Bases para una política pública de resiliencia integral en infraestructuras críticas
La evolución del entorno estratégico europeo, la proliferación de amenazas híbridas y la creciente dependencia de infraestructuras interconectadas están alterando profundamente los fundamentos clásicos de la seguridad. La separación histórica entre seguridad física, ciberseguridad y gestión de emergencias resulta insuficiente frente a adversarios capaces de operar simultáneamente sobre activos digitales, infraestructuras físicas, cadenas logísticas, sistemas industriales y percepción pública.
En este contexto, la seguridad privada española se encuentra ante una oportunidad estratégica: seguir evolucionando desde un modelo centrado principalmente en la vigilancia y la protección convencional, hacia un modelo de seguridad integral orientado a la resiliencia, plenamente integrado en la arquitectura nacional y europea de seguridad.
Manuel Sánchez Gómez-Merelo
Consultor Internacional de Seguridad
La transposición y aplicación de la Directiva NIS2 y de la Directiva CER obliga a los Estados miembros a reforzar las capacidades de prevención, protección, respuesta y recuperación de las infraestructuras críticas. Este nuevo marco regulatorio abre la puerta a redefinir el papel de la seguridad privada como un multiplicador de capacidad del Estado, particularmente en la protección de infraestructuras estratégicas y servicios esenciales.
Para ello se propone una política pública articulada para transformar estructuralmente el modelo español de seguridad privada, integrándolo en una estrategia de resiliencia nacional y europea.
INTRODUCCIÓN: EL AGOTAMIENTO DEL PARADIGMA TRADICIONAL
Durante décadas, el modelo español de seguridad privada ha estado vinculado principalmente a funciones de vigilancia, control de accesos, protección patrimonial y apoyo operativo a instalaciones públicas y privadas.
Aunque este modelo ha contribuido a la estabilidad operativa de numerosos sectores, presenta limitaciones estructurales frente al nuevo escenario de amenazas como:
- Ataques híbridos que combinan intrusión física y digital;
- Sabotaje sobre sistemas industriales;
- Campañas de desinformación coordinadas;
- Amenazas internas (insider threat);
- Interrupciones de cadenas críticas de suministro;
- Automatización del crimen organizado;
- Uso dual de tecnologías emergentes.
La naturaleza de estas amenazas exige abandonar una visión reactiva basada exclusivamente en presencia física para adoptar un modelo basado en la: anticipación, inteligencia, gestión integral y dinámica del riesgo, interoperabilidad institucional y la resiliencia operativa.
La seguridad deja de consistir únicamente en impedir una intrusión y pasa a garantizar la continuidad de funciones esenciales.
EL CONTEXTO EUROPEO: LA RESILIENCIA COMO NUEVA DOCTRINA
La Unión Europea ha redefinido la protección de servicios esenciales mediante dos instrumentos normativos complementarios:
– Directiva NIS2, que establece obligaciones reforzadas en:
- Gestión del riesgo;
- Gobernanza de seguridad;
- Notificación de incidentes;
- Continuidad operativa;
- Seguridad de la cadena de suministro.
Afecta a sectores críticos como: energía, transporte, salud, agua, banca, infraestructuras digitales, administración pública.
– Directiva CER, que amplía el enfoque hacia la resiliencia física y organizativa de entidades críticas, obligando a los Estados a:
- Identificar entidades críticas;
- Evaluar amenazas;
- Exigir planes de resiliencia;
- Desarrollar mecanismos de supervisión;
- Fortalecer la cooperación público-privada.
La interacción entre ambas directivas consolida un nuevo paradigma europeo y la seguridad de las infraestructuras críticas y estratégicas debe abordarse de forma integral, física, digital, humana y organizativa.
LA SEGURIDAD PRIVADA COMO ACTIVO ESTRATÉGICO NACIONAL
España dispone de uno de los mejores y mayores ecosistemas de seguridad privada de Europa, compuesto por miles de profesionales, directores de seguridad, operadores tecnológicos y empresas especializadas de servicios y tecnologías.
Sin embargo, su potencial estratégico aún no ha sido plenamente integrado en el sistema de seguridad nacional.
La nueva política pública debe reconocer a la seguridad privada como una capacidad estructural complementaria del Estado y esto implica redefinir su función desde proveedor de servicios hacia:
– Operador de resiliencia y protección avanzada
Con capacidades para: detección temprana, protección preventiva, gestión de incidentes, continuidad operativa, inteligencia de riesgos y amenazas, coordinación institucional.
