señales (SIGINT) y la monitorización de la Dark Web permiten anticipar desde
ciberataques a las redes de transporte hasta la llegada de grupos de aficionados
radicales.
Los Directores y Jefes de Seguridad deben extraer una lección clave: la
prevención es directamente proporcional a la calidad de la inteligencia
compartida.
Gestión
Integral de Riesgos y Amenazas durante 39 días de Operación
La continuidad operativa durante los 39 días de competición representa un
maratón de desgaste sistémico.
La matriz de riesgos contempla vulnerabilidades y amenazas
multidimensionales: ataques de denegación de servicio (DDoS) contra sistemas de
billetaje, drones no autorizados sobrevolando zonas de exclusión, terrorismo,
delincuencia organizada e incidencias de orden público.
El reto crítico aquí no es solo la gravedad de las amenazas, sino el factor
fatiga. Mantener la tensión operativa, el estado de alerta de los recursos
humanos, las plantillas y la redundancia de sistemas críticos durante más de un
mes exige una planificación logística del recurso de seguridad que las
corporaciones tradicionales suelen subestimar.
Recursos
Humanos y Tecnologías de Control y Videovigilancia Inteligente
El equilibrio entre el factor humano y la automatización encuentra en este
evento su máxima expresión. Las sedes en México se apoyan en ecosistemas
tecnológicos de última generación:
- Cámaras con analítica inteligente de vídeo predictiva y reconocimiento
facial para identificar perfiles de riesgo en los perímetros limítrofes (landside).
- Sistemas de control de acceso biométricos sin contacto (Contactless) e
identidad digital, agilizando el flujo de masas sin perder trazabilidad.
- Sistemas Anti-Dron (C-UAS) para blindar el espacio aéreo de los estadios y
áreas críticas.
Sin embargo, la tecnología queda ciega sin operadores altamente cualificados.
El binomio tecnológico y de recursos humanos requiere personal entrenado en la
interpretación de alertas tempranas para evitar la saturación por falsos
positivos.
Modelos
de Mando Unificado de Seguridad Público-Privada
Una de las mayores aportaciones metodológicas de este evento es la
implementación de Centros de Mando Unificados (C4i / C5i) específicos, donde la
frontera entre la seguridad pública y la privada se difumina de forma
controlada.
Bajo un solo mando estratégico, las instituciones de la ley pública y las
corporaciones privadas comparten frecuencias de comunicación, mapas de riesgos
en tiempo real y planes y protocolos de actuación unificados.
Este modelo de gobernanza es el espejo donde deben mirarse las industrias
estratégicas.
Planes
de Seguridad Específicos por Sede y Partido
No existen soluciones universales. Un partido catalogado como "de alto
riesgo" debido a rivalidades históricas o visitas de mandatarios VIP requiere un
blindaje dinámico totalmente distinto a otro de fase de grupos estándar.
Del mismo modo, el Estadio Azteca en Ciudad de México, el Estadio BBVA en
Monterrey o el Estadio Akron en Guadalajara presentan infraestructuras, vías de
evacuación y entornos urbanos heterogéneos.
La lección para el gestor de infraestructuras es clara: el Plan de Seguridad
del Operador (PSO) debe capilarizarse en Planes de Protección Específicos (PPE)
que atiendan la micro-vulnerabilidad de cada activo.
Protocolos,
Gestión de Crisis, Comunicación y Tiempos de Respuesta
Cuando un incidente supera las barreras de prevención, el tiempo se mide en
vidas y reputación institucional.
Los manuales de gestión de crisis del Mundial 2026 están diseñados bajo la
premisa de la resiliencia: contención inmediata y comunicación estratégica.
Un rumor mal gestionado en redes sociales puede provocar una estampida humana
de consecuencias catastróficas.
Los comités de crisis operarán con portavoces designados y mensajes pre-aprobados
para mitigar el pánico de forma simultánea a la intervención operativa sobre el
terreno.
Gestión
y Coordinación con Infraestructuras Sanitarias
La seguridad de la vida es la prioridad absoluta. Los planes operativos
integran de forma simbiótica los dispositivos de seguridad con las redes
hospitalarias y los servicios de emergencia médica (Triage masivo).
