La resiliencia geopolítica como nueva dimensión de la gestión tecnológica
Uno de los elementos diferenciales del nuevo paradigma consiste en incorporar la geopolítica a la gestión de la innovación y la tecnología.
Tradicionalmente, las organizaciones han evaluado sus dependencias tecnológicas atendiendo a criterios económicos, operativos, contractuales y de disponibilidad.
Sin embargo, la creciente competencia estratégica entre potencias, las tensiones internacionales, las restricciones comerciales, las políticas de control de exportaciones, la concentración de capacidades tecnológicas y las vulnerabilidades de las cadenas de suministro han convertido las dependencias geopolíticas en factores relevantes de riesgo empresarial y de seguridad nacional.
En consecuencia, una organización puede disponer de sistemas técnicamente seguros y, al mismo tiempo, presentar vulnerabilidades estructurales derivadas de su dependencia de fabricantes, tecnologías, infraestructuras o jurisdicciones externas.
Por ejemplo, una interrupción en el suministro de semiconductores, la imposibilidad de acceder a actualizaciones de software, una restricción de exportación tecnológica, la indisponibilidad de servicios cloud o la pérdida de soporte de un fabricante pueden comprometer la continuidad de una infraestructura esencial sin que necesariamente se haya producido un ciberataque.
De ahí surge la necesidad de incorporar una nueva dimensión: la resiliencia geopolítica y tecnológica.
Definición de resiliencia geopolítica
Se propone definirla como:
La capacidad de una organización, infraestructura crítica o entidad esencial para anticipar, evaluar, prevenir, absorber, gestionar y superar las perturbaciones derivadas de tensiones geopolíticas, conflictos internacionales, restricciones tecnológicas, dependencias estratégicas y alteraciones de las cadenas de suministro, manteniendo su autonomía operativa, su seguridad y la continuidad de los servicios esenciales.
Esta definición incorpora cuatro capacidades fundamentales:
- Anticipación estratégica.
- Diversificación y reducción de dependencias.
- Capacidad de sustitución y adaptación tecnológica.
- Continuidad y recuperación frente a perturbaciones geopolíticas.
Principales dimensiones de la resiliencia geopolítica
Modelo de resiliencia geopolítica integral
Soberanía tecnológica
Control de dependencias tecnológicas, capacidades estratégicas y acceso a componentes críticos.
Resiliencia de suministro
Diversificación de proveedores, trazabilidad, alternativas y planes de contingencia.
Independencia operativa
Capacidad de mantener servicios tecnológicos esenciales ante la pérdida de proveedores o plataformas externas.
Inteligencia estratégica
Seguimiento de riesgos geopolíticos, regulatorios, tecnológicos y de seguridad internacional.
Líneas de actuación
La resiliencia geopolítica debe traducirse en actuaciones concretas:
- Elaboración de mapas de dependencias tecnológicas y estratégicas.
- Identificación de proveedores críticos y subproveedores.
- Evaluación del riesgo país y de la jurisdicción aplicable a los proveedores.
- Análisis de concentración de proveedores y puntos únicos de fallo.
- Diversificación geográfica y tecnológica.
- Evaluación de alternativas de sustitución de componentes y servicios.
- Desarrollo de capacidades internas y conocimiento tecnológico propio.
- Establecimiento de estrategias de salida (exit strategies) para servicios externalizados.
- Garantía de portabilidad de datos, interoperabilidad y capacidad de recuperación.
- Identificación de tecnologías críticas cuya indisponibilidad podría comprometer servicios esenciales.
La finalidad no es alcanzar una autarquía tecnológica, sino conseguir una autonomía estratégica suficiente para evitar que una dependencia externa se convierta en una vulnerabilidad sistémica.
Arquitectura del modelo integral de gestión de innovación, seguridad y resiliencia
A partir de los elementos anteriores, se propone un modelo de gestión integrado que articule la innovación tecnológica, la seguridad, la ciberseguridad, el cumplimiento normativo y la resiliencia geopolítica.
