¿Cómo encaja la seguridad privada en la trasposición de las directivas NIS 2 y CER?

En 2024, el espacio SICUR Cyber organizado por Seguritecnia y Red Seguridad, con el apoyo de la Fundación Borredá, abordó la trasposición de las directivas NIS 2 y CER al ordenamiento jurídico español. Y tan relevante asunto volvió a ser tratado en la edición de 2026, en esta ocasión con el objetivo de abordar el encaje del sector de la seguridad privada en ambos marcos regulatorios.

César Álvarez, coordinador de proyectos de la Fundación Borredá, fue el encargado de moderar una mesa redonda que contó con representantes de los ámbitos público y privado. Los ponentes coincidieron en que no resulta sencillo precisar cuándo se materializará la transposición de la directiva NIS 2, cuya finalidad es garantizar un elevado nivel común de ciberseguridad en la Unión Europea (UE), y de la directiva CER, relativa a la resiliencia de las entidades críticas.

Ángel Flores Alviz (CNPIC): “Es necesario determinar el encaje de la seguridad privada”

En el caso de Ángel Flores Alviz, jefe del Servicio de Inteligencia y Coordinación del Centro Nacional de Protección de Infraestructuras Críticas (CNPIC), destacó el cambio de paradigma que supone pasar de un modelo basado estrictamente en la protección a uno centrado en la resiliencia y la continuidad de los servicios esenciales.

Respecto al papel de la seguridad privada, Flores Alviz abogó por la prudencia, señalando la necesidad de realizar un análisis previo y exhaustivo para determinar cómo encaja el sector en la trasposición de la directiva CER. En este sentido, subrayó la importancia de estudiar qué servicios específicos podrían ser considerados esenciales y si existen empresas que deban ser designadas como operadores críticos.

En cuanto a la figura del responsable de resiliencia y enlace, consideró que debe mantener una visión holística y contar, preferiblemente, con la habilitación de director de Seguridad para garantizar una gestión integral y profesional.

Leandro Gobierno López (OCC): “El Ministerio del Interior emitirá una acreditación para el personal de ciberseguridad”

Por su parte, Leandro Gobierno López, jefe del Área de la Oficina de Coordinación de Ciberseguridad (OCC) del Ministerio del Interior, explicó la complejidad que conlleva la transposición de la directiva NIS 2, un proceso liderado por su ministerio pero que requiere la participación de múltiples organismos. Gobierno López hizo especial hincapié en que tanto la NIS 2 como la CER comparten un espíritu de coordinación, colaboración y comunicación, pilares fundamentales para evitar cargas administrativas innecesarias y duplicidades en el cumplimiento normativo.

El ponente calificó la directiva NIS 2 como una norma “muy ambiciosa”. Y ante el ingente número de ciberindentes, destacó la importancia de que las organizaciones integren la visión de los responsables de seguridad en sus procesos. Asimismo, adelantó que el Ministerio del Interior emitirá una acreditación específica para el personal de ciberseguridad estableciendo como requisito para obtenerla no contar con antecedentes penales.

Julio Camino (UCSP): “Debe valorarse la criticidad del servicio que prestan las empresas de seguridad privada”

En cuanto al inspector Julio Camino, de la Unidad Central de Seguridad Privada (UCSP) de la Policía Nacional, observó que la directiva CER está orientada a la seguridad física, un ámbito donde la seguridad privada desempeña un papel operativo fundamental. Al respecto, indicó que el proceso de trasposición debe servir para definir cómo afectarán las nuevas exigencias europeas a la Ley de Seguridad Privada y, especialmente, a los servicios que las empresas prestan en infraestructuras críticas.

Igualmente, el inspector hizo una defensa de la estructura jerárquica en la gestión de crisis, afirmando que “en la cúspide de la pirámide debe estar quien tiene que estar”, en clara alusión a la figura del responsable de resiliencia y enlace. Y subrayó que España cuenta con el marco regulatorio más riguroso del mundo en materia seguridad privada. Por ello, incidió en que, más allá de la denominación que reciban las empresas en la nueva norma, lo verdaderamente relevante es valorar la criticidad del servicio que prestan.

Antonio Suárez (SEPROSE): “La situación geopolítica acelera la necesidad de un marco de seguridad armonizado”

El coronel Antonio Suárez, jefe del Servicio de Protección y Seguridad (SEPROSE) de la Guardia Civil, situó la urgencia de las trasposiciones en el actual contexto geopolítico. Suárez advirtió sobre la excesiva dependencia tecnológica, económica y de seguridad y defensa que existe frente a terceros países, calificando como “esencial” el esfuerzo de la UE por armonizar la ciberseguridad. En este sentido, hizo alusión a la evolución de las amenazas: “Si hace una década los ataques eran eminentemente físicos, hoy nos enfrentamos a escenarios híbridos y cibernéticos. Sin ciberseguridad no hay resiliencia, especialmente en las infraestructuras críticas”.

Además, el coronel puso en valor el papel de la seguridad privada, señalando que ambas directivas ensalzan la colaboración público-privada como pilar para fortalecer todos los sectores estratégicos. Respecto a la gobernanza interna de las entidades, Suárez fue tajante al afirmar que el responsable de resiliencia y enlace debe situarse en los niveles más altos de la dirección, con capacidad ejecutiva para tomar decisiones basadas en sus propios diagnósticos de seguridad.

Eduardo Cobas (Aproser): “La directiva CER reconoce a la seguridad privada y eso es positivo”

Por último, Eduardo Cobas, secretario general de la Asociación Profesional de Compañías Privadas de Servicios de Seguridad (Aproser), calificó de “preocupante” el tiempo que se lleva abordando el asunto de la trasposición. Durante su intervención, destacó que la directiva CER incorpora artículos clave para mejorar la resiliencia y exige a los operadores que formen a su personal. “La parte buena es tener ese reconocimiento y, a partir de ahí, veremos a ver dónde llega”, señaló.

En cuanto al proceso normativo, Cobas comentó que se ha tomado como referencia el Real Decreto 524/2002, de 14 de junio, por el que se garantiza la prestación de servicios esenciales en el ámbito de la seguridad privada en situaciones de huelga. Y, finalmente, sobre la figura del responsable de resiliencia y enlace, afirmó que lo mínimo exigible es que sea director de Seguridad, si bien está por ver si su formación se ajusta a los requisitos que se contemplen para desempeñar ese rol.

Estado de la trasposición de las directivas europeas NIS 2 y CER

Pese a que el plazo oficial finalizó en octubre de 2024, el complejo encaje administrativo ha dilatado los plazos de la trasposición de las directivas NIS 2 y CER. Ambas se encuentran en fase de anteproyecto de ley y se prevé que las normas sean aprobadas en el transcurso del presente año.