En este contexto, los modelos tradicionales basados exclusivamente en la protección física resultan insuficientes. Es necesario evolucionar hacia un Modelo Integral de Seguridad y Resiliencia, basado en el conocimiento de los activos, la gestión del riesgo, la convergencia de la seguridad física y lógica, la inteligencia de amenazas, la continuidad de los servicios esenciales, la coordinación organizativa y la capacidad de adaptación.
 

Las infraestructuras actuales ya no pueden analizarse como instalaciones aisladas. La realidad genera una red de dependencias e interdependencias en la que un incidente localizado puede propagarse rápidamente a otros sistemas y organizaciones, provocando efectos en cascada.
 

El presente artículo propone un marco conceptual, metodológico, organizativo y operativo para abordar esta transformación y establece las principales líneas de actuación para construir infraestructuras más seguras, resilientes y capaces de anticiparse a escenarios de riesgo cada vez más complejos.
 

Veamos esquemáticamente la realidad de nuestra percepción y establecer un decálogo hacia un modelo integral de seguridad, resiliencia y gestión del riesgo.
 

1. La transformación del concepto de seguridad
    
2. La convergencia entre seguridad física y ciberseguridad
    
3. Interconexión e interdependencias
    
4. Globalización y seguridad de la cadena de suministro
    
5. El riesgo como elemento central del modelo
    
6. Inteligencia aplicada a la seguridad
    
7. Resiliencia: del modelo de protección al modelo de adaptación
    
8. Nuevo modelo organizativo
    
9. Centro de Operaciones de Seguridad Integral
    
10. Seguridad por diseño
     

La transformación del concepto de seguridad
 

De la seguridad física a la seguridad integral. Históricamente, la protección de infraestructuras críticas se ha apoyado en medidas como: Protección perimetral, Control de accesos, Sistemas de detección y alarma, Videovigilancia, Protección contra incendios, Seguridad de instalaciones, Servicios de control y vigilancia.
 

Estas medidas siguen siendo imprescindibles, pero han dejado de ser suficientes. Las infraestructuras actuales incorporan sistemas digitales que controlan procesos físicos, automatizan operaciones y permiten supervisar instalaciones a distancia. Una intrusión lógica puede, por tanto, tener consecuencias físicas; del mismo modo, una intrusión física puede utilizarse para comprometer sistemas digitales.
 

Surge así el concepto de seguridad integral e integrada, entendido como la coordinación de todas las dimensiones que contribuyen a proteger los activos y garantizar la continuidad de los servicios.
 

La convergencia entre seguridad física y ciberseguridad
 

Uno de los principales retos consiste en superar la tradicional separación entre los responsables de seguridad física y los responsables de tecnologías de la información.
 

La convergencia se produce porque: los sistemas físicos dependen de sistemas digitales y los sistemas digitales tienen consecuencias sobre el mundo físico.
 

Los sistemas de videovigilancia, control de accesos, detección de intrusión, sistemas de gestión de edificios y plataformas de supervisión funcionan cada vez más sobre redes IP.
 

En paralelo, los sistemas industriales OT/ICS integran: PLC, SCADA, Sistemas de supervisión, Sensores, Actuadores, Redes industriales, Sistemas de control distribuido.

Por ello, la arquitectura de seguridad debe considerar conjuntamente:
 

persona + instalación + tecnología + información + proceso + organización
 

Interconexión e interdependencias
 

La seguridad de una infraestructura crítica no puede determinarse exclusivamente mediante el análisis de sus propios activos. Es necesario identificar:
 

Dependencias físicas. Relaciones de suministro de: Energía, Agua,     Combustibles, Materiales, Transporte.
 

Dependencias tecnológicas: Telecomunicaciones, Sistemas informáticos,       Servicios cloud, Centros de datos, Sistemas de posicionamiento,            Plataformas de gestión.
 

Dependencias organizativas: Proveedores, Empresas de mantenimiento,         Personal especializado, Servicios externalizados.
 

Dependencias geográficas: Concentración de instalaciones, Puntos    únicos de fallo, Rutas logísticas, Concentración de proveedores.
 

El resultado puede representarse como una red de dependencias, que permite identificar posibles efectos en cascada.
 

Globalización y seguridad de la cadena de suministro
 

La globalización ha permitido optimizar costes y aumentar la eficiencia, pero también ha generado nuevas dependencias.
 

Una infraestructura crítica puede depender de: Fabricantes extranjeros, Componentes electrónicos específicos, Software propietario, Servicios cloud, Proveedores de telecomunicaciones, Empresas de mantenimiento especializadas, Actualizaciones remotas, Servicios logísticos internacionales.
 

El riesgo deja de encontrarse únicamente dentro del perímetro de la instalación. Se extiende a toda la cadena de suministro.
 

