|
|
|
La resiliencia geopolítica como nueva dimensión de la gestión
tecnológica
Uno de los elementos diferenciales del nuevo paradigma consiste en incorporar
la geopolítica a la gestión de la innovación y la tecnología.
Tradicionalmente, las organizaciones han evaluado sus dependencias
tecnológicas atendiendo a criterios económicos, operativos, contractuales y de
disponibilidad.
Sin embargo, la creciente competencia estratégica entre potencias, las
tensiones internacionales, las restricciones comerciales, las políticas de
control de exportaciones, la concentración de capacidades tecnológicas y las
vulnerabilidades de las cadenas de suministro han convertido las dependencias
geopolíticas en factores relevantes de riesgo empresarial y de seguridad
nacional.
En consecuencia, una organización puede disponer de sistemas técnicamente
seguros y, al mismo tiempo, presentar vulnerabilidades estructurales derivadas
de su dependencia de fabricantes, tecnologías, infraestructuras o jurisdicciones
externas.
Por ejemplo, una interrupción en el suministro de semiconductores, la
imposibilidad de acceder a actualizaciones de software, una restricción de
exportación tecnológica, la indisponibilidad de servicios cloud o la pérdida de
soporte de un fabricante pueden comprometer la continuidad de una
infraestructura esencial sin que necesariamente se haya producido un ciberataque.
De ahí surge la necesidad de incorporar una nueva dimensión: la resiliencia
geopolítica y tecnológica.
Definición de resiliencia geopolítica
Se propone definirla como:
La capacidad de una organización, infraestructura crítica o entidad esencial
para anticipar, evaluar, prevenir, absorber, gestionar y superar las
perturbaciones derivadas de tensiones geopolíticas, conflictos internacionales,
restricciones tecnológicas, dependencias estratégicas y alteraciones de las
cadenas de suministro, manteniendo su autonomía operativa, su seguridad y la
continuidad de los servicios esenciales.
Esta definición incorpora cuatro capacidades fundamentales:
- Anticipación estratégica.
- Diversificación y reducción de dependencias.
- Capacidad de sustitución y adaptación tecnológica.
- Continuidad y recuperación frente a perturbaciones geopolíticas.
Principales
dimensiones de la resiliencia geopolítica
Modelo de resiliencia geopolítica integral
Soberanía tecnológica
Control de dependencias tecnológicas, capacidades estratégicas y acceso
a componentes críticos.
Resiliencia de suministro
Diversificación de proveedores, trazabilidad, alternativas y planes de
contingencia.
Independencia operativa
Capacidad de mantener servicios tecnológicos esenciales ante la pérdida
de proveedores o plataformas externas.
Inteligencia estratégica
Seguimiento de riesgos geopolíticos, regulatorios, tecnológicos y de
seguridad internacional.
Líneas de actuación
La resiliencia geopolítica debe traducirse en actuaciones concretas:
- Elaboración de mapas de dependencias tecnológicas y estratégicas.
- Identificación de proveedores críticos y subproveedores.
- Evaluación del riesgo país y de la jurisdicción aplicable a los
proveedores.
- Análisis de concentración de proveedores y puntos únicos de fallo.
- Diversificación geográfica y tecnológica.
- Evaluación de alternativas de sustitución de componentes y servicios.
- Desarrollo de capacidades internas y conocimiento tecnológico propio.
- Establecimiento de estrategias de salida (exit strategies) para servicios
externalizados.
- Garantía de portabilidad de datos, interoperabilidad y capacidad de
recuperación.
- Identificación de tecnologías críticas cuya indisponibilidad podría
comprometer servicios esenciales.
La finalidad no es alcanzar una autarquía tecnológica, sino conseguir una
autonomía estratégica suficiente para evitar que una dependencia externa se
convierta en una vulnerabilidad sistémica.
Arquitectura
del modelo integral de gestión de innovación, seguridad y resiliencia
A partir de los elementos anteriores, se propone un modelo de gestión
integrado que articule la innovación tecnológica, la seguridad, la
ciberseguridad, el cumplimiento normativo y la resiliencia geopolítica.
El modelo puede estructurarse en seis dominios interrelacionados:
Arquitectura conceptual propuesta
GOBERNANZA ESTRATÉGICA
Dirección · Riesgos · Cumplimiento · Inversión · Responsabilidad
- Innovación segura - Security by Design
- Ciberseguridad - Protección digital y OT
- Seguridad integral - Protección física y lógica
- Resiliencia operativa - Continuidad y recuperación
- Gobernanza normativa - NIS-2 · CER · ISO 27001
- Resiliencia geopolítica - Autonomía y suministro
RESULTADO: INFRAESTRUCTURA SEGURA Y RESILIENTE
DISPONIBILIDAD INTEGRIDAD ·CONFIDENCIALIDAD ·CONTINUIDAD ADAPTABILIDAD
·AUTONOMÍA ESTRATÉGICA
Elaboración conceptual propia. Los seis dominios se gestionan
transversalmente y no constituyen compartimentos independientes.
Gobernanza estratégica
La dirección de la organización debe asumir la responsabilidad de integrar la
seguridad en la estrategia de innovación, definir el apetito de riesgo, aprobar
las inversiones necesarias y supervisar la eficacia de las medidas implantadas.
La gobernanza debe conectar las funciones de innovación, tecnología,
seguridad de la información, ciberseguridad, continuidad de negocio, seguridad
física, compras y gestión de riesgos.
Gestión integral de riesgos
Es necesario establecer una metodología común que permita identificar y
evaluar:
- Riesgos tecnológicos y cibernéticos.
- Riesgos físicos y operacionales.
- Riesgos humanos y organizativos.
- Riesgos de terceros y cadenas de suministro.
- Riesgos geopolíticos y regulatorios.
- Riesgos de obsolescencia y dependencia tecnológica.
La evaluación debe considerar la probabilidad, el impacto, la
interdependencia de los activos y las consecuencias de la interrupción de los
servicios esenciales.
Arquitectura de seguridad y resiliencia
La arquitectura debe integrar las tecnologías de protección física y lógica
con los sistemas de monitorización, detección, respuesta y recuperación.
Asimismo, debe contemplar la separación y protección de los entornos IT y OT,
la gestión de identidades, la segmentación de redes, la redundancia de servicios
y la recuperación de sistemas críticos.
Gestión de la cadena de suministro
La seguridad de los proveedores debe integrarse en todo el ciclo de
contratación y gestión tecnológica.
Esto incluye la evaluación previa, los requisitos contractuales, las
auditorías, la supervisión continua, la gestión de vulnerabilidades, la
trazabilidad de componentes y los planes de sustitución.
Continuidad, respuesta y recuperación
La organización debe disponer de capacidades verificables para mantener sus
servicios esenciales ante incidentes, incluyendo:
- Planes de continuidad de negocio (BCP).
- Planes de recuperación tecnológica (DRP).
- Planes de respuesta a incidentes.
- Planes de gestión de crisis.
- Protocolos de comunicación y coordinación.
- Ejercicios y simulacros periódicos.
Evaluación y mejora continua
La eficacia del modelo debe medirse mediante indicadores de seguridad,
madurez, resiliencia, cumplimiento y dependencia tecnológica.
El resultado debe alimentar las decisiones de innovación, inversión y
transformación organizativa.
Modelo
de implantación: hoja de ruta estratégica y operativa
Para convertir el paradigma conceptual en un modelo operativo, se propone una
implantación progresiva en cinco fases.
| Fase | Actuaciones principales | Resultado |
| 1. Diagnóstico | Inventario de activos, servicios esenciales, riesgos, dependencias y situación normativa | Mapa de situación y brechas |
| 2. Diseño | Definición de arquitectura de seguridad, SGSI y modelo de resiliencia | Modelo integrado |
| 3. Implantación | Aplicación de controles tecnológicos, organizativos y físicos | Capacidades de protección |
| 4. Validación | Auditorías, pruebas de seguridad, simulacros y certificación ISO 27001 | Evidencias de eficacia |
| 5. Evolución | Monitorización, inteligencia de amenazas y reevaluación estratégica | Mejora continua |
8.1. Indicadores de desempeño y resiliencia
La gestión debe apoyarse en indicadores que permitan comprobar el grado de
implantación y la eficacia real del modelo.
Algunos indicadores propuestos son:
| Indicador | Qué permite evaluar |
| Cobertura de activos críticos | Porcentaje de activos identificados y clasificados |
| Cobertura de Security by Design | Proyectos tecnológicos con requisitos de seguridad desde su inicio |
| Madurez de ciberseguridad | Eficacia de los controles de protección y detección |
| Riesgo residual | Exposición después de aplicar medidas de tratamiento |
| Dependencia de proveedores críticos | Concentración y vulnerabilidad de suministro |
| Tiempo de detección (MTTD) | Capacidad de identificar incidentes |
| Tiempo de recuperación (RTO) | Capacidad de recuperar servicios |
| Pérdida máxima de datos (RPO) | Capacidad de recuperación de información |
| Cobertura del SGSI | Alcance y grado de implantación del sistema |
| Resiliencia geopolítica | Capacidad de sustitución y continuidad ante perturbaciones externas |
Estos indicadores deben disponer de objetivos, responsables, periodicidad de
medición y mecanismos de escalado a la dirección.
No basta con medir el número de herramientas desplegadas o de controles
implantados: es necesario demostrar que la organización puede mantener sus
funciones esenciales ante escenarios adversos.
Implicaciones
estratégicas para la innovación y la competitividad
La adopción de este paradigma supone una transformación profunda de la forma
en que las organizaciones conciben y gestionan la innovación.
En primer lugar, modifica los criterios de selección de tecnologías. Una
solución ya no debe evaluarse únicamente por sus funcionalidades, costes o
rendimiento, sino también por su seguridad, capacidad de recuperación,
interoperabilidad, trazabilidad y dependencia de terceros.
En segundo lugar, transforma la relación entre innovación y gestión de
riesgos. La seguridad pasa a participar desde las primeras decisiones de
inversión y diseño, evitando que las vulnerabilidades estructurales se descubran
cuando los sistemas ya están desplegados.
En tercer lugar, amplía el concepto de competitividad. La capacidad de
ofrecer servicios seguros, fiables y continuos se convierte en un factor de
confianza para clientes, administraciones públicas, socios tecnológicos y
operadores de infraestructuras críticas.
Finalmente, incorpora una dimensión de autonomía estratégica. Las
organizaciones capaces de identificar sus dependencias y disponer de
alternativas tecnológicas estarán mejor preparadas para afrontar interrupciones
de suministro, cambios regulatorios y perturbaciones internacionales.