Esto incluye desde la previsión de corredores de emergencia sanitaria libres
de tráfico en las ciudades sede, hasta protocolos específicos de
descontaminación ante incidentes NBQR (Nuclear, Biológico, Químico o
Radiológico).
La sanidad debe ser tratada, correctamente, como la infraestructura crítica
de soporte vital del evento.
Formación
y Capacitación Especializada: Simulacros y Operaciones
La excelencia no se improvisa. Meses antes del silbatazo inicial, los
Directores de Seguridad, jefes de sector y personal de primera línea se
someterán a programas de capacitación especializada de alto nivel.
La clave del éxito radica en los simulacros de mesa (Tabletop Exercises) y
los ejercicios de fuerza viva a escala real.
Poner a prueba los sistemas mediante la simulación de escenarios concurrentes
(por ejemplo, un apagón eléctrico simultáneo a un hackeo de las comunicaciones)
es la única vía para garantizar que los protocolos se ejecuten de forma
automática bajo condiciones de estrés extremo.
Regulación,
Guías y Estándares Internacionales
El paraguas que dota de rigor científico e institucional a todo este
despliegue son los estándares internacionales.
Desde las normativas específicas de la FIFA en materia de seguridad en los
estadios, pasando por los estándares ISO 22301 (Continuidad de Negocio), ISO
31000 (Gestión de Riesgos) hasta las directrices de protección de
infraestructuras críticas más exigentes del mundo.
El cumplimiento y la auditoría de estas guías garantizarán la homologación de
los niveles de seguridad con independencia de la sede geográfica.
CONCLUSIÓN: la Herencia Metodológica del 2026
Para los profesionales que tenemos la responsabilidad de formar a los futuros
líderes de la seguridad estratégica, el Mundial de Fútbol de 2026 constituye una
clase magistral de Gobernanza Corporativa y Resiliencia Nacional.
La principal lección para la alta dirección es que la seguridad no es un
compartimento estanco ni una póliza de seguros estática: es una disciplina viva,
tecnológica, dependiente de la inteligencia y, sobre todo, profundamente
integrada con el sector público y el tejido social.
Aquellas organizaciones que adopten estos niveles de rigor estratégico en sus
propias operaciones corporativas serán las únicas preparadas para sobrevivir y
liderar en el complejo entorno global actual.
Así,
el Gobierno mexicano presentó el Plan Kukulkán -nombre que hace referencia a la
deidad mesoamericana Kukulkán, que significa serpiente emplumada- que incluye el
despliegue de 100.000 efectivos de Policía, Ejército y Seguridad Privada,
aeronaves, Videovigilancia inteligente y sistemas antidrones para resguardar “de
cualquier amenaza” estadios, hoteles, aeropuertos y zonas para aficionados y
visitantes.
Las prioridades del Plan Kukulcán se centran en blindar por completo las tres ciudades sede (Ciudad de México, Guadalajara y Monterrey), mitigar amenazas transnacionales como el terrorismo y garantizar el orden público antes, durante y después del Mundial de Fútbol. Diseñado de la mano de la FIFA por el Gobierno de México, este megaoperativo estará respaldado por tecnología de inteligencia artificial y defensa aérea.
Bases para una política pública de resiliencia integral en infraestructuras críticas
La evolución del entorno estratégico europeo, la proliferación de amenazas híbridas y la creciente dependencia de infraestructuras interconectadas están alterando profundamente los fundamentos clásicos de la seguridad. La separación histórica entre seguridad física, ciberseguridad y gestión de emergencias resulta insuficiente frente a adversarios capaces de operar simultáneamente sobre activos digitales, infraestructuras físicas, cadenas logísticas, sistemas industriales y percepción pública.
En este contexto, la seguridad privada española se encuentra ante una oportunidad estratégica: seguir evolucionando desde un modelo centrado principalmente en la vigilancia y la protección convencional, hacia un modelo de seguridad integral orientado a la resiliencia, plenamente integrado en la arquitectura nacional y europea de seguridad.
