Las infraestructuras críticas en España afrontan crecientes amenazas físicas, cibernéticas e híbridas, agravadas por la interconexión tecnológica y las dependencias estratégicas.

Las Directivas NIS2 y CER exigen reforzar la ciberseguridad, la protección integral y la resiliencia de los servicios esenciales.

Las principales vulnerabilidades afectan a los sistemas tecnológicos, la seguridad física, las cadenas de suministro y la coordinación organizativa.

La solución requiere integrar gestión de riesgos, inteligencia, protección, continuidad operativa y cooperación público-privada.

El objetivo es anticipar amenazas, garantizar servicios esenciales y asegurar una respuesta y recuperación eficaces ante cualquier crisis.

 

Manuel Sánchez Gómez-Merelo
Consultor Internacional de Seguridad

 

Veamos esquemáticamente la realidad de nuestra percepción y establecer un decálogo de la situación.

Seguridad y resiliencia de las infraestructuras críticas en España: exigencias NIS2 y CER

Las infraestructuras críticas constituyen un activo estratégico para la seguridad nacional, la estabilidad económica y el bienestar social. Su creciente dependencia tecnológica, interconexión y exposición a amenazas físicas, cibernéticas e híbridas exige evolucionar hacia un modelo de protección integral y resiliencia.

Las Directivas europeas NIS2 (UE) 2022/2555 y CER (UE) 2022/2557 establecen un marco complementario para reforzar la ciberseguridad, la protección de las entidades críticas y la continuidad de los servicios esenciales.

Los principales desafíos se concentran en las vulnerabilidades tecnológicas y físicas, las dependencias entre infraestructuras, los riesgos de la cadena de suministro, la fragmentación organizativa y la insuficiente capacidad de respuesta y recuperación ante crisis complejas.

La solución requiere integrar seguridad física, ciberseguridad, inteligencia, gestión de riesgos, continuidad operativa y coordinación público-privada bajo una gobernanza común, con responsabilidades definidas, medidas proporcionadas y mecanismos verificables de supervisión y mejora continua.

El objetivo estratégico es pasar de la protección aislada de activos a una gestión integral e integrada de la seguridad y la resiliencia, capaz de anticipar amenazas, prevenir incidentes, mantener los servicios esenciales y garantizar una recuperación eficaz.

En definitiva, el cumplimiento de NIS2 y CER debe convertirse en una capacidad operativa permanente para fortalecer la seguridad, la continuidad y la resiliencia del sistema español de infraestructuras críticas.

Introducción: hacia un nuevo paradigma de seguridad y resiliencia

La protección de las infraestructuras críticas en España se enfrenta a un escenario caracterizado por la interdependencia tecnológica, la digitalización de los procesos industriales, la globalización de las cadenas de suministro y la evolución de las amenazas físicas, cibernéticas e híbridas.

Las infraestructuras que garantizan el suministro eléctrico, el transporte, el agua potable, las telecomunicaciones, la atención sanitaria, los servicios financieros y otros servicios esenciales ya no pueden protegerse mediante sistemas de seguridad aislados. Su funcionamiento depende de redes tecnológicas, proveedores externos, centros de control, personal especializado, sistemas industriales y servicios prestados por otras organizaciones.

En este contexto, dos instrumentos europeos establecen las bases de un enfoque complementario:

NIS2 — Directiva (UE) 2022/2555
Se centra en la ciberseguridad y en la gestión de los riesgos que afectan a las redes y los sistemas de información. Refuerza las responsabilidades de dirección, las medidas de gestión de riesgos, la gestión de incidentes, la continuidad y la supervisión.

CER — Directiva (UE) 2022/2557
Se centra en la resiliencia de las entidades críticas frente a incidentes que puedan interrumpir la prestación de servicios esenciales. Abarca amenazas físicas, desastres naturales, riesgos tecnológicos, amenazas internas y otras situaciones que puedan comprometer su funcionamiento.

La idea fundamental es que NIS2 y CER no deben aplicarse como dos programas independientes, sino como componentes de un único sistema de gestión de riesgos, seguridad y resiliencia.

NIS2 aporta el marco para proteger los sistemas de información y gestionar los riesgos cibernéticos; CER refuerza la capacidad de anticipar, resistir, responder y recuperarse de incidentes que amenacen la continuidad de los servicios esenciales.

Esta integración debe considerar, además, el marco español de Protección de Infraestructuras Críticas (PIC), el Esquema Nacional de Seguridad (ENS) cuando resulte aplicable y la normativa sectorial correspondiente.

Marco normativo y situación de España

Para determinar las exigencias de seguridad es necesario distinguir entre las obligaciones europeas, la legislación española vigente y los proyectos legislativos en tramitación.

Instrumento	Finalidad principal	Implicación para las infraestructuras
Directiva NIS2 (UE) 2022/2555	Ciberseguridad	Gestión de riesgos digitales, sistemas de información, incidentes, continuidad y responsabilidad directiva.
Directiva CER (UE) 2022/2557	Resiliencia de entidades críticas	Evaluación integral de riesgos, protección física, respuesta, recuperación y continuidad de servicios esenciales.
Ley 8/2011 y normativa PIC de desarrollo	Protección de infraestructuras críticas en España	Marco nacional de protección, operadores críticos, planes de seguridad y coordinación con las autoridades, en el ámbito de aplicación que corresponda.
Esquema Nacional de Seguridad (ENS)	Seguridad de los sistemas de información del sector público y de los sistemas comprendidos en su ámbito	Controles de seguridad, gestión de riesgos, auditoría y mejora continua.
Normativa sectorial	Seguridad y continuidad por actividad	Exigencias específicas para energía, transporte, sanidad, telecomunicaciones, agua, finanzas y otros sectores.

 

Situación legislativa relevante a octubre de 2026

La Directiva CER fijó el 17 de julio de 2026 como fecha límite para que los Estados miembros identificasen las entidades críticas comprendidas en su ámbito. También establece obligaciones de evaluación de riesgos y medidas de resiliencia.

En España, el Gobierno aprobó el 17 de marzo de 2026 el proyecto de Ley de Protección y Resiliencia de las Entidades Críticas, remitido posteriormente al Congreso. La ficha parlamentaria consultada refleja su tramitación en la Comisión de Interior, en fase de enmiendas. Por tanto, no debe presentarse ese proyecto como una ley ya aprobada y en vigor.

Por otra parte, el Gobierno había aprobado en enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad para incorporar NIS2 al ordenamiento español. La información oficial consultada no permite confirmar que su transposición completa se haya culminado a octubre de 2026.

Consecuencia práctica: cada entidad debe comprobar qué obligaciones le resultan exigibles conforme a la normativa vigente, su sector, su eventual designación como entidad crítica o esencial y los requisitos específicos que le sean aplicables. No conviene esperar a la aprobación de nuevas leyes para corregir deficiencias de seguridad ya identificadas.

Principales vulnerabilidades de las infraestructuras críticas en España

Las vulnerabilidades deben analizarse desde una perspectiva sistémica. No basta con identificar puntos débiles en una instalación: es necesario determinar cómo pueden afectar a la prestación del servicio, a otros sectores y a la sociedad.

• Vulnerabilidades tecnológicas y de ciberseguridad

Sistemas industriales y tecnológicos heredados. La presencia de equipos OT, sistemas SCADA y PLC con ciclos de vida prolongados, software obsoleto o soporte limitado puede dificultar la aplicación de controles modernos. La indisponibilidad de estos sistemas puede afectar directamente a procesos físicos esenciales.

Solución prioritaria: inventario IT/OT, evaluación de vulnerabilidades, segmentación de redes, acceso remoto controlado y planes de actualización compatibles con la seguridad operacional.

Interconexión de redes y sistemas. La conexión entre redes corporativas, sistemas industriales, dispositivos IoT, videovigilancia, control de accesos y proveedores puede ampliar las vías de entrada de un atacante. Una intrusión inicialmente limitada puede propagarse hacia otros sistemas si no existen barreras eficaces.

Solución prioritaria: arquitectura de confianza cero cuando proceda, separación IT/OT, zonas y conductos, autenticación multifactor, monitorización y gestión segura de accesos privilegiados.

