SEGURIDAD Y DEFENSA

Gobernanza, regulación y cumplimiento normativo
 

La incorporación de drones a una infraestructura crítica requiere un marco de gobernanza que defina quién autoriza las misiones, quién opera las aeronaves, quién custodia los datos y quién responde ante una incidencia.
 

En España y la Unión Europea deben considerarse, como mínimo, los siguientes ámbitos normativos y de gestión.
 

La Agencia Estatal de Seguridad Aérea (AESA) recopila la normativa europea y española aplicable a drones, así como las reglas relativas a las categorías operacionales y las zonas geográficas de UAS.
 

La Directiva CER establece un marco europeo de resiliencia de las entidades críticas, mientras que NIS2 se centra en la ciberseguridad de las entidades incluidas en su ámbito. Son marcos complementarios, pero no intercambiables. La aplicación concreta debe determinarse según la entidad, el sector, la operación y la legislación vigente.
 

En julio de 2026, la Comisión Europea publicó orientaciones adicionales sobre medidas técnicas, de seguridad y organizativas para reforzar la resiliencia de las infraestructuras críticas, incluyendo riesgos asociados a drones y amenazas híbridas.
 

Modelo de responsabilidades
 

Una distribución de responsabilidades adecuada podría ser la siguiente:
 

La asignación definitiva debe adaptarse a la estructura real de cada organización. La contratación de un proveedor externo no elimina la necesidad de establecer responsabilidades internas, supervisión y control de resultados.
 

Modelo de implantación para infraestructuras críticas
 

La implantación debe desarrollarse progresivamente, partiendo de necesidades verificables y evitando inversiones tecnológicas que no estén vinculadas a un problema operacional concreto.
 

Diagnóstico y análisis de riesgos. Inventariar los activos, identificar necesidades de inspección y seguridad, evaluar amenazas y establecer una línea base de costes, tiempos y riesgos.
 

Diseño de la arquitectura. Definir aeronaves, sensores, comunicaciones, software, ciberseguridad, almacenamiento, integración corporativa y procedimientos de operación.
 

Proyecto piloto controlado. Seleccionar un activo representativo, realizar pruebas autorizadas, comparar resultados con el procedimiento tradicional y verificar la calidad de los datos.
 

Integración y validación. Conectar los resultados con los sistemas de mantenimiento o seguridad, validar los procedimientos de contingencia y realizar pruebas de ciberseguridad e interoperabilidad.
 

Despliegue y mejora continua. Ampliar el servicio a otros activos cuando se demuestre su valor, formar al personal, auditar el sistema y actualizar la evaluación de riesgos.
 

Selección de proyectos piloto
 

Los proyectos iniciales deberían cumplir cuatro condiciones:
 

• Resolver un problema relevante y claramente delimitado.
   
• Permitir operar en condiciones controladas y autorizables.
   
• Ofrecer resultados comparables con una referencia previa.
   

Poder evaluarse mediante indicadores de seguridad, calidad, coste y continuidad.
 

Ejemplos adecuados son la inspección de un conjunto de estructuras, la revisión de activos de una instalación energética o la documentación de daños en un emplazamiento industrial.
 

No conviene comenzar por una solución de vigilancia autónoma de máxima complejidad si la organización todavía no dispone de procedimientos, personal formado, gobernanza de datos o capacidades de integración.
 

Indicadores de rendimiento y retorno de inversión
 

La inversión debe evaluarse por el valor generado en el conjunto del proceso, no solo por la reducción del tiempo de vuelo o del número de desplazamientos.
 

Los siguientes indicadores constituyen una propuesta inicial de cuadro de mando.
 

Los objetivos numéricos deben establecerse después de medir la situación inicial. No sería riguroso atribuir de antemano porcentajes de ahorro o mejoras de detección sin conocer la instalación, la tecnología y el procedimiento de referencia.
 

Para el análisis económico, el coste total de propiedad debe incluir adquisición, sensores, software, personal, formación, seguros, mantenimiento, conectividad, almacenamiento, cumplimiento, sustitución de componentes y gestión de riesgos.
 

Soberanía tecnológica y estrategia industrial
 

El crecimiento del mercado de drones plantea una cuestión estratégica para los operadores de infraestructuras críticas: ¿cómo asegurar que una capacidad tecnológica esencial pueda mantenerse operativa durante todo su ciclo de vida?

La respuesta requiere evaluar más allá del fabricante de la aeronave.
 

Criterios de selección de proveedores
 

La evaluación técnica y comercial debería considerar:
 

• Procedencia y trazabilidad de los componentes críticos.
   
• Gestión de vulnerabilidades y frecuencia de actualizaciones.
   
• Ubicación, acceso y condiciones de tratamiento de los datos.
   
• Dependencia de servicios en la nube y conectividad externa.
   
• Disponibilidad de soporte, repuestos y mantenimiento.
   
• Interoperabilidad con otras plataformas y sistemas corporativos.
   
• Posibilidad de exportar datos y sustituir al proveedor.
   
• Cumplimiento normativo y condiciones de exportación.
   
• Capacidad de respuesta ante incidentes y continuidad del servicio.
   