La transposición y aplicación de la Directiva NIS2 y de la Directiva CER obliga a los Estados miembros a reforzar las capacidades de prevención, protección, respuesta y recuperación de las infraestructuras críticas. Este nuevo marco regulatorio abre la puerta a redefinir el papel de la seguridad privada como un multiplicador de capacidad del Estado, particularmente en la protección de infraestructuras estratégicas y servicios esenciales.
Para ello se propone una política pública articulada para transformar estructuralmente el modelo español de seguridad privada, integrándolo en una estrategia de resiliencia nacional y europea.
INTRODUCCIÓN: EL AGOTAMIENTO DEL PARADIGMA TRADICIONAL
Durante décadas, el modelo español de seguridad privada ha estado vinculado principalmente a funciones de vigilancia, control de accesos, protección patrimonial y apoyo operativo a instalaciones públicas y privadas.
Aunque este modelo ha contribuido a la estabilidad operativa de numerosos sectores, presenta limitaciones estructurales frente al nuevo escenario de amenazas como:
- Ataques híbridos que combinan intrusión física y digital;
- Sabotaje sobre sistemas industriales;
- Campañas de desinformación coordinadas;
- Amenazas internas (insider threat);
- Interrupciones de cadenas críticas de suministro;
- Automatización del crimen organizado;
- Uso dual de tecnologías emergentes.
La naturaleza de estas amenazas exige abandonar una visión reactiva basada exclusivamente en presencia física para adoptar un modelo basado en la: anticipación, inteligencia, gestión integral y dinámica del riesgo, interoperabilidad institucional y la resiliencia operativa.
La seguridad deja de consistir únicamente en impedir una intrusión y pasa a garantizar la continuidad de funciones esenciales.
EL CONTEXTO EUROPEO: LA RESILIENCIA COMO NUEVA DOCTRINA
La Unión Europea ha redefinido la protección de servicios esenciales mediante dos instrumentos normativos complementarios:
- Directiva NIS2, que establece obligaciones reforzadas en:
- Gestión del riesgo;
- Gobernanza de seguridad;
- Notificación de incidentes;
- Continuidad operativa;
- Seguridad de la cadena de suministro.
Afecta a sectores críticos como: energía, transporte, salud, agua, banca, infraestructuras digitales, administración pública.
- Directiva CER, que amplía el enfoque hacia la resiliencia física y organizativa de entidades críticas, obligando a los Estados a:
- Identificar entidades críticas;
- Evaluar amenazas;
- Exigir planes de resiliencia;
- Desarrollar mecanismos de supervisión;
- Fortalecer la cooperación público-privada.
La interacción entre ambas directivas consolida un nuevo paradigma europeo y la seguridad de las infraestructuras críticas y estratégicas debe abordarse de forma integral, física, digital, humana y organizativa.
LA SEGURIDAD PRIVADA COMO ACTIVO ESTRATÉGICO NACIONAL
España dispone de uno de los mejores y mayores ecosistemas de seguridad privada de Europa, compuesto por miles de profesionales, directores de seguridad, operadores tecnológicos y empresas especializadas de servicios y tecnologías.
Sin embargo, su potencial estratégico aún no ha sido plenamente integrado en el sistema de seguridad nacional.
La nueva política pública debe reconocer a la seguridad privada como una capacidad estructural complementaria del Estado y esto implica redefinir su función desde proveedor de servicios hacia:
- Operador de resiliencia y protección avanzada
Con capacidades para: detección temprana, protección preventiva, gestión de incidentes, continuidad operativa, inteligencia de riesgos y amenazas, coordinación institucional.
PROPUESTA DE REFORMA ESTRUCTURAL DEL MODELO ESPAÑOL
Reforma normativa
Se propone una actualización integral de la Ley 5/2014 para incorporar una nueva dimensión estratégica. Incorporaciones recomendadas:
Nueva categoría regulatoria
Operador de Seguridad Crítica. Entidad acreditada para operar en sectores estratégicos como: energía, telecomunicaciones, salud, transporte, agua, industria de defensa, centros de datos, infraestructuras logísticas críticas.