Dependencia de servicios digitales externos. La nube, los centros de datos, las comunicaciones, los servicios de identidad y las plataformas de gestión pueden constituir dependencias críticas. Una interrupción externa puede dejar inoperativos servicios propios aunque la instalación física siga intacta.

Solución prioritaria: análisis de dependencias, redundancia real, alternativas de comunicación, copias de seguridad protegidas, procedimientos manuales y estrategias de salida de proveedores.

Otras vulnerabilidades relevantes son la explotación de vulnerabilidades sin corregir, el ransomware, el robo de credenciales, la deficiente gestión de configuraciones, la falta de registros de actividad, las copias de seguridad insuficientes y la escasa capacidad para detectar ataques que afectan a los procesos industriales.

La respuesta debe orientarse a reducir la probabilidad de compromiso, limitar su propagación y evitar que una incidencia informática se convierta en una interrupción física del servicio. Estas prioridades se corresponden con el enfoque de gestión de riesgos de NIS2.

• Vulnerabilidades físicas y de protección de instalaciones

Las medidas físicas siguen siendo imprescindibles, incluso en infraestructuras altamente digitalizadas.

Las principales debilidades pueden encontrarse en:

• Perímetros insuficientemente protegidos o con zonas vulnerables.
• Deficiencias en el control de accesos de personas, vehículos y mercancías.
• Protección insuficiente de centros de control, subestaciones, depósitos, estaciones, salas técnicas y otras instalaciones sensibles.
• Falta de integración entre detección de intrusión, CCTV, control de accesos, alarmas y procedimientos operativos.
• Dependencia de un único emplazamiento, equipo, suministro o vía de acceso.
• Protección insuficiente frente a sabotajes, intrusiones, amenazas internas, terrorismo y daños deliberados.
• Falta de redundancia eléctrica, comunicaciones alternativas o medios de intervención y recuperación.

Solución: establecer una protección física basada en riesgos, con defensa por capas, detección temprana, verificación de alarmas, respuesta coordinada, protección de activos esenciales y pruebas periódicas de funcionamiento.

La CER exige que las entidades críticas adopten medidas técnicas, organizativas y de seguridad adecuadas y proporcionadas, incluidas medidas de protección física, prevención, respuesta y mitigación.

• Vulnerabilidades organizativas y de gobernanza

Una de las debilidades más importantes es la fragmentación de las responsabilidades de seguridad.

En algunas organizaciones, la seguridad física, la ciberseguridad, la seguridad industrial, la continuidad de negocio, la prevención de riesgos laborales y la gestión de emergencias se gestionan mediante estructuras separadas.

Esta división puede generar:

• Evaluaciones de riesgos incompatibles entre sí.
• Planes que no contemplan incidentes combinados.
• Duplicidades de recursos y vacíos de responsabilidad.
• Falta de coordinación entre dirección, operaciones, seguridad y tecnología.
• Desconocimiento de las dependencias críticas de la organización.
• Escasa integración con Fuerzas y Cuerpos de Seguridad, autoridades competentes, proveedores y operadores interdependientes.

Solución: implantar un modelo de gobernanza integral, con responsabilidades formalizadas, dirección ejecutiva implicada, un comité de riesgos y resiliencia, protocolos comunes y una visión compartida de los riesgos físicos, digitales y operacionales.

• Vulnerabilidades humanas

El factor humano puede ser tanto una barrera de protección como una fuente de exposición.

Entre las principales debilidades destacan:

• Formación insuficiente ante amenazas físicas y digitales.
• Ingeniería social, phishing y suplantación de identidad.
• Uso inadecuado de credenciales y privilegios.
• Accesos de exempleados o proveedores que no se revocan a tiempo.
• Amenazas internas deliberadas o accidentales.
• Dependencia de un número reducido de especialistas.
• Fatiga operativa y errores en situaciones de emergencia.

Solución: implantar programas de formación por perfiles, gestión de altas y bajas, revisión de privilegios, controles de idoneidad cuando procedan legalmente, ejercicios de respuesta y una cultura que favorezca la comunicación temprana de incidentes.

