El próximo frente cibernético ya está en órbita

El sector espacial europeo se ha convertido en una infraestructura crítica, central para la defensa, las comunicaciones, la navegación, la gestión de crisis y la economía. Pero esta dependencia también abre nuevas vulnerabilidades. Desde los satélites hasta las estaciones terrestres, desde los datos hasta los proveedores, Europa debe ahora hacer de la ciberseguridad una condición concreta de su soberanía.

El sector espacial europeo es ya una infraestructura de soberanía. Apoya la defensa, las comunicaciones, la navegación, la observación de la Tierra, la gestión de crisis y una parte creciente de la economía. Esta dependencia aumenta el valor estratégico de los sistemas orbitales y de sus segmentos terrestres, pero también amplía su superficie de ataque.

La respuesta ya no puede basarse únicamente en la protección técnica de los satélites. Debe combinar política industrial, gobernanza de los datos, seguridad de los proveedores, continuidad operativa y cooperación europea.

La resiliencia espacial depende tanto de la solidez de las arquitecturas digitales como de la capacidad de las organizaciones para conocer sus activos, controlar sus accesos, establecer contractualmente los requisitos de seguridad y medir los riesgos introducidos por sus socios.

Las cifras sobre la madurez de las empresas francesas confirman que las vulnerabilidades más peligrosas siguen estando a menudo vinculadas a configuraciones ordinarias, tecnologías obsoletas o servicios expuestos. El reto consiste, por tanto, en transformar la ciberseguridad en una disciplina de gestión, desde los programas europeos hasta las empresas más pequeñas de la cadena de valor.

El sector espacial de defensa no constituye un ámbito aislado. