La disrupción se ha convertido en un instrumento estratégico de amenaza y presión geopolítica. Las infraestructuras críticas y estratégicas, tradicionalmente consideradas activos económicos y tecnológicos, constituyen hoy objetivos de alto valor para actores estatales y no estatales que buscan erosionar la estabilidad institucional, alterar los servicios esenciales, generar incertidumbre económica y social y debilitar la capacidad de respuesta de los Estados.
En los actuales escenarios de confrontación híbrida, el objetivo no es necesariamente destruir una infraestructura, sino provocar su degradación, interrupción o pérdida de funcionalidad mediante acciones físicas, cibernéticas, tecnológicas, económicas o informativas, cuyos efectos pueden extenderse a otros sectores debido a la creciente interdependencia de los sistemas y servicios.
Esta realidad exige superar los modelos tradicionales de protección, centrados principalmente en la seguridad física y el control de instalaciones, para avanzar hacia un modelo de gestión integral e integrado que incorpore inteligencia preventiva, análisis geopolítico, gestión dinámica de riesgos, seguridad convergente, protección tecnológica, gestión de crisis y continuidad operativa.
Se propone un nuevo paradigma en el que la seguridad deja de ser una función auxiliar para convertirse en una capacidad estratégica de las organizaciones y del Estado. Asimismo, plantea la evolución del papel del Director de Seguridad hacia una función de dirección y coordinación multidisciplinar, integrada en el gobierno corporativo y en la gestión global de riesgos y amenazas.
La finalidad última es garantizar que las infraestructuras críticas puedan anticiparse a las amenazas, resistir las disrupciones, mantener sus funciones esenciales y recuperar sus capacidades, contribuyendo así a la estabilidad económica, la seguridad nacional y la resiliencia del Estado.
Manuel Sánchez Gómez-Merelo
Consultor Internacional de Seguridad
Veamos esquemáticamente la realidad de nuestra percepción y establecer un decálogo de la situación.
Introducción: la disrupción como instrumento de confrontación estratégica
La seguridad internacional está experimentando una transformación profunda. La creciente rivalidad geopolítica, la aparición de nuevas formas de confrontación y la dependencia de las tecnologías de la información y las comunicaciones están modificando la naturaleza de los riesgos y amenazas que afectan a los Estados y a sus infraestructuras esenciales.
En este escenario, la disrupción ha adquirido una dimensión estratégica. La capacidad de alterar el funcionamiento de una infraestructura, interrumpir un suministro, degradar un sistema de comunicaciones o comprometer una cadena de servicios puede generar consecuencias que trascienden ampliamente el ámbito de la instalación afectada.
Las infraestructuras críticas constituyen, por tanto, un elemento central de la estabilidad nacional. Su funcionamiento condiciona la actividad económica, la seguridad de la población, la prestación de servicios públicos y la capacidad de respuesta de las instituciones.
El cambio fundamental reside en que el objetivo de una acción hostil no tiene por qué ser la destrucción de un activo. Puede perseguir la pérdida temporal de funcionalidad, la interrupción de un servicio esencial, la generación de incertidumbre o el debilitamiento de la confianza en las instituciones.
La disrupción se convierte así en un instrumento de presión que puede utilizarse en escenarios de conflicto abierto, confrontación híbrida, competencia geopolítica o desestabilización estratégica.
Esta transformación obliga a reconsiderar los planteamientos tradicionales de seguridad y a desarrollar capacidades que permitan anticiparse a los riesgos, proteger las funciones esenciales y garantizar la continuidad de los servicios.
La transformación geopolítica de las amenazas: infraestructuras críticas como objetivos estratégicos
La creciente interdependencia entre países, sectores económicos, operadores y sistemas tecnológicos ha convertido las infraestructuras críticas en elementos de especial valor geopolítico.
Los sectores energético, transporte, agua, alimentación, sanitario, financiero, telecomunicaciones, digital e industrial constituyen redes de servicios interrelacionados. Su funcionamiento depende de infraestructuras, suministros, comunicaciones, plataformas tecnológicas y proveedores que, en muchos casos, operan a escala internacional.
Esta interdependencia genera una exposición sistémica: una incidencia localizada puede propagarse y afectar a múltiples organizaciones y servicios.
En consecuencia, la amenaza debe analizarse desde una perspectiva que contemple tres dimensiones:
- Dimensión estratégica. La utilización de dependencias económicas, tecnológicas o energéticas como instrumentos de presión sobre otros Estados.