Obligaciones específicas:
Organización y gobernanza. Establecimiento de: planes de gestión integral del riesgo, protocolos de escalado de incidentes, interoperabilidad con organismos públicos, auditorías periódicas de resiliencia, certificación tecnológica y operativa.
NUEVO MODELO OPERATIVO INTEGRADO
Seguridad física inteligente
Las infraestructuras críticas deben evolucionar hacia sistemas avanzados basados en:
- Videovigilancia con analítica basada en IA;
- Control biométrico de accesos;
- Sensores perimetrales inteligentes;
- Detección autónoma de intrusión y circulación;
- Sistemas anti-UAS (anti-drones).
Integración con ciberseguridad
Toda seguridad física deberá conectarse con capacidades de ciberdefensa:
- SOC corporativos;
- Plataformas SIEM;
- Inteligencia de amenazas;
- Detección OT/ICS;
- Correlación de eventos.
Especialmente relevante en sistemas industriales como: redes eléctricas, plantas químicas, instalaciones portuarias, hospitales, infraestructuras ferroviarias y aeroportuarias.
Centros de integración operativa
Se propone la creación de Centros Integrados de Seguridad y Resiliencia, con funciones de:
- Monitorización 24/7;
- Correlación de incidentes físicos y digitales;
- Coordinación multisectorial;
- Análisis predictivo;
- Escalado institucional.
TRANSFORMACIÓN DEL CAPITAL HUMANO
El personal de seguridad tradicional debe evolucionar hacia un nuevo perfil:
- Especialista en Seguridad Integral. Competencias requeridas:
Técnicas: fundamentos de ciberseguridad, protección de sistemas industriales, análisis de vídeo inteligente, uso de plataformas de mando y control.
Operativas: respuesta ante incidentes complejos, gestión de crisis, evacuación, contención táctica.
Estratégicas: cumplimiento regulatorio, análisis de riesgos, reporting institucional, continuidad operativa.
Sistema nacional de certificación. Se propone crear una acreditación oficial en tres niveles:
- Director de Seguridad Global de Infraestructura Crítica
- Supervisor de Resiliencia
- Director de Seguridad Estratégica
En colaboración con: INCIBE, Centro Criptológico Nacional, Universidades, Centros de formación de Seguridad.
GOBERNANZA Y COOPERACIÓN INSTITUCIONAL
Se propone la creación de un:
Consejo Nacional de Seguridad Privada Estratégica. Dependiente del Sistema de Seguridad Nacional y con participación de: Ministerio del Interior, Ministerio de Defensa, Ministerio para la Transformación Digital, operadores críticos, sector empresarial, industria tecnológica, academia.
Sus funciones incluirían:
- Evaluación estratégica de amenazas;
- Definición de estándares;
- Ejercicios nacionales;
- Cooperación europea;
- Seguimiento de indicadores.
HOJA DE RUTA DE IMPLEMENTACIÓN
Fase I (2026–2028): Adaptación regulatoria
Objetivos: reforma normativa, identificación de capacidades, pilotos sectoriales, diseño de certificaciones.
Fase II (2028–2031): Transformación operativa
Objetivos: digitalización, integración físico-ciber, despliegue de centros integrados, formación masiva.
Fase III (2031–2035): Consolidación europea
Objetivos: interoperabilidad internacional, ejercicios multinacionales, intercambio de inteligencia, homologación de estándares. Con participación de la ENISA.
CONCLUSIÓN
La seguridad privada española se encuentra ante una transformación histórica.
El nuevo entorno estratégico y global espera definitivamente un modelo basado en la evolución hacia una capacidad nacional de: inteligencia, anticipación, resiliencia e integración tecnológica y operativa.
La aplicación coordinada de la Directiva NIS2 y la Directiva CER ofrece a España una oportunidad para construir un sistema en el que la seguridad privada no sea un actor periférico, sino una pieza estructural de la soberanía, la continuidad de servicios esenciales y la protección de las infraestructuras críticas y estratégicas.
La cuestión ya no es si la seguridad privada debe evolucionar y transformarse. La cuestión estratégica es si España está dispuesta a convertirla en una auténtica capacidad de Estado.
