La situación de nuestros compatriotas en Ceuta mantiene atribulado el ánimo. Tal perturbación no encuentra alivio en las decisiones del Gobierno; es más, la inquietud se ha incrementado al conocer la utilización de espacios cercanos a infraestructuras esenciales e, incluso, críticas -como son las instalaciones energéticas y la zona portuaria- para alojar a los inmigrantes. Esto es lo que me ha llevado -aunque la primera preocupación sea recuperar el bienestar de los ceutíes- a denunciar el incumplimiento de las obligaciones del Derecho de la Unión Europea en relación a la protección de tales establecimientos críticos. No hemos de callar por más que con el dedo un ministro censure o «cancele», o amenace a través de las redes.

La Unión Europea tomó conciencia hace tiempo de lo imprescindible de un marco común de ciberseguridad. La enorme dependencia del entramado de redes exige un cuidado específico. Ha de garantizarse la integridad de las comunicaciones, del mismo modo que deben abrigarse de ataques malévolos las instalaciones que prestan servicios esenciales y, sobre todo, aquellas que resultan cruciales, indispensables, que no permiten soluciones alternativas, por lo que su perturbación afectaría a servicios esenciales. Con relación a Ceuta ¿no se ha advertido del enorme riesgo que supondría un bloqueo de actividades portuarias, una interrupción del suministro eléctrico o un daño a la planta desaladora?

Y es que las amenazas y ofensivas resultan cada vez más inquietantes. Este periódico da noticia de ellas. ¿Hemos de recordar cómo se han paralizado aeropuertos, se han abierto repentinamente compuertas de embalses, se han interrumpido operaciones en quirófanos por ataques informáticos? ¿Cómo se han secuestrado los datos de las oficinas de empleo, de hospitales o ayuntamientos?

Siguiendo el mandato europeo, en 2007 España aprobó las primeras previsiones para proteger las infraestructuras críticas y, con posterioridad, se han ido aprobando otras disposiciones: un «esquema nacional de seguridad» que han de asumir los organismos públicos y determinados empresarios, así como la concreción de otras pautas y medidas más específicas a través de instrucciones relativas, por ejemplo, al régimen de auditorías o notificaciones de incidentes. En este caso eran unas instrucciones que sí contaban con la suficiente habilitación normativa y que se acomodaron al marco jurídico previsto. Y, recordando a Ceuta, una de estas instrucciones califica lógicamente de «alto nivel» aquellos incidentes que afecten a cualquiera de las Ciudades autónomas o de las islas que forman los archipiélagos de Baleares y Canarias, categoría de riesgo que solo alcanzan los ataques que afecten en la Península conjuntamente a cuatro Comunidades Autónomas. 

Advertimos, no obstante, cómo se incrementan los ataques. La Agencia de la Unión Europea para la Ciberseguridad (ENISA) y los organismos especializados en España (el Centro Criptológico Nacional y el Instituto Nacional de Ciberseguridad (INCIBE) resaltan en sus informes el espectacular aumento de esas agresiones, de manera especial, contra las citadas entidades críticas.

Por ello, ante la necesidad de ampliar los instrumentos y las técnicas de protección, de identificar las responsabilidades, de mejorar el sistema de notificación de incidentes y, sobre todo, de erradicar disonancias entre las regulaciones de los Estados miembros que entorpecen la indispensable armonización de un marco común, en diciembre de 2022 se aprobaron nuevas directivas europeas. Esas directivas tenían que incorporarse de manera adecuada a los ordenamientos jurídicos nacionales a más tardar el 17 de octubre de 2024 y desplegar efectos reales a partir de ese momento. En otras palabras: no resultaba suficiente, como está ocurriendo en España, aprobar una ley y retrasar durante más de un año el indispensable desarrollo que permita su aplicación. 

