El cumplimiento en España de los estándares de resiliencia y ciberseguridad exigidos por la UE y la OTAN está muy polarizado. Con la llegada de directivas estrictas como NIS2 (cuyo despliegue y sanciones están en pleno vigor), los sectores que manejan infraestructuras críticas llevan años de ventaja gracias a la supervisión del Centro Criptológico Nacional (CCN) y la ley PIC (Protección de Infraestructuras Críticas). Otros, sobre todo públicos, “echándose una siesta”.
El sector financiero y bancario, es con diferencia, el sector más blindado y maduro en España. Están hiperregulados no solo por NIS2, sino por el reglamento europeo DORA (Digital Operational Resilience Act), específico para el sector financiero. Sus sistemas de redundancia y copias de seguridad están diseñados para resistir ciberataques masivos sin perder datos. Empresas líderes como Santander, BBVA o Caixa invierten cientos de millones de euros anuales en ciberdefensa y realizan simulacros constantes de caída de sistemas.
Telecomunicaciones e infraestructura digital son el motor que sostiene todo lo demás. España es un referente en conectividad física y su seguridad es prioritaria. Son el objetivo número uno de la guerra híbrida. Tienen la obligación legal de garantizar la continuidad de las comunicaciones de emergencia e implementar el “veto” a proveedores de riesgo tecnológico (como Huawei) en el núcleo de sus redes 5G. Destacan empresas líderes como Telefónica (que actúa prácticamente como un brazo de ciberdefensa del Estado y colabora directamente con la OTAN), Vodafone España y Orange/MasOrange.
En cuanto a energía y suministros (eléctricas y gas), si la luz se apaga, las telecomunicaciones caen en cuestión de horas. Es un sector crítico tradicional. Están obligados por ley a proteger sus centrales de generación, redes de distribución y subestaciones frente a ataques digitales y físicos. Además, se están adaptando a marchas forzadas para cumplir con la exigencia de dotar de autonomía eléctrica de respaldo a la infraestructura telefónica que depende de ellos. Destacan Iberdrola, Endesa y Naturgy. Cuentan con centros de control de ciberseguridad (SOC) avanzados y blindados de nivel militar.
Las preocupaciones del Gobierno y la UE
El gran dolor de cabeza para el Gobierno y la UE no está en los gigantes del Ibex 35, sino, señalan fuentes conocedoras, en sectores que históricamente han visto “la ciberseguridad como un gasto informático y no como una estrategia de defensa nacional”.
El sector sanitario (hospitales y farmacéuticas), a pesar de ser considerado “esencial”, es uno de los más vulnerables en España y el más atacado mediante ransomware (secuestro de datos).
Su problema, comentan las fuentes consultadas: “Presupuestos tradicionalmente ajustados a la asistencia médica, sistemas informáticos obsoletos en muchos hospitales públicos y una enorme superficie de ataque debido a la cantidad de dispositivos médicos conectados a internet (IoT) que carecen de protocolos de seguridad fuertes”.
Por lo que se refiere a alimentación, logística y cadena de suministro, con NIS2, la distribución de alimentos y el transporte de mercancías han pasado a ser considerados sectores “importantes” o “esenciales”. Muchas medianas empresas de transporte, almacenes automatizados y distribuidoras alimentarias no están preparadas para los estrictos plazos de notificación de incidentes (notificar ataques graves en menos de 24 horas) ni para exigir auditorías de seguridad a todos sus proveedores.
Aunque el Estado central y los ministerios cumplen con el exigente Esquema Nacional de Seguridad (ENS) en administraciones públicas, la situación cambia a nivel local. Ayuntamientos medianos y pequeños, así como diputaciones, sufren una falta crónica de personal técnico cualificado y presupuesto, convirtiéndose en la puerta trasera perfecta para ciberdelincuentes que buscan saltar a redes estatales.
