05 de noviembre de 2026 - Tiempo de lectura 10 min

El papel de tu empresa en las infraestructuras críticas

Para cualquiera, su negocio es esencial y su supervivencia crítica. La cuestión es que, además, su seguridad también puede serlo para el conjunto de la cadena de suministro y la productividad del país, al formar parte de una economía hiperconectada.

Paralizar un pequeño negocio puede tener consecuencias limitadas, pero también puede ser la puerta de entrada a otras organizaciones mayores, con fines delictivos o de guerra híbrida. Y estamos hablando de una realidad a tener muy en cuenta. Según el teniente general Miguel Ivorra, Director General de Estrategia e Innovación de la industria de Defensa del Ministerio de Defensa, España fue el segundo país más atacado del mundo en campañas de secuestro de datos (ransomware) durante 2025, según señaló en el noveno Congreso Internacional de Inteligencia Artificial organizado por El Independiente.

Esta afirmación se suma a los informes globales de ciberdefensa que reflejan la gravedad del momento geopolítico. Según los datos oficiales del informe Threat Landscape de 2026 de la Agencia de la Unión Europea para la Ciberseguridad (ENISA) las Administraciones Públicas representan el sector más atacado en la Unión Europea, con el 31,8% de los incidentes registrados, mientras que las entidades catalogadas como esenciales o importantes concentran el 73% de los incidentes analizados. En España, esta presión se traduce en miles de ciberataques diarios dirigidos contra servicios esenciales como la salud, el transporte, la energía y el sistema financiero.

Pero, aunque los objetivos sean elevados, muchos de esos ataques se producen a través de otros agentes de su cadena de suministro, unos eslabones más abajo, que pueden contar con menores recursos de protección. Comprometer a una pyme auxiliar o un suministrador tecnológico puede convertirse en una vía de entrada para infiltrarse en la red de una gran corporación o de una infraestructura crítica del Estado. Detrás de este tipo de ataques, no siempre hay un motivo económico, sino que también pueden existir intereses geopolíticos. Cuando los ciberataques se combinan con otras acciones, como campañas de desinformación, sabotaje o presión económica, para desestabilizar a un país o comprometer sus capacidades, pueden formar parte de una estrategia de guerra híbrida.

Qué es la guerra híbrida y por qué tu negocio puede ser la trinchera

El concepto de conflicto ha sufrido una transformación radical en el panorama geoestratégico, y a diario escuchamos hablar de un concepto relativamente nuevo como es la guerra híbrida. Aunque como fenómeno no es nuevo, sí lo es el entorno que hoy lo potencia, como son las telecomunicaciones y la red, en su sentido más amplio: el espacio virtual y digital. Las trincheras necesarias para defender la soberanía, la economía y la continuidad de un país ya no están dibujadas sobre un mapa físico ni se limitan al despliegue de unidades militares convencionales. Así, la división entre el frente militar y la actividad civil o empresarial se ha difuminado considerablemente.

Como señalaba el General Francisco Braco Carbó, en la presentación la nueva Visión del Ejército del Aire y del Espacio (agosto 2026), del que es Jefe del Estado Mayor, la defensa moderna exige operar no solo en la tierra, el mar y el aire, sino “de forma simultánea en el espacio, el ciberespacio y el espectro electromagnético”. En este ecosistema, los ataques ya no provienen exclusivamente de cibercriminales comunes, motivados por el lucro económico rápido, mediante el robo de información o secuestro de datos (ransomware). Asistimos simultáneamente a una escalada coordinada de acciones definidas como ataques “Estado-Nación”, ejecutadas por actores patrocinados por gobiernos o alineados con intereses geopolíticos extranjeros (state-aligned intrusion sets), cuyos objetivos abarcan el ciberespionaje industrial e institucional, el sabotaje operativo y la erosión de la estabilidad social.

Como explica Pablo Martínez, Director del Security Operations Center (SOC) de Vodafone Empresas en Murcia, en el white paper Ciberseguridad: Una visión Global (2026) publicado por Vodafone Empresas en colaboración con CyberMadrid y Google, “No se trata aquí de alarmar a nadie, pero sí de informar sobre cómo hoy las trincheras necesarias para proteger nuestra forma de vida y nuestra economía ya no están necesariamente dibujadas sobre un mapa y cómo la cultura de la ciberdefensa debe alcanzar a la sociedad civil y muy especialmente a las empresas”.

Su experiencia en el ámbito militar refuerza esta visión. Antes de incorporarse a la Unidad de Ciberseguridad de Vodafone Empresas, Martínez sirvió como teniente en el Ejército de Tierra, primero en unidades desplegadas sobre el terreno, y posteriormente como segundo Jefe del Centro de Operaciones de Seguridad (SOC) en el Mando Conjunto del Ciberespacio (MCCE), donde lideró un equipo de más de 40 analistas dedicado a la protección de redes críticas de Defensa. Desde esa valiosa experiencia, Martínez considera que la alta dirección empresarial debe comprender que “un grupo militar o gubernamental no siempre ataca de forma directa las infraestructuras críticas mejor protegidas del Estado. Resulta tácticamente más eficiente e inadvertido comprometer la cadena de suministro, en cualquiera de sus eslabones”.

Esta vulnerabilidad de la cadena de suministro no pasa desapercibida para los directivos y, según el informe complementario sobre inversión y riesgos (NIS Investments), casi la mitad de las organizaciones europeas (47%) sitúa los ataques a través de proveedores como una de sus principales preocupaciones de ciberseguridad.