El plazo marcado por la UE es el adecuado. Recordemos que la publicación de una directiva en el Diario Oficial no supone sorpresa alguna para ningún gobierno. Los Estados tienen conocimiento de cada iniciativa desde que las primeras ideas echan a andar, con sus consultas y borradores. Representantes de los gobiernos escoltan a la Comisión Europea en los correspondientes comités de estudio. Hay deliberaciones y debates periódicos en el Consejo, que, como sabemos, integra a los ministros nacionales de cada sector según el asunto a tratar. Por ello, nada de inopinada sorpresa ante la aparición de una directiva. 

En ese tiempo prácticamente todos los países europeos han aprobado su legislación interna excepto Bulgaria, Suecia y… España.  El Gobierno de España ha llevado a nuestro país a ocupar el podio: es el que más directivas europeas tiene sin transponer y el que más procedimientos abiertos acumula por incumplimiento del Derecho de la Unión. Un mérito sonrojante.

Pero, si ese liderazgo ya resulta embarazoso por lo que implica de falta de lealtad al compromiso europeo, más grave es la falta de protección de las infraestructuras críticas de las que estamos hablando.

Hemos vivido, entre otras tragedias, desastres y adversidades, un apagón que inicialmente se pensó que procedía de un ciberataque. Algunos no podíamos imaginar la existencia de fallos en la gestión de la red; tampoco otros despropósitos y deficiencias. Pero todos comprobamos, una vez más, la vulnerabilidad de la sociedad moderna, las dependencias informáticas, la imprescindible continuidad de servicios esenciales, la importancia de atender a especiales enclaves críticos. De ahí la urgencia que tiene incorporar tanto técnicas de protección como medidas de solución.

Es cierto que el Gobierno de España ha presentado dos anteproyectos de ley. El primero es un marco general de ciberseguridad que, a los efectos que ahora me interesan, incorporará un régimen jurídico para los servicios esenciales. En enero de 2025 se anunció que se tramitaría por el procedimiento de urgencia. Pero tal es la urgencia que hasta hoy no hemos tenido noticias de su tramitación. Ni siquiera ha alcanzado la categoría de proyecto de ley. Y, como el tiempo sigue su curso, el incumplimiento del Derecho europeo persiste y en junio la Comisión presentó una demanda ante el Tribunal de Justicia que puede conducir a la imposición de una sanción de, al menos, 15 millones de euros. 

El segundo anteproyecto, el que se refiere a la protección de las entidades críticas, ha tenido, en principio, mejor suerte. Tras su recorrido por las distintas instancias ministeriales y un informe del Consejo de Estado que no se ha hecho público, se presentó el proyecto de ley en marzo de este año. Se envió al Congreso de los Diputados y, como viene siendo habitual en la dirección de esa casa, a pesar de su carácter urgente, se están prorrogando y prorrogando los plazos para la presentación de enmiendas. Una práctica bochornosa que, como otras que denuncia la Fundación Hay Derecho en su riguroso e ilustrativo Informe sobre el Estado de Derecho, está conduciendo a un grave deterioro del funcionamiento del Congreso y, con ello, del sistema democrático. Una práctica que hasta el condescendiente Tribunal Constitucional ha condenado amparando a los diputados que ven afectado el ejercicio de sus funciones ante el anquilosamiento que supone la impostada agitación de sucesivas prórrogas (sentencia del pasado 14 de abril). 

¿Por qué se les impide a los diputados deliberar y aprobar una ley que mostraría la lealtad con el compromiso europeo y la persecución efectiva de un interés común? ¿A qué se está esperando: a la multa de millones de euros, a justificar unas nuevas prisitas y a presentar otro decreto-ley?

Ante tamaño desgobierno, solo nos está consolando la dedicación de quienes entienden lo que es el servicio público y, prestos ante cualquier incidente -sacrificando sus vacaciones-, trabajan en el Centro Criptológico Nacional, en el INCIBE, en el Mando Conjunto del Ciberespacio. Estamos hablando de una excelente nómina de buenos técnicos y profesionales que supervisan la seguridad de los puntos críticos en instalaciones privadas. Y, sobre todo, admiramos la incansable actividad del presidente de Ceuta, la actitud de integración y colaboración de los diputados de su Asamblea y el ejemplo de civismo de los ceutíes.

(Publicado en El Mundo el 28 de septiembre de 2026).