Por ello, la seguridad debe incorporar mecanismos de: Identificación de proveedores críticos, Evaluación de riesgos de terceros, Requisitos de seguridad contractual, Control de accesos de proveedores, Gestión de vulnerabilidades, Continuidad de suministro, Diversificación, Sustitución de proveedores críticos, Supervisión de dependencias, Planes de contingencia.
 

El riesgo como elemento central del modelo
 

La protección integral debe construirse sobre un proceso continuo de gestión del riesgo:
 

Activos → riesgo → amenazas → vulnerabilidades → probabilidad → impacto → controles → riesgo residual.
 

Este enfoque permite superar el modelo basado exclusivamente en la instalación de medidas y avanzar hacia una seguridad basada en riesgos.
 

Nuevas amenazas y amenazas híbridas
 

Las amenazas actuales presentan una característica especialmente relevante: pueden combinar diferentes vectores de ataque.
 

Un escenario hipotético puede comenzar con:
 

reconocimiento → compromiso de un proveedor → acceso digital → movimiento dentro de la organización → manipulación de sistemas → impacto operacional.
 

También puede producirse la combinación de: Intrusión física, Ciberataque, Sabotaje, Interferencia de comunicaciones, Manipulación de información, Desinformación.
 

Esta convergencia exige abandonar los análisis aislados y adoptar una visión multidimensional del riesgo y la amenaza.
 

Inteligencia aplicada a la seguridad
 

La inteligencia constituye un elemento esencial para anticipar amenazas.
 

El sistema de inteligencia deberá transformar información dispersa en conocimiento útil para la toma de decisiones.
 

El proceso puede estructurarse como:
 

Dirección → Obtención → Procesamiento → Análisis → Producción → Difusión → Retroalimentación.
 

Las fuentes podrán incluir: Información interna, Incidentes, Fuentes abiertas, Organismos públicos, Proveedores, Información tecnológica, Inteligencia sectorial, CERT/CSIRT.
 

El objetivo no es acumular información, sino identificar: Actores, Motivaciones, Capacidades, Indicadores, Tendencias, Escenarios, Alertas tempranas.
 

La nueva inteligencia de las infraestructuras críticas: cuando el reto ya no es vigilar, sino conectar los datos
 

Imágenes satelitales, inteligencia artificial y fuentes abiertas están redefiniendo la forma en que se analizan infraestructuras críticas y esenciales.
 

Resiliencia: del modelo de protección al modelo de adaptación
 

La protección tradicional busca impedir que ocurra el incidente.
 

La resiliencia incorpora una perspectiva más amplia:
 

prevenir, preparar, resistir, responder, recuperar y aprender.
 

Una infraestructura resiliente no es necesariamente aquella en la que nunca ocurre un incidente, sino aquella capaz de mantener funciones esenciales, limitar las consecuencias, recuperar rápidamente sus capacidades y aprender de la experiencia.
 

Por ello, la resiliencia requiere: Redundancia, Diversificación, Sistemas de respaldo, Capacidad de sustitución, Procedimientos de emergencia, Personal formado, Comunicaciones alternativas, Recuperación tecnológica, Continuidad operacional, Ejercicios y simulacros.
 

Nuevo modelo organizativo
 

La complejidad actual requiere una evolución organizativa permanente. La seguridad debe conectar diferentes funciones: Dirección, Seguridad corporativa, Director de Seguridad, Responsable de Seguridad y Enlace, CISO, CIO, Operaciones, Mantenimiento, OT/ICS, Prevención, Recursos Humanos, Continuidad, Asesoría jurídica, Comunicación, Gestión de crisis.
 

La organización debe evitar que cada área gestione su riesgo de forma independiente.
 

El objetivo es construir un gobierno de gestión integrado de la seguridad y la resiliencia.
 

Centro de Operaciones de Seguridad Integral
 

Una evolución natural de este modelo es el establecimiento de un centro capaz de integrar información física, tecnológica, operacional y de ciberseguridad.
 

Este centro deberá permitir: Gestión integral del riesgo, Supervisión, Gestión de alarmas, Correlación de eventos, Análisis de incidentes, Gestión de crisis, Escalado, Coordinación de respuesta, Análisis de incidencias.
 

La integración tecnológica puede incorporar:
 

videovigilancia + control de accesos + intrusión + incendios + BMS + OT/ICS + SIEM + comunicaciones + inteligencia.
 

Sin embargo, la integración tecnológica por sí misma no genera seguridad. Debe estar acompañada de: Procedimientos, Roles, Formación, Reglas de decisión, Protocolos de escalado, Responsabilidades claras.
 

Seguridad por diseño
 

Uno de los cambios más importantes consiste en incorporar la seguridad desde la fase inicial de: Diseño, Ingeniería, Adquisición, Instalación, Integración, Puesta en servicio.
 

La seguridad añadida posteriormente suele ser más costosa y menos eficaz.
 

La metodología deberá incorporar desde el diseño: Análisis de riesgos, Segmentación, Redundancia, Control de accesos, Protección física, Ciberseguridad, Continuidad, Resiliencia, Recuperación, Protección de datos.
 

La seguridad debe convertirse así en una propiedad inherente del sistema, y no en un conjunto de medidas añadidas posteriormente.
 

Conclusión ejecutiva
 

El nuevo paradigma de seguridad de las infraestructuras críticas puede resumirse en una idea fundamental:
 

La seguridad ya no consiste únicamente en proteger instalaciones; consiste en garantizar la continuidad y resiliencia de las funciones esenciales frente a un entorno de amenazas interconectadas, dinámicas y multidimensionales.
 

La creciente dependencia tecnológica, la convergencia IT/OT, la interconexión entre organizaciones, las cadenas de suministro globales y las amenazas híbridas obligan a transformar los modelos tradicionales.
 

El futuro de la protección de infraestructuras críticas requiere pasar: de la seguridad física a la seguridad integral e integrada; de la reacción a la anticipación; del análisis aislado al análisis sistémico; del perímetro a la cadena de suministro; del cumplimiento formal a la resiliencia real; de departamentos aislados a gobierno convergente; de la protección estática a la adaptación continua.
 

El objetivo último debe ser construir infraestructuras seguras, resilientes, inteligentes y adaptativas, capaces no solo de prevenir y resistir las amenazas, sino también de mantener sus servicios esenciales, recuperarse rápidamente y aprender de cada perturbación.

La transposición y aplicación de la Directiva NIS2 y de la Directiva CER obliga a los Estados miembros a reforzar las capacidades de prevención, protección, respuesta y recuperación de las infraestructuras críticas. Este nuevo marco regulatorio abre la puerta a redefinir el papel de la seguridad privada como un multiplicador de capacidad del Estado, particularmente en la protección de infraestructuras estratégicas y servicios esenciales.
 

Para ello se propone una política pública articulada para transformar estructuralmente el modelo español de seguridad privada, integrándolo en una estrategia de resiliencia nacional y europea.
 

INTRODUCCIÓN: EL AGOTAMIENTO DEL PARADIGMA TRADICIONAL
 

Durante décadas, el modelo español de seguridad privada ha estado vinculado principalmente a funciones de vigilancia, control de accesos, protección patrimonial y apoyo operativo a instalaciones públicas y privadas.
 

Aunque este modelo ha contribuido a la estabilidad operativa de numerosos sectores, presenta limitaciones estructurales frente al nuevo escenario de amenazas como:
 

• Ataques híbridos que combinan intrusión física y digital;
   
• Sabotaje sobre sistemas industriales;
   
• Campañas de desinformación coordinadas;
   
• Amenazas internas (insider threat);
   
• Interrupciones de cadenas críticas de suministro;
   
• Automatización del crimen organizado;
   
• Uso dual de tecnologías emergentes.
   

La naturaleza de estas amenazas exige abandonar una visión reactiva basada exclusivamente en presencia física para adoptar un modelo basado en la: anticipación, inteligencia, gestión integral y dinámica del riesgo, interoperabilidad institucional y la resiliencia operativa.
 

La seguridad deja de consistir únicamente en impedir una intrusión y pasa a garantizar la continuidad de funciones esenciales.
 

EL CONTEXTO EUROPEO: LA RESILIENCIA COMO NUEVA DOCTRINA
 

La Unión Europea ha redefinido la protección de servicios esenciales mediante dos instrumentos normativos complementarios:
 

- Directiva NIS2, que establece obligaciones reforzadas en:
 

• Gestión del riesgo;
   
• Gobernanza de seguridad;
   
• Notificación de incidentes;
   
• Continuidad operativa;
   
• Seguridad de la cadena de suministro.
   

Afecta a sectores críticos como: energía, transporte, salud, agua, banca, infraestructuras digitales, administración pública.
 

- Directiva CER, que amplía el enfoque hacia la resiliencia física y organizativa de entidades críticas, obligando a los Estados a:
 

• Identificar entidades críticas;
   
• Evaluar amenazas;
   
• Exigir planes de resiliencia;
   
• Desarrollar mecanismos de supervisión;
   
• Fortalecer la cooperación público-privada.
   

La interacción entre ambas directivas consolida un nuevo paradigma europeo y la seguridad de las infraestructuras críticas y estratégicas debe abordarse de forma integral, física, digital, humana y organizativa.
 

