La escalada bélica en Irán ha expuesto dos sensibles costuras de España: la protección de las entidades críticas y la ciberseguridad. En plena guerra, el Gobierno se ha visto forzado a dar pasos para blindar ambos flancos, pues tenía deberes pendientes y, ahora, la urgencia apremia ante potenciales injerencias extranjeras.
El pasado martes el Consejo de Ministros aprobó el Proyecto de ley de Protección y Resiliencia de las Entidades críticas, tal y como adelantó en exclusiva Demócrata. La iniciativa transpone la Directiva europea 2022/2557 sobre la salvaguarda de aquellas organizaciones que prestan servicios esenciales en sectores estratégicos y resultan indispensables para mantener las funciones sociales o las actividades económicas, que la tenía pendiente.
Qué es una entidad crítica y por qué se debe proteger
Una entidad crítica es cualquier organización —pública o privada— que presta un servicio esencial para el funcionamiento de la sociedad o de la economía. Su relevancia no depende tanto de su tamaño como del impacto que tendría una interrupción de su actividad.
La nueva regulación introduce además el concepto de “efecto perturbador significativo”, que permite medir hasta qué punto una caída del servicio podría afectar a la seguridad, la salud pública o la estabilidad económica. Es ese impacto potencial el que determina si una infraestructura o entidad debe ser considerada crítica.
En la práctica, esto incluye desde operadores energéticos hasta hospitales, redes de transporte, sistemas de abastecimiento de agua o instalaciones vinculadas a la cadena alimentaria. Se trata de actividades cuya interrupción no solo afecta a usuarios concretos, sino que puede generar efectos en cascada sobre el conjunto del sistema económico y social.
Es una cuestión de seguridad nacional, por lo que afecta a los siguientes sectores:
- Energía.
- Transporte.
- Sanidad.
- Sector bancario.
- Mercados financieros.
- Agua.
- Infraestructuras digitales
- Administración pública.
- Alimentación.
- Industria nuclear.
- Infraestructuras de investigación.
- Seguridad privada.
Algunos sectores como el bancario, los mercados financieros o las infraestructuras digitales quedan al margen del nuevo proyecto de ley porque ya cuentan con marcos regulatorios específicos, especialmente en el ámbito de la ciberseguridad.
La importancia de las entidades críticas ha cobrado protagonismo en los últimos años a raíz de crisis encadenadas. La pandemia, la guerra en Ucrania o las tensiones geopolíticas han puesto de manifiesto la vulnerabilidad de las cadenas de suministro y de los servicios esenciales.
Un fallo en algún eslabón de una de estas infraestructuras puede traducirse en apagones, interrupciones del transporte, problemas sanitarios o desabastecimientos. Por eso, la prioridad de las administraciones es garantizar no solo su protección física, sino también su capacidad de resistir, adaptarse y recuperarse ante incidentes.
¿Qué cambia y cuándo?
El Proyecto de ley de Entidades críticas adapta la normativa española para establecer un modelo más estructurado, basado en la prevención y la gestión del riesgo. Uno de sus principales pilares será la Estrategia Nacional de Protección y Resiliencia, que se apoyará en una evaluación periódica de amenazas y riesgos. A partir de ahí, se coordinarán planes nacionales, sectoriales y operativos, en los que participarán tanto las administraciones como las propias empresas.
Como gran novedad, un esquema nacional de certificación en resiliencia, un mecanismo que hasta ahora no existía en este ámbito y que permitiría evaluar de forma estandarizada si las medidas adoptadas por las entidades cumplen determinados niveles de calidad, seguridad y cumplimiento normativo. En la práctica, funcionará como un sello que acreditará que una organización está preparada para afrontar riesgos y garantizar la continuidad de sus servicios.
Sin embargo, todo lo antecitado no es ni mucho menos de aplicación inmediata. El proyecto de ley ha sido remitido al Congreso y deberá superar la siempre ardua tramitación parlamentaria, máxime en un contexto de falta de mayorías de un Ejecutivo que suda para sacar cualquier ley -y muchas de ellas se quedan en el camino, bien porque permanecen bloqueadas al calor de sucesivas ampliaciones del plazo de enmiendas, o bien porque decaen-.
Sistemas antidrones y biometría, más lejos
El texto del proyecto de ley, al que ha tenido acceso Demócrata, permite la instalación de sistemas antidrones y de reconocimiento biométrico. Sin embargo, su implementación deberá esperar aún más. El redactado establece que se regulará mediante sendos reales decretos que deberá aprobar el Consejo de Ministros en un futuro. Además, su uso deberá estar justificado en función de la Evaluación Nacional de Amenazas y Riesgos, lo que permitirá adaptar las medidas a la criticidad de cada instalación.
Noticia destacada
España refuerza sus infraestructuras críticas con sistemas antidrones y reconocimiento biométrico
3 minutos
Ciberseguridad, una asignatura pendiente
El presidente del Gobierno, Pedro Sánchez, es perfectamente consciente de la necesidad de invertir en ciberseguridad, no en vano, en el paquete que anunció hace casi un año (en abril de 2025) para elevar el gasto en Defensa al 2% del PIB, especificó que un 31% de los 10.471 millones de euros invertidos se dedicarían a elaborar, fabricar y adquirir nuevas capacidades de telecomunicaciones y ciberseguridad.
El propósito era crear una suerte de “escudo digital” para garantizar la protección de los derechos en este ámbito frente a hackers, estimulando la nube, el 5G, la Inteligencia Artificial y la computación cuántica.
Pero tan vital es invertir para robustecer el escudo digital como tener la legislación actualizada, y España está completamente desactualizada. Hace más de un año que pasó por el Consejo de Ministros el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en primera vuelta (en concreto, el 14 de enero de 2025). Esta es la iniciativa a través de la cual el Ejecutivo pretende transponer la Directiva (UE) 2022/2555, comúnmente conocida como Directiva NIS2, que debía haberse integrado ya en el ordenamiento jurídico español antes de octubre de 2024.
La iniciativa afecta a los sectores considerados de alta criticidad para el normal funcionamiento del país, coincidiendo con buena parte de las entidades críticas:
- Energía (electricidad, gas, petróleo, hidrógeno).
- Transporte (aéreo, ferroviario, marítimo, carreteras).
- Banca y mercados financieros
- Sanidad y productos farmacéuticos.
- Agua potable y aguas residuales.
- Infraestructuras digitales y servicios tecnológicos (por ejemplo, centros de datos o servicios DNS).
- Entidades de la administración pública y sector espacial.
- Industria nuclear.
El retraso en la transposición de la directiva se debe a que Europa prepara un nuevo paquete de Ciberseguridad (el desvelado el pasado 20 de enero), y tanto esta iniciativa como el Ómnibus Digital sobre IA y Centros de Datos anticipan nuevas modificaciones a la NIS2 y España aguarda para transponer todo en el mismo articulado, el de Ciberseguridad.
Dos pequeños grandes pasos
Esta semana España ha dado dos pequeños, pero grandes pasos, para modernizar toda su estructura de defensa. En primer lugar, aprobado el proyecto de ley en Consejo de Ministros y remitiéndolo a las Cortes para su tramitación. Y en segundo, ha abierto la Consulta Pública sobre la propuesta del Ómnibus Digital, en concreto, en lo relativo a centros de datos.