Brecha de cumplimiento
La gran novedad del escenario normativo actual es la responsabilidad directa de los consejos de administración. En las empresas españolas afectadas por NIS2, si ocurre un fallo grave de resiliencia y se demuestra que la directiva no invirtió o no se formó en seguridad, los directores pueden enfrentarse a multas millonarias e incluso a la inhabilitación temporal para ejercer su cargo. Esto está obligando a los sectores rezagados a ponerse las pilas muy rápido.
Si ponemos la lupa exclusivamente sobre las empresas de telecomunicaciones que operan en España, la brecha de cumplimiento en resiliencia y ciberseguridad es gigantesca entre los cuatro grandes operadores nacionales y los cientos de operadores locales o regionales.
El Gobierno ha diseñado el marco normativo (el Real Decreto de Seguridad y Resiliencia que se aprueba de manera definitiva este año) de forma asimétrica, precisamente porque exigirle lo mismo a una multinacional que a un operador local de pueblo hundiría a este último.
Los grandes operadores nacionales: cumplimiento máximo
Telefónica, Vodafone España, Orange (MasOrange) y Digi operan bajo una presión regulatoria extrema. Cumplen prácticamente al 100% de lo exigible por la UE y la OTAN debido a su tamaño, su consideración de “infraestructura crítica” y su músculo financiero. Tienen sus propios equipos militares de respuesta a incidentes (los llamados SOC o CERT).
El Real Decreto obliga a las telecos que facturen más de 50 millones de euros o tengan más de 500.000 clientes a mantener activas sus redes móviles durante al menos 4 horas en caso de apagón. Los grandes operadores ya están instalando un despliegue masivo de baterías en sus antenas centrales, con el objetivo exigido de cubrir al 50% de la población el primer año y al 75% en tres años.
Los operadores locales y regionales: el eslabón más débil
España cuenta con un tejido espectacular de más de 800 operadores locales (operadores agrupados en asociaciones como Aotec, Avatel, redes de cable históricas en regiones…). Son los que han llevado la fibra óptica a la “España vaciada” y a zonas rurales donde los grandes no llegaban. Sin embargo, a nivel de resiliencia telefónica pura y ciberseguridad, están en una posición mucho más vulnerable:
Un operador local pequeño, con sus antenas y nodos distribuidos en tejados de municipios rurales, no tiene la capacidad económica ni física de dotar a cada uno de sus repetidores con baterías de gran capacidad de 4 horas o grupos electrógenos. Si hay un apagón en la comarca, su red cae casi al instante.
No pueden competir en salarios para contratar a ingenieros expertos en ciberseguridad. Sus sistemas de red suelen estar gestionados por equipos técnicos pequeños que priorizan que el cliente “tenga línea” frente a auditorías sofisticadas de penetración o blindaje. A menos que este servicio se diera y compartiera desde la asociación AOTEC.
Muchos de estos operadores locales no tienen red de transporte propia para llevar los datos a las grandes ciudades; alquilan tramos de red a los grandes. Si la red principal sufre un ataque o corte, ellos caen en cascada.
La normativa europea NIS2 exime por defecto a las microempresas y pequeñas empresas (menos de 50 empleados y menos de 10 millones de euros de facturación). Por lo tanto, la gran mayoría de operadores locales de pueblo quedan fuera de las multas millonarias y de las obligaciones más estrictas de reporte en 24 horas.
Sin embargo, la ley introduce una “trampa” indirecta (la seguridad de la cadena de suministro): si un operador local da servicio a un ayuntamiento mediano, a una central de agua comarcal o a una fábrica importante de la zona (que sí están obligados por NIS2), esa empresa o institución le exigirá por contrato al operador local que demuestre que su red es segura. Esto está obligando a los operadores locales medianos (los regionales) a subcontratar servicios de ciberseguridad compartidos para no perder a sus clientes corporativos. Volvemos a una solución que solo se puede dar desde su asociación AOTEC.
Si hay una crisis de telecomunicaciones o un ciberataque de escala geopolítica, las redes de los grandes operadores nacionales aguantarán el tipo gracias a sus planes de contingencia militarizados. El peligro real de “apagón comunicativo” se concentra en las redes locales y rurales, cuya infraestructura física “carece del músculo financiero para resistir incidentes prolongados, pero a su vez la zona tampoco es prioritariamente atractiva para las inversiones de las grandes Telecos” y hay soluciones desde el asociacionismo de los rurales con los medios de los grandes.