LA SEGURIDAD PRIVADA COMO ACTIVO ESTRATÉGICO NACIONAL
 

España dispone de uno de los mejores y mayores ecosistemas de seguridad privada de Europa, compuesto por miles de profesionales, directores de seguridad, operadores tecnológicos y empresas especializadas de servicios y tecnologías.
 

Sin embargo, su potencial estratégico aún no ha sido plenamente integrado en el sistema de seguridad nacional.
 

La nueva política pública debe reconocer a la seguridad privada como una capacidad estructural complementaria del Estado y esto implica redefinir su función desde proveedor de servicios hacia:
 

- Operador de resiliencia y protección avanzada
 

Con capacidades para: detección temprana, protección preventiva, gestión de incidentes, continuidad operativa, inteligencia de riesgos y amenazas, coordinación institucional.
 

PROPUESTA DE REFORMA ESTRUCTURAL DEL MODELO ESPAÑOL
 

Reforma normativa
 

Se propone una actualización integral de la Ley 5/2014 para incorporar una nueva dimensión estratégica. Incorporaciones recomendadas:
 

Nueva categoría regulatoria
 

Operador de Seguridad Crítica. Entidad acreditada para operar en sectores estratégicos como: energía, telecomunicaciones, salud, transporte, agua, industria de defensa, centros de datos, infraestructuras logísticas críticas.
 

Obligaciones específicas:
 

Organización y gobernanza. Establecimiento de: planes de gestión integral del riesgo, protocolos de escalado de incidentes, interoperabilidad con organismos públicos, auditorías periódicas de resiliencia, certificación tecnológica y operativa.
 

NUEVO MODELO OPERATIVO INTEGRADO
 

Seguridad física inteligente
 

Las infraestructuras críticas deben evolucionar hacia sistemas avanzados basados en:
 

• Videovigilancia con analítica basada en IA;
   
• Control biométrico de accesos;
   
• Sensores perimetrales inteligentes;
   
• Detección autónoma de intrusión y circulación;
   
• Sistemas anti-UAS (anti-drones).
   

Integración con ciberseguridad
 

Toda seguridad física deberá conectarse con capacidades de ciberdefensa:
 

• SOC corporativos;
   
• Plataformas SIEM;
   
• Inteligencia de amenazas;
   
• Detección OT/ICS;
   
• Correlación de eventos.
   

Especialmente relevante en sistemas industriales como: redes eléctricas, plantas químicas, instalaciones portuarias, hospitales, infraestructuras ferroviarias y aeroportuarias.
 

Centros de integración operativa
 

Se propone la creación de Centros Integrados de Seguridad y Resiliencia, con funciones de:
 

• Monitorización 24/7;
   
• Correlación de incidentes físicos y digitales;
   
• Coordinación multisectorial;
   
• Análisis predictivo;
   
• Escalado institucional.
   

TRANSFORMACIÓN DEL CAPITAL HUMANO
 

El personal de seguridad tradicional debe evolucionar hacia un nuevo perfil:
 

- Especialista en Seguridad Integral. Competencias requeridas:
 

Técnicas: fundamentos de ciberseguridad, protección de sistemas industriales, análisis de vídeo inteligente, uso de plataformas de mando y control.
 

Operativas: respuesta ante incidentes complejos, gestión de crisis, evacuación, contención táctica.
 

Estratégicas: cumplimiento regulatorio, análisis de riesgos, reporting institucional, continuidad operativa.
 

Sistema nacional de certificación. Se propone crear una acreditación oficial en tres niveles:
 

• Director de Seguridad Global de Infraestructura Crítica
   
• Supervisor de Resiliencia
   
• Director de Seguridad Estratégica
   

En colaboración con: INCIBE, Centro Criptológico Nacional, Universidades, Centros de formación de Seguridad.
 

GOBERNANZA Y COOPERACIÓN INSTITUCIONAL
 

Se propone la creación de un:
 

Consejo Nacional de Seguridad Privada Estratégica. Dependiente del Sistema de Seguridad Nacional y con participación de: Ministerio del Interior, Ministerio de Defensa, Ministerio para la Transformación Digital, operadores críticos, sector empresarial, industria tecnológica, academia.
 

Sus funciones incluirían:
 

• Evaluación estratégica de amenazas;
   
• Definición de estándares;
   
• Ejercicios nacionales;
   
• Cooperación europea;
   
• Seguimiento de indicadores.
   

HOJA DE RUTA DE IMPLEMENTACIÓN
 

Fase I (2026–2028): Adaptación regulatoria
 

Objetivos: reforma normativa, identificación de capacidades, pilotos sectoriales, diseño de certificaciones.
 