En este sentido, el nuevo paradigma permite establecer una relación directa
entre innovación, seguridad, resiliencia y sostenibilidad tecnológica.
Conclusiones:
hacia una nueva cultura de innovación segura y resiliente
La evolución del entorno tecnológico, la transformación digital y la
creciente complejidad de las amenazas hacen necesario superar los modelos
tradicionales de gestión de la innovación y la tecnología.
Las directivas europeas NIS-2 y CER representan un cambio significativo en la
concepción de la seguridad de las organizaciones y de las infraestructuras que
prestan servicios esenciales. Ambas establecen la necesidad de gestionar los
riesgos desde una perspectiva integral, contemplando tanto las amenazas
digitales como las físicas, operativas y sistémicas.
En este contexto, la incorporación de Security by Design, la implantación de
un Sistema de Gestión de Seguridad de la Información certificado conforme a
ISO/IEC 27001 y el desarrollo de capacidades de resiliencia geopolítica
constituyen elementos fundamentales de un modelo avanzado de gestión
tecnológica.
La propuesta presentada permite evolucionar desde una visión fragmentada de
la seguridad hacia una arquitectura integrada en la que convergen:
- La innovación tecnológica segura.
- La protección de infraestructuras críticas.
- La ciberseguridad y la seguridad física.
- La gestión de riesgos y el cumplimiento normativo.
- La continuidad de los servicios esenciales.
- La seguridad de las cadenas de suministro.
- La autonomía y resiliencia geopolítica.
- La mejora continua y la gobernanza corporativa.
La principal transformación consiste en reconocer que la seguridad no es una
característica adicional de la tecnología, sino una condición estructural para
que la innovación pueda generar valor de manera sostenible.
El nuevo paradigma puede sintetizarse en una idea central: no se trata
únicamente de innovar para transformar las organizaciones, sino de innovar para
construir organizaciones, tecnologías e infraestructuras capaces de operar,
resistir, adaptarse y evolucionar en un entorno de amenazas, incertidumbre e
interdependencia global.
De esta manera, la seguridad se convierte en un factor estratégico de innovación, la resiliencia en una capacidad organizativa esencial y la autonomía tecnológica en una condición para la continuidad y sostenibilidad de los servicios críticos.
Seguridad desde el diseño, ciberresiliencia, protección de infraestructuras críticas y resiliencia geopolítica
La transformación digital, la creciente interdependencia tecnológica, la evolución de las amenazas cibernéticas y la fragmentación del entorno geopolítico están modificando sustancialmente las condiciones en las que las organizaciones desarrollan, incorporan y gestionan la innovación y la tecnología.
En este nuevo escenario, la innovación tecnológica ya no puede gestionarse
exclusivamente desde criterios de eficiencia, competitividad, productividad,
escalabilidad o rentabilidad. Es necesario incorporar una dimensión adicional,
transversal y estratégica: la
seguridad y la resiliencia integral como atributos inherentes al ciclo de
vida de la innovación, los sistemas tecnológicos, los procesos empresariales y
las cadenas de suministro.
Este planteamiento configura un nuevo paradigma de gestión de la innovación y
la tecnología, basado en la convergencia de cinco dimensiones:
- Seguridad desde el Diseño (Security by Design): integrar
los requisitos de seguridad física, lógica, digital y organizativa desde la
concepción de productos, servicios, infraestructuras y procesos.
- Ciberseguridad y protección de la información: establecer
una arquitectura de protección de activos, datos, sistemas, comunicaciones y
servicios esenciales.
- Resiliencia operativa y organizativa: garantizar la
continuidad de las operaciones, la capacidad de respuesta ante incidentes y la
recuperación frente a perturbaciones.
- Cumplimiento normativo y gobernanza: integrar los
requisitos de las directivas europeas NIS-2 y CER, junto con sistemas de
gestión de seguridad de la información basados en ISO/IEC 27001.
- Resiliencia geopolítica y tecnológica: anticipar y
gestionar los riesgos derivados de dependencias estratégicas, concentración de
proveedores, vulnerabilidades de las cadenas de suministro, restricciones
comerciales, conflictos internacionales y cambios en el acceso a tecnologías
críticas.
La tesis fundamental es que la seguridad deja de ser una función de control
posterior a la innovación para convertirse en un principio estructural de su
diseño, desarrollo, implantación, explotación y evolución.
Por tanto, la seguridad y la resiliencia no deben considerarse costes
adicionales ni limitaciones a la innovación, sino condiciones necesarias para
garantizar su sostenibilidad, fiabilidad, autonomía y generación de valor a
largo plazo.
Veamos esquemáticamente la realidad de nuestra percepción y establecer un
decálogo de la situación.
El
cambio de paradigma: de la innovación tecnológica a la innovación segura y
resiliente
El modelo tradicional de gestión de la innovación tecnológica se ha centrado
fundamentalmente en la identificación de oportunidades, la investigación y el
desarrollo, la transformación digital, la incorporación de nuevas tecnologías y
la optimización de los procesos.
Sin embargo, este enfoque presenta limitaciones cuando las tecnologías
desarrolladas o incorporadas sustentan servicios esenciales, infraestructuras
críticas, sistemas industriales, redes de comunicaciones, servicios públicos o
cadenas de suministro estratégicas.
La digitalización ha ampliado la superficie de exposición de las
organizaciones y ha generado nuevas interdependencias entre infraestructuras
físicas, sistemas de información, tecnologías operacionales (OT), plataformas
digitales, proveedores tecnológicos y servicios externalizados.
Por ello, el nuevo paradigma requiere evolucionar desde una gestión de la
innovación orientada principalmente al desarrollo tecnológico hacia una gestión
integral de la innovación segura, sostenible, autónoma y resiliente.
Principios fundamentales del nuevo paradigma
El modelo propuesto se fundamenta en los siguientes principios:
- Seguridad como requisito de innovación: toda iniciativa
tecnológica debe incorporar criterios de seguridad desde su concepción,
definición de requisitos y diseño arquitectónico.
- Protección integral de activos: los activos físicos,
digitales, informacionales, industriales, humanos y estratégicos deben
gestionarse bajo una visión común de riesgos.
- Enfoque basado en riesgos y amenazas: las decisiones de
inversión, desarrollo, adquisición e implantación tecnológica deben considerar
tanto las amenazas conocidas como los escenarios emergentes.
- Resiliencia por diseño: los sistemas deben concebirse
para resistir, absorber, adaptarse y recuperarse ante incidentes y
perturbaciones.
- Seguridad de la cadena de suministro: la evaluación de
proveedores, fabricantes, componentes, software, servicios cloud y
dependencias tecnológicas debe formar parte del proceso de innovación.
- Autonomía y soberanía tecnológica: se deben identificar y
gestionar las dependencias estratégicas que puedan comprometer la continuidad
de los servicios.
- Gobernanza y responsabilidad directiva: la seguridad debe
integrarse en la estrategia corporativa y en los mecanismos de toma de
decisiones.
- Mejora continua: la innovación debe incorporar mecanismos
permanentes de evaluación, auditoría, aprendizaje y adaptación.
Este enfoque transforma la seguridad en un elemento habilitador de la
innovación, en lugar de considerarla una actividad independiente que se
incorpora al final del desarrollo tecnológico.
Convergencia
de los marcos europeos NIS-2 y CER
El nuevo modelo encuentra su fundamento regulatorio en dos instrumentos
esenciales de la Unión Europea: la Directiva NIS-2 y la Directiva CER.
Ambas directivas responden a una misma necesidad estratégica: garantizar la
continuidad y la seguridad de los servicios esenciales, aunque abordan
dimensiones complementarias.
Dos dimensiones de una misma resiliencia
NIS-2. Resiliencia digital
Protección de redes, sistemas de información, datos, comunicaciones y
servicios digitales.
CER. Resiliencia integral
Protección de las entidades críticas, sus instalaciones, operaciones, personas y
servicios esenciales frente a todo tipo de amenazas.
Modelo integrado de seguridad y resiliencia
Prevención Protección Detección Respuesta Continuidad
Recuperación Adaptación
Modelo conceptual de complementariedad entre las dos directivas europeas.
Directiva NIS-2: ciberseguridad y gestión de riesgos tecnológicos
La Directiva (UE) 2022/2555, conocida como NIS-2, establece un marco europeo
para elevar el nivel común de
ciberseguridad y reforzar las capacidades de prevención, gestión y respuesta
ante incidentes.
Su ámbito comprende sectores esenciales y otros sectores importantes para el
funcionamiento de la economía y la sociedad, entre ellos energía, transporte,
sanidad, infraestructuras digitales, agua, administración pública, fabricación,
servicios postales e investigación.
La directiva establece obligaciones relativas a:
- Análisis y gestión de riesgos de ciberseguridad.
- Seguridad de los sistemas de información y redes.
- Gestión y notificación de incidentes.
- Continuidad de negocio y recuperación ante desastres.
- Seguridad de la cadena de suministro.
- Seguridad en la adquisición, desarrollo y mantenimiento de sistemas.
- Gestión de vulnerabilidades.
- Control de accesos, autenticación y criptografía.
- Formación y concienciación.
- Supervisión y responsabilidad de los órganos de dirección.
Especial relevancia tiene su artículo 21, que establece un enfoque integral
de
gestión de riesgos, incluyendo medidas técnicas, operativas y organizativas.
Esto significa que la ciberseguridad no debe limitarse a la protección
perimetral de los sistemas informáticos, sino extenderse al conjunto de las
operaciones y servicios de la organización.
Directiva CER: resiliencia de las entidades críticas
La Directiva (UE) 2022/2557, relativa a la resiliencia de las entidades
críticas, amplía la perspectiva desde la ciberseguridad hacia la protección
integral de las capacidades que permiten prestar servicios esenciales.
Su planteamiento contempla amenazas de distinta naturaleza:
- Amenazas físicas y sabotajes.
- Terrorismo y acciones intencionadas.
- Catástrofes naturales y fenómenos climáticos extremos.
- Accidentes industriales y tecnológicos.
- Fallos de infraestructuras y servicios de soporte.
- Amenazas híbridas.
- Perturbaciones transfronterizas y riesgos intersectoriales.
La CER define la resiliencia como la capacidad de prevenir, proteger,
responder, resistir, mitigar, absorber, adaptarse y recuperarse frente a
incidentes.
Entre sus principales exigencias se encuentran la evaluación de riesgos, la
adopción de medidas técnicas, organizativas y de seguridad adecuadas, la gestión
de incidentes y la planificación de la continuidad de los servicios esenciales.
Un aspecto especialmente importante es que la evaluación debe contemplar las
dependencias de otras entidades y sectores, así como los riesgos que pueden
proceder de terceros países.
De esta forma, la resiliencia deja de ser exclusivamente una cuestión interna
de la organización y pasa a convertirse en una propiedad del ecosistema de
infraestructuras, proveedores y servicios del que depende.
Integración de NIS-2 y CER en un modelo único de gestión
La principal aportación conceptual consiste en no gestionar ambas directivas
como proyectos independientes de cumplimiento normativo.
Se propone establecer un sistema integrado de gestión de seguridad y
resiliencia que contemple simultáneamente:
| Dimensión | NIS-2 | CER |
| Riesgos digitales | Central | Complementaria |
| Seguridad física | Protección del entorno de los sistemas | Central |
| Continuidad operativa | Sistemas y servicios | Servicios esenciales |
| Cadena de suministro | Riesgos cibernéticos | Dependencias y perturbaciones integrales |
| Gestión de incidentes | Incidentes de ciberseguridad | Incidentes que afectan a la prestación de servicios |
| Recuperación | Sistemas y datos | Capacidades operativas y servicios |
| Amenazas híbridas | Desde la dimensión cibernética | Desde una perspectiva integral |
La integración debe materializarse en una metodología común de análisis de
riesgos, inventario de activos, identificación de dependencias, planes de
continuidad, gestión de crisis, indicadores y mecanismos de supervisión.
Es importante precisar que la aplicación jurídica de cada directiva depende
de la identificación y clasificación de las entidades por los Estados miembros y
de la legislación nacional de transposición. No todas las organizaciones quedan
automáticamente sujetas a ambas.
Seguridad
desde el Diseño: el principio estructural de la innovación
La Seguridad desde el Diseño (Security by Design) constituye uno de los
pilares del nuevo paradigma.
Su fundamento es que los requisitos de seguridad deben incorporarse desde las
primeras fases del ciclo de vida de cualquier iniciativa tecnológica, en lugar
de añadirse como medidas correctoras una vez que el producto, sistema o
infraestructura está desarrollado.
Este principio debe extenderse a la seguridad física, ciberseguridad,
seguridad de la información, tecnologías operacionales, protección de datos,
continuidad y resiliencia.
Aplicación durante el ciclo de vida tecnológico
Ciclo de vida de la innovación segura
- Identificación de necesidades
Identificación de servicios críticos, activos, requisitos de seguridad, amenazas y dependencias.
- Diseño y arquitectura
Arquitecturas seguras, segmentación, redundancia, control de accesos, protección física y ciberseguridad.
- Desarrollo y adquisición
Desarrollo seguro, evaluación de proveedores, trazabilidad de componentes y verificación de vulnerabilidades.
- Validación y certificación
Pruebas de seguridad, auditorías, análisis de riesgos, pruebas de penetración y validación de requisitos.
- Implantación y operación
Monitorización, detección, gestión de incidentes, mantenimiento seguro y continuidad operativa.
- Adaptación y retirada
Reevaluación de amenazas, actualización tecnológica, gestión de obsolescencia y eliminación segura de activos.
Tecnologías habilitadoras
La aplicación práctica de este principio requiere combinar tecnologías de
seguridad física, ciberseguridad y protección de infraestructuras.
| Ámbito | Tecnologías y soluciones |
| Ciberseguridad | EDR/XDR, SIEM, SOAR, IDS/IPS, Zero Trust |
| Identidad y acceso | IAM, PAM, MFA, gestión de identidades privilegiadas |
| Seguridad OT/ICS | Segmentación industrial, monitorización OT, detección de anomalías |
| Seguridad física | CCTV inteligente, control de accesos, detección perimetral |
| Protección de datos | Cifrado, gestión de claves, DLP, copias inmutables |
| Resiliencia | Redundancia, alta disponibilidad, recuperación ante desastres |
| Inteligencia de amenazas | CTI, análisis de amenazas, detección de campañas y amenazas híbridas |
| Seguridad de la cadena de suministro | SBOM, evaluación de proveedores, trazabilidad y gestión de vulnerabilidades |
La selección de estas tecnologías debe responder a un análisis de riesgos y a
una arquitectura de seguridad coherente. La mera adquisición de soluciones
tecnológicas no garantiza el cumplimiento normativo ni la resiliencia de una
entidad.
ISO/IEC
27001:2022 como marco de gobernanza y gestión de la seguridad de la información
La incorporación de un Sistema de Gestión de Seguridad de la Información (SGSI),
conforme a ISO/IEC 27001:2022, constituye otro elemento esencial del modelo.
La norma establece los requisitos para crear, implantar, mantener y mejorar
continuamente un sistema de gestión basado en el análisis y tratamiento de
riesgos de seguridad de la información.
Su objetivo es preservar tres propiedades fundamentales:
- Confidencialidad: garantizar que la información solo sea accesible por
personas, sistemas y entidades autorizados.
- Integridad: asegurar que la información y los sistemas no sean alterados
de forma indebida.
- Disponibilidad: garantizar que los activos de información y los servicios
estén accesibles cuando sean necesarios.
Sin embargo, su contribución al nuevo paradigma va más allá de estas tres
propiedades. ISO/IEC 27001 proporciona una estructura de gobernanza que permite
convertir la seguridad en un proceso corporativo sistemático, medible, auditable
y sujeto a mejora continua.
Integración de ISO 27001 con NIS-2 y CER
El SGSI debe funcionar como una estructura de gestión que facilite la
coordinación de los requisitos de seguridad de la información con los objetivos
de resiliencia física, tecnológica y organizativa.
La correspondencia conceptual puede establecerse de la siguiente manera:
| ISO/IEC 27001 | Contribución al modelo integral |
| Contexto y partes interesadas | Identificación de servicios, dependencias y obligaciones |
| Liderazgo y gobernanza | Responsabilidad directiva y políticas de seguridad |
| Evaluación de riesgos | Análisis de amenazas y vulnerabilidades |
| Tratamiento de riesgos | Selección e implantación de controles |
| Competencia y concienciación | Cultura organizativa de seguridad |
| Control operacional | Gestión segura de procesos y tecnología |
| Evaluación del desempeño | Indicadores, auditorías y supervisión |
| Mejora continua | Adaptación a nuevas amenazas y tecnologías |
La implantación de un SGSI certificado permite disponer de evidencias
verificables sobre la gestión de la seguridad de la información y establecer una
base organizativa para abordar las exigencias de NIS-2.
No obstante, es necesario establecer una distinción técnica y jurídica: la
certificación ISO/IEC 27001 no implica automáticamente el cumplimiento de NIS-2
ni de CER. Es un instrumento de gestión y aseguramiento que debe complementarse
con los controles, evaluaciones, procedimientos y obligaciones específicos que
resulten aplicables a cada entidad.
Modelo de certificación y mejora continua
Se propone desarrollar un modelo de implantación basado en el ciclo PDCA
(Plan-Do-Check-Act):
- Planificar: definir el alcance del SGSI, identificar activos, evaluar
riesgos y establecer objetivos.
- Hacer: implantar controles, políticas, procedimientos y medidas
tecnológicas.
- Verificar: realizar auditorías, evaluar indicadores y comprobar la
eficacia de los controles.
- Actuar: corregir deficiencias, adaptar las medidas y mejorar continuamente
el sistema.
- La certificación debe entenderse como un mecanismo de validación del sistema de gestión, no como un punto final ni como una garantía absoluta de seguridad.
Las infraestructuras críticas en España afrontan crecientes amenazas físicas, cibernéticas e híbridas, agravadas por la interconexión tecnológica y las dependencias estratégicas.
Las Directivas NIS2 y CER exigen reforzar la ciberseguridad, la protección integral y la resiliencia de los servicios esenciales.
Las principales vulnerabilidades afectan a los sistemas tecnológicos, la seguridad física, las cadenas de suministro y la coordinación organizativa.
La solución requiere integrar gestión de riesgos, inteligencia, protección, continuidad operativa y cooperación público-privada.
El objetivo es anticipar amenazas, garantizar servicios esenciales y asegurar una respuesta y recuperación eficaces ante cualquier crisis.
Veamos esquemáticamente la realidad de nuestra percepción y establecer un
decálogo de la situación.
Seguridad
y resiliencia de las infraestructuras críticas en España: exigencias NIS2 y CER
Las
infraestructuras críticas constituyen un activo estratégico para la
seguridad nacional, la estabilidad económica y el bienestar social. Su creciente
dependencia tecnológica, interconexión y exposición a amenazas físicas,
cibernéticas e híbridas exige evolucionar hacia un modelo de protección integral
y resiliencia.
Las Directivas europeas NIS2 (UE) 2022/2555 y CER (UE) 2022/2557
establecen un marco complementario para reforzar la ciberseguridad, la
protección de las entidades críticas y la continuidad de los servicios
esenciales.
Los principales desafíos se concentran en las vulnerabilidades tecnológicas y
físicas, las dependencias entre infraestructuras, los riesgos de la cadena de
suministro, la fragmentación organizativa y la insuficiente capacidad de
respuesta y recuperación ante crisis complejas.
La solución requiere integrar seguridad física,
ciberseguridad, inteligencia, gestión de riesgos, continuidad operativa y
coordinación público-privada bajo una gobernanza común, con responsabilidades
definidas, medidas proporcionadas y mecanismos verificables de supervisión y
mejora continua.
El objetivo estratégico es pasar de la protección aislada de activos a una
gestión integral
e integrada de la seguridad y la resiliencia, capaz de anticipar amenazas,
prevenir incidentes, mantener los servicios esenciales y garantizar una
recuperación eficaz.
En definitiva, el cumplimiento de NIS2 y CER debe convertirse en una
capacidad operativa permanente para fortalecer la seguridad, la continuidad y la
resiliencia del sistema español de infraestructuras críticas.
Introducción:
hacia un nuevo paradigma de seguridad y resiliencia
La protección de las infraestructuras críticas en España se enfrenta a un
escenario caracterizado por la interdependencia tecnológica, la digitalización
de los procesos industriales, la globalización de las cadenas de suministro y la
evolución de las amenazas físicas, cibernéticas e híbridas.
Las infraestructuras que garantizan el suministro eléctrico, el transporte,
el agua potable, las telecomunicaciones, la atención sanitaria, los servicios
financieros y otros servicios esenciales ya no pueden protegerse mediante
sistemas de seguridad aislados. Su funcionamiento depende de redes tecnológicas,
proveedores externos, centros de control, personal especializado, sistemas
industriales y servicios prestados por otras organizaciones.