El actual marco regulatorio en materia de ciberseguridad y protección de infraestructuras críticas en España, articulado en torno a la Directiva NIS2, el Esquema Nacional de Seguridad (ENS) y el Sistema de Protección de Infraestructuras Críticas (PIC), establece un nivel mínimo de exigencia cada vez más elevado. Sin embargo, el cumplimiento formal no garantiza por sí mismo la resiliencia operativa.
A continuación se propone una hoja de ruta de diez pilares que conecta explícitamente los requerimientos normativos con las capacidades reales de resiliencia. Se identifican brechas habituales en la implementación, se alinean prácticas avanzadas con artículos de NIS2, ENS y PIC, y se plantean líneas de evolución hacia modelos dinámicos, integrados y orientados a la continuidad efectiva del funcionamiento.
Veamos esquemáticamente la realidad de nuestra percepción y establecer un decálogo sobre la resiliencia real de la Seguridad Integral e Integrada ante el nuevo Marco Regulatorio Global.
Introducción: del “compliance” a la resiliencia operativa
El ecosistema de protección de infraestructuras críticas en España ha experimentado una profunda transformación en los últimos años, impulsado por marcos como la Directiva NIS2, el Esquema Nacional de Seguridad (ENS) y el Sistema de Protección de Infraestructuras Críticas (PIC). Este entramado normativo ha elevado el nivel mínimo exigible, pero también ha generado un riesgo: confundir cumplimiento con resiliencia.
En un entorno caracterizado por amenazas híbridas, interdependencias sistémicas y alta exposición tecnológica, el verdadero reto no es cumplir, sino resistir, adaptarse y recuperar el funcionamiento bajo condiciones adversas.
Gobierno y liderazgo operativo: más allá del marco formal
El marco PIC establece obligaciones claras en cuanto a planes de seguridad del operador (PSO) y planes de protección específicos (PPE). Sin embargo, muchas organizaciones limitan su gobernanza a la elaboración documental.
Así, las organizaciones más avanzadas, especialmente en sectores como energía o transporte, están evolucionando hacia: la creación de comités de resiliencia con capacidad ejecutiva real; la integración del CISO y del responsable de operaciones en la toma de decisiones estratégicas; el establecimiento de modelos de “command & control” adaptados a crisis complejas; incorporando centros de control integrados donde convergen ciberseguridad, operación y continuidad.
La evolución necesaria debe orientarse hacia: la integración de la resiliencia en el gobierno corporativo; la responsabilidad directa del órgano de dirección en decisiones de ciberseguridad; y la creación de estructuras de mando operativas para su activación en incidentes o contingencias.
Inteligencia y anticipación de amenazas: del IOC al contexto operativo
La Directiva NIS2 refuerza la necesidad de capacidades de detección y respuesta, pero el valor diferencial reside en la anticipación.
Es por ello que la evolución es preciso orientarla hacia: la integración de inteligencia de riesgos y amenazas en procesos operativos; el establecimiento de capacidades de análisis predictivo; la correlación entre amenazas globales y activos críticos específicos.
Gestión dinámica avanzada de riesgos: alineando ENS y operación real
El ENS exige análisis de riesgos periódicos, pero la volatilidad actual requiere modelos continuos.
Las buenas prácticas emergentes se orientan hacia: la creación de cuadros de mando de riesgo en tiempo real; la integración y gestión con SOC (Security Operations Center); y el uso de indicadores como KRIs (Key Risk Indicators) vinculados a la operación.
La evolución necesaria debe orientarse hacia: modelos dinámicos de gestión del riesgo en tiempo real; la integración con indicadores operativos (KRIs); y la priorización basada en impacto en continuidad de servicio.
Gestión de dependencias críticas: el talón de Aquiles sistémico
La normativa actual comienza a abordar la cadena de suministro (especialmente en la NIS2), pero su implementación sigue siendo incipiente.
En este sentido, aspectos clave en el contexto español son: la dependencia de proveedores tecnológicos internacionales; la interconexión entre sectores (energía, telecomunicaciones, transporte, etc.); y la externalización de los servicios críticos.
La resiliencia exige mapear estas dependencias con precisión y establecer acuerdos operativos, no solo contractuales.