El modelo puede estructurarse en seis dominios interrelacionados:
Arquitectura conceptual propuesta
GOBERNANZA ESTRATÉGICA
Dirección · Riesgos · Cumplimiento · Inversión · Responsabilidad
- Innovación segura – Security by Design
- Ciberseguridad – Protección digital y OT
- Seguridad integral – Protección física y lógica
- Resiliencia operativa – Continuidad y recuperación
- Gobernanza normativa – NIS-2 · CER · ISO 27001
- Resiliencia geopolítica – Autonomía y suministro
RESULTADO: INFRAESTRUCTURA SEGURA Y RESILIENTE
DISPONIBILIDAD INTEGRIDAD ·CONFIDENCIALIDAD ·CONTINUIDAD
ADAPTABILIDAD ·AUTONOMÍA ESTRATÉGICA
Elaboración conceptual propia. Los seis dominios se gestionan transversalmente y no constituyen compartimentos independientes.
Gobernanza estratégica
La dirección de la organización debe asumir la responsabilidad de integrar la seguridad en la estrategia de innovación, definir el apetito de riesgo, aprobar las inversiones necesarias y supervisar la eficacia de las medidas implantadas.
La gobernanza debe conectar las funciones de innovación, tecnología, seguridad de la información, ciberseguridad, continuidad de negocio, seguridad física, compras y gestión de riesgos.
Gestión integral de riesgos
Es necesario establecer una metodología común que permita identificar y evaluar:
- Riesgos tecnológicos y cibernéticos.
- Riesgos físicos y operacionales.
- Riesgos humanos y organizativos.
- Riesgos de terceros y cadenas de suministro.
- Riesgos geopolíticos y regulatorios.
- Riesgos de obsolescencia y dependencia tecnológica.
La evaluación debe considerar la probabilidad, el impacto, la interdependencia de los activos y las consecuencias de la interrupción de los servicios esenciales.
Arquitectura de seguridad y resiliencia
La arquitectura debe integrar las tecnologías de protección física y lógica con los sistemas de monitorización, detección, respuesta y recuperación.
Asimismo, debe contemplar la separación y protección de los entornos IT y OT, la gestión de identidades, la segmentación de redes, la redundancia de servicios y la recuperación de sistemas críticos.
Gestión de la cadena de suministro
La seguridad de los proveedores debe integrarse en todo el ciclo de contratación y gestión tecnológica.
Esto incluye la evaluación previa, los requisitos contractuales, las auditorías, la supervisión continua, la gestión de vulnerabilidades, la trazabilidad de componentes y los planes de sustitución.
Continuidad, respuesta y recuperación
La organización debe disponer de capacidades verificables para mantener sus servicios esenciales ante incidentes, incluyendo:
- Planes de continuidad de negocio (BCP).
- Planes de recuperación tecnológica (DRP).
- Planes de respuesta a incidentes.
- Planes de gestión de crisis.
- Protocolos de comunicación y coordinación.
- Ejercicios y simulacros periódicos.
Evaluación y mejora continua
La eficacia del modelo debe medirse mediante indicadores de seguridad, madurez, resiliencia, cumplimiento y dependencia tecnológica.
El resultado debe alimentar las decisiones de innovación, inversión y transformación organizativa.
Modelo de implantación: hoja de ruta estratégica y operativa
Para convertir el paradigma conceptual en un modelo operativo, se propone una implantación progresiva en cinco fases.
| Fase | Actuaciones principales | Resultado |
| 1. Diagnóstico | Inventario de activos, servicios esenciales, riesgos, dependencias y situación normativa | Mapa de situación y brechas |
| 2. Diseño | Definición de arquitectura de seguridad, SGSI y modelo de resiliencia | Modelo integrado |
| 3. Implantación | Aplicación de controles tecnológicos, organizativos y físicos | Capacidades de protección |
| 4. Validación | Auditorías, pruebas de seguridad, simulacros y certificación ISO 27001 | Evidencias de eficacia |
| 5. Evolución | Monitorización, inteligencia de amenazas y reevaluación estratégica | Mejora continua |
8.1. Indicadores de desempeño y resiliencia
La gestión debe apoyarse en indicadores que permitan comprobar el grado de implantación y la eficacia real del modelo.