• Vulnerabilidades derivadas de las cadenas de suministro

Las infraestructuras críticas dependen de fabricantes, integradores, mantenedores, empresas de seguridad, operadores de telecomunicaciones, suministradores energéticos y proveedores de software y servicios tecnológicos.

Una vulnerabilidad en un proveedor puede repercutir simultáneamente en varias organizaciones.

Las principales debilidades son la falta de visibilidad sobre proveedores indirectos, la concentración de servicios en un único suministrador, los accesos remotos permanentes, la escasa verificación de actualizaciones y la inexistencia de alternativas operativas.

Solución: clasificar proveedores según su criticidad, evaluar sus riesgos, establecer requisitos contractuales de seguridad, controlar los accesos externos, exigir notificación de incidentes y disponer de alternativas de suministro o recuperación para los servicios indispensables.

• Vulnerabilidades ambientales y de continuidad

Las infraestructuras también están expuestas a fenómenos meteorológicos extremos, inundaciones, incendios, olas de calor, sequías, interrupciones energéticas, accidentes industriales y emergencias sanitarias.

En España, la exposición concreta depende del territorio, el sector, el emplazamiento y las características de cada instalación. La evaluación debe considerar tanto los riesgos históricos como los cambios en su frecuencia e intensidad.

Solución: integrar el análisis de riesgos naturales y tecnológicos, la adaptación climática, la protección de instalaciones, la redundancia, las reservas de recursos esenciales y los planes de continuidad y recuperación. CER establece expresamente la necesidad de considerar riesgos naturales, humanos, transfronterizos e híbridos.

Los principales retos para cumplir NIS2 y CER

Las vulnerabilidades anteriores se traducen en una serie de desafíos que afectan tanto a los operadores como a las autoridades responsables de la protección de las infraestructuras críticas.

Reto 1. Convergencia entre seguridad física y ciberseguridad. El desafío consiste en superar la separación entre las amenazas que afectan a las instalaciones y las que afectan a sus sistemas digitales. Un incidente puede comenzar en un ámbito y extenderse al otro.

Respuesta: una evaluación conjunta de riesgos, procedimientos integrados de detección y respuesta, y una estructura de mando común para incidentes multidominio.

Reto 2. Gestión de interdependencias. La interrupción de una infraestructura puede comprometer otras: un fallo eléctrico puede afectar a las telecomunicaciones; una interrupción de las comunicaciones puede dificultar el control del transporte; y una incidencia en el suministro de agua puede afectar a hospitales e instalaciones industriales.

Respuesta: elaborar mapas de dependencias e interdependencias, identificar puntos únicos de fallo y establecer acuerdos de asistencia mutua y continuidad entre operadores.

Reto 3. Anticipación e inteligencia de seguridad. Los análisis estáticos pierden eficacia cuando cambian rápidamente las amenazas, las vulnerabilidades tecnológicas y el contexto geopolítico.

Respuesta: establecer un ciclo de inteligencia que permita identificar amenazas, evaluar escenarios, producir alertas útiles y revisar las medidas de protección a partir de información interna, fuentes abiertas, proveedores y organismos competentes.

Reto 4. Continuidad durante situaciones degradadas. No basta con recuperar los sistemas informáticos. La entidad debe determinar qué servicios puede mantener, con qué capacidad mínima, durante cuánto tiempo y con qué recursos alternativos.

Respuesta: definir niveles mínimos de servicio, tiempos y objetivos de recuperación, procedimientos manuales seguros, equipos alternativos y criterios para priorizar la restauración.

Reto 5. Responsabilidad directiva y coordinación. El cumplimiento normativo exige que la dirección asuma responsabilidades reales, apruebe medidas, asigne recursos y supervise su eficacia.

Respuesta: establecer una gobernanza formal, responsabilidades inequívocas, un programa de cumplimiento verificable, auditorías, indicadores y mecanismos de coordinación interna y externa.

Reto 6. Evidencia de cumplimiento y mejora continua. La existencia documental de planes no garantiza que la entidad pueda responder ante una crisis ni que sus controles funcionen.

Respuesta: verificar la implantación real mediante pruebas técnicas, ejercicios de crisis, simulacros, auditorías, evidencias de formación y seguimiento de acciones correctivas.