La procedencia geográfica no constituye por sí sola una prueba de seguridad o inseguridad. La selección debe basarse en un análisis documentado de riesgos, requisitos verificables y evidencias técnicas.
 

Oportunidades para la industria española y europea
 

Existe margen para desarrollar capacidades industriales en segmentos como:
 

• Integración de sensores y cargas útiles especializadas.
   
• Software de planificación, control y explotación de datos.
   
• Inspección inteligente y mantenimiento predictivo.
   
• Sistemas seguros de comunicaciones e identificación.
   
• Plataformas de gestión de flotas y estaciones automatizadas.
   
• Integración de tecnologías de detección de drones no autorizados.
   
• Formación, mantenimiento, ensayos y certificación.
   
• Servicios especializados para energía, transporte, agua y puertos.
   

El objetivo industrial no tiene que limitarse a fabricar todas las piezas de una aeronave. También puede consistir en controlar tecnologías diferenciadoras, desarrollar software, asegurar la integración y ofrecer servicios especializados de alto valor añadido.
 

La política europea de seguridad frente a drones anunciada en febrero de 2026 refuerza esta orientación mediante propuestas de desarrollo industrial, detección, coordinación de respuestas y cooperación tecnológica.
 

Hoja de ruta estratégica 2026–2028
 

La siguiente hoja de ruta es una propuesta de planificación, no un calendario normativo obligatorio.
 

Fase 1. 2026 · Diagnóstico y diseño
 

• Inventario de activos y casos de uso.
   
• Evaluación de riesgos físicos, digitales y operacionales.
   
• Definición de arquitectura, gobernanza y criterios de compra.
   
• Selección de proyectos piloto y métricas de referencia.
   

Fase 2. 2027 · Validación e integración
 

• Ejecución y evaluación de pilotos.
   
• Integración con mantenimiento y centros de control.
   
• Pruebas de ciberseguridad, continuidad y contingencia.
   
• Formación de operadores y responsables de seguridad.
   

Fase 3. 2028 · Escalado y resiliencia
 

• Ampliación de las soluciones con resultados demostrados.
   
• Normalización de procedimientos y acuerdos de servicio.
   
• Auditorías, ejercicios de incidentes y mejora continua.
   
• Revisión de proveedores, dependencias y sostenibilidad económica.
   

La hoja de ruta debería revisarse anualmente y siempre que se produzcan cambios importantes en el riesgo, la regulación, la tecnología o las condiciones operativas.
 

Conclusiones: hacia una seguridad integral e integrada apoyada en capacidades aéreas inteligentes
 

Los drones industriales constituyen una tecnología transversal con capacidad para transformar la inspección, la operación y la protección de infraestructuras esenciales. Su aportación más relevante no consiste simplemente en realizar tareas aéreas, sino en convertir la observación en información útil, la información en decisiones y las decisiones en mejoras verificables.
 

Para aprovechar ese potencial es necesario integrar cinco elementos: plataformas adecuadas, sensores fiables, comunicaciones seguras, software interoperable y una organización preparada para gestionar los resultados.
 

En las infraestructuras críticas, la seguridad debe abarcar tanto el uso legítimo de los drones como los riesgos que estos sistemas pueden introducir o representar. Esto exige coordinación entre seguridad física, ciberseguridad, operaciones, mantenimiento, protección de datos y dirección corporativa.
 

La implantación debe ser gradual, basada en riesgos y sometida a evaluación continua. La selección de proveedores, la autonomía tecnológica, la protección de datos y la continuidad del soporte deben formar parte de la decisión desde el inicio.
 

La conclusión estratégica es clara: la resiliencia no se improvisa; se diseña mediante capacidades tecnológicas, procedimientos, personas y gobernanza.
 

El futuro del ecosistema UAS en infraestructuras críticas dependerá de la capacidad de combinar innovación industrial, seguridad integral, interoperabilidad y cooperación público-privada para mantener los servicios esenciales frente a un entorno de amenazas y perturbaciones cada vez más complejo.
 

Referencias institucionales y técnicas
 

1. Agencia Estatal de Seguridad Aérea (AESA). Normativa, operaciones y zonas geográficas de UAS. Portal oficial de drones.
    
2. Comisión Europea. Action Plan on Drone and Counter Drone Security, 11 de febrero de 2026. Plan y medidas europeas.
    
3. Comisión Europea, Centro Común de Investigación. Handbook on UAS Protection of Critical Infrastructure and Public Space: A Five Phase Approach for C-UAS Stakeholders. Publicación técnica.
    
4. Unión Europea. Directiva (UE) 2022/2557, relativa a la resiliencia de las entidades críticas. Texto oficial.
    
5. Unión Europea. Directiva (UE) 2022/2555, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión (NIS2). Texto oficial.
    
6. Comisión Europea. Orientaciones sobre medidas técnicas, de seguridad y organizativas para reforzar la resiliencia de infraestructuras críticas, 10 de julio de 2026. Información institucional.

