¿Por qué la ciberseguridad de la infraestructura crítica ya es un asunto de seguridad nacional?

El ataque más peligroso contra una infraestructura crítica no siempre es el que genera apagones a gran escala. A veces es el que, se penetra, se queda sigiloso por un tiempo, sin hacer nada. En los últimos años, las agencias de seguridad de distintos países han documentado un patrón que cambió la forma de entender el riesgo: hay atacantes que se infiltran en las redes de servicios esenciales —energía, agua, telecomunicaciones, transporte— y permanecen ahí en silencio, sin causar un daño visible, durante meses o incluso años. Su propósito no es robar dinero ni información, sino reconocer el terreno y dejar preparadas las puertas para activarlas más adelante.

Un ejemplo documentado ayuda a dimensionarlo. En una pequeña empresa que prestaba servicios de electricidad y agua, un intruso mantuvo acceso cerca de un año, no para provocar un apagón en ese momento, sino para mapear el funcionamiento de la red de cara a un ataque futuro. Ese hallazgo resume un cambio de fondo: la ciberseguridad de la infraestructura crítica dejó de ser un problema de fraude o de protección de datos para convertirse en una cuestión de seguridad nacional y de continuidad de los servicios que sostienen la vida del país. Para quienes legislan y diseñan política pública, ese desplazamiento tiene consecuencias directas sobre qué se regula y cómo.

Proteger la continuidad de los servicios esenciales

La protección de infraestructura crítica busca garantizar la continuidad operativa de los servicios esenciales de los que depende el país: la electricidad, el agua, la banca o el transporte. Lo que está en juego es considerable, porque un incidente en estos sistemas no solo expone datos, sino que puede detener bombas, subestaciones, plantas y redes de control de las que dependen millones de personas.

Proteger esa continuidad exige un cambio adicional, esta vez en la lógica de la defensa. El enfoque clásico apostaba todo a evitar la intrusión, como si fuera posible blindar por completo un sistema, y la práctica reciente en distintos países mostró que esa promesa no se sostiene. El criterio que hoy prevalece parte de un supuesto más realista: los incidentes ocurrirán, y lo que distingue a una organización preparada es su capacidad de detectarlos a tiempo, contener el daño y restablecer el servicio con rapidez. Esa idea tiene un equivalente que en México se entiende bien: no construimos pensando que los sismos no ocurrirán, sino con reglamentos que permiten resistirlos y volver a funcionar pronto; la ciberresiliencia es ese mismo principio aplicado a las redes eléctricas, los sistemas de agua y las telecomunicaciones.

Conviene distinguir, además, entre cumplir una norma y estar realmente protegido. Certificar un estándar o llenar una lista de requisitos es un paso administrativo necesario, aunque insuficiente por sí solo. La seguridad efectiva en estos entornos requiere visibilidad sobre los sistemas que controlan los procesos físicos y una gestión rigurosa del riesgo de los proveedores, dado que buena parte de los incidentes recientes en infraestructura crítica entró a través de la confianza depositada en terceros.

El mundo pasó de la recomendación a la obligación

La tendencia internacional es clara: los países están migrando de estrategias voluntarias de ciberseguridad a regímenes obligatorios para los operadores de servicios esenciales. La Unión Europea adoptó la directiva conocida como NIS2, un régimen horizontal que impone gestión de riesgos, reporte de incidentes y responsabilidad de los órganos de dirección, además de armonizar las reglas entre países. Australia construyó un modelo robusto con su ley de seguridad de infraestructura crítica, que incluye un registro de activos críticos y obligaciones de reporte y gestión de riesgos para sus operadores.

América Latina ya tiene un referente cercano. Chile promulgó en 2024 su Ley Marco de Ciberseguridad, vigente en sus disposiciones clave desde marzo de 2025, que creó una Agencia Nacional de Ciberseguridad, definió la figura de los operadores de importancia vital, estableció el reporte obligatorio de incidentes en plazos estrictos y un régimen de sanciones. Canadá avanzó en la misma dirección con una legislación que recibió sanción en junio de 2026 y que obliga a los operadores designados en telecomunicaciones, energía, finanzas y transporte a contar con programas de ciberseguridad, reportar incidentes significativos y gestionar el riesgo de su cadena de suministro. El hilo común entre estos casos es el tránsito hacia obligaciones mínimas, reporte de incidentes y supervisión pública, con cargas proporcionales al riesgo.

Detrás de estas leyes operan marcos técnicos de referencia que conviene nombrar, aunque sea de forma breve. El marco del instituto estadounidense de estándares, conocido como NIST CSF, ordena la gestión del riesgo en funciones sencillas de comprender: identificar, proteger, detectar, responder y recuperar. La norma internacional ISO/IEC 27001 ofrece un sistema de gestión de la seguridad de la información que puede certificarse y auditarse. El estándar IEC 62443 fue diseñado específicamente para los entornos industriales que controlan plantas, subestaciones y sistemas de tratamiento, distintos de la informática de oficina. El conjunto de requisitos NERC-CIP, por su parte, es la referencia sectorial para la electricidad. Ninguno sustituye a una política pública, aunque todos ofrecen un lenguaje común sobre el que construirla.

