El Gobierno desoye el aviso de Seguridad Nacional para reforzar la ciberseguridad del sector energético

• Rafael Molina @RafaelMolinaTW
• Redactor de Nacional en OkDiario con formación en Periodismo y Derecho. Te leo en rafael.molina@okdiario.com
• • 25/05/2025 06:47
  • Actualizado: 25/05/2025 06:47

El Departamento de Seguridad Nacional lleva dos años alabando la directiva europea sobre ciberseguridad, que implica un aumento de garantías frente a los ataques informáticos, mientras que el Gobierno de Pedro Sánchez aún no la ha aplicado en España, a pesar de que estaba obligado a hacerlo en octubre de 2024. El Ejecutivo socialista incluso podría enfrentarse a sanciones de la UE por no haber puesto en marcha esta normativa en nuestro país.

La normativa sobre ciberseguridad se aprobó en diciembre de 2022. Los diferentes gobiernos tenían que trasponer esa ley en sus propios territorios y contaban con dos años para ponerla en marcha. Es decir, que el club comunitario permitía a los Estados miembros aprobar sus respectivos textos hasta el 17 de octubre de 2024. Sin embargo, la Comisión, encargada de velar por el cumplimiento de las normas europeas, ha constatado que España aún no la ha puesto en marcha.

Todo ello a pesar de que el Departamento de Seguridad Nacional, puso en valor en 2023 que la nueva directiva sobre ciberseguridad de la UE tenía como objetivo «garantizar un elevado nivel común de ciberseguridad en toda la Unión». Además, subrayaba la importancia de que se incluyan «medidas específicas de gobernanza de la ciberseguridad». «Entre ellas, establece que los órganos de dirección de las organizaciones aprueben las medidas para la gestión de riesgos de ciberseguridad y supervisen su puesta en práctica», añadía.

Todo esto lo recogía en 2023 el Foro Nacional de Ciberseguridad, dependiente de Seguridad Nacional. En junio de aquel año se editó el libro en el que se incluía alusiones directas a las bondades de esta norma europea, que debía ser traspuesta por el Gobierno.

Un impacto «demorado en el tiempo»

En su último informe, de marzo de 2025, el Foro Nacional de Ciberseguridad detallaba que, cuando se pusiera en marcha la directiva, «aumentaría los presupuestos en ciberseguridad hasta en un 22% en los primeros años posteriores a su implementación». Además, calculaba que el mercado en esta materia podía superar «los 45 mil millones de euros en 2025».

En este último escrito, el Departamento de Seguridad Nacional preveía que «su transposición al ordenamiento jurídico español» se produciría «durante el año 2025». Es decir, que entraría en vigor tres años después de su aprobación y meses después del plazo máximo que la UE había impuesto a los Estados miembros.

En este informe, el Foro Nacional de Ciberseguridad detallaba que la normativa europea implicaría «nuevas obligaciones de ciberseguridad en los próximos años para un número muy elevado de entidades de un total de 18 sectores considerados críticos». «En algunos casos incluirían la realización de auditorías periódicas según normas nacionales o internacionales», subrayaba el escrito del Departamento de Seguridad Nacional.

Es en este punto donde lamentaba que «estas obligaciones no se materializarán hasta que el marco de cumplimiento esté establecido». Algo que todavía no ha hecho el Gobierno. Además, avisan que los retrasos harán que se prolonguen los resultados positivos de la norma. Y es que, explican que estos efectos se lograrán «previsiblemente en un desarrollo reglamentario posterior,» como detalla el informe, que añade que «se demorará en el tiempo».

Posibles sanciones de la UE a España

Sin embargo, el Gobierno no ha dotado al país de más medios para afrontar ciberataques, a pesar de que estaba obligado a ello. La Comisión Europea comunicó este mes que había enviado al Ejecutivo un «dictamen motivado» por no haber traspuesto la directiva. Se trata de un escrito con argumentos jurídicos emitido por la Comisión en el que se avisa a un país por haber cometido una «infracción» después de no cumplir con una obligación comunitaria. Este es el último paso antes de que el Ejecutivo europeo lleve a ese Estado miembro ante el Tribunal de Justicia de la Unión Europea. Es decir, que España está al borde de ser multada.

El Ejecutivo comunitario alertó de que la «plena aplicación» de esta directiva es «esencial» para mejorar «las capacidades de respuesta en caso de incidentes de las entidades públicas y privadas que operan en estos sectores críticos y en la UE en su conjunto».

La institución encabezada por la alemana Úrsula Von der Leyen indicó que España y otros 18 países de la Unión, no habían «notificado la plena transposición de la Directiva SRI 2». La UE dio a España dos meses «para responder y adoptar las medidas necesarias» que se establece en la normativa. «De no hacerlo, la Comisión podría optar por remitir los asuntos al Tribunal de Justicia de la Unión Europea», avisaba la institución.