Una parte de la vulnerabilidad digital de Europa se decide mucho antes de que actúe un atacante. Se decide al conceder acceso remoto a un proveedor, al concentrar servicios en una plataforma o al prolongar la vida de un equipo cuyo soporte ha terminado. Los ataques recientes obligan a mirar esas decisiones como algo más que asuntos técnicos: condicionan la continuidad de servicios esenciales y, con ella, la capacidad de empresas y gobiernos para actuar.
La cuestión central es qué (y cuanto, por supuesto) control conservamos sobre sistemas de los que no podemos prescindir. Ser propietario de una infraestructura no garantiza poder mantenerla en funcionamiento, verificar sus actualizaciones o sustituir a quien la administra. La autonomía que no alcanza a la compra, al mantenimiento y a la recuperación de los servicios resulta difícil de ejercer cuando llega una crisis.
El problema afecta a todas las economías digitalizadas. Para la Unión Europea tiene una consecuencia institucional: dependencias que atraviesan empresas y fronteras deben gestionarse entre operadores privados, autoridades nacionales e instituciones comunitarias.
El control se delega antes del ataque
Externalizar tecnología permite acceder a capacidades que muchas organizaciones no podrían desarrollar por sí mismas. Un proveedor especializado puede ofrecer mejor mantenimiento y protección que un equipo interno con recursos limitados. Esa ventaja merece conservarse. La dificultad aparece cuando contratar un servicio también significa conceder permisos cuyo alcance se desconoce, aceptar componentes que nadie supervisa o perder la posibilidad práctica de cambiar de proveedor.
Los ataques a la refrigeración ilustran el alcance físico de esas decisiones. En las tecnologías de operación, los sistemas digitales gobiernan procesos materiales: una modificación de parámetros puede afectar a la conservación de productos. Por eso importa tanto el acceso del mantenedor como la seguridad del equipo. La advertencia del CERT-FR de que restaurar un controlador resulta insuficiente si sigue expuesto y vulnerable encierra una lección más amplia: recuperar el funcionamiento y corregir la causa de la intrusión son tareas diferentes.
La confianza también circula a través del software. El compromiso de Trivy, utilizado para acceder al entorno web de la Comisión Europea, resulta revelador porque una herramienta de seguridad llegó alterada por un canal habitual de actualización. Actualizar sigue siendo necesario, pero esa necesidad obliga a proteger la cadena que permite hacerlo. Una organización debe evaluar qué privilegios concede al software que incorpora y cómo limitar las consecuencias si ese software deja de ser fiable.
De ahí que la ciberseguridad deba entrar en la conversación antes de adjudicar un contrato. Cuando los responsables técnicos reciben un sistema ya comprado, varias decisiones relevantes pueden estar cerradas: quién puede administrarlo, durante cuánto tiempo tendrá soporte y qué costará sustituirlo. El presupuesto de seguridad pierde eficacia si intenta compensar, a posteriori, dependencias que la organización ha aceptado sin valorar sus consecuencias.
Cuando el riesgo privado se convierte en un problema colectivo
Una elección razonable para una empresa puede contribuir a una concentración de riesgo para el conjunto. Si numerosos operadores utilizan el mismo servicio o componente, una incidencia puede afectarlos simultáneamente. También puede ocurrir que varias marcas dependan del mismo software y que una aparente diversificación comercial apenas reduzca la exposición compartida. Conocer al proveedor directo ofrece una visión incompleta de esas relaciones.
Conviene evitar una conclusión automática contra la concentración. Un proveedor grande puede disponer de recursos de seguridad y recuperación difíciles de replicar. Diversificar añade complejidad, interfaces y tareas de supervisión. La decisión debe considerar cuánto mejora la protección cotidiana y qué consecuencias tendría un fallo común. El interés público aparece precisamente donde ningún comprador tiene visibilidad suficiente sobre el impacto acumulado de sus decisiones y las de otros.
Este es un argumento sólido para la coordinación europea. Las autoridades pueden ayudar a identificar dependencias comunes, compartir información sobre incidentes y preparar respuestas entre sectores y países. Esa cooperación ya se está produciendo ante los ataques a la refrigeración. El siguiente criterio para evaluarla debería ser su capacidad de acortar el tiempo entre detectar una vulnerabilidad y reducir la exposición de quienes todavía no han sido atacados.
Las compras públicas ofrecen una vía para actuar sobre estos incentivos. Valorar el soporte durante toda la vida prevista de una instalación, exigir condiciones de acceso verificables y comprobar la recuperación puede encarecer la oferta inicial, pero permite comparar mejor su coste real. Una administración que compra solo por precio puede trasladar al futuro gastos que terminará asumiendo de todos modos.
Hay, además, un desfase económico que conviene asumir. Un equipo industrial puede conservar su utilidad física cuando termina su soporte digital. Su propietario tiene motivos para amortizarlo durante más tiempo, mientras que protegerlo o sustituirlo exige una inversión adicional. Si esa instalación sostiene un servicio esencial, las consecuencias de aplazar la decisión pueden alcanzar a personas que nunca participaron en la compra. La asignación de responsabilidades y costes forma parte del problema de seguridad.
El Cyber Resilience Act refuerza la responsabilidad de los fabricantes, aunque sus principales requisitos de seguridad comenzarán a aplicarse en diciembre de 2027. Su régimen transitorio tampoco equivale a una renovación general de los equipos antiguos en servicio. La mejora de los productos que se comercialicen deberá convivir, por tanto, con decisiones inmediatas sobre instalaciones existentes. El calendario normativo ofrece un marco; las decisiones de protección necesitan atender también al estado real de cada instalación.