Fase II (2028–2031): Transformación operativa
 

Objetivos: digitalización, integración físico-ciber, despliegue de centros integrados, formación masiva.
 

Fase III (2031–2035): Consolidación europea
 

Objetivos: interoperabilidad internacional, ejercicios multinacionales, intercambio de inteligencia, homologación de estándares. Con participación de la ENISA.
 

CONCLUSIÓN
 

La seguridad privada española se encuentra ante una transformación histórica.
 

El nuevo entorno estratégico y global espera definitivamente un modelo basado en la evolución hacia una capacidad nacional de: inteligencia, anticipación, resiliencia e integración tecnológica y operativa.
 

La aplicación coordinada de la Directiva NIS2 y la Directiva CER ofrece a España una oportunidad para construir un sistema en el que la seguridad privada no sea un actor periférico, sino una pieza estructural de la soberanía, la continuidad de servicios esenciales y la protección de las infraestructuras críticas y estratégicas.
 

La cuestión ya no es si la seguridad privada debe evolucionar y transformarse. La cuestión estratégica es si España está dispuesta a convertirla en una auténtica capacidad de Estado.

Veamos esquemáticamente la realidad de nuestra percepción y establecer un decálogo sobre la resiliencia real de la Seguridad Integral e Integrada ante el nuevo Marco Regulatorio Global.
 

 Introducción: del “compliance” a la resiliencia operativa

El ecosistema de protección de infraestructuras críticas en España ha experimentado una profunda transformación en los últimos años, impulsado por marcos como la Directiva NIS2, el Esquema Nacional de Seguridad (ENS) y el Sistema de Protección de Infraestructuras Críticas (PIC). Este entramado normativo ha elevado el nivel mínimo exigible, pero también ha generado un riesgo: confundir cumplimiento con resiliencia.
 

En un entorno caracterizado por amenazas híbridas, interdependencias sistémicas y alta exposición tecnológica, el verdadero reto no es cumplir, sino resistir, adaptarse y recuperar el funcionamiento bajo condiciones adversas.
 

 Gobierno y liderazgo operativo: más allá del marco formal

El marco PIC establece obligaciones claras en cuanto a planes de seguridad del operador (PSO) y planes de protección específicos (PPE). Sin embargo, muchas organizaciones limitan su gobernanza a la elaboración documental.
 

Así, las organizaciones más avanzadas, especialmente en sectores como energía o transporte, están evolucionando hacia: la creación de comités de resiliencia con capacidad ejecutiva real; la integración del CISO y del responsable de operaciones en la toma de decisiones estratégicas; el establecimiento de modelos de “command & control” adaptados a crisis complejas; incorporando centros de control integrados donde convergen ciberseguridad, operación y continuidad.
 

La evolución necesaria debe orientarse hacia: la integración de la resiliencia en el gobierno corporativo; la responsabilidad directa del órgano de dirección en decisiones de ciberseguridad; y la creación de estructuras de mando operativas para su activación en incidentes o contingencias.
 

 Inteligencia y anticipación de amenazas: del IOC al contexto operativo

La Directiva NIS2 refuerza la necesidad de capacidades de detección y respuesta, pero el valor diferencial reside en la anticipación.
 

Es por ello que la evolución es preciso orientarla hacia: la integración de inteligencia de riesgos y amenazas en procesos operativos; el establecimiento de capacidades de análisis predictivo; la correlación entre amenazas globales y activos críticos específicos.
 

 Gestión dinámica avanzada de riesgos: alineando ENS y operación real

El ENS exige análisis de riesgos periódicos, pero la volatilidad actual requiere modelos continuos.
 

Las buenas prácticas emergentes se orientan hacia: la creación de cuadros de mando de riesgo en tiempo real; la integración y gestión con SOC (Security Operations Center); y el uso de indicadores como KRIs (Key Risk Indicators) vinculados a la operación.
 

La evolución necesaria debe orientarse hacia: modelos dinámicos de gestión del riesgo en tiempo real; la integración con indicadores operativos (KRIs); y la priorización basada en impacto en continuidad de servicio.
 

 Gestión de dependencias críticas: el talón de Aquiles sistémico

La normativa actual comienza a abordar la cadena de suministro (especialmente en la NIS2), pero su implementación sigue siendo incipiente.
 

En este sentido, aspectos clave en el contexto español son: la dependencia de proveedores tecnológicos internacionales; la interconexión entre sectores (energía, telecomunicaciones, transporte, etc.); y la externalización de los servicios críticos.
 

La resiliencia exige mapear estas dependencias con precisión y establecer acuerdos operativos, no solo contractuales.
 

Es por ello que la evolución es preciso orientarla hacia: el mapeo exhaustivo de dependencias; la evaluación continua de proveedores críticos; y el establecimiento de planes de contingencia para fallos externos.
 

 Integración IT/OT: el gran desafío de NIS2

La convergencia IT/OT es uno de los ejes centrales de la NIS2, pero su implementación real presenta fricciones derivadas de: diferencias culturales entre equipos; tecnologías OT legacy sin capacidades de seguridad nativas; y riesgo de impacto operativo al aplicar controles IT tradicionales.
 

En este sentido, la evolución necesaria debe orientarse hacia: la visibilidad unificada IT/OT; la creación de equipos multidisciplinares; y el establecimiento de controles adaptados a entornos industriales.
 

Capacidad de operación degradada: resiliencia en acción

Uno de los aspectos menos desarrollados en los marcos normativos es la capacidad de operar en condiciones degradadas.
 

Esto implica que hay que: definir niveles de servicio mínimos aceptables; diseñar procedimientos manuales; y entrenar al personal en escenarios sin soporte tecnológico.
 

Es por ello que la evolución es preciso orientarla hacia: la definición de modos degradados; la implementación de procedimientos manuales alternativos; y la priorización de servicios esenciales.
 

Gestión avanzada de crisis: del plan al músculo operativo

El ENS y la NIS2 exigen planes de respuesta, pero la diferencia está en su ejecución.
 

En este sentido, las organizaciones más maduras cuentan con: centros de gestión de crisis (Crisis Management Rooms); protocolos de escalado claros; e integración con comunicación corporativa y legal.
 

La evolución necesaria debe orientarse hacia el establecimiento de: centros de gestión de crisis; protocolos de escalado claros; e integración con comunicación y regulación.
 

Ecosistema y coordinación externa: resiliencia compartida

El modelo español, basado en la colaboración público-privada, es una fortaleza, pero aún infrautilizada.
 

Algunas de las claves son: la participación activa en comunidades u organizaciones sectoriales; el intercambio de información en tiempo real; la coordinación con Fuerzas y Cuerpos de Seguridad.
 

Es por ello que la evolución es preciso orientarla hacia: el intercambio activo de inteligencia; la coordinación operativa y efectiva público-privada; y la participación en redes sectoriales.
 

Cultura y factor humano: el multiplicador silencioso

Ni el ENS ni la NIS2 pueden garantizar una cultura organizativa resiliente y este es un elemento estratégico que precisa de: formación continua y especializada basada en escenarios reales; cultura de reporte sin penalización; e integración de la resiliencia en el día a día operativo.
 

A todo ello, hay que añadirle la realización de simulacros avanzados y entrenamiento en condiciones reales. Los simulacros exigidos por normativa suelen ser predecibles. La tendencia actual apunta hacia ejercicios más exigentes con: simulaciones realistas y no guionizadas; escenarios híbridos (ciber + físico); y evaluación basada en métricas.
 

La evolución necesaria debe orientarse hacia: la capacitación basada en roles; la cultura de resiliencia operativa; e incentivos alineados con seguridad.
 

CONCLUSIÓN: Cumplimiento como Base, Resiliencia como Objetivo
 

España cuenta con un marco normativo robusto y en evolución. Sin embargo, el verdadero diferencial competitivo y operativo reside en la capacidad de las organizaciones para ir más allá del cumplimiento.
 

La resiliencia real no se audita únicamente: se entrena, se mide en crisis y se construye día a día integrando personas, procesos y tecnología.
 

En un contexto donde lo improbable se vuelve recurrente, la pregunta ya no es si una organización cumple, sino si está preparada para seguir operando cuando todo lo demás falla.
 

Es por ello que la evolución es preciso orientarla hacia: la automatización de la resiliencia aplicada a riesgo y respuesta; la integración de resiliencia climática y física; y la implantación de métricas estandarizadas de resiliencia operativa.
 

El futuro de la protección de las infraestructuras críticas dependerá menos de nuevas normas y más de cómo se implementen en la práctica.
 

Las organizaciones que liderarán este cambio serán aquellas capaces de: integrar cumplimiento y operación; evolucionar hacia modelos dinámicos; y entrenar su resiliencia en condiciones reales.
 

En última instancia, la resiliencia no se demuestra en auditorías, sino en la capacidad de mantener la operación cuando el entorno deja de ser favorable.

En España, el Gobierno ha aprobado, a propuesta del Ministerio del Interior, el proyecto de Ley de Protección y Resiliencia de Entidades Críticas, que incorpora al ordenamiento jurídico nacional la más reciente directiva europea sobre la salvaguarda de aquellas instituciones y empresas que prestan servicios esenciales en sectores estratégicos indispensables para mantener las funciones sociales o las actividades económicas vitales en el ámbito nacional y la Unión Europea. Este cambio supone la transición desde el modelo tradicional de protección de activos hacia un enfoque centrado en la resiliencia de las entidades críticas, donde el objetivo principal es garantizar la continuidad de los servicios esenciales.
 