Esta realidad exige establecer una estrategia de gestión del riesgo de terceros, denominada Third-Party Risk Management o TPRM, que involucre de forma coordinada a los Equipos de Compras y Contratación y que evalúe el nivel de ciberseguridad de los proveedores antes de homologarlos. Esta necesidad también está recogida en marcos regulatorios como la Directiva NIS2, que contempla la seguridad de la cadena de suministro entre sus requisitos, y el Esquema Nacional de Seguridad (ENS), aplicable a determinados proveedores de servicios y soluciones para el sector público.

Infraestructuras críticas y entorno OT: La resiliencia del mundo físico

Más allá de la protección del sector público, una de las formas más directas de debilitar a un país en nuestros días es interfiriendo en su capacidad productiva. Es por eso que uno de los factores más delicados de la guerra híbrida es el impacto del ciberespacio sobre el mundo tangible. Con la convergencia creciente entre las Tecnologías de la Información (IT) y las Tecnologías Operativas (OT) en plantas industriales, puertos, redes de transporte y suministros energéticos, la superficie de exposición se ha multiplicado considerablemente.

Si un ciberataque capaz de paralizar una red eléctrica, bloquear el funcionamiento de un hospital o interferir en los sistemas de navegación aérea produce un efecto devastador, también puede tener graves consecuencias cuando paraliza la actividad económica o los servicios, como ha ocurrido en octubre de 2026 en Francia, donde un ciberataque afectó a los sistemas de refrigeración conectados de varias cadenas de supermercados, con las consiguientes pérdidas económicas.

Convivimos con los riesgos por cómo operamos en el mundo digital. Los datos del SANS Institute revelan que los accesos remotos no autorizados son uno de los principales vectores de intrusión en entornos industriales. Según su informe de 2025, el 40% de los incidentes de ciberseguridad registrados en entornos ICS/OT provocaron interrupciones operativas. Y esos parones productivos en tu empresa son la primera de las crisis que debes evitar, sea cual sea su objetivo final en la cadena.

La lección que debemos aprender de todos estos datos y hechos es que hay que evitar cualquier punto ciego en la seguridad de entornos industriales, incorporando medidas como la segmentación de redes IT y OT, el control de accesos remotos, la monitorización de los sistemas y la aplicación de principios  Zero Trust ("nunca confiar, siempre verificar") adaptados a las particularidades de estos entornos, así como el cumplimiento de los marcos regulatorios aplicables. La digitalización es tan imprescindible hoy como su ciberseguridad.

Cultura de ciberseguridad y defensa para estar preparados

Afortunadamente, frente a ciberataques cada vez más frecuentes, también estamos cada vez más preparados con herramientas y soluciones avanzadas, que incluyen el uso de IA para proteger los sistemas y detectar amenazas a gran escala. Aunque el factor humano sigue desempeñando un papel fundamental en la seguridad y gran parte de los ciberincidentes tienen su origen en errores humanos o manipulaciones de ingeniería social. Mediante técnicas basadas en inteligencia artificial generativa, los atacantes pueden desplegar campañas masivas de phishing, vishing, smishing, QRishing y suplantaciones de identidad con deepfakes para engañar a empleados y directivos, e intentar obtener credenciales legítimas sin necesidad de romper barreras informáticas. Ahondar en una cultura de ciberseguridad entre todos los empleados y stakeholders de una empresa seguirá siendo esencial para protegerla a ella y a su cadena de suministro.

A esa cultura de ciberseguridad hay que añadirle contar con los especialistas adecuados, con formación y experiencia actualizada de forma constante y capaces de anticiparse a la mente de los cibercriminales. Dependiendo del tamaño de la organización sus recursos no serán los mismos, pero para cada caso existe una solución.

En este sentido, Vodafone Empresas, a través de su unidad especializada en ciberseguridad, ha desarrollado servicios especializados para ayudar a las organizaciones a proteger sus sistemas y reforzar su capacidad de respuesta ante posibles amenazas. Desde los Centros de Operaciones de Seguridad (SOC) hasta la consultoría y la gestión de riesgos, estas capacidades permiten adaptar la protección a las necesidades de cada organización, incluidas aquellas que forman parte de las cadenas de suministro de servicios esenciales.

Pero la tecnología, por sí sola, no es suficiente. Como explica Roberto Lara, Director de la Unidad de Ciberseguridad de Vodafone Empresas en el citado documento, la “ciberseguridad debe integrarse de forma transversal en todas las áreas de la compañía, involucrando desde Recursos Humanos y Compras hasta la gestión legal y la comunicación corporativa”.

La guerra híbrida representa una amenaza que también afecta a las infraestructuras críticas y es tiempo de que la ciberseguridad deje de abordarse únicamente como una tarea técnica o reactiva y ocupe un lugar en las decisiones del consejo de administración. Como insiste Lara: “Ahora el objetivo no consiste en acumular capas de tecnología de manera indiscriminada, sino en enfocar los recursos de forma inteligente hacia los vectores de mayor riesgo y potenciar al factor humano como la primera línea de defensa de la organización. Tanto la formación de los especialistas, como la concienciación de todos los empleados y la creación de una cultura corporativa de ciberseguridad implica que los CISO tengan relevancia en el área de recursos humanos tanto como en los recursos tecnológicos”.

Es tiempo de asumir responsabilidades desde nuestros puestos, sin bajar la guardia. Proteger cada dispositivo, cada puesto de trabajo y cada eslabón de la cadena de suministro no solo contribuye a reforzar la seguridad de una empresa, sino también la continuidad de los servicios esenciales y la resiliencia de toda la sociedad.