El reto transversal consiste en transformar la seguridad desde un conjunto de medidas independientes en una capacidad permanente de gestión de riesgos, protección y resiliencia.

Matriz integrada de vulnerabilidades, exigencias y soluciones

La siguiente matriz constituye una base para un diagnóstico técnico y una auditoría de cumplimiento. Distingue los ámbitos de NIS2 y CER sin confundir sus objetivos.

 

Vulnerabilidad o riesgo	Exigencia de referencia	Solución técnica u organizativa
Redes IT/OT insuficientemente segmentadas	NIS2: gestión de riesgos de los sistemas de información	Segmentación, control de flujos, inventario y monitorización IT/OT.
Accesos privilegiados o remotos sin controles suficientes	NIS2: control de accesos y seguridad de sistemas	Autenticación multifactor, mínimo privilegio, gestión de cuentas y trazabilidad.
Instalaciones vulnerables ante intrusión o sabotaje	CER: artículo 13, medidas de resiliencia	Protección por capas, detección, control de accesos y procedimientos de respuesta.
Dependencias desconocidas entre servicios esenciales	CER: artículos 12 y 13	Mapa de dependencias, análisis de impactos y alternativas de suministro.
Proveedores críticos sin evaluación adecuada	NIS2: seguridad de la cadena de suministro	Clasificación, diligencia debida, requisitos contractuales y planes de contingencia.
Respuesta descoordinada ante incidentes híbridos	NIS2 y CER: gestión de incidentes y resiliencia	Procedimiento común de incidentes, mando coordinado y comunicaciones de crisis.
Ausencia de capacidad de operación degradada	CER: continuidad, respuesta y recuperación	Procedimientos manuales seguros, redundancia y niveles mínimos de servicio.
Falta de implicación de la dirección	NIS2: artículo 20, gobernanza	Supervisión ejecutiva, aprobación de medidas, recursos y rendición de cuentas.
Personal insuficientemente preparado	NIS2: artículo 20 y medidas del artículo 21; CER: medidas de resiliencia aplicables	Formación, ejercicios, control de privilegios y evaluación de competencias.
Planes sin pruebas ni evidencias	NIS2: gestión de riesgos y supervisión; CER: evaluación y supervisión	Auditoría, simulacros, pruebas de recuperación, evidencias y cierre de deficiencias.

 

Las referencias a NIS2 deben interpretarse conforme a sus artículos 20 y 21, relativos a gobernanza y medidas de gestión de riesgos, respectivamente. Para CER, los artículos 12 y 13 regulan la evaluación de riesgos de las entidades críticas y las medidas de resiliencia.

La aplicabilidad concreta de cada control debe determinarse en función del ámbito normativo de la entidad, la legislación española vigente, su sector y sus riesgos. La matriz no sustituye una evaluación jurídica ni una auditoría formal.

Soluciones para un modelo integrado de seguridad y resiliencia

Se propone un modelo organizado en ocho líneas de actuación, concebido para que la entidad pueda pasar del diagnóstico a una capacidad operativa verificable.

Gobierno y dirección estratégica

• Aprobar una política corporativa de seguridad y resiliencia.
• Designar responsables y definir competencias y delegaciones.
• Crear un comité de riesgos y resiliencia.
• Integrar seguridad, ciberseguridad, operaciones, continuidad y gestión de crisis.
• Asegurar recursos humanos, tecnológicos y económicos suficientes.

Evaluación integral y dinámica de riesgos

• Inventariar activos, sistemas, procesos y servicios esenciales.
• Evaluar amenazas, vulnerabilidades, probabilidad, impacto y capacidad de recuperación.
• Analizar escenarios físicos, cibernéticos, humanos, ambientales e híbridos.
• Incorporar interdependencias, proveedores y consecuencias transfronterizas.
• Revisar los riesgos después de incidentes, cambios tecnológicos o alteraciones significativas del entorno.