1. Introducción: del modelo PIC a la resiliencia
    

2. Origen del cambio: el marco europeo
    

• Ampliación del alcance: más sectores y servicios esenciales
   
• Enfoque “all hazards”: consideración de todo tipo de amenazas
   
• Orientación a funciones críticas: más allá del activo físico
   

3. Transformación del modelo español
    

• De infraestructura crítica a entidad crítica
   

• De protección a resiliencia
   

• De cumplimiento a gestión activa
   

4. Un nuevo modelo de gestión de riesgos
    

5. Nuevas obligaciones para operadores críticos
    

• Planes de resiliencia
   

• Gobernanza y organización
   

• Gestión de incidentes
   

• Continuidad operativa
   

6. Refuerzo de la colaboración público–privada
    

7. Convergencia con la ciberseguridad
    

8. Impacto en la gobernanza empresarial
    

9. Tecnología como habilitador de resiliencia
    

10. Supervisión, auditoría y cumplimiento
     

11. Retos y oportunidades
     

Veamos esquemáticamente la realidad de nuestra percepción y establecer un Decálogo sobre Resiliencia y Gobernanza. La Seguridad Integral e Integrada ante el nuevo Marco Regulatorio Global.
 

En el actual entorno de multicrisis global, la seguridad ha dejado de ser una función periférica para consolidarse como un eje transversal de la estrategia corporativa y ciudadana.
 

La transición desde modelos reactivos hacia modelos de Seguridad Estratégica no es solo una evolución técnica, sino un imperativo de supervivencia.
 

Para la alta dirección, la seguridad hoy se mide por la capacidad de garantizar la continuidad operativa y la reputación institucional, bajo una supervisión regulatoria cada vez más estricta.
 

El éxito de la seguridad moderna radica en superar la fragmentación departamental a través de dos dimensiones críticas:
 

Dimensión Integral (El Qué): un enfoque holístico que protege de forma coordinada el capital humano, los activos físicos, los activos intangibles (información, reputación y propiedad intelectual) y los procesos críticos (operaciones y resiliencia).
 

Dimensión Integrada (El Cómo): la convergencia real entre la Seguridad Física (Safety & Security) y la Ciberseguridad. Esta condición hibrida permite una visibilidad de 360° sobre el mapa de riesgos, eliminando los silos de información y optimizando la respuesta ante amenazas que saltan del mundo digital al físico.
 

A ello, habría que sumarle la Integración Público-Privada, la cooperación entre: Administraciones públicas, Operadores estratégicos, Empresas de seguridad y Organismos de inteligencia.
 

La evolución del paradigma está hoy acelerada por un entorno normativo internacional que exige responsabilidad proactiva a la alta dirección. La seguridad ya no es voluntaria, es una obligación de gobernanza:
 

Directivas de Resiliencia (NIS2 y CER): en el marco europeo, la directiva NIS2 eleva las exigencias de ciberseguridad para sectores críticos, mientras que la directiva CER (Critical Entity Resilience) pone el foco en la resiliencia física ante sabotajes o desastres naturales. Ambas obligan a una visión integrada donde la interdependencia físico-digital es el centro de la estrategia.
 

Normativas Internacionales (ISO): el despliegue de este paradigma se apoya en marcos de referencia globales como la ISO 27001 (Seguridad de la Información), la ISO 22301 (Continuidad de Negocio) y la ISO 31000 (Gestión de Riesgos). Estos estándares proporcionan un lenguaje común para que los responsables técnicos y directivos puedan medir la madurez de su organización.
 

DORA (Digital Operational Resilience Act): específicamente para el sector financiero, este reglamento refuerza la necesidad de que la tecnología y la operativa sean resilientes ante cualquier interrupción sistémica.
 

Todo ello, sobre la base de una protección física básica para respuesta a incidentes y una seguridad preventiva de evaluación integral de riesgos con protocolos y procedimientos e incorporación tecnológica específica.
 

Una seguridad integrada con coordinación entre las áreas, la gestión transversal del riesgo y el uso intensivo de tecnología.
 

Una seguridad predictiva y resiliente con analítica avanzada, inteligencia de amenazas, modelos predictivos y resiliencia organizacional.
 

El nuevo planteamiento de análisis y evaluación de riesgos, amenazas y vulnerabilidades (Físicos, Digitales, Humanos, Ambientales, Reputacionales), se enmarca en una complejidad creciente con interdependencia de sistemas, Infraestructuras críticas y una globalización de amenazas híbridas con combinación de: Ciberataques, Sabotajes, Desinformación, Presión económica o social.
 