En este contexto, dos instrumentos europeos establecen las bases de un
enfoque complementario:
NIS2 — Directiva (UE) 2022/2555
Se centra en la ciberseguridad y en la gestión de los riesgos que
afectan a las redes y los sistemas de información. Refuerza las
responsabilidades de dirección, las medidas de gestión de riesgos, la gestión de
incidentes, la continuidad y la supervisión.
CER — Directiva (UE) 2022/2557
Se centra en la resiliencia de las entidades críticas frente a
incidentes que puedan interrumpir la prestación de servicios esenciales. Abarca
amenazas físicas, desastres naturales, riesgos tecnológicos, amenazas internas y
otras situaciones que puedan comprometer su funcionamiento.
La idea fundamental es que NIS2 y CER no deben aplicarse como dos programas
independientes, sino como componentes de un único
sistema de gestión de riesgos, seguridad y resiliencia.
NIS2 aporta el marco para proteger los sistemas de información y gestionar
los riesgos cibernéticos; CER refuerza la capacidad de anticipar, resistir,
responder y recuperarse de incidentes que amenacen la continuidad de los
servicios esenciales.
Esta integración debe considerar, además, el marco español de Protección de
Infraestructuras Críticas (PIC), el Esquema Nacional de Seguridad (ENS) cuando
resulte aplicable y la normativa sectorial correspondiente.
Marco
normativo y situación de España
Para determinar las exigencias de seguridad es necesario distinguir entre las
obligaciones europeas, la legislación española vigente y los proyectos
legislativos en tramitación.
| Instrumento | Finalidad principal | Implicación para las infraestructuras |
| Directiva NIS2 (UE) 2022/2555 | Ciberseguridad | Gestión de riesgos digitales, sistemas de información, incidentes, continuidad y responsabilidad directiva. |
| Directiva CER (UE) 2022/2557 | Resiliencia de entidades críticas | Evaluación integral de riesgos, protección física, respuesta, recuperación y continuidad de servicios esenciales. |
| Ley 8/2011 y normativa PIC de desarrollo | Protección de infraestructuras críticas en España | Marco nacional de protección, operadores críticos, planes de seguridad y coordinación con las autoridades, en el ámbito de aplicación que corresponda. |
| Esquema Nacional de Seguridad (ENS) | Seguridad de los sistemas de información del sector público y de los sistemas comprendidos en su ámbito | Controles de seguridad, gestión de riesgos, auditoría y mejora continua. |
| Normativa sectorial | Seguridad y continuidad por actividad | Exigencias específicas para energía, transporte, sanidad, telecomunicaciones, agua, finanzas y otros sectores. |
Situación legislativa relevante a octubre de 2026
La Directiva CER fijó el 17 de julio de 2026 como fecha límite para que los
Estados miembros identificasen las entidades críticas comprendidas en su ámbito.
También establece obligaciones de evaluación de riesgos y medidas de
resiliencia.
En España, el Gobierno aprobó el 17 de marzo de 2026 el proyecto de Ley de
Protección y Resiliencia de las Entidades Críticas, remitido posteriormente al
Congreso. La ficha parlamentaria consultada refleja su tramitación en la
Comisión de Interior, en fase de enmiendas. Por tanto, no debe presentarse ese
proyecto como una ley ya aprobada y en vigor.
Por otra parte, el Gobierno había aprobado en enero de 2025 el anteproyecto
de Ley de Coordinación y Gobernanza de la Ciberseguridad para incorporar NIS2 al
ordenamiento español. La información oficial consultada no permite confirmar que
su transposición completa se haya culminado a octubre de 2026.
Consecuencia práctica: cada entidad debe comprobar qué obligaciones le
resultan exigibles conforme a la normativa vigente, su sector, su eventual
designación como entidad crítica o esencial y los requisitos específicos que le
sean aplicables. No conviene esperar a la aprobación de nuevas leyes para
corregir deficiencias de seguridad ya identificadas.
Principales
vulnerabilidades de las infraestructuras críticas en España
Las vulnerabilidades deben analizarse desde una perspectiva sistémica. No
basta con identificar puntos débiles en una instalación: es necesario determinar
cómo pueden afectar a la prestación del servicio, a otros sectores y a la
sociedad.
- Vulnerabilidades tecnológicas y de ciberseguridad
Sistemas industriales y tecnológicos heredados. La presencia
de equipos OT, sistemas SCADA y PLC con ciclos de vida prolongados, software
obsoleto o soporte limitado puede dificultar la aplicación de controles
modernos. La indisponibilidad de estos sistemas puede afectar directamente a
procesos físicos esenciales.
Solución prioritaria: inventario IT/OT, evaluación de vulnerabilidades,
segmentación de redes, acceso remoto controlado y planes de actualización
compatibles con la seguridad operacional.
Interconexión de redes y sistemas. La conexión entre redes
corporativas, sistemas industriales, dispositivos IoT, videovigilancia, control
de accesos y proveedores puede ampliar las vías de entrada de un atacante. Una
intrusión inicialmente limitada puede propagarse hacia otros sistemas si no
existen barreras eficaces.
Solución prioritaria: arquitectura de confianza cero cuando proceda,
separación IT/OT, zonas y conductos, autenticación multifactor, monitorización y
gestión segura de accesos privilegiados.
Dependencia de servicios digitales externos. La nube, los
centros de datos, las comunicaciones, los servicios de identidad y las
plataformas de gestión pueden constituir dependencias críticas. Una interrupción
externa puede dejar inoperativos servicios propios aunque la instalación física
siga intacta.
Solución prioritaria: análisis de dependencias, redundancia real,
alternativas de comunicación, copias de seguridad protegidas, procedimientos
manuales y estrategias de salida de proveedores.
Otras vulnerabilidades relevantes son la explotación de vulnerabilidades sin
corregir, el ransomware, el robo de credenciales, la deficiente gestión de
configuraciones, la falta de registros de actividad, las copias de seguridad
insuficientes y la escasa capacidad para detectar ataques que afectan a los
procesos industriales.
La respuesta debe orientarse a reducir la probabilidad de compromiso, limitar su propagación y evitar que una incidencia informática se convierta en una interrupción física del servicio. Estas prioridades se corresponden con el enfoque de gestión de riesgos de NIS2.
- Vulnerabilidades físicas y de protección de instalaciones
Las medidas físicas siguen siendo imprescindibles, incluso en
infraestructuras altamente digitalizadas.
Las principales debilidades pueden encontrarse en:
- Perímetros insuficientemente protegidos o con zonas vulnerables.
- Deficiencias en el control de accesos de personas, vehículos y mercancías.
- Protección insuficiente de centros de control, subestaciones, depósitos,
estaciones, salas técnicas y otras instalaciones sensibles.
- Falta de integración entre detección de intrusión, CCTV, control de
accesos, alarmas y procedimientos operativos.
- Dependencia de un único emplazamiento, equipo, suministro o vía de acceso.
- Protección insuficiente frente a sabotajes, intrusiones, amenazas
internas, terrorismo y daños deliberados.
- Falta de redundancia eléctrica, comunicaciones alternativas o medios de
intervención y recuperación.
Solución: establecer una protección física basada en riesgos, con defensa por
capas, detección temprana, verificación de alarmas, respuesta coordinada,
protección de activos esenciales y pruebas periódicas de funcionamiento.
La CER exige que las entidades críticas adopten medidas técnicas,
organizativas y de seguridad adecuadas y proporcionadas, incluidas medidas de
protección física, prevención, respuesta y mitigación.
- Vulnerabilidades organizativas y de gobernanza
Una de las debilidades más importantes es la fragmentación de las
responsabilidades de seguridad.
En algunas organizaciones, la seguridad física, la ciberseguridad, la seguridad industrial, la continuidad de negocio, la prevención de riesgos laborales y la gestión de emergencias se gestionan mediante estructuras separadas.
Esta división puede generar:
- Evaluaciones de riesgos incompatibles entre sí.
- Planes que no contemplan incidentes combinados.
- Duplicidades de recursos y vacíos de responsabilidad.
- Falta de coordinación entre dirección, operaciones, seguridad y
tecnología.
- Desconocimiento de las dependencias críticas de la organización.
- Escasa integración con Fuerzas y Cuerpos de Seguridad, autoridades
competentes, proveedores y operadores interdependientes.
Solución: implantar un modelo de gobernanza integral, con responsabilidades
formalizadas, dirección ejecutiva implicada, un comité de riesgos y resiliencia,
protocolos comunes y una visión compartida de los riesgos físicos, digitales y
operacionales.
- Vulnerabilidades humanas
El factor humano puede ser tanto una barrera de protección como una fuente de
exposición.
Entre las principales debilidades destacan:
- Formación insuficiente ante amenazas físicas y digitales.
- Ingeniería social, phishing y suplantación de identidad.
- Uso inadecuado de credenciales y privilegios.
- Accesos de exempleados o proveedores que no se revocan a tiempo.
- Amenazas internas deliberadas o accidentales.
- Dependencia de un número reducido de especialistas.
- Fatiga operativa y errores en situaciones de emergencia.
Solución: implantar programas de formación por perfiles, gestión de altas y
bajas, revisión de privilegios, controles de idoneidad cuando procedan
legalmente, ejercicios de respuesta y una cultura que favorezca la comunicación
temprana de incidentes.
- Vulnerabilidades derivadas de las cadenas de suministro
Las infraestructuras críticas dependen de fabricantes, integradores,
mantenedores, empresas de seguridad, operadores de telecomunicaciones,
suministradores energéticos y proveedores de software y servicios tecnológicos.
Una vulnerabilidad en un proveedor puede repercutir simultáneamente en varias
organizaciones.
Las principales debilidades son la falta de visibilidad sobre proveedores
indirectos, la concentración de servicios en un único suministrador, los accesos
remotos permanentes, la escasa verificación de actualizaciones y la inexistencia
de alternativas operativas.
Solución: clasificar proveedores según su criticidad, evaluar sus riesgos,
establecer requisitos contractuales de seguridad, controlar los accesos
externos, exigir notificación de incidentes y disponer de alternativas de
suministro o recuperación para los servicios indispensables.
- Vulnerabilidades ambientales y de continuidad
Las infraestructuras también están expuestas a fenómenos meteorológicos
extremos, inundaciones, incendios, olas de calor, sequías, interrupciones
energéticas, accidentes industriales y emergencias sanitarias.
En España, la exposición concreta depende del territorio, el sector, el
emplazamiento y las características de cada instalación. La evaluación debe
considerar tanto los riesgos históricos como los cambios en su frecuencia e
intensidad.