Es por ello que la evolución es preciso orientarla hacia: el mapeo exhaustivo de dependencias; la evaluación continua de proveedores críticos; y el establecimiento de planes de contingencia para fallos externos.
Integración IT/OT: el gran desafío de NIS2
La convergencia IT/OT es uno de los ejes centrales de la NIS2, pero su implementación real presenta fricciones derivadas de: diferencias culturales entre equipos; tecnologías OT legacy sin capacidades de seguridad nativas; y riesgo de impacto operativo al aplicar controles IT tradicionales.
En este sentido, la evolución necesaria debe orientarse hacia: la visibilidad unificada IT/OT; la creación de equipos multidisciplinares; y el establecimiento de controles adaptados a entornos industriales.
Capacidad de operación degradada: resiliencia en acción
Uno de los aspectos menos desarrollados en los marcos normativos es la capacidad de operar en condiciones degradadas.
Esto implica que hay que: definir niveles de servicio mínimos aceptables; diseñar procedimientos manuales; y entrenar al personal en escenarios sin soporte tecnológico.
Es por ello que la evolución es preciso orientarla hacia: la definición de modos degradados; la implementación de procedimientos manuales alternativos; y la priorización de servicios esenciales.
Gestión avanzada de crisis: del plan al músculo operativo
El ENS y la NIS2 exigen planes de respuesta, pero la diferencia está en su ejecución.
En este sentido, las organizaciones más maduras cuentan con: centros de gestión de crisis (Crisis Management Rooms); protocolos de escalado claros; e integración con comunicación corporativa y legal.
La evolución necesaria debe orientarse hacia el establecimiento de: centros de gestión de crisis; protocolos de escalado claros; e integración con comunicación y regulación.
Ecosistema y coordinación externa: resiliencia compartida
El modelo español, basado en la colaboración público-privada, es una fortaleza, pero aún infrautilizada.
Algunas de las claves son: la participación activa en comunidades u organizaciones sectoriales; el intercambio de información en tiempo real; la coordinación con Fuerzas y Cuerpos de Seguridad.
Es por ello que la evolución es preciso orientarla hacia: el intercambio activo de inteligencia; la coordinación operativa y efectiva público-privada; y la participación en redes sectoriales.
Cultura y factor humano: el multiplicador silencioso
Ni el ENS ni la NIS2 pueden garantizar una cultura organizativa resiliente y este es un elemento estratégico que precisa de: formación continua y especializada basada en escenarios reales; cultura de reporte sin penalización; e integración de la resiliencia en el día a día operativo.
A todo ello, hay que añadirle la realización de simulacros avanzados y entrenamiento en condiciones reales. Los simulacros exigidos por normativa suelen ser predecibles. La tendencia actual apunta hacia ejercicios más exigentes con: simulaciones realistas y no guionizadas; escenarios híbridos (ciber + físico); y evaluación basada en métricas.
La evolución necesaria debe orientarse hacia: la capacitación basada en roles; la cultura de resiliencia operativa; e incentivos alineados con seguridad.
CONCLUSIÓN: Cumplimiento como Base, Resiliencia como Objetivo
España cuenta con un marco normativo robusto y en evolución. Sin embargo, el verdadero diferencial competitivo y operativo reside en la capacidad de las organizaciones para ir más allá del cumplimiento.
La resiliencia real no se audita únicamente: se entrena, se mide en crisis y se construye día a día integrando personas, procesos y tecnología.
En un contexto donde lo improbable se vuelve recurrente, la pregunta ya no es si una organización cumple, sino si está preparada para seguir operando cuando todo lo demás falla.
Es por ello que la evolución es preciso orientarla hacia: la automatización de la resiliencia aplicada a riesgo y respuesta; la integración de resiliencia climática y física; y la implantación de métricas estandarizadas de resiliencia operativa.
El futuro de la protección de las infraestructuras críticas dependerá menos de nuevas normas y más de cómo se implementen en la práctica.
Las organizaciones que liderarán este cambio serán aquellas capaces de: integrar cumplimiento y operación; evolucionar hacia modelos dinámicos; y entrenar su resiliencia en condiciones reales.