Algunos indicadores propuestos son:
| Indicador | Qué permite evaluar |
| Cobertura de activos críticos | Porcentaje de activos identificados y clasificados |
| Cobertura de Security by Design | Proyectos tecnológicos con requisitos de seguridad desde su inicio |
| Madurez de ciberseguridad | Eficacia de los controles de protección y detección |
| Riesgo residual | Exposición después de aplicar medidas de tratamiento |
| Dependencia de proveedores críticos | Concentración y vulnerabilidad de suministro |
| Tiempo de detección (MTTD) | Capacidad de identificar incidentes |
| Tiempo de recuperación (RTO) | Capacidad de recuperar servicios |
| Pérdida máxima de datos (RPO) | Capacidad de recuperación de información |
| Cobertura del SGSI | Alcance y grado de implantación del sistema |
| Resiliencia geopolítica | Capacidad de sustitución y continuidad ante perturbaciones externas |
Estos indicadores deben disponer de objetivos, responsables, periodicidad de medición y mecanismos de escalado a la dirección.
No basta con medir el número de herramientas desplegadas o de controles implantados: es necesario demostrar que la organización puede mantener sus funciones esenciales ante escenarios adversos.
Implicaciones estratégicas para la innovación y la competitividad
La adopción de este paradigma supone una transformación profunda de la forma en que las organizaciones conciben y gestionan la innovación.
En primer lugar, modifica los criterios de selección de tecnologías. Una solución ya no debe evaluarse únicamente por sus funcionalidades, costes o rendimiento, sino también por su seguridad, capacidad de recuperación, interoperabilidad, trazabilidad y dependencia de terceros.
En segundo lugar, transforma la relación entre innovación y gestión de riesgos. La seguridad pasa a participar desde las primeras decisiones de inversión y diseño, evitando que las vulnerabilidades estructurales se descubran cuando los sistemas ya están desplegados.
En tercer lugar, amplía el concepto de competitividad. La capacidad de ofrecer servicios seguros, fiables y continuos se convierte en un factor de confianza para clientes, administraciones públicas, socios tecnológicos y operadores de infraestructuras críticas.
Finalmente, incorpora una dimensión de autonomía estratégica. Las organizaciones capaces de identificar sus dependencias y disponer de alternativas tecnológicas estarán mejor preparadas para afrontar interrupciones de suministro, cambios regulatorios y perturbaciones internacionales.
En este sentido, el nuevo paradigma permite establecer una relación directa entre innovación, seguridad, resiliencia y sostenibilidad tecnológica.
Conclusiones: hacia una nueva cultura de innovación segura y resiliente
La evolución del entorno tecnológico, la transformación digital y la creciente complejidad de las amenazas hacen necesario superar los modelos tradicionales de gestión de la innovación y la tecnología.
Las directivas europeas NIS-2 y CER representan un cambio significativo en la concepción de la seguridad de las organizaciones y de las infraestructuras que prestan servicios esenciales. Ambas establecen la necesidad de gestionar los riesgos desde una perspectiva integral, contemplando tanto las amenazas digitales como las físicas, operativas y sistémicas.
En este contexto, la incorporación de Security by Design, la implantación de un Sistema de Gestión de Seguridad de la Información certificado conforme a ISO/IEC 27001 y el desarrollo de capacidades de resiliencia geopolítica constituyen elementos fundamentales de un modelo avanzado de gestión tecnológica.
La propuesta presentada permite evolucionar desde una visión fragmentada de la seguridad hacia una arquitectura integrada en la que convergen:
- La innovación tecnológica segura.
- La protección de infraestructuras críticas.
- La ciberseguridad y la seguridad física.
- La gestión de riesgos y el cumplimiento normativo.
- La continuidad de los servicios esenciales.
- La seguridad de las cadenas de suministro.
- La autonomía y resiliencia geopolítica.
- La mejora continua y la gobernanza corporativa.
La principal transformación consiste en reconocer que la seguridad no es una característica adicional de la tecnología, sino una condición estructural para que la innovación pueda generar valor de manera sostenible.
El nuevo paradigma puede sintetizarse en una idea central: no se trata únicamente de innovar para transformar las organizaciones, sino de innovar para construir organizaciones, tecnologías e infraestructuras capaces de operar, resistir, adaptarse y evolucionar en un entorno de amenazas, incertidumbre e interdependencia global.
De esta manera, la seguridad se convierte en un factor estratégico de innovación, la resiliencia en una capacidad organizativa esencial y la autonomía tecnológica en una condición para la continuidad y sostenibilidad de los servicios críticos.