Solución: integrar el análisis de riesgos naturales y tecnológicos, la
adaptación climática, la protección de instalaciones, la redundancia, las
reservas de recursos esenciales y los planes de continuidad y recuperación. CER
establece expresamente la necesidad de considerar riesgos naturales, humanos,
transfronterizos e híbridos.
Los
principales retos para cumplir NIS2 y CER
Las vulnerabilidades anteriores se traducen en una serie de desafíos que
afectan tanto a los operadores como a las autoridades responsables de la
protección de las infraestructuras críticas.
Reto 1. Convergencia entre seguridad física y ciberseguridad.
El desafío consiste en superar la separación entre las amenazas que
afectan a las instalaciones y las que afectan a sus sistemas digitales. Un
incidente puede comenzar en un ámbito y extenderse al otro.
Respuesta: una evaluación conjunta de riesgos, procedimientos integrados de
detección y respuesta, y una estructura de mando común para incidentes
multidominio.
Reto 2. Gestión de interdependencias. La interrupción de una
infraestructura puede comprometer otras: un fallo eléctrico puede afectar a las
telecomunicaciones; una interrupción de las comunicaciones puede dificultar el
control del transporte; y una incidencia en el suministro de agua puede afectar
a hospitales e instalaciones industriales.
Respuesta: elaborar mapas de dependencias e interdependencias, identificar
puntos únicos de fallo y establecer acuerdos de asistencia mutua y continuidad
entre operadores.
Reto 3. Anticipación e inteligencia de seguridad. Los
análisis estáticos pierden eficacia cuando cambian rápidamente las amenazas, las
vulnerabilidades tecnológicas y el contexto geopolítico.
Respuesta: establecer un ciclo de inteligencia que permita identificar
amenazas, evaluar escenarios, producir alertas útiles y revisar las medidas de
protección a partir de información interna, fuentes abiertas, proveedores y
organismos competentes.
Reto 4. Continuidad durante situaciones degradadas. No basta
con recuperar los sistemas informáticos. La entidad debe determinar qué
servicios puede mantener, con qué capacidad mínima, durante cuánto tiempo y con
qué recursos alternativos.
Respuesta: definir niveles mínimos de servicio, tiempos y objetivos de
recuperación, procedimientos manuales seguros, equipos alternativos y criterios
para priorizar la restauración.
Reto 5. Responsabilidad directiva y coordinación. El
cumplimiento normativo exige que la dirección asuma responsabilidades reales,
apruebe medidas, asigne recursos y supervise su eficacia.
Respuesta: establecer una gobernanza formal, responsabilidades inequívocas,
un programa de cumplimiento verificable, auditorías, indicadores y mecanismos de
coordinación interna y externa.
Reto 6. Evidencia de cumplimiento y mejora continua. La
existencia documental de planes no garantiza que la entidad pueda responder ante
una crisis ni que sus controles funcionen.
Respuesta: verificar la implantación real mediante pruebas técnicas,
ejercicios de crisis, simulacros, auditorías, evidencias de formación y
seguimiento de acciones correctivas.
El reto transversal consiste en transformar la seguridad desde un conjunto de
medidas independientes en una capacidad permanente de gestión de riesgos,
protección y resiliencia.
Matriz
integrada de vulnerabilidades, exigencias y soluciones
La siguiente matriz constituye una base para un diagnóstico técnico y una auditoría de cumplimiento. Distingue los ámbitos de NIS2 y CER sin confundir sus objetivos.
| Vulnerabilidad o riesgo | Exigencia de referencia | Solución técnica u organizativa |
| Redes IT/OT insuficientemente segmentadas | NIS2: gestión de riesgos de los sistemas de información | Segmentación, control de flujos, inventario y monitorización IT/OT. |
| Accesos privilegiados o remotos sin controles suficientes | NIS2: control de accesos y seguridad de sistemas | Autenticación multifactor, mínimo privilegio, gestión de cuentas y trazabilidad. |
| Instalaciones vulnerables ante intrusión o sabotaje | CER: artículo 13, medidas de resiliencia | Protección por capas, detección, control de accesos y procedimientos de respuesta. |
| Dependencias desconocidas entre servicios esenciales | CER: artículos 12 y 13 | Mapa de dependencias, análisis de impactos y alternativas de suministro. |
| Proveedores críticos sin evaluación adecuada | NIS2: seguridad de la cadena de suministro | Clasificación, diligencia debida, requisitos contractuales y planes de contingencia. |
| Respuesta descoordinada ante incidentes híbridos | NIS2 y CER: gestión de incidentes y resiliencia | Procedimiento común de incidentes, mando coordinado y comunicaciones de crisis. |
| Ausencia de capacidad de operación degradada | CER: continuidad, respuesta y recuperación | Procedimientos manuales seguros, redundancia y niveles mínimos de servicio. |
| Falta de implicación de la dirección | NIS2: artículo 20, gobernanza | Supervisión ejecutiva, aprobación de medidas, recursos y rendición de cuentas. |
| Personal insuficientemente preparado | NIS2: artículo 20 y medidas del artículo 21; CER: medidas de resiliencia aplicables | Formación, ejercicios, control de privilegios y evaluación de competencias. |
| Planes sin pruebas ni evidencias | NIS2: gestión de riesgos y supervisión; CER: evaluación y supervisión | Auditoría, simulacros, pruebas de recuperación, evidencias y cierre de deficiencias. |
Las referencias a NIS2 deben interpretarse conforme a sus artículos 20 y 21,
relativos a gobernanza y medidas de gestión de riesgos, respectivamente. Para
CER, los artículos 12 y 13 regulan la evaluación de riesgos de las entidades
críticas y las medidas de resiliencia.
La aplicabilidad concreta de cada control debe determinarse en función del
ámbito normativo de la entidad, la legislación española vigente, su sector y sus
riesgos. La matriz no sustituye una evaluación jurídica ni una auditoría formal.
Soluciones
para un modelo integrado de seguridad y resiliencia
Se propone un modelo organizado en ocho líneas de actuación, concebido para
que la entidad pueda pasar del diagnóstico a una capacidad operativa
verificable.
Gobierno y dirección estratégica
- Aprobar una política corporativa de seguridad y resiliencia.
- Designar responsables y definir competencias y delegaciones.
- Crear un comité de riesgos y resiliencia.
- Integrar seguridad, ciberseguridad, operaciones, continuidad y gestión de
crisis.
- Asegurar recursos humanos, tecnológicos y económicos suficientes.
Evaluación integral y dinámica de riesgos
- Inventariar activos, sistemas, procesos y servicios esenciales.
- Evaluar amenazas, vulnerabilidades, probabilidad, impacto y capacidad de
recuperación.
- Analizar escenarios físicos, cibernéticos, humanos, ambientales e
híbridos.
- Incorporar interdependencias, proveedores y consecuencias
transfronterizas.
- Revisar los riesgos después de incidentes, cambios tecnológicos o
alteraciones significativas del entorno.
Arquitectura de protección física, electrónica y digital
- Implantar protección física por capas.
- Integrar detección de intrusión, CCTV, control de accesos y gestión de
alarmas.
- Separar las redes corporativas de las redes de control industrial.
- Proteger los sistemas de operación, comunicaciones y acceso remoto.
- Mantener configuraciones seguras, copias protegidas y mecanismos de
recuperación.
Inteligencia y alerta temprana
- Recopilar información relevante sobre amenazas y vulnerabilidades.
- Establecer indicadores de alerta y escenarios de riesgo.
- Compartir información conforme a los procedimientos y requisitos de
confidencialidad aplicables.
- Relacionar la información de amenazas con las decisiones operativas y la
actualización de los planes.
Gestión integral de incidentes y crisis
- Definir niveles de activación y escalado.
- Establecer un centro de coordinación o estructura de mando adaptada al
tamaño y criticidad de la entidad.
- Unificar los procedimientos de notificación, investigación, respuesta y
recuperación.
- Coordinar los incidentes físicos, digitales y operacionales con las
autoridades y los servicios de emergencia cuando proceda.
Continuidad, resiliencia y recuperación
- Identificar servicios prioritarios y niveles mínimos de operación.
- Definir objetivos de recuperación y tolerancias a la interrupción.
- Preparar recursos alternativos, procedimientos manuales y redundancias.
- Verificar la restauración segura de sistemas IT/OT y la integridad de los
datos.
- Establecer criterios de retorno a la operación normal.
Coordinación externa y cadena de suministro
- Identificar proveedores esenciales y dependencias indirectas.
- Establecer acuerdos de comunicación, apoyo y recuperación.
- Verificar la seguridad de los servicios externalizados.
- Integrar los planes propios con los mecanismos de coordinación pública y
sectorial.
Medición, auditoría y mejora continua
- Definir indicadores de riesgo, seguridad y resiliencia.
- Evaluar periódicamente el cumplimiento normativo.
- Realizar simulacros y pruebas técnicas.
- Registrar las deficiencias, asignar responsables y verificar las
correcciones.
- Informar a la dirección sobre el riesgo residual y la evolución de la
capacidad de respuesta.
Hoja
de ruta para implantar NIS2 y CER en una infraestructura crítica
La aplicación práctica debe realizarse por fases, adaptando los plazos a las
obligaciones legales, el riesgo de la entidad y su capacidad de ejecución.
Fase 1. 0–30 días Diagnóstico y priorización
Confirmar el ámbito normativo aplicable, inventariar los servicios
esenciales, identificar los principales riesgos y evaluar las deficiencias que
requieren intervención inmediata.
Fase 2. 30–90 días Gobernanza y plan de acción
Asignar responsabilidades, aprobar prioridades, establecer un registro de
riesgos y definir un plan de adecuación con recursos, responsables, plazos y
evidencias.
Fase 3. 3–6 meses Implantación de medidas
prioritarias
Corregir deficiencias críticas, reforzar la protección física y digital,
asegurar las copias de recuperación, controlar los accesos y formalizar los
procedimientos de incidentes y continuidad.
Fase 4. 6–12 meses Convergencia y validación operativa
Integrar los planes de seguridad, ciberseguridad y continuidad; realizar
ejercicios de crisis; probar la recuperación de sistemas y evaluar la respuesta
de proveedores y equipos internos.
Fase 5. Permanente Auditoría y mejora continua
Actualizar la evaluación de riesgos, revisar indicadores, verificar las
acciones correctivas y adaptar los controles a los cambios normativos,
tecnológicos y operacionales.
Los plazos anteriores son una propuesta de planificación, no plazos legales
establecidos por NIS2 o CER. Deben ajustarse a las obligaciones concretas, a las
notificaciones de las autoridades y a las deficiencias detectadas.
Indicadores
para medir la eficacia del sistema
El cumplimiento debe comprobarse mediante resultados verificables, no
únicamente mediante la existencia de políticas y documentos.
Los siguientes indicadores pueden incorporarse a un cuadro de mando de
seguridad y resiliencia.
| Indicador | Qué permite comprobar |
| Cobertura del inventario de activos críticos | Si se conocen los activos, sistemas y procesos esenciales. |
| Porcentaje de riesgos críticos con tratamiento aprobado | Si los riesgos prioritarios tienen medidas y responsables asignados. |
| Vulnerabilidades críticas pendientes | Si persisten exposiciones técnicas que requieren corrección urgente. |
| Cobertura de monitorización IT/OT | Si los sistemas prioritarios cuentan con capacidad adecuada de detección. |
| Tiempo medio de detección y respuesta | La rapidez para identificar y contener incidentes. |
| Cumplimiento de los objetivos de recuperación | Si los servicios pueden restablecerse dentro de los objetivos definidos. |
| Porcentaje de ejercicios satisfactorios | Si los procedimientos y equipos responden según lo previsto. |
| Proveedores críticos evaluados | Si se conocen y gestionan los riesgos de terceros esenciales. |
| Acciones correctivas vencidas | Si las deficiencias identificadas se resuelven oportunamente. |
| Interrupciones de servicios esenciales | El impacto real de los incidentes sobre la prestación del servicio. |
Los objetivos numéricos deben fijarse según la criticidad, el riesgo residual
y los requisitos sectoriales. Por ejemplo, un objetivo de recuperación no puede
establecerse de forma uniforme para un hospital, una instalación eléctrica y un
sistema de transporte.
El
modelo español: convergencia entre protección, ciberseguridad y resiliencia
La adaptación de las infraestructuras críticas españolas a NIS2 y CER exige
una evolución en tres niveles.
Nivel estratégico Gobierno y responsabilidad
Integrar los riesgos en la dirección de la organización, definir el apetito
de riesgo, asignar recursos y asegurar el cumplimiento de las obligaciones
legales.
Nivel táctico Planificación y coordinación
Unificar evaluaciones de riesgos, planes de seguridad, análisis de
dependencias, continuidad, gestión de proveedores y procedimientos de crisis.
Nivel operativo Protección y capacidad de respuesta
Implantar controles físicos y digitales, monitorizar amenazas, detectar
incidentes, mantener la operación degradada y recuperar los servicios.
En el ámbito español, este modelo debe articularse con el sistema PIC y sus
instrumentos aplicables, con las autoridades competentes y los mecanismos
sectoriales de coordinación. La implantación de CER debe integrarse con ese
marco nacional a medida que se concrete su desarrollo legislativo.
La coordinación público-privada resulta esencial: los operadores conocen sus
activos, procesos y dependencias; las autoridades aportan competencias,
información, coordinación y mecanismos de respuesta. Ambos deben poder actuar de
manera coherente ante incidentes que afecten a servicios esenciales.
Conclusiones
Las principales vulnerabilidades de las
infraestructuras críticas en España no proceden exclusivamente de la falta
de barreras físicas o de controles informáticos. Se encuentran también en las
interdependencias, la concentración de proveedores, la fragmentación
organizativa, la insuficiente preparación para operar en situaciones degradadas
y la falta de pruebas que acrediten la eficacia de las medidas implantadas.
NIS2 y CER impulsan una transformación que puede resumirse en cinco
principios:
De la seguridad aislada a la seguridad convergente: las
amenazas físicas, digitales, humanas y operacionales deben analizarse de forma
conjunta.
De la protección de activos a la continuidad de servicios:
la prioridad debe ser evitar que un incidente provoque una interrupción
inaceptable del servicio esencial.
De la gestión estática a la anticipación dinámica: los riesgos, las amenazas y las dependencias deben revisarse continuamente.
De los planes documentales a la capacidad demostrada: la
eficacia debe acreditarse mediante pruebas, ejercicios, auditorías y resultados.
De la responsabilidad departamental a la gobernanza integral:
la dirección, las áreas de seguridad y tecnología, las operaciones y los
proveedores deben compartir objetivos y responsabilidades.
La resiliencia no significa únicamente impedir un ataque. Significa también
resistir su impacto, mantener las funciones esenciales, adaptarse a las
circunstancias, recuperarse de manera segura y aprender de cada incidente.
El objetivo final para España debe ser disponer de infraestructuras capaces de prestar sus servicios esenciales con un nivel de seguridad y continuidad adecuado incluso cuando se produzcan incidentes graves, simultáneos o prolongados. Para alcanzarlo, NIS2 y CER deben convertirse en un marco de gestión operativo y verificable, integrado en la estrategia de cada entidad y no limitado al cumplimiento documental.
Gobernanza,
regulación y cumplimiento normativo
La incorporación de drones a una infraestructura crítica requiere un marco de
gobernanza que defina quién autoriza las misiones, quién opera las aeronaves,
quién custodia los datos y quién responde ante una incidencia.
En España y la Unión Europea deben considerarse, como mínimo, los siguientes
ámbitos normativos y de gestión.
| Marco de referencia | Aplicación al ecosistema UAS |
| Reglamento (UE) 2019/947 y Reglamento Delegado (UE) 2019/945 | Operaciones, requisitos técnicos y condiciones aplicables a los UAS civiles |
| Real Decreto 517/2024 | Desarrollo del régimen jurídico español para la utilización civil de UAS |
| Directiva CER (UE) 2022/2557 | Resiliencia de las entidades críticas frente a riesgos físicos y perturbaciones |
| Directiva NIS2 (UE) 2022/2555 | Gestión de riesgos de ciberseguridad y obligaciones aplicables a entidades dentro de su ámbito |
| RGPD y legislación española de protección de datos | Tratamiento de imágenes, datos personales y derechos afectados |
| Normativa sectorial y planes de protección | Requisitos específicos según la infraestructura, el operador y la actividad |
La Agencia Estatal de Seguridad Aérea (AESA) recopila la normativa europea y
española aplicable a drones, así como las reglas relativas a las categorías
operacionales y las zonas geográficas de UAS.
La Directiva CER establece un marco europeo de resiliencia de las entidades
críticas, mientras que NIS2 se centra en la ciberseguridad de las entidades
incluidas en su ámbito. Son marcos complementarios, pero no intercambiables. La
aplicación concreta debe determinarse según la entidad, el sector, la operación
y la legislación vigente.
En julio de 2026, la Comisión Europea publicó orientaciones adicionales sobre
medidas técnicas, de seguridad y organizativas para reforzar la resiliencia de
las infraestructuras críticas, incluyendo riesgos asociados a drones y amenazas
híbridas.
Modelo de responsabilidades
Una distribución de responsabilidades adecuada podría ser la siguiente:
| Función | Responsabilidad principal |
| Dirección corporativa | Aprobar objetivos, inversión, tolerancia al riesgo y modelo de gobernanza |
| Dirección de Seguridad | Integrar los UAS en el sistema de seguridad y en los planes de protección |
| Dirección de Operaciones | Definir las necesidades de inspección y continuidad de servicio |
| Dirección TIC/CISO | Gestionar ciberseguridad, identidades, comunicaciones e integración digital |
| Mantenimiento e ingeniería | Validar anomalías, establecer criterios técnicos y gestionar reparaciones |
| Operador UAS | Planificar y ejecutar las misiones conforme a los requisitos aplicables |
| Protección de datos y asesoría jurídica | Verificar licitud, proporcionalidad, responsabilidades y conservación de información |
La asignación definitiva debe adaptarse a la estructura real de cada
organización. La contratación de un proveedor externo no elimina la necesidad de
establecer responsabilidades internas, supervisión y control de resultados.
Modelo
de implantación para
infraestructuras críticas
La implantación debe desarrollarse progresivamente, partiendo de necesidades
verificables y evitando inversiones tecnológicas que no estén vinculadas a un
problema operacional concreto.
Diagnóstico y análisis de riesgos. Inventariar los activos,
identificar necesidades de inspección y seguridad, evaluar amenazas y establecer
una línea base de costes, tiempos y riesgos.
Diseño de la arquitectura. Definir aeronaves, sensores,
comunicaciones, software,
ciberseguridad, almacenamiento, integración corporativa y procedimientos de
operación.
Proyecto piloto controlado. Seleccionar un activo
representativo, realizar pruebas autorizadas, comparar resultados con el
procedimiento tradicional y verificar la calidad de los datos.
Integración y validación. Conectar los resultados con los
sistemas de mantenimiento o seguridad, validar los procedimientos de
contingencia y realizar pruebas de ciberseguridad e interoperabilidad.
Despliegue y mejora continua. Ampliar el servicio a otros
activos cuando se demuestre su valor, formar al personal, auditar el sistema y
actualizar la evaluación de riesgos.
Selección de proyectos piloto
Los proyectos iniciales deberían cumplir cuatro condiciones:
- Resolver un problema relevante y claramente delimitado.
- Permitir operar en condiciones controladas y autorizables.
- Ofrecer resultados comparables con una referencia previa.
Poder evaluarse mediante indicadores de seguridad, calidad, coste y
continuidad.
Ejemplos adecuados son la inspección de un conjunto de estructuras, la
revisión de activos de una instalación energética o la documentación de daños en
un emplazamiento industrial.
No conviene comenzar por una solución de vigilancia autónoma de máxima
complejidad si la organización todavía no dispone de procedimientos, personal
formado, gobernanza de datos o capacidades de integración.
Indicadores
de rendimiento y retorno de inversión
La inversión debe evaluarse por el valor generado en el conjunto del proceso,
no solo por la reducción del tiempo de vuelo o del número de desplazamientos.
Los siguientes indicadores constituyen una propuesta inicial de cuadro de
mando.
| Dimensión | KPI propuesto | Criterio de evaluación |
| Productividad | Tiempo total por inspección | Comparación con el método anterior |
| Cobertura | Porcentaje de activos inspeccionados | Cobertura efectiva frente a la planificada |
| Calidad | Anomalías confirmadas | Proporción de alertas que requieren intervención |
| Mantenimiento | Tiempo desde la detección hasta la reparación | Mejora del ciclo de gestión |
| Seguridad laboral | Exposición del personal a trabajos de riesgo | Reducción de exposiciones evitables |
| Disponibilidad | Disponibilidad operativa del sistema | Tiempo disponible frente al planificado |
| Ciberseguridad | Incidencias y vulnerabilidades pendientes | Seguimiento de su tratamiento y resolución |
| Continuidad | Tiempo de recuperación tras una incidencia | Cumplimiento de objetivos definidos |
| Economía | Coste total por inspección válida | Coste integral frente a la alternativa |
| Cumplimiento | Operaciones realizadas conforme a los requisitos | Verificación documental y operacional |
Los objetivos numéricos deben establecerse después de medir la situación
inicial. No sería riguroso atribuir de antemano porcentajes de ahorro o mejoras
de detección sin conocer la instalación, la tecnología y el procedimiento de
referencia.