El papel de Telefónica-Movistar
Telefónica (Movistar) no es solo un operador más; en el contexto de la UE y la OTAN, actúa prácticamente como un brazo tecnológico y de defensa estratégica del Estado español. Al ser el operador incumbente e histórico, la resiliencia del país depende de forma directa de su infraestructura.
Su papel en esta estrategia de seguridad se divide en cuatro frentes críticos:
El pilar militar, el referente 5G de la OTAN
Telefónica se ha consolidado como un actor clave para el flanco militar de la Alianza Atlántica. En colaboración con el Ministerio de Defensa español, ha puesto en marcha el Centro de Ciberdefensa 5G en la Base de Retamares (Madrid). Este centro sirve para investigar la protección de sistemas militares basados en 5G y desarrollar tecnologías de uso dual (civil y militar). Sus soluciones se integran de forma directa en el proyecto tecnológico europeo de la Alianza (NATO Digital Foundry).
Telefónica ya ha probado con éxito sistemas 5G tácticos embarcados para el Ejército del Aire (permitiendo transmisiones de vídeo y voz seguras entre aeronaves en pleno ejercicio sin usar redes públicas) y sistemas de baja latencia en misiones navales de la OTAN en alta mar, eliminando la dependencia de los satélites comerciales tradicionales.
El ‘cerebro’ de la resiliencia ante apagones (Real Decreto 2026)
Con la tramitación del nuevo Real Decreto de Seguridad y Resiliencia de las Redes, el Gobierno español ha establecido duras obligaciones de autonomía ante un gran corte eléctrico. Al ser la compañía con la red más extensa, Telefónica lidera esta adaptación de hardware. El RD exige que los centros de control esenciales —donde reside la inteligencia centralizada que hace que todo el país tenga línea— sigan operativos de forma garantizada durante al menos 24 horas en caso de apagón. Los centros de datos principales de Telefónica (como los de Alcalá de Henares) cuentan con subestaciones y gigantescos sistemas de generadores diésel de respaldo preparados para soportarlo. Y paralelamente, Telefónica está acometiendo un despliegue masivo para que sus estaciones base comerciales de telefonía móvil mantengan, de manera gradual, al menos 4 horas de cobertura viva utilizando baterías avanzadas, cubriendo los objetivos que exige la ley.
‘Limpieza’ geopolítica y soberanía tecnológica
Siguiendo las directrices del 5G Toolbox de la Unión Europea y el veto a proveedores de riesgo sugerido por la OTAN, Telefónica ha liderado la transición para excluir por completo a fabricantes chinos (como Huawei o ZTE) del núcleo de su red 5G. Al confiar la parte más sensible de su infraestructura a proveedores europeos (como Ericsson y Nokia), Telefónica blinda el tráfico de datos nacional frente a posibles puertas traseras o ataques de denegación de servicio orquestados por terceras potencias en situaciones de conflicto internacional.
Cooperación con el Centro Criptológico Nacional (CCN)
A través de su filial tecnológica (Telefónica Tech), la compañía opera uno de los centros de operaciones de seguridad (SOC) más avanzados de Europa. Funciona en coordinación constante con el INCIBE y el CCN-CERT (la inteligencia de ciberseguridad del Estado). Si se detecta una amenaza híbrida o un ciberataque de escala gubernamental contra hospitales, ministerios o centrales eléctricas, la red de Telefónica suele ser la primera línea de detección, contención y mitigación del tráfico malicioso.
Los propios evaluadores UE y OTAN, destacan un “elevado grado de compromiso” y mientras otros operadores enfocan su estrategia puramente en el mercado comercial, Telefónica opera bajo una lógica de soberanía nacional. “Es el socio de confianza que garantiza que la infraestructura que exige la UE y los sistemas hiperconectados que requiere la OTAN sigan funcionando en el peor escenario posible“, explican fuentes del sector.
