Ecosistema industrial y tecnológico de los drones. Seguridad integral y protección de infraestructuras críticas. Cumplimiento (2)
Gobernanza,
regulación y cumplimiento normativo
La incorporación de drones a una infraestructura crítica requiere un marco de
gobernanza que defina quién autoriza las misiones, quién opera las aeronaves,
quién custodia los datos y quién responde ante una incidencia.
En España y la Unión Europea deben considerarse, como mínimo, los siguientes
ámbitos normativos y de gestión.
| Marco de referencia | Aplicación al ecosistema UAS |
| Reglamento (UE) 2019/947 y Reglamento Delegado (UE) 2019/945 | Operaciones, requisitos técnicos y condiciones aplicables a los UAS civiles |
| Real Decreto 517/2024 | Desarrollo del régimen jurídico español para la utilización civil de UAS |
| Directiva CER (UE) 2022/2557 | Resiliencia de las entidades críticas frente a riesgos físicos y perturbaciones |
| Directiva NIS2 (UE) 2022/2555 | Gestión de riesgos de ciberseguridad y obligaciones aplicables a entidades dentro de su ámbito |
| RGPD y legislación española de protección de datos | Tratamiento de imágenes, datos personales y derechos afectados |
| Normativa sectorial y planes de protección | Requisitos específicos según la infraestructura, el operador y la actividad |
La Agencia Estatal de Seguridad Aérea (AESA) recopila la normativa europea y
española aplicable a drones, así como las reglas relativas a las categorías
operacionales y las zonas geográficas de UAS.
La Directiva CER establece un marco europeo de resiliencia de las entidades
críticas, mientras que NIS2 se centra en la ciberseguridad de las entidades
incluidas en su ámbito. Son marcos complementarios, pero no intercambiables. La
aplicación concreta debe determinarse según la entidad, el sector, la operación
y la legislación vigente.
En julio de 2026, la Comisión Europea publicó orientaciones adicionales sobre
medidas técnicas, de seguridad y organizativas para reforzar la resiliencia de
las infraestructuras críticas, incluyendo riesgos asociados a drones y amenazas
híbridas.
Modelo de responsabilidades
Una distribución de responsabilidades adecuada podría ser la siguiente:
| Función | Responsabilidad principal |
| Dirección corporativa | Aprobar objetivos, inversión, tolerancia al riesgo y modelo de gobernanza |
| Dirección de Seguridad | Integrar los UAS en el sistema de seguridad y en los planes de protección |
| Dirección de Operaciones | Definir las necesidades de inspección y continuidad de servicio |
| Dirección TIC/CISO | Gestionar ciberseguridad, identidades, comunicaciones e integración digital |
| Mantenimiento e ingeniería | Validar anomalías, establecer criterios técnicos y gestionar reparaciones |
| Operador UAS | Planificar y ejecutar las misiones conforme a los requisitos aplicables |
| Protección de datos y asesoría jurídica | Verificar licitud, proporcionalidad, responsabilidades y conservación de información |
La asignación definitiva debe adaptarse a la estructura real de cada
organización. La contratación de un proveedor externo no elimina la necesidad de
establecer responsabilidades internas, supervisión y control de resultados.
Modelo
de implantación para
infraestructuras críticas
La implantación debe desarrollarse progresivamente, partiendo de necesidades
verificables y evitando inversiones tecnológicas que no estén vinculadas a un
problema operacional concreto.
Diagnóstico y análisis de riesgos. Inventariar los activos,
identificar necesidades de inspección y seguridad, evaluar amenazas y establecer
una línea base de costes, tiempos y riesgos.
Diseño de la arquitectura. Definir aeronaves, sensores,
comunicaciones, software,
ciberseguridad, almacenamiento, integración corporativa y procedimientos de
operación.
Proyecto piloto controlado. Seleccionar un activo
representativo, realizar pruebas autorizadas, comparar resultados con el
procedimiento tradicional y verificar la calidad de los datos.
Integración y validación. Conectar los resultados con los
sistemas de mantenimiento o seguridad, validar los procedimientos de
contingencia y realizar pruebas de ciberseguridad e interoperabilidad.
Despliegue y mejora continua. Ampliar el servicio a otros
activos cuando se demuestre su valor, formar al personal, auditar el sistema y
actualizar la evaluación de riesgos.
