SEGURIDAD Y DEFENSA

Veamos esquemáticamente la realidad de nuestra percepción y establecer un decálogo de la situación.
 

Seguridad y resiliencia de las infraestructuras críticas en España: exigencias NIS2 y CER
 

Las infraestructuras críticas constituyen un activo estratégico para la seguridad nacional, la estabilidad económica y el bienestar social. Su creciente dependencia tecnológica, interconexión y exposición a amenazas físicas, cibernéticas e híbridas exige evolucionar hacia un modelo de protección integral y resiliencia.
 

Las Directivas europeas NIS2 (UE) 2022/2555 y CER (UE) 2022/2557 establecen un marco complementario para reforzar la ciberseguridad, la protección de las entidades críticas y la continuidad de los servicios esenciales.
 

Los principales desafíos se concentran en las vulnerabilidades tecnológicas y físicas, las dependencias entre infraestructuras, los riesgos de la cadena de suministro, la fragmentación organizativa y la insuficiente capacidad de respuesta y recuperación ante crisis complejas.
 

La solución requiere integrar seguridad física, ciberseguridad, inteligencia, gestión de riesgos, continuidad operativa y coordinación público-privada bajo una gobernanza común, con responsabilidades definidas, medidas proporcionadas y mecanismos verificables de supervisión y mejora continua.
 

El objetivo estratégico es pasar de la protección aislada de activos a una gestión integral e integrada de la seguridad y la resiliencia, capaz de anticipar amenazas, prevenir incidentes, mantener los servicios esenciales y garantizar una recuperación eficaz.
 

En definitiva, el cumplimiento de NIS2 y CER debe convertirse en una capacidad operativa permanente para fortalecer la seguridad, la continuidad y la resiliencia del sistema español de infraestructuras críticas.
 

Introducción: hacia un nuevo paradigma de seguridad y resiliencia
 

La protección de las infraestructuras críticas en España se enfrenta a un escenario caracterizado por la interdependencia tecnológica, la digitalización de los procesos industriales, la globalización de las cadenas de suministro y la evolución de las amenazas físicas, cibernéticas e híbridas.
 

Las infraestructuras que garantizan el suministro eléctrico, el transporte, el agua potable, las telecomunicaciones, la atención sanitaria, los servicios financieros y otros servicios esenciales ya no pueden protegerse mediante sistemas de seguridad aislados. Su funcionamiento depende de redes tecnológicas, proveedores externos, centros de control, personal especializado, sistemas industriales y servicios prestados por otras organizaciones.
 

En este contexto, dos instrumentos europeos establecen las bases de un enfoque complementario:
 

NIS2 — Directiva (UE) 2022/2555

Se centra en la ciberseguridad y en la gestión de los riesgos que afectan a las redes y los sistemas de información. Refuerza las responsabilidades de dirección, las medidas de gestión de riesgos, la gestión de incidentes, la continuidad y la supervisión.
 

CER — Directiva (UE) 2022/2557

Se centra en la resiliencia de las entidades críticas frente a incidentes que puedan interrumpir la prestación de servicios esenciales. Abarca amenazas físicas, desastres naturales, riesgos tecnológicos, amenazas internas y otras situaciones que puedan comprometer su funcionamiento.
 

La idea fundamental es que NIS2 y CER no deben aplicarse como dos programas independientes, sino como componentes de un único sistema de gestión de riesgos, seguridad y resiliencia.
 

NIS2 aporta el marco para proteger los sistemas de información y gestionar los riesgos cibernéticos; CER refuerza la capacidad de anticipar, resistir, responder y recuperarse de incidentes que amenacen la continuidad de los servicios esenciales.
 

Esta integración debe considerar, además, el marco español de Protección de Infraestructuras Críticas (PIC), el Esquema Nacional de Seguridad (ENS) cuando resulte aplicable y la normativa sectorial correspondiente.
 

Marco normativo y situación de España
 

Para determinar las exigencias de seguridad es necesario distinguir entre las obligaciones europeas, la legislación española vigente y los proyectos legislativos en tramitación.
 