Para el análisis económico, el coste total de propiedad debe incluir
adquisición, sensores, software, personal,
formación, seguros, mantenimiento,
conectividad, almacenamiento, cumplimiento, sustitución de componentes y gestión
de riesgos.
Soberanía
tecnológica y estrategia industrial
El crecimiento del mercado de drones plantea una cuestión estratégica para los operadores de infraestructuras críticas: ¿cómo asegurar que una capacidad tecnológica esencial pueda mantenerse operativa durante todo su ciclo de vida?
La respuesta requiere evaluar más allá del fabricante de la aeronave.
Criterios de selección de proveedores
La evaluación técnica y comercial debería considerar:
- Procedencia y trazabilidad de los componentes críticos.
- Gestión de vulnerabilidades y frecuencia de actualizaciones.
- Ubicación, acceso y condiciones de tratamiento de los datos.
- Dependencia de servicios en la nube y conectividad externa.
- Disponibilidad de soporte, repuestos y mantenimiento.
- Interoperabilidad con otras plataformas y sistemas corporativos.
- Posibilidad de exportar datos y sustituir al proveedor.
- Cumplimiento normativo y condiciones de exportación.
- Capacidad de respuesta ante incidentes y continuidad del servicio.
La procedencia geográfica no constituye por sí sola una prueba de seguridad o
inseguridad. La selección debe basarse en un análisis documentado de riesgos,
requisitos verificables y evidencias técnicas.
Oportunidades para la industria española y europea
Existe margen para desarrollar capacidades industriales en segmentos como:
- Integración de sensores y cargas útiles especializadas.
- Software de planificación, control y explotación de datos.
- Inspección inteligente y mantenimiento predictivo.
- Sistemas seguros de comunicaciones e identificación.
- Plataformas de gestión de flotas y estaciones automatizadas.
- Integración de tecnologías de detección de drones no autorizados.
- Formación, mantenimiento, ensayos y certificación.
- Servicios especializados para energía, transporte, agua y puertos.
El objetivo industrial no tiene que limitarse a fabricar todas las piezas de
una aeronave. También puede consistir en controlar tecnologías diferenciadoras,
desarrollar software, asegurar la integración y ofrecer servicios especializados
de alto valor añadido.
La política europea de seguridad frente a drones anunciada en febrero de 2026
refuerza esta orientación mediante propuestas de desarrollo industrial,
detección, coordinación de respuestas y cooperación tecnológica.
Hoja
de ruta estratégica 2026–2028
La siguiente hoja de ruta es una propuesta de planificación, no un calendario
normativo obligatorio.
Fase 1. 2026 · Diagnóstico y diseño
- Inventario de activos y casos de uso.
- Evaluación de riesgos físicos, digitales y operacionales.
- Definición de arquitectura, gobernanza y criterios de compra.
- Selección de proyectos piloto y métricas de referencia.
Fase 2. 2027 · Validación e integración
- Ejecución y evaluación de pilotos.
- Integración con mantenimiento y centros de control.
- Pruebas de ciberseguridad, continuidad y contingencia.
- Formación de operadores y responsables de seguridad.
Fase 3. 2028 · Escalado y resiliencia
- Ampliación de las soluciones con resultados demostrados.
- Normalización de procedimientos y acuerdos de servicio.
- Auditorías, ejercicios de incidentes y mejora continua.
- Revisión de proveedores, dependencias y sostenibilidad económica.
La hoja de ruta debería revisarse anualmente y siempre que se produzcan
cambios importantes en el riesgo, la regulación, la tecnología o las condiciones
operativas.
Conclusiones: hacia una seguridad integral e integrada apoyada en
capacidades aéreas inteligentes
Los drones industriales constituyen una tecnología transversal con capacidad
para transformar la inspección, la operación y la protección de infraestructuras
esenciales. Su aportación más relevante no consiste simplemente en realizar
tareas aéreas, sino en convertir la observación en información útil, la
información en decisiones y las decisiones en mejoras verificables.
Para aprovechar ese potencial es necesario integrar cinco elementos:
plataformas adecuadas, sensores fiables, comunicaciones seguras, software
interoperable y una organización preparada para gestionar los resultados.
En las infraestructuras críticas, la seguridad debe abarcar tanto el uso
legítimo de los drones como los riesgos que estos sistemas pueden introducir o
representar. Esto exige coordinación entre seguridad física, ciberseguridad,
operaciones, mantenimiento, protección de datos y dirección corporativa.
La implantación debe ser gradual, basada en riesgos y sometida a evaluación
continua. La selección de proveedores, la autonomía tecnológica, la protección
de datos y la continuidad del soporte deben formar parte de la decisión desde el
inicio.
La conclusión estratégica es clara: la resiliencia no se improvisa; se diseña
mediante capacidades tecnológicas, procedimientos, personas y gobernanza.
El futuro del ecosistema UAS en infraestructuras críticas dependerá de la
capacidad de combinar innovación industrial, seguridad integral,
interoperabilidad y cooperación público-privada para mantener los servicios
esenciales frente a un entorno de amenazas y perturbaciones cada vez más
complejo.
Referencias institucionales y técnicas
- Agencia Estatal de Seguridad Aérea (AESA). Normativa, operaciones y zonas
geográficas de UAS.
Portal oficial
de drones.
- Comisión Europea. Action Plan on Drone and Counter Drone Security, 11 de
febrero de 2026.
Plan y medidas europeas.
- Comisión Europea, Centro Común de Investigación. Handbook on UAS
Protection of Critical Infrastructure and Public Space: A Five Phase Approach
for C-UAS Stakeholders.
Publicación técnica.
- Unión Europea. Directiva (UE) 2022/2557, relativa a la resiliencia de las
entidades críticas.
Texto oficial.
- Unión Europea. Directiva (UE) 2022/2555, relativa a las medidas destinadas
a garantizar un elevado nivel común de ciberseguridad en toda la Unión (NIS2).
Texto oficial.
- Comisión Europea. Orientaciones sobre medidas técnicas, de seguridad y organizativas para reforzar la resiliencia de infraestructuras críticas, 10 de julio de 2026. Información institucional.
La Directiva (UE) 2022/2555, conocida como NIS2, y la Directiva (UE) 2022/2557, relativa a la resiliencia de las entidades críticas (CER), representan un cambio sustancial en el modelo europeo de protección de los servicios esenciales. Ambas normas responden a un entorno de riesgos caracterizado por la creciente interdependencia de las infraestructuras, la digitalización de los servicios, las amenazas híbridas, la actividad de actores estatales y criminales y la posibilidad de que un incidente localizado genere efectos en cadena sobre sectores completos.
Un cambio de paradigma normativo
La NIS2 refuerza la ciberseguridad, la responsabilidad de los órganos de dirección, la gestión de riesgos y la notificación de incidentes. CER amplía la perspectiva hacia la resiliencia integral de las entidades críticas, contemplando amenazas físicas, naturales, humanas e híbridas, así como la continuidad de los servicios esenciales.
La fecha límite de transposición de ambas directivas fue el 17 de octubre de 2024, y los Estados miembros debían aplicar las medidas nacionales de NIS2 desde el 18 de octubre de 2024. La falta de una transposición completa y efectiva en España plantea interrogantes relevantes sobre la seguridad jurídica, la coherencia del marco regulador, la supervisión, las obligaciones de los operadores y la convergencia entre la protección física y la ciberseguridad.
Sin embargo, es necesario establecer una distinción fundamental: la falta de transposición completa no significa que desaparezcan las obligaciones nacionales preexistentes ni que todas las disposiciones de las directivas sean automáticamente exigibles a cualquier empresa. Las consecuencias jurídicas dependen de la naturaleza de cada disposición, de su aplicabilidad directa o indirecta, del régimen nacional vigente y de las características de cada entidad.
Desde una perspectiva estratégica, el principal riesgo consiste en que la evolución de las amenazas avance más rápidamente que la adaptación normativa, organizativa y operativa. Esta situación puede generar diferencias de preparación entre sectores, dificultades para coordinar responsabilidades y retrasos en la implantación de capacidades de prevención, respuesta y recuperación.
La respuesta exige acelerar la convergencia entre seguridad física, ciberseguridad, inteligencia, continuidad de negocio y resiliencia, sin esperar a que la adaptación legislativa esté completamente finalizada.
De la protección de infraestructuras críticas a la resiliencia integral
La protección de las infraestructuras críticas constituye uno de los principales desafíos de la seguridad nacional y europea. La energía, el transporte, las telecomunicaciones, el agua, la sanidad, los servicios financieros y las cadenas de suministro dependen de sistemas interconectados cuya interrupción puede generar consecuencias que trascienden a una organización o a un sector económico.
La transformación tecnológica ha ampliado las oportunidades de desarrollo, eficiencia y automatización, pero también ha incrementado la exposición a amenazas que combinan acciones físicas, ataques digitales, sabotajes, desinformación, dependencia de proveedores y perturbaciones de origen natural.
En este contexto, la Unión Europea ha impulsado dos instrumentos complementarios: NIS2, orientada a elevar el nivel común de ciberseguridad, y CER, dirigida a fortalecer la resiliencia de las entidades críticas frente a un conjunto amplio de riesgos.
Ambas directivas reflejan un cambio de enfoque: de una protección centrada en activos concretos a una gestión integral de los riesgos que amenazan la prestación de servicios esenciales.
Este cambio exige superar la separación tradicional entre seguridad física y lógica. Una infraestructura energética, por ejemplo, puede sufrir simultáneamente una intrusión física, la manipulación de sistemas de control industrial y la pérdida de comunicaciones. Del mismo modo, una instalación sanitaria puede mantener sus edificios intactos y, sin embargo, perder capacidad asistencial debido a un ciberataque que afecte a sus sistemas clínicos.
La seguridad de las infraestructuras críticas debe abordar, por tanto, la prevención, la detección, la respuesta, la continuidad operativa y la recuperación, integrando capacidades técnicas, organizativas y humanas.
En España, este proceso adquiere especial relevancia por la necesidad de adaptar el marco normativo nacional a las exigencias europeas y asegurar una aplicación coherente entre sectores, operadores y autoridades competentes.