- Dimensión operativa. La alteración, interrupción o degradación de instalaciones, sistemas, procesos y servicios esenciales.
- Dimensión social e institucional. La generación de incertidumbre, desconfianza, desabastecimiento, alarma social y pérdida de credibilidad institucional.
El verdadero alcance de una disrupción puede encontrarse en sus efectos indirectos y acumulativos. La interrupción de una infraestructura puede desencadenar consecuencias sobre otras actividades que dependen de ella, multiplicando el impacto inicial.
Por ello, el objeto de protección debe dejar de ser exclusivamente el activo físico para incorporar el servicio esencial, sus capacidades funcionales y el conjunto de dependencias que permiten mantenerlo.
Amenazas híbridas y estrategias de disrupción
La confrontación híbrida representa uno de los escenarios más complejos para la protección de las infraestructuras críticas.
Su característica principal es la combinación de diferentes instrumentos de actuación, que pueden incluir acciones físicas, cibernéticas, económicas, informativas, tecnológicas y de influencia.
Estas actuaciones pueden desarrollarse de forma simultánea, sucesiva o aparentemente independiente, dificultando su identificación y atribución.
Entre las principales modalidades destacan:
| Tipo de amenaza | Posibles efectos |
| Sabotaje físico | Daños e interrupción de instalaciones |
| Ciberataques | Pérdida de disponibilidad e integridad de sistemas |
| Ataques a sistemas industriales | Alteración o paralización de procesos |
| Amenazas internas | Compromiso de información y operaciones |
| Manipulación informativa | Desconfianza y alarma social |
| Presión económica | Dependencia y restricciones de suministro |
| Ataques a proveedores | Interrupción de servicios y componentes |
| Interferencias tecnológicas | Degradación de comunicaciones y sistemas |
La complejidad de estas amenazas reside también en la dificultad de diferenciar entre incidentes accidentales, fallos tecnológicos, actuaciones delictivas y acciones deliberadamente orientadas a producir efectos estratégicos.
Por tanto, la protección requiere capacidades de análisis contextual, correlación de acontecimientos, intercambio de información y valoración de posibles escenarios.
La respuesta no puede limitarse a reaccionar ante cada incidente por separado. Debe contemplar la posibilidad de que distintos acontecimientos formen parte de una misma dinámica de presión o desestabilización.
La interdependencia y las vulnerabilidades sistémicas
La transformación digital y la automatización industrial han incrementado la eficiencia de las infraestructuras, pero también han ampliado su superficie de exposición.
La convergencia de sistemas de tecnologías de la información (IT) y tecnologías de operación (OT), la conectividad remota, la utilización de plataformas externas y la dependencia de proveedores tecnológicos han creado nuevas relaciones de dependencia.
Esta situación obliga a ampliar el análisis de riesgos más allá de los límites físicos y organizativos de cada infraestructura.
Se deben identificar especialmente:
- Activos, instalaciones y procesos esenciales.
- Dependencias energéticas, tecnológicas y de comunicaciones.
- Proveedores y servicios externos críticos.
- Sistemas de control y automatización industrial.
- Concentraciones tecnológicas y puntos únicos de fallo.
- Dependencias internacionales y geopolíticas.
- Capacidades alternativas y recursos de sustitución.
La evaluación debe considerar tanto la probabilidad de materialización de las amenazas como la magnitud de sus consecuencias, la duración de la interrupción y la capacidad real de recuperación.
La vulnerabilidad más importante puede no encontrarse dentro de la infraestructura, sino en una dependencia externa cuya interrupción impida mantener su funcionamiento.
Inteligencia estratégica y preventiva: anticiparse a la disrupción
La inteligencia debe constituir uno de los pilares del nuevo paradigma de seguridad.
En un entorno caracterizado por la incertidumbre y la evolución permanente de las amenazas, la información adquiere valor estratégico cuando permite anticipar acontecimientos, reducir incertidumbres y orientar decisiones.
La inteligencia aplicada a la protección de infraestructuras críticas debe integrar:
- Análisis geopolítico y de riesgos internacionales.
- Inteligencia de amenazas físicas y cibernéticas.
- Monitorización de fuentes abiertas y alertas.
- Evaluación de dependencias y cadenas de suministro.
- Identificación de indicadores de riesgo.
- Análisis de tendencias y escenarios prospectivos.
- Información operativa y conocimiento de incidentes.