Situación legislativa relevante a octubre de 2026
 

La Directiva CER fijó el 17 de julio de 2026 como fecha límite para que los Estados miembros identificasen las entidades críticas comprendidas en su ámbito. También establece obligaciones de evaluación de riesgos y medidas de resiliencia.
 

En España, el Gobierno aprobó el 17 de marzo de 2026 el proyecto de Ley de Protección y Resiliencia de las Entidades Críticas, remitido posteriormente al Congreso. La ficha parlamentaria consultada refleja su tramitación en la Comisión de Interior, en fase de enmiendas. Por tanto, no debe presentarse ese proyecto como una ley ya aprobada y en vigor.
 

Por otra parte, el Gobierno había aprobado en enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad para incorporar NIS2 al ordenamiento español. La información oficial consultada no permite confirmar que su transposición completa se haya culminado a octubre de 2026.
 

Consecuencia práctica: cada entidad debe comprobar qué obligaciones le resultan exigibles conforme a la normativa vigente, su sector, su eventual designación como entidad crítica o esencial y los requisitos específicos que le sean aplicables. No conviene esperar a la aprobación de nuevas leyes para corregir deficiencias de seguridad ya identificadas.
 

Principales vulnerabilidades de las infraestructuras críticas en España

Las vulnerabilidades deben analizarse desde una perspectiva sistémica. No basta con identificar puntos débiles en una instalación: es necesario determinar cómo pueden afectar a la prestación del servicio, a otros sectores y a la sociedad.
 

• Vulnerabilidades tecnológicas y de ciberseguridad
   

Sistemas industriales y tecnológicos heredados. La presencia de equipos OT, sistemas SCADA y PLC con ciclos de vida prolongados, software obsoleto o soporte limitado puede dificultar la aplicación de controles modernos. La indisponibilidad de estos sistemas puede afectar directamente a procesos físicos esenciales.
 

Solución prioritaria: inventario IT/OT, evaluación de vulnerabilidades, segmentación de redes, acceso remoto controlado y planes de actualización compatibles con la seguridad operacional.
 

Interconexión de redes y sistemas. La conexión entre redes corporativas, sistemas industriales, dispositivos IoT, videovigilancia, control de accesos y proveedores puede ampliar las vías de entrada de un atacante. Una intrusión inicialmente limitada puede propagarse hacia otros sistemas si no existen barreras eficaces.
 

Solución prioritaria: arquitectura de confianza cero cuando proceda, separación IT/OT, zonas y conductos, autenticación multifactor, monitorización y gestión segura de accesos privilegiados.
 

Dependencia de servicios digitales externos. La nube, los centros de datos, las comunicaciones, los servicios de identidad y las plataformas de gestión pueden constituir dependencias críticas. Una interrupción externa puede dejar inoperativos servicios propios aunque la instalación física siga intacta.
 

Solución prioritaria: análisis de dependencias, redundancia real, alternativas de comunicación, copias de seguridad protegidas, procedimientos manuales y estrategias de salida de proveedores.
 

Otras vulnerabilidades relevantes son la explotación de vulnerabilidades sin corregir, el ransomware, el robo de credenciales, la deficiente gestión de configuraciones, la falta de registros de actividad, las copias de seguridad insuficientes y la escasa capacidad para detectar ataques que afectan a los procesos industriales.
 

La respuesta debe orientarse a reducir la probabilidad de compromiso, limitar su propagación y evitar que una incidencia informática se convierta en una interrupción física del servicio. Estas prioridades se corresponden con el enfoque de gestión de riesgos de NIS2.

• Vulnerabilidades físicas y de protección de instalaciones
   

Las medidas físicas siguen siendo imprescindibles, incluso en infraestructuras altamente digitalizadas.
 

Las principales debilidades pueden encontrarse en:

• Perímetros insuficientemente protegidos o con zonas vulnerables.
   
• Deficiencias en el control de accesos de personas, vehículos y mercancías.
   
• Protección insuficiente de centros de control, subestaciones, depósitos, estaciones, salas técnicas y otras instalaciones sensibles.
   
• Falta de integración entre detección de intrusión, CCTV, control de accesos, alarmas y procedimientos operativos.
   
• Dependencia de un único emplazamiento, equipo, suministro o vía de acceso.
   