Selección de proyectos piloto
Los proyectos iniciales deberían cumplir cuatro condiciones:
- Resolver un problema relevante y claramente delimitado.
- Permitir operar en condiciones controladas y autorizables.
- Ofrecer resultados comparables con una referencia previa.
Poder evaluarse mediante indicadores de seguridad, calidad, coste y
continuidad.
Ejemplos adecuados son la inspección de un conjunto de estructuras, la
revisión de activos de una instalación energética o la documentación de daños en
un emplazamiento industrial.
No conviene comenzar por una solución de vigilancia autónoma de máxima
complejidad si la organización todavía no dispone de procedimientos, personal
formado, gobernanza de datos o capacidades de integración.
Indicadores
de rendimiento y retorno de inversión
La inversión debe evaluarse por el valor generado en el conjunto del proceso,
no solo por la reducción del tiempo de vuelo o del número de desplazamientos.
Los siguientes indicadores constituyen una propuesta inicial de cuadro de
mando.
| Dimensión | KPI propuesto | Criterio de evaluación |
| Productividad | Tiempo total por inspección | Comparación con el método anterior |
| Cobertura | Porcentaje de activos inspeccionados | Cobertura efectiva frente a la planificada |
| Calidad | Anomalías confirmadas | Proporción de alertas que requieren intervención |
| Mantenimiento | Tiempo desde la detección hasta la reparación | Mejora del ciclo de gestión |
| Seguridad laboral | Exposición del personal a trabajos de riesgo | Reducción de exposiciones evitables |
| Disponibilidad | Disponibilidad operativa del sistema | Tiempo disponible frente al planificado |
| Ciberseguridad | Incidencias y vulnerabilidades pendientes | Seguimiento de su tratamiento y resolución |
| Continuidad | Tiempo de recuperación tras una incidencia | Cumplimiento de objetivos definidos |
| Economía | Coste total por inspección válida | Coste integral frente a la alternativa |
| Cumplimiento | Operaciones realizadas conforme a los requisitos | Verificación documental y operacional |
Los objetivos numéricos deben establecerse después de medir la situación
inicial. No sería riguroso atribuir de antemano porcentajes de ahorro o mejoras
de detección sin conocer la instalación, la tecnología y el procedimiento de
referencia.
Para el análisis económico, el coste total de propiedad debe incluir
adquisición, sensores, software, personal,
formación, seguros, mantenimiento,
conectividad, almacenamiento, cumplimiento, sustitución de componentes y gestión
de riesgos.
Soberanía
tecnológica y estrategia industrial
El crecimiento del mercado de drones plantea una cuestión estratégica para los operadores de infraestructuras críticas: ¿cómo asegurar que una capacidad tecnológica esencial pueda mantenerse operativa durante todo su ciclo de vida?
La respuesta requiere evaluar más allá del fabricante de la aeronave.
Criterios de selección de proveedores
La evaluación técnica y comercial debería considerar:
- Procedencia y trazabilidad de los componentes críticos.
- Gestión de vulnerabilidades y frecuencia de actualizaciones.
- Ubicación, acceso y condiciones de tratamiento de los datos.
- Dependencia de servicios en la nube y conectividad externa.
- Disponibilidad de soporte, repuestos y mantenimiento.
- Interoperabilidad con otras plataformas y sistemas corporativos.
- Posibilidad de exportar datos y sustituir al proveedor.
- Cumplimiento normativo y condiciones de exportación.
- Capacidad de respuesta ante incidentes y continuidad del servicio.
La procedencia geográfica no constituye por sí sola una prueba de seguridad o
inseguridad. La selección debe basarse en un análisis documentado de riesgos,
requisitos verificables y evidencias técnicas.
Oportunidades para la industria española y europea
Existe margen para desarrollar capacidades industriales en segmentos como:
- Integración de sensores y cargas útiles especializadas.
- Software de planificación, control y explotación de datos.
- Inspección inteligente y mantenimiento predictivo.
- Sistemas seguros de comunicaciones e identificación.
- Plataformas de gestión de flotas y estaciones automatizadas.
- Integración de tecnologías de detección de drones no autorizados.
- Formación, mantenimiento, ensayos y certificación.