El proceso debe organizarse mediante un ciclo continuo de dirección, obtención, procesamiento, análisis, producción, difusión y retroalimentación.
Su finalidad es transformar información dispersa en conocimiento accionable para los responsables de seguridad y de la dirección de las organizaciones.
La inteligencia preventiva permite, además, establecer indicadores de alerta temprana, revisar escenarios de riesgo y activar medidas anticipadas antes de que una amenaza se materialice.
Este enfoque debe respetar las competencias legales, la protección de datos, la confidencialidad y los procedimientos de intercambio de información.
Seguridad convergente: protección física, electrónica, digital e industrial
La protección de las infraestructuras críticas exige superar la separación tradicional entre seguridad física y ciberseguridad.
La infraestructura actual debe entenderse como un sistema integrado en el que instalaciones, personas, equipos, comunicaciones, información y procesos industriales mantienen relaciones de dependencia.
La seguridad convergente debe integrar las siguientes dimensiones:
- Seguridad física de instalaciones y activos.
- Seguridad electrónica, vigilancia y detección.
- Ciberseguridad de redes y sistemas de información.
- Seguridad industrial y protección de entornos OT.
- Protección de la información y de los datos.
- Seguridad de personas y factor humano.
- Protección de proveedores y cadenas de suministro.
- Continuidad de negocio y servicios esenciales.
La convergencia no significa necesariamente centralizar todas las funciones en un único departamento, sino establecer una dirección coordinada, responsabilidades definidas, criterios comunes de riesgo y procedimientos compatibles.
En este sentido, la Seguridad desde el Diseño debe incorporarse en la implementación de tecnologías, el desarrollo de proyectos, la construcción de instalaciones, la contratación de servicios y la modificación de procesos operativos.
La seguridad debe estar presente desde el origen y durante todo el ciclo de vida de los activos y sistemas.
El Director de Seguridad como responsable de la integración estratégica
Uno de los cambios más significativos que requiere este nuevo escenario es la evolución del papel del Director de Seguridad.
Tradicionalmente, la función de seguridad se ha vinculado a la protección de instalaciones, la gestión de servicios de vigilancia, los sistemas de alarma, el control de accesos y la prevención de actos antisociales. Aunque estas funciones continúan siendo imprescindibles, resultan insuficientes ante la complejidad de los riesgos actuales.
El Director de Seguridad debe evolucionar hacia una función de dirección global, asesoramiento y coordinación estratégica, con capacidad para integrar las diferentes dimensiones de la seguridad en el gobierno de la organización.
Su responsabilidad debe comprender tres niveles:
Nivel estratégico: dirección y gobierno
- Participar en la definición de la política corporativa de seguridad.
- Asesorar a la alta dirección sobre riesgos estratégicos y geopolíticos.
- Integrar la seguridad en la estrategia empresarial.
- Impulsar la cultura de prevención y resiliencia.
- Supervisar el cumplimiento de los requisitos regulatorios.
- Promover la asignación de recursos y capacidades.
Nivel táctico: planificación y coordinación
- Dirigir la planificación de seguridad integral.
- Coordinar la protección física, electrónica y cibernética.
- Participar en la evaluación global de riesgos.
- Establecer mecanismos de cooperación entre departamentos.
- Supervisar los planes de seguridad y resiliencia.
- Coordinar proveedores y servicios especializados.
Nivel operativo: protección y respuesta
- Supervisar los sistemas de vigilancia y monitorización.
- Gestionar alertas e incidentes de seguridad.
- Coordinar los procedimientos de respuesta.
- Participar en la gestión de emergencias y crisis.
- Verificar la eficacia de las medidas implantadas.
- Contribuir a la recuperación de las capacidades operativas.
Esta evolución no supone sustituir las competencias de los responsables de ciberseguridad, tecnología, operaciones o continuidad, sino establecer un modelo de cooperación multidisciplinar, con responsabilidades y mecanismos de decisión claramente definidos.
El Director de Seguridad debe convertirse en uno de los articuladores de esta convergencia, especialmente en la protección integral de personas, instalaciones, información, procesos y servicios esenciales.
NIS2, CER y el marco europeo de seguridad y resiliencia
La Unión Europea ha impulsado una transformación normativa que responde precisamente a la creciente exposición a amenazas de sus infraestructuras y servicios esenciales.
Dos instrumentos adquieren especial relevancia: la Directiva CER y la Directiva NIS2.