La organización de la seguridad (prevención + protección) ha de plantearse como un ecosistema de riesgos con interdependencia entre procesos críticos, con una arquitectura de seguridad en segmentos o capas: física, tecnológica, operativa, estratégica y de resiliencia.
 

Se establecerán centros integrados de control y seguridad: SOC (ciberseguridad), PSIM (seguridad física), Centros de control unificados.
 

La imprescindible colaboración público-privada es una necesidad estratégica que debe ir avanzando hacía una colaboración/integración operativa, teniendo en cuenta que la mayoría de infraestructuras esenciales y críticas son privadas pero el impacto de incidentes es público.
 

Los modelos de cooperación han de ir avanzando y mejorando en el intercambio de información, la inteligencia compartida, los protocolos coordinados y la respuesta conjunta.
 

Todo ello redunda en beneficios para una mejor detección de amenazas, una respuesta más rápida y, una reducción de impacto.
 

La Convergencia Público-Privada ha de plantearse como una necesidad táctica, como un ecosistema donde, principalmente, en las infraestructuras críticas, su caída impacta directamente en el interés público y la colaboración Público-Privada (CPP) es el catalizador de la resiliencia nacional.
 

Los directivos deben ver en la CPP un canal de intercambio de inteligencia bidireccional que reduce el impacto de las amenazas híbridas y facilita el cumplimiento de las nuevas obligaciones de notificación de incidentes exigidas por ley.
 

La arquitectura de seguridad debe estructurarse en capas interoperables (Detección, SOC/PSIM e Inteligencia Artificial). Sin embargo, el habilitador más crítico es la Cultura de Seguridad.
 

La normativa actual (como NIS2) responsabiliza directamente a la alta dirección de la falta de formación y concienciación. Por ello, la seguridad debe ser parte del ADN corporativo, liderada por un CSO con presencia activa en los comités de decisión.
 

La inteligencia artificial, la analítica de datos, la videovigilancia inteligente, la ciberseguridad avanzada, la IoT y los sensores y detección integrada, son la clave de las nuevas instalaciones de seguridad.
 

En este sentido, hemos de seguir avanzando de lo reactivo a lo predictivo mediante la detección temprana, las alertas automatizadas y los modelos de riesgo dinámico. Teniendo en cuenta los riesgos tecnológicos como la dependencia digital, las nuevas superficies de ataque y las vulnerabilidades en sistemas críticos.
 

La transformación hacia la seguridad integral e integrada debe ir acompañada de una sólida política de formación y capacitación continua. El desarrollo de competencias digitales, el pensamiento crítico y la alfabetización en ciberseguridad son esenciales para mantener la eficacia operativa del personal y la conciencia preventiva en toda la sociedad.
 

Para ello, es precisa una nueva formación especializada que tiene como principales objetivos adquirir las capacidades imprescindibles para desempeñar funciones de seguridad (prevención y protección), adquiriendo las competencias profesionales necesarias para el diseño, planificación, gestión e implantación de los correspondientes planes y protocolos de seguridad.
 

En este sentido, el factor humano es la primera línea de defensa y el principal vector de riesgo donde son elementos clave la formación, la concienciación, el liderazgo y la comunicación
 

El objetivo final no es la infalibilidad, sino la Resiliencia. Una organización que adopta la seguridad integral e integrada no solo cumple con la regulación, sino que construye una ventaja competitiva.
 

La resiliencia es la capacidad de: anticipar, resistir, responder, recuperarse y adaptarse donde sus componentes básicos y objetivos son la continuidad de funcionamiento, la gestión de crisis y el aprendizaje organizativo.
 

Ser capaz de absorber el impacto de una crisis, adaptarse y emerger fortalecido es lo que asegura la confianza de inversores, clientes y la sociedad en un mundo de riesgo permanente.
 

El nuevo paradigma de la seguridad integral e integrada requiere igualmente de un liderazgo con implicación de la alta dirección y un rol estratégico del Director de Seguridad/CSO basado en la gestión global del riesgo y las decisiones informadas.
 

A modo de resumen, podemos determinar que la seguridad integral e integrada es un paradigma en evolución constante donde la complejidad del entorno exige enfoques sistémicos y colaborativos y donde la resiliencia es el objetivo final y el liderazgo y la estrategia marcan la diferencia en una seguridad que ya no consiste en proteger lo que tenemos, sino en garantizar que podamos seguir operando pese a incidencias y contingencias de diferente grado de inseguridad y potenciales consecuencias mediante una seguridad autónoma y automatizada, una inteligencia artificial aplicada, una mayor integración público-privada y una regulación más exigente que, además, presenta la seguridad como ventaja competitiva.