Un cambio de paradigma normativo
 

La NIS2 refuerza la ciberseguridad, la responsabilidad de los órganos de dirección, la gestión de riesgos y la notificación de incidentes. CER amplía la perspectiva hacia la resiliencia integral de las entidades críticas, contemplando amenazas físicas, naturales, humanas e híbridas, así como la continuidad de los servicios esenciales.
 

La fecha límite de transposición de ambas directivas fue el 17 de octubre de 2024, y los Estados miembros debían aplicar las medidas nacionales de NIS2 desde el 18 de octubre de 2024. La falta de una transposición completa y efectiva en España plantea interrogantes relevantes sobre la seguridad jurídica, la coherencia del marco regulador, la supervisión, las obligaciones de los operadores y la convergencia entre la protección física y la ciberseguridad.
 

Sin embargo, es necesario establecer una distinción fundamental: la falta de transposición completa no significa que desaparezcan las obligaciones nacionales preexistentes ni que todas las disposiciones de las directivas sean automáticamente exigibles a cualquier empresa. Las consecuencias jurídicas dependen de la naturaleza de cada disposición, de su aplicabilidad directa o indirecta, del régimen nacional vigente y de las características de cada entidad.
 

Desde una perspectiva estratégica, el principal riesgo consiste en que la evolución de las amenazas avance más rápidamente que la adaptación normativa, organizativa y operativa. Esta situación puede generar diferencias de preparación entre sectores, dificultades para coordinar responsabilidades y retrasos en la implantación de capacidades de prevención, respuesta y recuperación.
 

La respuesta exige acelerar la convergencia entre seguridad física, ciberseguridad, inteligencia, continuidad de negocio y resiliencia, sin esperar a que la adaptación legislativa esté completamente finalizada.
 

De la protección de infraestructuras críticas a la resiliencia integral
 

La protección de las infraestructuras críticas constituye uno de los principales desafíos de la seguridad nacional y europea. La energía, el transporte, las telecomunicaciones, el agua, la sanidad, los servicios financieros y las cadenas de suministro dependen de sistemas interconectados cuya interrupción puede generar consecuencias que trascienden a una organización o a un sector económico.
 

La transformación tecnológica ha ampliado las oportunidades de desarrollo, eficiencia y automatización, pero también ha incrementado la exposición a amenazas que combinan acciones físicas, ataques digitales, sabotajes, desinformación, dependencia de proveedores y perturbaciones de origen natural.
 

En este contexto, la Unión Europea ha impulsado dos instrumentos complementarios: NIS2, orientada a elevar el nivel común de ciberseguridad, y CER, dirigida a fortalecer la resiliencia de las entidades críticas frente a un conjunto amplio de riesgos.
 

Ambas directivas reflejan un cambio de enfoque: de una protección centrada en activos concretos a una gestión integral de los riesgos que amenazan la prestación de servicios esenciales.
 

Este cambio exige superar la separación tradicional entre seguridad física y lógica. Una infraestructura energética, por ejemplo, puede sufrir simultáneamente una intrusión física, la manipulación de sistemas de control industrial y la pérdida de comunicaciones. Del mismo modo, una instalación sanitaria puede mantener sus edificios intactos y, sin embargo, perder capacidad asistencial debido a un ciberataque que afecte a sus sistemas clínicos.
 

La seguridad de las infraestructuras críticas debe abordar, por tanto, la prevención, la detección, la respuesta, la continuidad operativa y la recuperación, integrando capacidades técnicas, organizativas y humanas.
 

En España, este proceso adquiere especial relevancia por la necesidad de adaptar el marco normativo nacional a las exigencias europeas y asegurar una aplicación coherente entre sectores, operadores y autoridades competentes.
 

Directiva NIS2: Orientada a elevar y homogeneizar el nivel de ciberseguridad. Directiva CER: Dirigida a fortalecer la resiliencia frente a un catálogo amplio de riesgos (naturales, humanos, accidentales e intencionados).

NIS2 y CER nuevos retos y exigencias para la seguridad y ciberseguridad
 

La aplicación de la Directiva NIS 2 (seguridad de las redes y sistemas de información) y la Directiva CER (resiliencia de las entidades críticas) en España plantea una transformación profunda en cómo las organizaciones públicas y privadas deben gestionar la seguridad física y digital.
 

Principales retos y exigencias en España
 

Ampliar el ámbito de aplicación:
 

NIS 2 deja de afectar solo a grandes operadores para incluir a medianas y grandes empresas de sectores altamente críticos (como energía, transporte, banca o salud) y otros sectores importantes (como industria alimentaria, servicios digitales o gestión de residuos).
 

Convergencia entre seguridad física (CER) y ciberseguridad (NIS 2):
 

La Directiva CER se enfoca en proteger la infraestructura física frente a riesgos naturales, atentados o accidentes, mientras que NIS 2 protege los entornos digitales. España exige una visión unificada para evitar que un fallo físico comprometa los datos o viceversa.
 

Responsabilidad directa de la alta dirección:
 

Los órganos de gestión y directivos deben aprobar las medidas de gestión de riesgos y reciben responsabilidad legal directa. En caso de negligencia, se enfrentan a sanciones personales o inhabilitación temporal.
 