PROPUESTA DE REFORMA ESTRUCTURAL DEL MODELO ESPAÑOL
Reforma normativa
Se propone una actualización integral de la Ley 5/2014 para incorporar una nueva dimensión estratégica. Incorporaciones recomendadas:
Nueva categoría regulatoria
Operador de Seguridad Crítica. Entidad acreditada para operar en sectores estratégicos como: energía, telecomunicaciones, salud, transporte, agua, industria de defensa, centros de datos, infraestructuras logísticas críticas.
Obligaciones específicas:
Organización y gobernanza. Establecimiento de: planes de gestión integral del riesgo, protocolos de escalado de incidentes, interoperabilidad con organismos públicos, auditorías periódicas de resiliencia, certificación tecnológica y operativa.
NUEVO MODELO OPERATIVO INTEGRADO
Seguridad física inteligente
Las infraestructuras críticas deben evolucionar hacia sistemas avanzados basados en:
- Videovigilancia con analítica basada en IA;
- Control biométrico de accesos;
- Sensores perimetrales inteligentes;
- Detección autónoma de intrusión y circulación;
- Sistemas anti-UAS (anti-drones).
Integración con ciberseguridad
Toda seguridad física deberá conectarse con capacidades de ciberdefensa:
- SOC corporativos;
- Plataformas SIEM;
- Inteligencia de amenazas;
- Detección OT/ICS;
- Correlación de eventos.
Especialmente relevante en sistemas industriales como: redes eléctricas, plantas químicas, instalaciones portuarias, hospitales, infraestructuras ferroviarias y aeroportuarias.
Centros de integración operativa
Se propone la creación de Centros Integrados de Seguridad y Resiliencia, con funciones de:
- Monitorización 24/7;
- Correlación de incidentes físicos y digitales;
- Coordinación multisectorial;
- Análisis predictivo;
- Escalado institucional.
TRANSFORMACIÓN DEL CAPITAL HUMANO
El personal de seguridad tradicional debe evolucionar hacia un nuevo perfil:
– Especialista en Seguridad Integral. Competencias requeridas:
Técnicas: fundamentos de ciberseguridad, protección de sistemas industriales, análisis de vídeo inteligente, uso de plataformas de mando y control.
Operativas: respuesta ante incidentes complejos, gestión de crisis, evacuación, contención táctica.
Estratégicas: cumplimiento regulatorio, análisis de riesgos, reporting institucional, continuidad operativa.
Sistema nacional de certificación. Se propone crear una acreditación oficial en tres niveles:
- Director de Seguridad Global de Infraestructura Crítica
- Supervisor de Resiliencia
- Director de Seguridad Estratégica
En colaboración con: INCIBE, Centro Criptológico Nacional, Universidades, Centros de formación de Seguridad.
GOBERNANZA Y COOPERACIÓN INSTITUCIONAL
Se propone la creación de un:
Consejo Nacional de Seguridad Privada Estratégica. Dependiente del Sistema de Seguridad Nacional y con participación de: Ministerio del Interior, Ministerio de Defensa, Ministerio para la Transformación Digital, operadores críticos, sector empresarial, industria tecnológica, academia.
Sus funciones incluirían:
- Evaluación estratégica de amenazas;
- Definición de estándares;
- Ejercicios nacionales;
- Cooperación europea;
- Seguimiento de indicadores.
HOJA DE RUTA DE IMPLEMENTACIÓN
Fase I (2026–2028): Adaptación regulatoria
Objetivos: reforma normativa, identificación de capacidades, pilotos sectoriales, diseño de certificaciones.
Fase II (2028–2031): Transformación operativa
Objetivos: digitalización, integración físico-ciber, despliegue de centros integrados, formación masiva.
Fase III (2031–2035): Consolidación europea
Objetivos: interoperabilidad internacional, ejercicios multinacionales, intercambio de inteligencia, homologación de estándares. Con participación de la ENISA.
CONCLUSIÓN
La seguridad privada española se encuentra ante una transformación histórica.
El nuevo entorno estratégico y global espera definitivamente un modelo basado en la evolución hacia una capacidad nacional de: inteligencia, anticipación, resiliencia e integración tecnológica y operativa.
La aplicación coordinada de la Directiva NIS2 y la Directiva CER ofrece a España una oportunidad para construir un sistema en el que la seguridad privada no sea un actor periférico, sino una pieza estructural de la soberanía, la continuidad de servicios esenciales y la protección de las infraestructuras críticas y estratégicas.
La cuestión ya no es si la seguridad privada debe evolucionar y transformarse. La cuestión estratégica es si España está dispuesta a convertirla en una auténtica capacidad de Estado.
Manuel Sánchez Gómez-Merelo 