Directiva CER: resiliencia de las entidades críticas
La Directiva (UE) 2022/2557 establece un marco común para reforzar la resiliencia de las entidades críticas frente a amenazas de diferente naturaleza, tanto naturales como provocadas por el ser humano, accidentales o intencionadas.
Su enfoque contempla la prevención, protección, respuesta, resistencia, mitigación, absorción, adaptación y recuperación.
La evaluación de riesgos debe considerar las amenazas relevantes, las dependencias, las vulnerabilidades y las consecuencias que pueden comprometer la prestación de servicios esenciales. También contempla medidas técnicas, organizativas y de seguridad y la elaboración y aplicación de planes de resiliencia.
Directiva NIS2: ciberseguridad y gestión de riesgos
La Directiva (UE) 2022/2555 establece requisitos para elevar el nivel común de ciberseguridad en la Unión Europea.
Su alcance comprende, entre otros aspectos:
- Políticas de análisis y gestión de riesgos.
- Gestión de incidentes.
- Continuidad de las actividades y recuperación.
- Seguridad de la cadena de suministro.
- Seguridad en la adquisición y mantenimiento de sistemas.
- Evaluación de la eficacia de las medidas.
- Responsabilidad y supervisión de los órganos de dirección.
La ciberseguridad deja así de ser una cuestión exclusivamente técnica para integrarse en la gobernanza y en la responsabilidad organizativa.
Complementariedad de los dos marcos
| CER | NIS2 |
| Resiliencia de entidades críticas | Ciberseguridad de entidades comprendidas en su ámbito |
| Enfoque de todos los peligros | Gestión de riesgos de ciberseguridad |
| Protección de instalaciones y servicios | Protección de redes y sistemas de información |
| Continuidad y recuperación | Continuidad tecnológica y gestión de incidentes |
| Dependencias intersectoriales | Dependencias digitales y cadena de suministro |
Ambas directivas deben aplicarse de forma coordinada, evitando duplicidades y aprovechando las evaluaciones, procedimientos y controles comunes cuando resulte jurídicamente procedente.
En España, este planteamiento debe articularse con el sistema de protección de infraestructuras críticas de la Ley 8/2011 y el Real Decreto 704/2011, además de la normativa sectorial y las disposiciones nacionales que resulten aplicables.
La implementación debe verificarse sobre la legislación nacional vigente y la situación de identificación de cada entidad, sin asumir que todas las organizaciones están sometidas a idénticas obligaciones.
La Estrategia de Preparación de la Unión Europea refuerza, asimismo, la perspectiva de anticipación, preparación ante todos los peligros y participación del conjunto de la sociedad.
El modelo integral de gestión de seguridad y resiliencia
La respuesta a la disrupción requiere un modelo que permita integrar las diferentes capacidades de seguridad bajo una misma orientación estratégica.
Se propone un modelo de gestión integral estructurado en siete componentes interdependientes.
Componente 1. Gobierno y liderazgo. Establecer la política de seguridad, responsabilidades, estructura organizativa, objetivos, recursos y mecanismos de supervisión.
Componente 2. Inteligencia y anticipación. Desarrollar capacidades de análisis geopolítico, inteligencia preventiva, vigilancia del entorno, indicadores de alerta y evaluación de escenarios.
Componente 3. Gestión global de riesgos. Identificar activos, procesos, servicios, amenazas, vulnerabilidades, dependencias, consecuencias y prioridades de tratamiento.
Componente 4. Protección convergente. Integrar seguridad física, electrónica, ciberseguridad, seguridad industrial, protección de la información y factor humano.
Componente 5. Gestión de incidentes y crisis. Disponer de procedimientos de detección, clasificación, comunicación, escalado, coordinación y toma de decisiones.
Componente 6. Continuidad y recuperación. Garantizar la disponibilidad de recursos alternativos, la operación degradada, la recuperación de sistemas y la continuidad de los servicios esenciales.
Componente 7. Evaluación y mejora continua. Medir resultados, realizar auditorías, desarrollar simulacros, identificar deficiencias y actualizar los planes.
Este modelo debe aplicarse de manera transversal a toda la organización y contemplar tanto las amenazas internas como las externas, así como las dependencias con otros operadores y sectores.
Continuidad operativa y resiliencia ante escenarios disruptivos
La capacidad de recuperación constituye uno de los elementos que mejor permiten evaluar la eficacia de un sistema de seguridad.