Plazos estrictos de notificación de incidentes (bajo NIS 2):
 

Obligación de emitir una alerta temprana en un máximo de 24 horas, un informe detallado a las 72 horas y un informe final en el transcurso de 1 mes tras sufrir un incidente grave.
 

Control de la cadena de suministro:
 

Las empresas obligadas deben auditar y exigir estándares de seguridad (como certificaciones ENS o ISO 27001) a sus proveedores y terceros tecnológicos.
 

Veamos esquemáticamente la realidad de nuestra percepción y establecer un decálogo de la situación.
 

Nuevo paradigma industrial y de seguridad
 

Los drones han pasado de desempeñar funciones limitadas de observación o captura audiovisual a convertirse en plataformas tecnológicas capaces de generar información operativa, interactuar con sistemas digitales y apoyar procesos de gestión y decisión.
 

Esta transformación responde a cinco tendencias convergentes:
 

• Digitalización industrial: incorporación de datos a los procesos de operación y mantenimiento.
   
• Automatización: ejecución recurrente de inspecciones y misiones con menor intervención presencial.
   
• Inteligencia artificial: identificación asistida de anomalías y transformación de imágenes en información estructurada.
   
• Convergencia físico-digital: conexión de la observación aérea con los sistemas corporativos, la seguridad física y la ciberseguridad.
   
• Resiliencia operacional: capacidad de anticipar, responder, adaptarse y recuperarse frente a perturbaciones.
   

En sectores como la energía, el transporte, el agua, las telecomunicaciones y las instalaciones portuarias, estas capacidades resultan especialmente relevantes por la extensión territorial de los activos, su complejidad técnica y las consecuencias potenciales de una interrupción.
 

No obstante, el incremento de capacidades también amplía la superficie de riesgo. Un dron puede ser un instrumento de inspección y prevención, pero también una fuente de exposición de información sensible o una amenaza para instalaciones y operaciones.
 

Por ello, el enfoque adecuado debe integrar desde el diseño las prestaciones técnicas, la seguridad operacional, la ciberseguridad, la protección física, la gobernanza de datos y los procedimientos de respuesta y resiliencia.
 

Arquitectura tecnológica del ecosistema UAS industrial
 

Para implantar drones en instalaciones críticas es necesario analizar la solución como un sistema completo, compuesto por diferentes capas tecnológicas y operativas.
 

CAPA 1. Plataforma aérea.        Multirrotor · Ala fija · VTOL · Helicóptero
 

CAPA 2. Sensores y navegación.          RGB · Térmica · LiDAR · GNSS · IMU · Radar
 

CAPA 3. Comunicaciones y control.     Telemetría · Enlaces de datos · Estación de control · Gestión de flotas
 

CAPA 4. Inteligencia y explotación de datos.    IA · Analítica · SIG · Gemelo digital · Mantenimiento predictivo
 

CAPA 5. Seguridad y gobernanza.        Ciberseguridad · Seguridad física · Cumplimiento · Continuidad · Resiliencia
 

Modelo conceptual de referencia. La ciberseguridad, la seguridad operacional y la gobernanza deben aplicarse transversalmente a todas las capas, no solamente a la última.
 

Plataforma, sensores y navegación
 

La selección de la aeronave debe responder a la misión. Un multirrotor puede ser adecuado para inspeccionar equipos en una subestación; una plataforma VTOL puede cubrir largas líneas eléctricas sin requerir una pista convencional; y un sistema preparado para interiores puede facilitar inspecciones en depósitos, túneles o espacios confinados.
 

Los requisitos mínimos de selección deberían incluir:
 

• Autonomía útil con la carga real instalada.
   
• Resistencia a las condiciones ambientales del emplazamiento.
   
• Precisión y calidad de los sensores.
   
• Capacidad de navegación y recuperación segura ante fallos.
   
• Mantenimiento, disponibilidad de repuestos y soporte del fabricante.
•  
• Compatibilidad con los procedimientos y sistemas corporativos.
   

La redundancia de sensores o navegación puede mejorar la seguridad, pero no elimina todos los fallos posibles. Debe evaluarse dentro de un análisis de seguridad operacional.
 

Comunicaciones e Inteligencia Artificial
 

Comunicaciones y control de misión
 

La arquitectura debe separar, cuando resulte apropiado, las funciones de mando, telemetría, transmisión de imágenes y conexión con los sistemas corporativos.
 

La elección de Wi-Fi, radio dedicada, redes móviles o enlaces satelitales dependerá de la cobertura, la distancia, el entorno electromagnético, la disponibilidad del servicio y los requisitos de seguridad.
 

En una infraestructura crítica es esencial definir qué ocurre si se pierde el enlace, falla la estación de control o queda interrumpido el acceso a la plataforma digital. Los procedimientos deben determinar las acciones seguras previstas, los límites de operación y las responsabilidades del personal.
 

Inteligencia artificial y sistemas de información
 

La IA puede automatizar la revisión de imágenes, identificar posibles defectos y priorizar inspecciones. Para que sus resultados sean fiables, debe existir un proceso de validación que contemple la calidad de los datos, las condiciones de captura, la tasa de error y la intervención humana.
 