• Protección insuficiente frente a sabotajes, intrusiones, amenazas internas, terrorismo y daños deliberados.
   
• Falta de redundancia eléctrica, comunicaciones alternativas o medios de intervención y recuperación.
   

Solución: establecer una protección física basada en riesgos, con defensa por capas, detección temprana, verificación de alarmas, respuesta coordinada, protección de activos esenciales y pruebas periódicas de funcionamiento.
 

La CER exige que las entidades críticas adopten medidas técnicas, organizativas y de seguridad adecuadas y proporcionadas, incluidas medidas de protección física, prevención, respuesta y mitigación.
 

• Vulnerabilidades organizativas y de gobernanza
   

Una de las debilidades más importantes es la fragmentación de las responsabilidades de seguridad.
 

En algunas organizaciones, la seguridad física, la ciberseguridad, la seguridad industrial, la continuidad de negocio, la prevención de riesgos laborales y la gestión de emergencias se gestionan mediante estructuras separadas.

Esta división puede generar:

• Evaluaciones de riesgos incompatibles entre sí.
   
• Planes que no contemplan incidentes combinados.
   
• Duplicidades de recursos y vacíos de responsabilidad.
   
• Falta de coordinación entre dirección, operaciones, seguridad y tecnología.
   
• Desconocimiento de las dependencias críticas de la organización.
   
• Escasa integración con Fuerzas y Cuerpos de Seguridad, autoridades competentes, proveedores y operadores interdependientes.
   

Solución: implantar un modelo de gobernanza integral, con responsabilidades formalizadas, dirección ejecutiva implicada, un comité de riesgos y resiliencia, protocolos comunes y una visión compartida de los riesgos físicos, digitales y operacionales.
 

• Vulnerabilidades humanas
   

El factor humano puede ser tanto una barrera de protección como una fuente de exposición.
 

Entre las principales debilidades destacan:
 

• Formación insuficiente ante amenazas físicas y digitales.
   
• Ingeniería social, phishing y suplantación de identidad.
   
• Uso inadecuado de credenciales y privilegios.
   
• Accesos de exempleados o proveedores que no se revocan a tiempo.
   
• Amenazas internas deliberadas o accidentales.
   
• Dependencia de un número reducido de especialistas.
   
• Fatiga operativa y errores en situaciones de emergencia.
   

Solución: implantar programas de formación por perfiles, gestión de altas y bajas, revisión de privilegios, controles de idoneidad cuando procedan legalmente, ejercicios de respuesta y una cultura que favorezca la comunicación temprana de incidentes.
 

• Vulnerabilidades derivadas de las cadenas de suministro
   

Las infraestructuras críticas dependen de fabricantes, integradores, mantenedores, empresas de seguridad, operadores de telecomunicaciones, suministradores energéticos y proveedores de software y servicios tecnológicos.
 

Una vulnerabilidad en un proveedor puede repercutir simultáneamente en varias organizaciones.
 

Las principales debilidades son la falta de visibilidad sobre proveedores indirectos, la concentración de servicios en un único suministrador, los accesos remotos permanentes, la escasa verificación de actualizaciones y la inexistencia de alternativas operativas.
 

Solución: clasificar proveedores según su criticidad, evaluar sus riesgos, establecer requisitos contractuales de seguridad, controlar los accesos externos, exigir notificación de incidentes y disponer de alternativas de suministro o recuperación para los servicios indispensables.
 

• Vulnerabilidades ambientales y de continuidad
   

Las infraestructuras también están expuestas a fenómenos meteorológicos extremos, inundaciones, incendios, olas de calor, sequías, interrupciones energéticas, accidentes industriales y emergencias sanitarias.
 

En España, la exposición concreta depende del territorio, el sector, el emplazamiento y las características de cada instalación. La evaluación debe considerar tanto los riesgos históricos como los cambios en su frecuencia e intensidad.
 

Solución: integrar el análisis de riesgos naturales y tecnológicos, la adaptación climática, la protección de instalaciones, la redundancia, las reservas de recursos esenciales y los planes de continuidad y recuperación. CER establece expresamente la necesidad de considerar riesgos naturales, humanos, transfronterizos e híbridos.
 