- Servicios especializados para energía, transporte, agua y puertos.
El objetivo industrial no tiene que limitarse a fabricar todas las piezas de
una aeronave. También puede consistir en controlar tecnologías diferenciadoras,
desarrollar software, asegurar la integración y ofrecer servicios especializados
de alto valor añadido.
La política europea de seguridad frente a drones anunciada en febrero de 2026
refuerza esta orientación mediante propuestas de desarrollo industrial,
detección, coordinación de respuestas y cooperación tecnológica.
Hoja
de ruta estratégica 2026–2028
La siguiente hoja de ruta es una propuesta de planificación, no un calendario
normativo obligatorio.
Fase 1. 2026 · Diagnóstico y diseño
- Inventario de activos y casos de uso.
- Evaluación de riesgos físicos, digitales y operacionales.
- Definición de arquitectura, gobernanza y criterios de compra.
- Selección de proyectos piloto y métricas de referencia.
Fase 2. 2027 · Validación e integración
- Ejecución y evaluación de pilotos.
- Integración con mantenimiento y centros de control.
- Pruebas de ciberseguridad, continuidad y contingencia.
- Formación de operadores y responsables de seguridad.
Fase 3. 2028 · Escalado y resiliencia
- Ampliación de las soluciones con resultados demostrados.
- Normalización de procedimientos y acuerdos de servicio.
- Auditorías, ejercicios de incidentes y mejora continua.
- Revisión de proveedores, dependencias y sostenibilidad económica.
La hoja de ruta debería revisarse anualmente y siempre que se produzcan
cambios importantes en el riesgo, la regulación, la tecnología o las condiciones
operativas.
Conclusiones: hacia una seguridad integral e integrada apoyada en
capacidades aéreas inteligentes
Los drones industriales constituyen una tecnología transversal con capacidad
para transformar la inspección, la operación y la protección de infraestructuras
esenciales. Su aportación más relevante no consiste simplemente en realizar
tareas aéreas, sino en convertir la observación en información útil, la
información en decisiones y las decisiones en mejoras verificables.
Para aprovechar ese potencial es necesario integrar cinco elementos:
plataformas adecuadas, sensores fiables, comunicaciones seguras, software
interoperable y una organización preparada para gestionar los resultados.
En las infraestructuras críticas, la seguridad debe abarcar tanto el uso
legítimo de los drones como los riesgos que estos sistemas pueden introducir o
representar. Esto exige coordinación entre seguridad física, ciberseguridad,
operaciones, mantenimiento, protección de datos y dirección corporativa.
La implantación debe ser gradual, basada en riesgos y sometida a evaluación
continua. La selección de proveedores, la autonomía tecnológica, la protección
de datos y la continuidad del soporte deben formar parte de la decisión desde el
inicio.
La conclusión estratégica es clara: la resiliencia no se improvisa; se diseña
mediante capacidades tecnológicas, procedimientos, personas y gobernanza.
El futuro del ecosistema UAS en infraestructuras críticas dependerá de la
capacidad de combinar innovación industrial, seguridad integral,
interoperabilidad y cooperación público-privada para mantener los servicios
esenciales frente a un entorno de amenazas y perturbaciones cada vez más
complejo.
Referencias institucionales y técnicas
- Agencia Estatal de Seguridad Aérea (AESA). Normativa, operaciones y zonas
geográficas de UAS.
Portal oficial
de drones.
- Comisión Europea. Action Plan on Drone and Counter Drone Security, 11 de
febrero de 2026.
Plan y medidas europeas.
- Comisión Europea, Centro Común de Investigación. Handbook on UAS
Protection of Critical Infrastructure and Public Space: A Five Phase Approach
for C-UAS Stakeholders.
Publicación técnica.
- Unión Europea. Directiva (UE) 2022/2557, relativa a la resiliencia de las
entidades críticas.
Texto oficial.
- Unión Europea. Directiva (UE) 2022/2555, relativa a las medidas destinadas
a garantizar un elevado nivel común de ciberseguridad en toda la Unión (NIS2).
Texto oficial.
- Comisión Europea. Orientaciones sobre medidas técnicas, de seguridad y organizativas para reforzar la resiliencia de infraestructuras críticas, 10 de julio de 2026. Información institucional.