La integración con sistemas de información geográfica, gestión de activos y mantenimiento permite asociar cada observación a un elemento concreto, conservar el historial y generar órdenes de trabajo.
 

El objetivo industrial es pasar de una colección de imágenes a un sistema de información trazable que ayude a tomar decisiones y permita verificar sus resultados.
 

Aplicaciones industriales prioritarias en infraestructuras críticas
 

Las aplicaciones deben seleccionarse atendiendo a la criticidad del activo, el riesgo que se pretende reducir y el valor operacional esperado.
 

Sector energético
 

Inspección de líneas de transporte, torres, subestaciones, parques eólicos, instalaciones solares y otras infraestructuras. La combinación de imágenes visuales, termografía y analítica permite localizar anomalías que requieren revisión técnica.
 

Indicadores: tiempo de inspección, defectos confirmados, disponibilidad de activos y coste por inspección.
 

Transporte ferroviario y carreteras
 

Inspección de vías, puentes, taludes, túneles accesibles, estaciones y corredores de transporte. Los drones permiten obtener información de zonas de difícil acceso y documentar cambios en los activos.
 

Indicadores: cobertura inspeccionada, tiempo de indisponibilidad, incidencias detectadas y tiempo de reparación.
 

Instalaciones portuarias y marítimas
 

Inspección de grúas, cubiertas, depósitos, infraestructuras costeras y activos expuestos a corrosión. También pueden apoyar la evaluación de daños y la vigilancia autorizada de áreas operativas.
 

Indicadores: tiempo de inspección, anomalías confirmadas, cobertura y reducción de trabajos en altura.
 

Agua y saneamiento
 

Inspección de embalses, conducciones, depósitos, instalaciones de tratamiento y corredores de abastecimiento. Las imágenes y sensores especializados pueden apoyar la detección de deterioros y la evaluación de daños.
 

Indicadores: activos inspeccionados, anomalías validadas, tiempo de respuesta y disponibilidad del servicio.

Telecomunicaciones y centros tecnológicos
 

Inspección de torres, antenas, estructuras auxiliares y emplazamientos remotos. En centros de datos y otras instalaciones sensibles, las operaciones aéreas deben planificarse especialmente para evitar interferencias con actividades, accesos y medidas de seguridad existentes.
 

Indicadores: tiempo de intervención, defectos detectados, disponibilidad de emplazamientos y cumplimiento de procedimientos.
 

De la inspección programada al mantenimiento predictivo
 

La evolución de mayor interés consiste en conectar las observaciones aéreas con la gestión del ciclo de vida del activo.
 

El proceso de referencia es:
 

• Definir el activo y la condición que se desea comprobar.
   
• Planificar la misión y seleccionar la carga útil.
   
• Capturar los datos y verificar su calidad.
   
• Analizar las imágenes y detectar posibles anomalías.
   
• Validar técnicamente los resultados.
   
• Generar la orden de inspección, reparación o seguimiento.
   
• Comprobar la intervención y actualizar el historial del activo.
   

 Este flujo permite evolucionar desde una inspección aislada hacia un modelo de mantenimiento basado en condición. La denominación predictivo debe reservarse para soluciones que, además de detectar anomalías, utilizan datos y modelos validados para estimar la evolución o la probabilidad de fallo.
 

Seguridad integral: los drones como capacidad y como riesgo
 

La incorporación de UAS a una infraestructura crítica produce un doble efecto: aumenta las capacidades de observación, inspección y respuesta, pero también introduce nuevas dependencias tecnológicas y posibles vectores de amenaza.
 

La seguridad integral exige gestionar ambos lados de esta ecuación.
 

Riesgos asociados al uso legítimo de drones
 

Entre los principales riesgos internos destacan:
 

• Fallos de navegación, propulsión o alimentación.
   
• Pérdida de comunicaciones o degradación de la precisión.
   
• Errores de planificación o de intervención humana.
   
• Captura, transmisión o conservación inadecuada de datos.
   
• Acceso no autorizado a estaciones de control o cuentas.
   
• Vulnerabilidades de software y componentes sin soporte.
   
• Dependencia de servicios externos necesarios para operar.
   
• Integración inadecuada con redes y aplicaciones corporativas.
   

Estos riesgos deben abordarse mediante análisis y evaluación, pruebas, procedimientos, mantenimiento, gestión de accesos y planes de continuidad.
 

Amenazas derivadas de drones no autorizados
 

Un UAS ajeno a la operación puede constituir una amenaza para la seguridad física, la privacidad, la continuidad del servicio o la seguridad del espacio aéreo.
 

La evaluación debe contemplar, entre otros escenarios, sobrevuelos no autorizados, observación de activos sensibles, interrupciones operativas y presencia de aeronaves cuya finalidad no se puede determinar inicialmente.
 

La respuesta no debe depender de una única tecnología. Es necesario combinar evaluación de amenazas, vigilancia adecuada, procedimientos de notificación, coordinación con autoridades y medidas de protección proporcionadas al riesgo.
 