Los principales retos para cumplir NIS2 y CER
 

Las vulnerabilidades anteriores se traducen en una serie de desafíos que afectan tanto a los operadores como a las autoridades responsables de la protección de las infraestructuras críticas.
 

Reto 1. Convergencia entre seguridad física y ciberseguridad. El desafío consiste en superar la separación entre las amenazas que afectan a las instalaciones y las que afectan a sus sistemas digitales. Un incidente puede comenzar en un ámbito y extenderse al otro.
 

Respuesta: una evaluación conjunta de riesgos, procedimientos integrados de detección y respuesta, y una estructura de mando común para incidentes multidominio.
 

Reto 2. Gestión de interdependencias. La interrupción de una infraestructura puede comprometer otras: un fallo eléctrico puede afectar a las telecomunicaciones; una interrupción de las comunicaciones puede dificultar el control del transporte; y una incidencia en el suministro de agua puede afectar a hospitales e instalaciones industriales.
 

Respuesta: elaborar mapas de dependencias e interdependencias, identificar puntos únicos de fallo y establecer acuerdos de asistencia mutua y continuidad entre operadores.
 

Reto 3. Anticipación e inteligencia de seguridad. Los análisis estáticos pierden eficacia cuando cambian rápidamente las amenazas, las vulnerabilidades tecnológicas y el contexto geopolítico.
 

Respuesta: establecer un ciclo de inteligencia que permita identificar amenazas, evaluar escenarios, producir alertas útiles y revisar las medidas de protección a partir de información interna, fuentes abiertas, proveedores y organismos competentes.
 

Reto 4. Continuidad durante situaciones degradadas. No basta con recuperar los sistemas informáticos. La entidad debe determinar qué servicios puede mantener, con qué capacidad mínima, durante cuánto tiempo y con qué recursos alternativos.
 

Respuesta: definir niveles mínimos de servicio, tiempos y objetivos de recuperación, procedimientos manuales seguros, equipos alternativos y criterios para priorizar la restauración.
 

Reto 5. Responsabilidad directiva y coordinación. El cumplimiento normativo exige que la dirección asuma responsabilidades reales, apruebe medidas, asigne recursos y supervise su eficacia.
 

Respuesta: establecer una gobernanza formal, responsabilidades inequívocas, un programa de cumplimiento verificable, auditorías, indicadores y mecanismos de coordinación interna y externa.
 

Reto 6. Evidencia de cumplimiento y mejora continua. La existencia documental de planes no garantiza que la entidad pueda responder ante una crisis ni que sus controles funcionen.
 

Respuesta: verificar la implantación real mediante pruebas técnicas, ejercicios de crisis, simulacros, auditorías, evidencias de formación y seguimiento de acciones correctivas.
 

El reto transversal consiste en transformar la seguridad desde un conjunto de medidas independientes en una capacidad permanente de gestión de riesgos, protección y resiliencia.
 

Matriz integrada de vulnerabilidades, exigencias y soluciones
 

La siguiente matriz constituye una base para un diagnóstico técnico y una auditoría de cumplimiento. Distingue los ámbitos de NIS2 y CER sin confundir sus objetivos.

Las referencias a NIS2 deben interpretarse conforme a sus artículos 20 y 21, relativos a gobernanza y medidas de gestión de riesgos, respectivamente. Para CER, los artículos 12 y 13 regulan la evaluación de riesgos de las entidades críticas y las medidas de resiliencia.
 

La aplicabilidad concreta de cada control debe determinarse en función del ámbito normativo de la entidad, la legislación española vigente, su sector y sus riesgos. La matriz no sustituye una evaluación jurídica ni una auditoría formal.
 

Soluciones para un modelo integrado de seguridad y resiliencia
 

Se propone un modelo organizado en ocho líneas de actuación, concebido para que la entidad pueda pasar del diagnóstico a una capacidad operativa verificable.
 

Gobierno y dirección estratégica
 

• Aprobar una política corporativa de seguridad y resiliencia.
   
• Designar responsables y definir competencias y delegaciones.
   
• Crear un comité de riesgos y resiliencia.
   