¿Dónde está México en este mapa?

México aborda hoy la ciberseguridad de su infraestructura crítica de manera dispersa, con responsabilidades repartidas entre distintas instancias y sin un enfoque integral que conecte la energía, el agua, las telecomunicaciones, la nube y los centros de datos bajo una misma lógica de resiliencia. Esa fragmentación dificulta coordinar la respuesta cuando un incidente cruza varios sectores a la vez, que es precisamente el escenario más probable.

El asunto trasciende lo técnico y toca la competitividad del país. La relocalización de cadenas productivas que México busca aprovechar depende, entre otros factores, de la confianza de los inversionistas en que los servicios esenciales serán estables y resilientes. A esa ecuación se suma un elemento nuevo: la nube y los centros de datos se están volviendo infraestructura crítica en sí mismos, porque sostienen pagos, trámites, salud, energía y telecomunicaciones, y su seguridad ya forma parte de la conversación regulatoria en varios países. Ignorar esa capa dejaría fuera del análisis a una pieza que crece año con año.

Los obstáculos son concretos y conviene mirarlos como una agenda de trabajo. La escasez de talento especializado en la seguridad de sistemas industriales, distinta de la informática tradicional; la convivencia de equipos heredados difíciles de actualizar; la creciente dependencia de proveedores externos y de servicios en la nube; y la necesidad de una coordinación institucional más fluida son los desafíos que cualquier diseño de política tendría que atender. Ninguno es exclusivo de México ni insalvable, y varios países han mostrado rutas viables para resolverlos.

Líneas de acción para el debate público

A partir de la experiencia comparada, varias opciones de política pública merecen análisis. La primera es avanzar hacia un enfoque integral de ciberresiliencia para la infraestructura crítica, que abarque sectores como la energía, el agua, las telecomunicaciones, las finanzas, el transporte y la infraestructura digital, en lugar de normas aisladas que se ocupen de un servicio a la vez. Un diseño de este tipo permitiría tratar el riesgo de manera coherente, sin importar por dónde entre un atacante.

Otras líneas se desprenden de forma natural. Un modelo basado en riesgo evitaría imponer las mismas cargas a todas las organizaciones y concentraría las obligaciones más exigentes en los operadores cuya falla tendría impacto sistémico. Estándares mínimos referenciados a marcos internacionales darían un piso común y comparable. El reporte obligatorio de incidentes ante una autoridad nacional, en coordinación con los reguladores sectoriales, haría posible una respuesta articulada. Reglas claras para la cadena de suministro, la nube y los centros de datos cerrarían una de las puertas de entrada más utilizadas. Los ejercicios nacionales de simulación, las capacidades públicas especializadas en sistemas industriales, la coordinación con la protección de datos personales y la exigencia de ciberseguridad por diseño en las compras públicas completarían un andamiaje sólido.

El valor de pensar estas piezas en conjunto es que ninguna funciona aislada. Un reporte de incidentes sin capacidades públicas para procesarlo se queda en papel, y un estándar sin supervisión proporcional se vuelve una formalidad. La coordinación entre gobierno, industria, academia y sociedad civil es lo que convierte un catálogo de medidas en una capacidad nacional real.

Un régimen que México necesita construir

La infraestructura crítica de México seguirá digitalizándose, porque los beneficios en eficiencia, productividad e inclusión son demasiado grandes para renunciar a ellos. La pregunta para quienes legislan y diseñan política no es si ese proceso continúa, sino con qué grado de preparación lo acompañamos. Esperar a una crisis para actuar sería el peor escenario, porque legislar a contrarreloj, bajo la presión de una emergencia, deja poco margen para diseñar normas sólidas.

México necesita un régimen moderno de ciberseguridad para su infraestructura crítica, construido sobre la experiencia de los países que ya recorrieron ese camino y adaptado a su realidad institucional. Un marco así es lo que permite que la transformación digital del país se asiente sobre cimientos firmes y no sobre una fragilidad que tarde o temprano alguien intentará aprovechar. Proteger lo invisible, antes de que falle, es una de las formas más concretas de proteger el bienestar de las personas.

---

• Comisión Europea, Directiva NIS2 — https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
• Agencia Nacional de Ciberseguridad de Chile, Ley Marco de Ciberseguridad (Ley 21.663) — https://anci.gob.cl/normativa/ley-marco-ciberseguridad/
• Public Safety Canada, Royal Assent of Bill C-8 — https://www.canada.ca/en/public-safety-canada/news/2026/06/government-of-canada-strengthens-cyber-security-and-critical-infrastructure-with-royal-assent-of-bill-c8.html
• CISA, PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure — https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a