Arquitectura integrada de protección
 

Una arquitectura de seguridad puede estructurarse en cinco funciones:
 

1. Detección. Empleo proporcionado de sensores y fuentes de información para identificar posibles actividades aéreas relevantes. Las tecnologías disponibles tienen limitaciones y no ofrecen una cobertura universal.
    
2. Identificación y evaluación. Contraste de la información disponible, comprobación de vuelos autorizados y evaluación de la naturaleza, relevancia e incertidumbre del incidente.
    
3. Integración y mando. Correlación de alertas con los centros de control, los responsables de seguridad, las operaciones y los procedimientos de emergencia.
    
4. Protección y respuesta. Aplicación de medidas físicas, organizativas y técnicas, incluyendo la protección de personas, la continuidad de las operaciones y la coordinación con autoridades competentes.
    
5. Recuperación y aprendizaje. Documentación del incidente, análisis de causas, revisión de medidas, actualización de procedimientos y ejercicios de mejora.

La Comisión Europea publicó en 2023 una guía técnica sobre la protección de infraestructuras críticas y espacios públicos frente a UAS maliciosos, basada en un enfoque por fases que integra evaluación de riesgos, diseño, implantación y operación. En febrero de 2026 presentó además un plan de acción europeo para reforzar la preparación, la detección y la respuesta ante amenazas de drones.
 

Ciberseguridad del ecosistema UAS
 

La seguridad digital debe extenderse a todos los componentes y servicios de la solución:
 

• Aeronave y firmware.
   
• Estación de control y dispositivos del operador.
   
• Enlaces de comunicaciones y sistemas de identificación.
   
• Aplicaciones de planificación y gestión de misiones.
   
• Plataformas de almacenamiento y procesamiento.
   
• Interfaces con redes corporativas y sistemas industriales.
   
• Servicios de mantenimiento, actualizaciones y soporte.
   

La organización debería exigir inventario de activos, control de identidades, actualización segura, gestión de vulnerabilidades, protección de registros, evaluación de proveedores y procedimientos de recuperación.
 

Cuando la misión no requiera acceso a redes industriales, la arquitectura debería evitar conexiones innecesarias. Si se requiere integrar datos con sistemas de operación, deben establecerse interfaces controladas y mecanismos de validación, evitando que la solución aérea genere conexiones no previstas con sistemas esenciales.
 

Tecnologías antidrones y límites de intervención
 

Las soluciones C-UAS (Counter-Unmanned Aircraft Systems) buscan detectar, seguir, identificar y, cuando proceda legalmente, mitigar amenazas derivadas de aeronaves no autorizadas.
 

La selección puede incluir sensores de radiofrecuencia, radar, cámaras ópticas y térmicas, sistemas de identificación y plataformas de gestión de alertas. La eficacia depende del entorno, las características del objetivo y la combinación de tecnologías.
 

Las medidas de neutralización presentan condicionantes técnicos y jurídicos importantes. La interferencia de señales, la suplantación de navegación o la toma de control no deben tratarse como recursos ordinarios de un operador privado. Su uso requiere verificar las competencias y autorizaciones aplicables, así como los posibles efectos sobre comunicaciones, navegación, terceros y seguridad pública.
 

La prioridad en una instalación crítica debe ser establecer un procedimiento coordinado, seguro y legal que permita valorar el incidente y aplicar la respuesta adecuada.
 

Veamos esquemáticamente la realidad de nuestra percepción y establecer un decálogo de la situación.
 

De la seguridad como protección a la seguridad como resiliencia
 

La seguridad está experimentando una transformación profunda. Durante décadas, la seguridad se ha entendido principalmente como la capacidad de prevenir y responder ante amenazas identificables, proteger a las personas y los bienes, mantener el orden y garantizar la continuidad de determinadas actividades.
 

Este enfoque continúa siendo necesario, pero resulta progresivamente insuficiente ante un entorno en el que los riesgos ya no aparecen de forma aislada.
 

Así, una interrupción energética puede afectar a las comunicaciones; un ciberataque puede provocar consecuencias físicas; una crisis sanitaria puede alterar la movilidad y la actividad económica; un fenómeno meteorológico extremo puede afectar simultáneamente al suministro eléctrico, agua, transporte y telecomunicaciones; una campaña de desinformación puede incrementar la conflictividad social; y una perturbación localizada puede convertirse, por las interdependencias existentes, en una crisis de alcance territorial o sistémico.
 

La propia evolución normativa europea refleja este cambio. La Directiva (UE) 2022/2557 sobre Resiliencia de las Infraestructuras Críticas plantea un marco de resiliencia frente a todos los peligros, naturales o provocados, accidentales o intencionados, teniendo en cuenta amenazas híbridas, catástrofes naturales, emergencias sanitarias, terrorismo, sabotaje e interdependencias entre sectores.
 

Por tanto, el objetivo contemporáneo ya no puede limitarse a evitar que ocurra un incidente.
 

Debe orientarse a conseguir que, cuando ocurra —porque algunos incidentes serán inevitables—, las personas y las organizaciones puedan absorber su impacto, mantener las funciones esenciales, recuperar su capacidad operativa y aprender de la experiencia.
 