• Integrar seguridad, ciberseguridad, operaciones, continuidad y gestión de crisis.
   
• Asegurar recursos humanos, tecnológicos y económicos suficientes.
   

Evaluación integral y dinámica de riesgos
 

• Inventariar activos, sistemas, procesos y servicios esenciales.
   
• Evaluar amenazas, vulnerabilidades, probabilidad, impacto y capacidad de recuperación.
   
• Analizar escenarios físicos, cibernéticos, humanos, ambientales e híbridos.
   
• Incorporar interdependencias, proveedores y consecuencias transfronterizas.
   
• Revisar los riesgos después de incidentes, cambios tecnológicos o alteraciones significativas del entorno.
   

Arquitectura de protección física, electrónica y digital
 

• Implantar protección física por capas.
   
• Integrar detección de intrusión, CCTV, control de accesos y gestión de alarmas.
   
• Separar las redes corporativas de las redes de control industrial.
   
• Proteger los sistemas de operación, comunicaciones y acceso remoto.
   
• Mantener configuraciones seguras, copias protegidas y mecanismos de recuperación.
   

Inteligencia y alerta temprana
 

• Recopilar información relevante sobre amenazas y vulnerabilidades.
   
• Establecer indicadores de alerta y escenarios de riesgo.
   
• Compartir información conforme a los procedimientos y requisitos de confidencialidad aplicables.
   
• Relacionar la información de amenazas con las decisiones operativas y la actualización de los planes.
   

Gestión integral de incidentes y crisis
 

• Definir niveles de activación y escalado.
   
• Establecer un centro de coordinación o estructura de mando adaptada al tamaño y criticidad de la entidad.
   
• Unificar los procedimientos de notificación, investigación, respuesta y recuperación.
   
• Coordinar los incidentes físicos, digitales y operacionales con las autoridades y los servicios de emergencia cuando proceda.
   

Continuidad, resiliencia y recuperación
 

• Identificar servicios prioritarios y niveles mínimos de operación.
   
• Definir objetivos de recuperación y tolerancias a la interrupción.
   
• Preparar recursos alternativos, procedimientos manuales y redundancias.
   
• Verificar la restauración segura de sistemas IT/OT y la integridad de los datos.
   
• Establecer criterios de retorno a la operación normal.
   

Coordinación externa y cadena de suministro
 

• Identificar proveedores esenciales y dependencias indirectas.
   
• Establecer acuerdos de comunicación, apoyo y recuperación.
   
• Verificar la seguridad de los servicios externalizados.
   
• Integrar los planes propios con los mecanismos de coordinación pública y sectorial.
   

Medición, auditoría y mejora continua
 

• Definir indicadores de riesgo, seguridad y resiliencia.
   
• Evaluar periódicamente el cumplimiento normativo.
   
• Realizar simulacros y pruebas técnicas.
   
• Registrar las deficiencias, asignar responsables y verificar las correcciones.
   
• Informar a la dirección sobre el riesgo residual y la evolución de la capacidad de respuesta.
   

Hoja de ruta para implantar NIS2 y CER en una infraestructura crítica
 

La aplicación práctica debe realizarse por fases, adaptando los plazos a las obligaciones legales, el riesgo de la entidad y su capacidad de ejecución.
 

Fase 1. 0–30 días           Diagnóstico y priorización

Confirmar el ámbito normativo aplicable, inventariar los servicios esenciales, identificar los principales riesgos y evaluar las deficiencias que requieren intervención inmediata.
 

Fase 2. 30–90 días         Gobernanza y plan de acción
 

Asignar responsabilidades, aprobar prioridades, establecer un registro de riesgos y definir un plan de adecuación con recursos, responsables, plazos y evidencias.
 

Fase 3. 3–6 meses         Implantación de medidas prioritarias
 

Corregir deficiencias críticas, reforzar la protección física y digital, asegurar las copias de recuperación, controlar los accesos y formalizar los procedimientos de incidentes y continuidad.
 

Fase 4. 6–12 meses       Convergencia y validación operativa
 

Integrar los planes de seguridad, ciberseguridad y continuidad; realizar ejercicios de crisis; probar la recuperación de sistemas y evaluar la respuesta de proveedores y equipos internos.
 