Arquitectura de protección física, electrónica y digital

• Implantar protección física por capas.
• Integrar detección de intrusión, CCTV, control de accesos y gestión de alarmas.
• Separar las redes corporativas de las redes de control industrial.
• Proteger los sistemas de operación, comunicaciones y acceso remoto.
• Mantener configuraciones seguras, copias protegidas y mecanismos de recuperación.

Inteligencia y alerta temprana

• Recopilar información relevante sobre amenazas y vulnerabilidades.
• Establecer indicadores de alerta y escenarios de riesgo.
• Compartir información conforme a los procedimientos y requisitos de confidencialidad aplicables.
• Relacionar la información de amenazas con las decisiones operativas y la actualización de los planes.

Gestión integral de incidentes y crisis

• Definir niveles de activación y escalado.
• Establecer un centro de coordinación o estructura de mando adaptada al tamaño y criticidad de la entidad.
• Unificar los procedimientos de notificación, investigación, respuesta y recuperación.
• Coordinar los incidentes físicos, digitales y operacionales con las autoridades y los servicios de emergencia cuando proceda.

Continuidad, resiliencia y recuperación

• Identificar servicios prioritarios y niveles mínimos de operación.
• Definir objetivos de recuperación y tolerancias a la interrupción.
• Preparar recursos alternativos, procedimientos manuales y redundancias.
• Verificar la restauración segura de sistemas IT/OT y la integridad de los datos.
• Establecer criterios de retorno a la operación normal.

Coordinación externa y cadena de suministro

• Identificar proveedores esenciales y dependencias indirectas.
• Establecer acuerdos de comunicación, apoyo y recuperación.
• Verificar la seguridad de los servicios externalizados.
• Integrar los planes propios con los mecanismos de coordinación pública y sectorial.

Medición, auditoría y mejora continua

• Definir indicadores de riesgo, seguridad y resiliencia.
• Evaluar periódicamente el cumplimiento normativo.
• Realizar simulacros y pruebas técnicas.
• Registrar las deficiencias, asignar responsables y verificar las correcciones.
• Informar a la dirección sobre el riesgo residual y la evolución de la capacidad de respuesta.

Hoja de ruta para implantar NIS2 y CER en una infraestructura crítica

La aplicación práctica debe realizarse por fases, adaptando los plazos a las obligaciones legales, el riesgo de la entidad y su capacidad de ejecución.

Fase 1. 0–30 días           Diagnóstico y priorización

Confirmar el ámbito normativo aplicable, inventariar los servicios esenciales, identificar los principales riesgos y evaluar las deficiencias que requieren intervención inmediata.

Fase 2. 30–90 días         Gobernanza y plan de acción

Asignar responsabilidades, aprobar prioridades, establecer un registro de riesgos y definir un plan de adecuación con recursos, responsables, plazos y evidencias.

Fase 3. 3–6 meses         Implantación de medidas prioritarias

Corregir deficiencias críticas, reforzar la protección física y digital, asegurar las copias de recuperación, controlar los accesos y formalizar los procedimientos de incidentes y continuidad.

Fase 4. 6–12 meses       Convergencia y validación operativa

Integrar los planes de seguridad, ciberseguridad y continuidad; realizar ejercicios de crisis; probar la recuperación de sistemas y evaluar la respuesta de proveedores y equipos internos.

Fase 5. Permanente       Auditoría y mejora continua

Actualizar la evaluación de riesgos, revisar indicadores, verificar las acciones correctivas y adaptar los controles a los cambios normativos, tecnológicos y operacionales.

Los plazos anteriores son una propuesta de planificación, no plazos legales establecidos por NIS2 o CER. Deben ajustarse a las obligaciones concretas, a las notificaciones de las autoridades y a las deficiencias detectadas.

Indicadores para medir la eficacia del sistema

El cumplimiento debe comprobarse mediante resultados verificables, no únicamente mediante la existencia de políticas y documentos.

Los siguientes indicadores pueden incorporarse a un cuadro de mando de seguridad y resiliencia.