De ahí el tránsito:
 

De la protección frente a las amenazas → a la gestión integral de los riesgos → y de esta a la construcción de resiliencia
 

La evolución del concepto de seguridad integral e integrada
 

El concepto clásico de seguridad se encontraba fuertemente asociado a tres grandes objetivos: protección de personas; protección de bienes e instalaciones; y prevención y respuesta frente al delito y otras amenazas.
 

Este planteamiento ha generado estructuras especializadas y eficaces, pero también una importante fragmentación funcional.
 

Así, tradicionalmente hemos encontrado: seguridad pública; seguridad privada; seguridad física; seguridad electrónica; ciberseguridad; seguridad laboral; seguridad contra incendios; protección civil; seguridad sanitaria; seguridad ambiental; continuidad de negocio; inteligencia.
 

El problema aparece cuando cada una de estas seguridades analiza el riesgo desde su propia perspectiva, sin comprender suficientemente las relaciones de dependencia existentes.
 

La realidad actual exige pasar de una suma de seguridades a una seguridad integral e integrada.
 

La seguridad humana como nuevo centro del sistema
 

La seguridad humana introduce una modificación sustancial: desplaza el centro de gravedad desde los Estados, infraestructuras o sistemas hacia las personas y las comunidades.
 

El Programa de Naciones Unidas para el Desarrollo ha planteado un enfoque que contempla dimensiones como la seguridad económica, alimentaria, sanitaria, personal, comunitaria, ambiental y política. Además, sus análisis recientes subrayan que las amenazas contemporáneas están interconectadas y requieren respuestas que superen los enfoques sectoriales tradicionales.
 

Esto permite formular una cuestión fundamental:
 

¿Para qué protegemos infraestructuras, sistemas y organizaciones? La respuesta última debería ser: para proteger la vida, los derechos, el bienestar, la dignidad, las capacidades y las condiciones de vida de las personas y comunidades.
 

Desde esta perspectiva, la infraestructura deja de ser únicamente un activo que proteger. Se convierte en un medio para garantizar servicios esenciales y derechos fundamentales.
 

Seguridad objetiva y percepción subjetiva de seguridad
 

Existe además una segunda transformación relevante pues la seguridad no depende exclusivamente de la ausencia objetiva de incidentes.
 

Una sociedad puede presentar niveles relativamente reducidos de criminalidad y, sin embargo, experimentar una elevada percepción de inseguridad. Esta dimensión es especialmente importante en el entorno digital y de comunicaciones actual.
 

La ciudadanía recibe permanentemente información sobre: delitos; conflictos; terrorismo; catástrofes; pandemias; ciberataques; crisis económicas; cambio climático; violencia; desinformación; amenazas geopolíticas, etc.
 

El resultado puede ser una sensación permanente de exposición al riesgo.
 

El Informe Especial sobre Seguridad Humana de Naciones Unidas de 2022 señaló precisamente una desconexión entre determinados indicadores objetivos de desarrollo y la percepción subjetiva de seguridad de las personas. (Informes sobre el Desarrollo Humano)
 

Por ello, una política moderna de seguridad debe gestionar simultáneamente:
 

riesgo real + vulnerabilidad real + impacto real + percepción de seguridad.
 

El nuevo escenario de riesgos y amenazas
 

El cambio de paradigma está directamente relacionado con la transformación del escenario de riesgos. Podemos identificar, entre otros, los siguientes grandes grupos:
 

Lo verdaderamente novedoso no es únicamente la aparición de nuevas amenazas, es la combinación entre ellas.
 

Del riesgo aislado al riesgo sistémico
 

El modelo tradicional tiende a responder a la pregunta: ¿Qué puede ocurrir? Y el nuevo paradigma debe añadir: ¿Qué otros sistemas pueden verse afectados si ocurre? Y una tercera pregunta: ¿Qué ocurre después? Es el paso del riesgo individual al riesgo sistémico y en cascada. Ejemplos:
 

Ciberataque → pérdida de control → interrupción energética → fallo de comunicaciones → interrupción de servicios → impacto sanitario y social.
 

Fenómeno climático extremo → daños en infraestructura → interrupción logística → desabastecimiento → impacto económico y social.
 

La Directiva europea CER incorpora expresamente esta visión al exigir considerar riesgos intersectoriales y transfronterizos y las dependencias entre sectores y servicios esenciales.
 

Por ello, el análisis de riesgos debe evolucionar desde:
 

amenaza → vulnerabilidad → impacto
 

Hacia el esquema de:
 

amenaza → vulnerabilidad → dependencia → propagación → impacto → recuperación
 

La convergencia de las seguridades
 

Uno de los elementos centrales del nuevo paradigma es la convergencia.
 

La seguridad física y la ciberseguridad ya no pueden gestionarse como dos mundos independientes. Tampoco puede existir una separación rígida entre: seguridad; continuidad; emergencias; protección civil; prevención; mantenimiento; tecnología; inteligencia; gestión empresarial.
 