Fase 5. Permanente       Auditoría y mejora continua
 

Actualizar la evaluación de riesgos, revisar indicadores, verificar las acciones correctivas y adaptar los controles a los cambios normativos, tecnológicos y operacionales.
 

Los plazos anteriores son una propuesta de planificación, no plazos legales establecidos por NIS2 o CER. Deben ajustarse a las obligaciones concretas, a las notificaciones de las autoridades y a las deficiencias detectadas.
 

Indicadores para medir la eficacia del sistema
 

El cumplimiento debe comprobarse mediante resultados verificables, no únicamente mediante la existencia de políticas y documentos.
 

Los siguientes indicadores pueden incorporarse a un cuadro de mando de seguridad y resiliencia.
 

Los objetivos numéricos deben fijarse según la criticidad, el riesgo residual y los requisitos sectoriales. Por ejemplo, un objetivo de recuperación no puede establecerse de forma uniforme para un hospital, una instalación eléctrica y un sistema de transporte.
 

El modelo español: convergencia entre protección, ciberseguridad y resiliencia
 

La adaptación de las infraestructuras críticas españolas a NIS2 y CER exige una evolución en tres niveles.
 

Nivel estratégico            Gobierno y responsabilidad
 

Integrar los riesgos en la dirección de la organización, definir el apetito de riesgo, asignar recursos y asegurar el cumplimiento de las obligaciones legales.
 

Nivel táctico       Planificación y coordinación
 

Unificar evaluaciones de riesgos, planes de seguridad, análisis de dependencias, continuidad, gestión de proveedores y procedimientos de crisis.
 

Nivel operativo  Protección y capacidad de respuesta
 

Implantar controles físicos y digitales, monitorizar amenazas, detectar incidentes, mantener la operación degradada y recuperar los servicios.
 

En el ámbito español, este modelo debe articularse con el sistema PIC y sus instrumentos aplicables, con las autoridades competentes y los mecanismos sectoriales de coordinación. La implantación de CER debe integrarse con ese marco nacional a medida que se concrete su desarrollo legislativo.
 

La coordinación público-privada resulta esencial: los operadores conocen sus activos, procesos y dependencias; las autoridades aportan competencias, información, coordinación y mecanismos de respuesta. Ambos deben poder actuar de manera coherente ante incidentes que afecten a servicios esenciales.
 

Conclusiones
 

Las principales vulnerabilidades de las infraestructuras críticas en España no proceden exclusivamente de la falta de barreras físicas o de controles informáticos. Se encuentran también en las interdependencias, la concentración de proveedores, la fragmentación organizativa, la insuficiente preparación para operar en situaciones degradadas y la falta de pruebas que acrediten la eficacia de las medidas implantadas.
 

NIS2 y CER impulsan una transformación que puede resumirse en cinco principios:
 

De la seguridad aislada a la seguridad convergente: las amenazas físicas, digitales, humanas y operacionales deben analizarse de forma conjunta.
 

De la protección de activos a la continuidad de servicios: la prioridad debe ser evitar que un incidente provoque una interrupción inaceptable del servicio esencial.
 

De la gestión estática a la anticipación dinámica: los riesgos, las amenazas y las dependencias deben revisarse continuamente.

De los planes documentales a la capacidad demostrada: la eficacia debe acreditarse mediante pruebas, ejercicios, auditorías y resultados.
 

De la responsabilidad departamental a la gobernanza integral: la dirección, las áreas de seguridad y tecnología, las operaciones y los proveedores deben compartir objetivos y responsabilidades.
 

La resiliencia no significa únicamente impedir un ataque. Significa también resistir su impacto, mantener las funciones esenciales, adaptarse a las circunstancias, recuperarse de manera segura y aprender de cada incidente.
 

El objetivo final para España debe ser disponer de infraestructuras capaces de prestar sus servicios esenciales con un nivel de seguridad y continuidad adecuado incluso cuando se produzcan incidentes graves, simultáneos o prolongados. Para alcanzarlo, NIS2 y CER deben convertirse en un marco de gestión operativo y verificable, integrado en la estrategia de cada entidad y no limitado al cumplimiento documental.