Una infraestructura crítica no puede considerarse suficientemente protegida si, ante un incidente, pierde durante un periodo prolongado su capacidad para prestar el servicio esencial.
La resiliencia exige disponer de capacidades para:
- Prevenir y reducir la probabilidad de incidentes.
- Resistir sus consecuencias.
- Mantener las funciones prioritarias.
- Operar en condiciones degradadas.
- Activar recursos alternativos.
- Recuperar sistemas y procesos.
- Adaptarse a nuevas condiciones de riesgo.
La continuidad operativa debe fundamentarse en un análisis de impacto sobre las actividades y servicios, la identificación de procesos prioritarios, la determinación de objetivos de recuperación y la disponibilidad de recursos de contingencia.
Es especialmente importante considerar escenarios de interrupción simultánea de servicios interdependientes, pérdida de comunicaciones, indisponibilidad de proveedores, fallos tecnológicos y restricciones de suministro.
Los planes deben probarse mediante ejercicios y simulacros que permitan comprobar no solo la capacidad de respuesta de cada departamento, sino también la coordinación entre la dirección, los equipos de seguridad, las áreas tecnológicas, los responsables operativos y los organismos externos.
La resiliencia debe entenderse como una capacidad dinámica de adaptación, aprendizaje y recuperación, y no únicamente como la existencia documental de un plan.
Coordinación público-privada y cooperación institucional
La protección de las infraestructuras críticas constituye una responsabilidad compartida.
Los operadores privados gestionan una parte importante de las instalaciones, tecnologías y servicios esenciales, mientras que las Administraciones Públicas tienen responsabilidades de dirección, regulación, coordinación y protección de los intereses generales.
La colaboración debe permitir:
- Compartir información sobre amenazas e incidentes.
- Establecer canales seguros de comunicación.
- Coordinar protocolos de actuación.
- Desarrollar ejercicios conjuntos.
- Identificar dependencias intersectoriales.
- Facilitar la asistencia y recuperación.
- Mejorar la capacidad de anticipación colectiva.
Esta cooperación debe desarrollarse con criterios de confianza, proporcionalidad, protección de información sensible y respeto a las competencias de cada organismo.
El objetivo es evolucionar hacia un ecosistema de seguridad y resiliencia en el que las capacidades públicas y privadas puedan actuar coordinada y operativamente ante situaciones que superen el ámbito de una organización o infraestructura individual.
Conclusiones: hacia una seguridad estratégica y una resiliencia integral
La disrupción se ha consolidado como una de las expresiones más relevantes de las nuevas amenazas contra las infraestructuras críticas. Su capacidad para alterar servicios esenciales, generar efectos en cadena y debilitar la estabilidad económica e institucional obliga a transformar los planteamientos tradicionales de seguridad.
Las infraestructuras críticas deben protegerse no solamente por su valor patrimonial o económico, sino por su contribución al funcionamiento de la sociedad, la autonomía estratégica y la seguridad nacional.
Este cambio exige superar los modelos centrados exclusivamente en la protección física y desarrollar un sistema integral que incorpore inteligencia preventiva, análisis geopolítico, gestión global de riesgos, protección tecnológica, ciberseguridad, seguridad industrial, coordinación institucional y continuidad operativa.
La aplicación complementaria de los marcos CER y NIS2, junto con la legislación española de protección de infraestructuras críticas y los estándares internacionales de gestión, proporciona referencias fundamentales para desarrollar estas capacidades.
Asimismo, el Director de Seguridad debe evolucionar hacia una función de dirección global y coordinación estratégica, participando en la gestión corporativa de riesgos y en la integración de las capacidades multidisciplinares de protección y resiliencia.
La verdadera eficacia de la seguridad debe medirse por la capacidad de una organización para anticipar las amenazas, resistir sus consecuencias, mantener sus servicios esenciales y recuperar sus capacidades en condiciones de incertidumbre.
En definitiva, el nuevo paradigma debe fundamentarse en una concepción de la seguridad como capacidad estratégica de las organizaciones y del Estado.
La disrupción ya no necesita destruir una infraestructura para alcanzar sus objetivos estratégicos. Puede bastar con interrumpir sus funciones, comprometer sus dependencias o debilitar su capacidad de respuesta. Por ello, la seguridad del futuro no consistirá únicamente en proteger activos, sino en garantizar la continuidad de las capacidades esenciales que sostienen la estabilidad económica, social e institucional de los Estados.