La realidad es convergente. Un sistema de videovigilancia, por ejemplo, puede ser simultáneamente: una herramienta de seguridad física; un sistema tecnológico; un activo conectado; una fuente de inteligencia; un potencial vector de ciberataque; un instrumento de gestión de emergencias.
 

La convergencia exige pasar de múltiples sistemas independientes a una arquitectura integrada de seguridad y resiliencia.
 

Nuevos sistemas de seguridad
 

La transformación tecnológica está acelerando este proceso. Entre las tecnologías con mayor impacto destacan:
 

Inteligencia artificial. Aplicada a: detección de anomalías; análisis de vídeo; predicción de riesgos; inteligencia de fuentes abiertas; correlación de eventos; apoyo a la toma de decisiones; gestión de emergencias.
 

La IA no debería contemplarse exclusivamente como una herramienta de automatización, sino como una capacidad de apoyo a la inteligencia y a la decisión humana.
 

IoT y sensores. Permiten transformar instalaciones y ciudades en sistemas capaces de:
 

detectar → transmitir → analizar → decidir → actuar.
 

Analítica avanzada. La integración de grandes volúmenes de datos permite identificar patrones, tendencias y señales débiles que pueden resultar invisibles mediante sistemas convencionales.
 

Drones y sistemas autónomos. Amplían las capacidades de: vigilancia; inspección; emergencia; protección perimetral; evaluación de daños.
 

Gemelos digitales. Permiten modelizar infraestructuras y escenarios para evaluar impactos y probar respuestas antes de una crisis.
 

Plataformas integradas de seguridad. Conectan diferentes fuentes de información: CCTV + control de accesos + sensores + ciberseguridad + comunicaciones + inteligencia + emergencias.
 

Pero existe una condición fundamental:
 

Integrar tecnología no significa necesariamente integrar seguridad. La tecnología debe estar subordinada a una arquitectura organizativa, unos procedimientos y una estrategia de seguridad claramente definidos.
 

Seguridad pública + seguridad privada: una nueva arquitectura colaborativa
 

La complejidad del escenario actual también obliga a revisar la relación entre seguridad pública y privada.
 

La seguridad ciudadana y la protección de servicios esenciales no pueden ser responsabilidad exclusiva de un único actor.
 

En la práctica participan: administraciones públicas; Fuerzas y Cuerpos de Seguridad; servicios de emergencias; operadores de infraestructuras; empresas de seguridad; empresas tecnológicas; servicios sanitarios; entidades locales; organizaciones sociales; y ciudadanía.
 

El nuevo paradigma exige avanzar hacia un modelo de colaboración público-privada permanente, no limitado a situaciones de emergencia.
 

El intercambio de información, la coordinación, los ejercicios conjuntos y la interoperabilidad deben formar parte de la arquitectura ordinaria de seguridad.
 

Un nuevo modelo de gestión integral e integrada
 

El modelo propuesto puede estructurarse en ocho dimensiones:
 

• Seguridad humana. La persona como centro del sistema.
   
• Seguridad ciudadana. Protección de personas, comunidades, espacios y convivencia.
   
• Seguridad física. Protección de instalaciones, activos, personas y perímetros.
   
• Seguridad digital. Protección de información, sistemas, redes, OT e infraestructuras digitales.
   
• Seguridad organizativa. Gobernanza, procedimientos, competencias y responsabilidades.
   
• Inteligencia y anticipación. Conocimiento del entorno y detección temprana.
   
• Continuidad y gestión de crisis. Capacidad para mantener las funciones esenciales.
   
• Capacidad de absorber, adaptarse, recuperar y transformar.
   

Estas dimensiones no deben gestionarse como compartimentos estancos. Deben constituir un ecosistema integrado de seguridad y resiliencia.
 

Conclusiones
 

El escenario actual obliga a reconsiderar profundamente el concepto de seguridad.
 

La multiplicación de riesgos, su interconexión y su capacidad de generar efectos en cascada están superando los límites de los modelos tradicionales de protección.
 

El nuevo paradigma de seguridad humana y ciudadana debe situar a las personas, comunidades y servicios esenciales en el centro de la gestión.
 

Esto implica pasar: de la amenaza al riesgo; del riesgo aislado al riesgo sistémico; de la protección a la prevención; de la reacción a la anticipación; de la fragmentación a la convergencia; de la información a la inteligencia; de los sistemas aislados a los sistemas integrados; y de la seguridad entendida como protección a la seguridad entendida como resiliencia.
 

La cuestión fundamental ya no es si será posible evitar todos los incidentes. La verdadera cuestión estratégica es:
 

¿Estamos preparados para anticipar los riesgos, reducir sus impactos, mantener las funciones esenciales y recuperar rápidamente nuestra capacidad de funcionamiento cuando se produzcan?
 

La respuesta exige construir una seguridad integral e integrada, capaz de combinar personas, conocimiento, inteligencia, tecnología, organización y cooperación.
 

En definitiva, la nueva seguridad no será la capacidad de impedir que ocurra cualquier perturbación, sino la capacidad de una sociedad para seguir funcionando, proteger a las personas y adaptarse cuando la perturbación ocurra. Y esa capacidad tiene un nombre: RESILIENCIA.