Directiva NIS2: Orientada a elevar y homogeneizar el nivel de ciberseguridad. Directiva CER: Dirigida a fortalecer la resiliencia frente a un catálogo amplio de riesgos (naturales, humanos, accidentales e intencionados).
NIS2 y CER nuevos retos y exigencias para la seguridad y ciberseguridad
La aplicación de la Directiva NIS 2 (seguridad de las redes y sistemas de información) y la Directiva CER (resiliencia de las entidades críticas) en España plantea una transformación profunda en cómo las organizaciones públicas y privadas deben gestionar la seguridad física y digital.
Principales retos y exigencias en España
Ampliar el ámbito de aplicación:
NIS 2 deja de afectar solo a grandes operadores para incluir a medianas y grandes empresas de sectores altamente críticos (como energía, transporte, banca o salud) y otros sectores importantes (como industria alimentaria, servicios digitales o gestión de residuos).
Convergencia entre seguridad física (CER) y ciberseguridad (NIS 2):
La Directiva CER se enfoca en proteger la infraestructura física frente a riesgos naturales, atentados o accidentes, mientras que NIS 2 protege los entornos digitales. España exige una visión unificada para evitar que un fallo físico comprometa los datos o viceversa.
Responsabilidad directa de la alta dirección:
Los órganos de gestión y directivos deben aprobar las medidas de gestión de riesgos y reciben responsabilidad legal directa. En caso de negligencia, se enfrentan a sanciones personales o inhabilitación temporal.
Plazos estrictos de notificación de incidentes (bajo NIS 2):
Obligación de emitir una alerta temprana en un máximo de 24 horas, un informe detallado a las 72 horas y un informe final en el transcurso de 1 mes tras sufrir un incidente grave.
Control de la cadena de suministro:
Las empresas obligadas deben auditar y exigir estándares de seguridad (como certificaciones ENS o ISO 27001) a sus proveedores y terceros tecnológicos.
DOC
NIS2 y CER: dos directivas complementarias
NIS2: reforzar la ciberseguridad de los servicios esenciales
La Directiva (UE) 2022/2555, conocida como NIS2, establece medidas destinadas a lograr un elevado nivel común de ciberseguridad en la Unión Europea. Sustituye al marco NIS anterior y amplía el alcance sectorial, las obligaciones de gestión y los mecanismos de supervisión.
EUR-Lex Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022
Entre sus principales exigencias destacan:
La directiva distingue entre entidades esenciales e importantes, con diferencias en determinados aspectos del régimen de supervisión y cumplimiento.
Su alcance incluye sectores como la energía, el transporte, la banca, las infraestructuras de los mercados financieros, la sanidad, el agua, las infraestructuras digitales, la administración pública, los servicios postales y la gestión de residuos, entre otros, conforme a los criterios y condiciones establecidos en la norma.
La obligación de prepararse no debe interpretarse como una simple implantación de herramientas informáticas. NIS2 requiere integrar la ciberseguridad en la gobernanza, la gestión empresarial y la continuidad de los servicios.
CER: resiliencia frente a todas las amenazas relevantes
La Directiva (UE) 2022/2557, conocida como CER, establece un marco europeo para fortalecer la resiliencia de las entidades críticas. Su enfoque es más amplio que la ciberseguridad: contempla amenazas naturales y humanas, accidentales e intencionadas, capaces de perturbar la prestación de servicios esenciales.
Entre sus elementos principales se encuentran:
Evaluación nacional de riesgos.
CER impulsa una visión de resiliencia que considera no solo la protección del activo, sino también su capacidad para seguir prestando el servicio, adaptarse a una perturbación y recuperar su funcionamiento.
Diferencias y convergencias
NIS2 - Prioridad: resiliencia digital
Protección de redes, sistemas de información, activos digitales, operaciones tecnológicas y cadenas de suministro digitales.
CER - Prioridad: resiliencia integral
Protección de personas, instalaciones, procesos, recursos, suministros y capacidades necesarias para mantener los servicios esenciales.
Modelo convergente
Seguridad física + ciberseguridad + inteligencia + continuidad + gestión de crisis + recuperación.
Ambas directivas son complementarias, pero no intercambiables. Una entidad puede necesitar cumplir obligaciones distintas
Conclusiones. La transposición normativa como oportunidad para reforzar la resiliencia nacional
La transposición de las directivas NIS2 y CER no debe entenderse únicamente como una obligación legislativa derivada del Derecho de la Unión Europea, sino como una oportunidad estratégica para modernizar el modelo español de protección de las infraestructuras críticas y reforzar la seguridad y resiliencia de los servicios esenciales.
La creciente complejidad de las amenazas, la interdependencia de los sistemas y la digitalización de los procesos esenciales hacen insuficiente cualquier enfoque basado exclusivamente en la protección física, la seguridad informática o el cumplimiento formal de procedimientos. La respuesta debe construirse desde una concepción integral, capaz de anticipar riesgos, prevenir incidentes, gestionar crisis y garantizar la continuidad de los servicios ante perturbaciones de distinta naturaleza.
La ausencia o el retraso de una transposición completa puede generar incertidumbre jurídica, dificultades de coordinación y diferencias en la aplicación de las obligaciones entre sectores y entidades. También puede complicar la supervisión y la planificación de inversiones, así como retrasar la consolidación de responsabilidades directivas y mecanismos homogéneos de evaluación de riesgos. No obstante, estas consecuencias deben valorarse atendiendo al marco nacional vigente y a las obligaciones concretas aplicables a cada organización: la falta de transposición no elimina automáticamente las exigencias legales ya existentes.
5 líneas prioritarias de acción para España
En este escenario, España debe avanzar en cinco líneas prioritarias:
1. Seguridad jurídica y coherencia normativa. Completar la adaptación legislativa, clarificar las responsabilidades de las autoridades y los operadores, y armonizar las nuevas exigencias con los marcos nacionales de protección de infraestructuras críticas, seguridad privada, ciberseguridad, protección civil y continuidad de los servicios.
2. Convergencia entre seguridad física y ciberseguridad. Superar los modelos organizativos aislados y establecer sistemas integrados de prevención, detección, inteligencia, respuesta y recuperación, con especial atención a los sistemas de control industrial, las infraestructuras digitales y las dependencias tecnológicas.
3. Responsabilidad directiva y cultura de resiliencia. Incorporar la gestión de riesgos a la gobernanza corporativa, dotar a los responsables de seguridad de recursos y autoridad suficientes, y promover la formación continua de directivos, profesionales y personal operativo.
4. Cooperación público-privada e inteligencia compartida. Reforzar la colaboración entre administraciones, servicios de emergencia, Fuerzas y Cuerpos de Seguridad, organismos de ciberseguridad, operadores críticos y proveedores estratégicos, mediante procedimientos comunes de alerta, intercambio de información y gestión de crisis.
5. Continuidad y capacidad de recuperación. Desarrollar planes verificables, ejercicios conjuntos, análisis de escenarios, mecanismos de redundancia y procedimientos de recuperación que permitan mantener las funciones esenciales incluso cuando fallen determinados sistemas, instalaciones o proveedores.
El desafío no termina con la aprobación de una norma. La eficacia del marco regulador dependerá de su aplicación real, de la capacidad de supervisión, de la calidad de las evaluaciones de riesgos y de la inversión sostenida en capacidades humanas, tecnológicas y organizativas. Será necesario medir los avances mediante indicadores de preparación, tiempos de detección y respuesta, disponibilidad de servicios, eficacia de los ejercicios y capacidad efectiva de recuperación.
Por ello, la adaptación a NIS2 y CER debe abordarse como un proceso de transformación estratégica y no como un expediente administrativo. La prioridad es construir organizaciones capaces de comprender sus vulnerabilidades, anticipar amenazas, gestionar interdependencias y responder de forma coordinada ante incidentes complejos.
En definitiva, la seguridad de las infraestructuras críticas ya no puede medirse únicamente por su capacidad para evitar un ataque, sino también por su capacidad para resistirlo, limitar sus consecuencias y recuperar con rapidez la prestación de los servicios esenciales.
NIS2 y CER ofrecen el marco europeo para avanzar hacia ese objetivo. España debe aprovecharlo para consolidar un modelo de seguridad global, integral e integrada, pública y privada, en el que la prevención, la protección, la ciberseguridad, la continuidad y la resiliencia formen parte de una misma estrategia nacional.
La resiliencia no se improvisa; se diseña, se organiza, se dota de recursos y se verifica mediante la preparación y el ejercicio continuado. La verdadera exigencia no consiste únicamente en transponer las directivas, sino en convertir sus principios en capacidades reales para proteger a las personas, garantizar los servicios esenciales y preservar el funcionamiento de la sociedad ante los riesgos y amenazas del presente y del futuro.
Dedicado por más de 30 años a la Consultoría e Ingeniería de Seguridad y Defensa por más de 20 países como asesor para asuntos aeroportuarios, puertos, cárceles hospitales, entidades bancarias, museos, transporte ferroviario, servicios de Correos y puertos.
Es socio fundador y presidente para Europa de la Federación Mundial de Seguridad (WSF), Director para Europa de la Secretaría Iberoamericana de Seguridad, Asesor gubernamental en materia de integración operativa de seguridad pública y privada en diversos países latinoamericanos.
Como experiencia académica es profesor de postgrado en ICADE (Universidad Pontificia Comillas de Madrid) desde 1986, codirector de postgrado en la Facultad de Psicología (Universidad Complutense de Madrid) y director del Curso de Seguridad en Infraestructuras Críticas del Instituto General Gutierrez Mellado de la UNED, así como conferenciante habitual y profesor en más de 20 países sobre Seguridad y Defensa.
Su representación institucional es principalmente como Miembro Experto de la Comisión Mixta de Seguridad del Ministerio del Interior, Director para Europa de la Federación Panamericana de Seguridad (FEPASEP), representante “ad honores” de la Federación de Empresas de Seguridad del MERCOSUR (FESESUR), asesor del BID (Banco Interamericano de Desarrollo) para asuntos de Seguridad Ciudadana y Observatorio de Delincuencia en Panamá, socio fundador y de honor del Observatorio de Seguridad Integral en Hospitales (OSICH), socio fundador y vicepresidente de la Asociación para la Protección de Infraestructuras Críticas (APIC)
Autor y director de la BIBLIOTECA DE SEGURIDAD, editorial de Manuales de Proyectos, Organización y Gestión de Seguridad
Actualmente es presidente y director del Grupo de Estudios Técnicos (GET), socio-senior partner de TEMI GROUP Consultoría Internacional y socio-director de CIRCULO de INTELIGENCIA consultora especializada.
Tendencias 21 (Madrid). ISSN 2174-6850