Indicador	Qué permite comprobar
Cobertura del inventario de activos críticos	Si se conocen los activos, sistemas y procesos esenciales.
Porcentaje de riesgos críticos con tratamiento aprobado	Si los riesgos prioritarios tienen medidas y responsables asignados.
Vulnerabilidades críticas pendientes	Si persisten exposiciones técnicas que requieren corrección urgente.
Cobertura de monitorización IT/OT	Si los sistemas prioritarios cuentan con capacidad adecuada de detección.
Tiempo medio de detección y respuesta	La rapidez para identificar y contener incidentes.
Cumplimiento de los objetivos de recuperación	Si los servicios pueden restablecerse dentro de los objetivos definidos.
Porcentaje de ejercicios satisfactorios	Si los procedimientos y equipos responden según lo previsto.
Proveedores críticos evaluados	Si se conocen y gestionan los riesgos de terceros esenciales.
Acciones correctivas vencidas	Si las deficiencias identificadas se resuelven oportunamente.
Interrupciones de servicios esenciales	El impacto real de los incidentes sobre la prestación del servicio.

 

Los objetivos numéricos deben fijarse según la criticidad, el riesgo residual y los requisitos sectoriales. Por ejemplo, un objetivo de recuperación no puede establecerse de forma uniforme para un hospital, una instalación eléctrica y un sistema de transporte.

El modelo español: convergencia entre protección, ciberseguridad y resiliencia

La adaptación de las infraestructuras críticas españolas a NIS2 y CER exige una evolución en tres niveles.

Nivel estratégico            Gobierno y responsabilidad

Integrar los riesgos en la dirección de la organización, definir el apetito de riesgo, asignar recursos y asegurar el cumplimiento de las obligaciones legales.

Nivel táctico       Planificación y coordinación

Unificar evaluaciones de riesgos, planes de seguridad, análisis de dependencias, continuidad, gestión de proveedores y procedimientos de crisis.

Nivel operativo  Protección y capacidad de respuesta

Implantar controles físicos y digitales, monitorizar amenazas, detectar incidentes, mantener la operación degradada y recuperar los servicios.

En el ámbito español, este modelo debe articularse con el sistema PIC y sus instrumentos aplicables, con las autoridades competentes y los mecanismos sectoriales de coordinación. La implantación de CER debe integrarse con ese marco nacional a medida que se concrete su desarrollo legislativo.

La coordinación público-privada resulta esencial: los operadores conocen sus activos, procesos y dependencias; las autoridades aportan competencias, información, coordinación y mecanismos de respuesta. Ambos deben poder actuar de manera coherente ante incidentes que afecten a servicios esenciales.

Conclusiones

Las principales vulnerabilidades de las infraestructuras críticas en España no proceden exclusivamente de la falta de barreras físicas o de controles informáticos. Se encuentran también en las interdependencias, la concentración de proveedores, la fragmentación organizativa, la insuficiente preparación para operar en situaciones degradadas y la falta de pruebas que acrediten la eficacia de las medidas implantadas.

NIS2 y CER impulsan una transformación que puede resumirse en cinco principios:

De la seguridad aislada a la seguridad convergente: las amenazas físicas, digitales, humanas y operacionales deben analizarse de forma conjunta.

De la protección de activos a la continuidad de servicios: la prioridad debe ser evitar que un incidente provoque una interrupción inaceptable del servicio esencial.

De la gestión estática a la anticipación dinámica: los riesgos, las amenazas y las dependencias deben revisarse continuamente.

De los planes documentales a la capacidad demostrada: la eficacia debe acreditarse mediante pruebas, ejercicios, auditorías y resultados.

De la responsabilidad departamental a la gobernanza integral: la dirección, las áreas de seguridad y tecnología, las operaciones y los proveedores deben compartir objetivos y responsabilidades.

La resiliencia no significa únicamente impedir un ataque. Significa también resistir su impacto, mantener las funciones esenciales, adaptarse a las circunstancias, recuperarse de manera segura y aprender de cada incidente.

El objetivo final para España debe ser disponer de infraestructuras capaces de prestar sus servicios esenciales con un nivel de seguridad y continuidad adecuado incluso cuando se produzcan incidentes graves, simultáneos o prolongados. Para alcanzarlo, NIS2 y CER deben convertirse en un marco de gestión operativo y verificable, integrado en la estrategia de cada entidad y no limitado al cumplimiento documental.