En última instancia, la resiliencia no se demuestra en auditorías, sino en la capacidad de mantener la operación cuando el entorno deja de ser favorable.
Hacia un modelo integral basado en la continuidad de funciones esenciales
La evolución del entorno de riesgos, caracterizado por amenazas híbridas, interdependencias críticas y alta digitalización, ha impulsado un cambio profundo en el marco regulatorio europeo y nacional. La nueva legislación en materia de resiliencia -inspirada en la Directiva CER- introduce un cambio de paradigma en la protección de infraestructuras críticas.
En España, el Gobierno ha aprobado, a propuesta del Ministerio del Interior, el proyecto de Ley de Protección y Resiliencia de Entidades Críticas, que incorpora al ordenamiento jurídico nacional la más reciente directiva europea sobre la salvaguarda de aquellas instituciones y empresas que prestan servicios esenciales en sectores estratégicos indispensables para mantener las funciones sociales o las actividades económicas vitales en el ámbito nacional y la Unión Europea.
Este cambio supone la transición desde el modelo tradicional de protección de activos hacia un enfoque centrado en la resiliencia de las entidades críticas, donde el objetivo principal es garantizar la continuidad de los servicios esenciales.
- Introducción: del modelo PIC a la resiliencia
- Origen del cambio: el marco europeo
- Ampliación del alcance: más sectores y servicios esenciales
- Enfoque “all hazards”: consideración de todo tipo de amenazas
- Orientación a funciones críticas: más allá del activo físico
- Transformación del modelo español
- De infraestructura crítica a entidad crítica
- De protección a resiliencia
- De cumplimiento a gestión activa
- Un nuevo modelo de gestión de riesgos
- Nuevas obligaciones para operadores críticos
- Planes de resiliencia
- Gobernanza y organización
- Gestión de incidentes
- Continuidad operativa
- Refuerzo de la colaboración público–privada
- Convergencia con la ciberseguridad
- Impacto en la gobernanza empresarial
- Tecnología como habilitador de resiliencia
- Supervisión, auditoría y cumplimiento
- Retos y oportunidades
Dedicado por más de 30 años a la Consultoría e Ingeniería de Seguridad y Defensa por más de 20 países como asesor para asuntos aeroportuarios, puertos, cárceles hospitales, entidades bancarias, museos, transporte ferroviario, servicios de Correos y puertos.
Es socio fundador y presidente para Europa de la Federación Mundial de Seguridad (WSF), Director para Europa de la Secretaría Iberoamericana de Seguridad, Asesor gubernamental en materia de integración operativa de seguridad pública y privada en diversos países latinoamericanos.
Como experiencia académica es profesor de postgrado en ICADE (Universidad Pontificia Comillas de Madrid) desde 1986, codirector de postgrado en la Facultad de Psicología (Universidad Complutense de Madrid) y director del Curso de Seguridad en Infraestructuras Críticas del Instituto General Gutierrez Mellado de la UNED, así como conferenciante habitual y profesor en más de 20 países sobre Seguridad y Defensa.
Su representación institucional es principalmente como Miembro Experto de la Comisión Mixta de Seguridad del Ministerio del Interior, Director para Europa de la Federación Panamericana de Seguridad (FEPASEP), representante “ad honores” de la Federación de Empresas de Seguridad del MERCOSUR (FESESUR), asesor del BID (Banco Interamericano de Desarrollo) para asuntos de Seguridad Ciudadana y Observatorio de Delincuencia en Panamá, socio fundador y de honor del Observatorio de Seguridad Integral en Hospitales (OSICH), socio fundador y vicepresidente de la Asociación para la Protección de Infraestructuras Críticas (APIC)
Autor y director de la BIBLIOTECA DE SEGURIDAD, editorial de Manuales de Proyectos, Organización y Gestión de Seguridad
Actualmente es presidente y director del Grupo de Estudios Técnicos (GET), socio-senior partner de TEMI GROUP Consultoría Internacional y socio-director de CIRCULO de INTELIGENCIA consultora especializada.
Tendencias 21 (Madrid). ISSN 2174-6850