La atribución condiciona la respuesta política
La interrupción de un servicio puede adquirir valor geopolítico cuando eleva el coste de una decisión pública, consume recursos o alimenta la percepción de que un gobierno no controla la situación. Ese posible mecanismo de presión merece atención. Los análisis de RUSI sobre la energía europea examinan cómo los ataques podrían buscar debilitar el apoyo a Ucrania. Que esa sea una intención plausible no demuestra que logre modificar una política exterior.
En la Unión Europea, esa presión puede plantear además un problema de reparto. El coste de una interrupción puede recaer en un país o un sector, mientras que la política exterior que se pretende condicionar es compartida. Si los afectados perciben que soportan solos el daño, podrían aumentar las discrepancias sobre la respuesta. De ahí el valor político de la cooperación y del apoyo a la recuperación: pueden reducir el riesgo de que una vulnerabilidad localizada debilite una posición europea común.
El espionaje, el fraude y el sabotaje pueden utilizar vías de entrada parecidas, pero persiguen resultados distintos. La relación entre un atacante y un Estado también admite grados: instrucciones directas, patrocinio, tolerancia o coincidencia de intereses. Las investigaciones de Chatham House sobre intermediarios cibernéticos ayudan a entender por qué identificar un grupo y atribuir jurídicamente su actuación a un gobierno requieren pruebas diferentes. La precisión importa porque de ella depende la respuesta.
Existe actividad estatal documentada: la Unión Europea ha atribuido al Centro 16 del FSB ruso operaciones de espionaje y sabotaje contra infraestructuras europeas. Esa evidencia debe incorporarse al análisis, sin extenderla automáticamente a cada nuevo incidente. En los ataques recientes a la refrigeración sigue sin haberse establecido públicamente la autoría. Presentarlos como parte de una misma estrategia estatal iría más allá de la información disponible.
La incertidumbre sobre el autor no impide retirar un acceso inseguro, aislar un sistema o preparar una alternativa operativa. En cambio, actuar contra el responsable señalado exige valorar la calidad de la atribución y las consecuencias políticas y jurídicas de la medida. Confundir ambos planos puede producir dos errores: retrasar una protección urgente hasta conocer al atacante o precipitar una respuesta exterior que la evidencia todavía no sostiene.
Una autonomía que pueda ejercerse
Europa tiene razones para desarrollar capacidades tecnológicas propias. Disponer de fabricantes, conocimiento y servicios de mantenimiento amplía sus opciones y reduce determinadas dependencias. El valor estratégico de esa inversión debe medirse también por el control que proporciona al operador. Una solución europea que sea imposible de supervisar o sustituir puede dejar a su cliente con un margen de maniobra reducido.
La nacionalidad del proveedor sigue siendo relevante porque determina el entorno jurídico y político en el que actúa. El análisis del Instituto de Estudios de Seguridad de la UE sobre equipos chinos en el sistema energético europeo plantea riesgos que deben examinarse. Al mismo tiempo, reconoce vulnerabilidades asociadas a la conectividad y a los servicios en la nube que también afectan a productos europeos. La evaluación necesita combinar ambos aspectos: la exposición geopolítica del proveedor y las posibilidades técnicas de intervenir sobre el sistema.
Una autonomía operativa creíble permite supervisar las intervenciones del proveedor, revocar accesos cuando sea necesario y recuperar funciones sin depender de una única respuesta externa. También exige que las alternativas sean utilizables. Tener derecho contractual a cambiar de servicio sirve de poco si trasladar los datos, reconfigurar las instalaciones o formar al personal requiere un tiempo incompatible con la continuidad de la actividad.
Conservar esas opciones cuesta dinero. Puede exigir capacidad de respaldo que se utilizará poco, equipos con un soporte más largo o una transición gradual hacia otro proveedor. Por eso las decisiones deben guardar proporción con la importancia del servicio. Resulta razonable aceptar mayores dependencias donde una interrupción es tolerable y exigir alternativas probadas donde un fallo compromete funciones esenciales. La soberanía tecnológica necesita prioridades presupuestarias, además de ambición industrial.
Esta forma de entender la seguridad desplaza la atención hacia lo que una organización puede seguir haciendo cuando falla una protección. Es también el sentido del análisis de CIDOB sobre resiliencia de infraestructuras críticas. Para un consejo de administración o una autoridad pública, la pregunta útil es cuánto tiempo puede mantenerse una función, cómo se recuperará y qué evidencia aportan los ejercicios realizados. Un plan sin pruebas ofrece una confianza difícil de justificar.
La recuperación, sin embargo, deja abierta la cuestión de cómo reducir la capacidad y los incentivos del atacante. Los autores de un informe de ECFR defienden una estrategia europea más ofensiva, que abarque los ámbitos informativo, financiero y cibernético, e incluso operaciones físicas. Su argumento merece debatirse: un adversario puede seguir atacando si el coste de hacerlo permanece bajo. Pero la eficacia de cada respuesta y sus riesgos de escalada necesitan una evaluación propia.
A mi juicio, la continuidad de los servicios debe constituir la base de esa política. Reduce el daño con independencia de quién ataque y puede frustrar parte del resultado que busca. Sobre esa base, las medidas contra los responsables deberían justificarse por su capacidad de limitar nuevas operaciones. La visibilidad de una sanción o la contundencia de una declaración no bastan para demostrar ese efecto.
El criterio final debería ser la libertad de decisión que Europa conserva bajo presión. Una institución capaz de mantener sus funciones, recuperar sus sistemas y elegir entre alternativas dispone de mayor margen para sostener sus políticas. Alcanzarlo obliga a pagar por el mantenimiento, conocer las dependencias y aceptar el coste de prepararse. Ahí es donde la autonomía digital adquiere una dimensión política concreta: en poder seguir decidiendo cuando alguien intenta interrumpir lo que necesitamos para hacerlo.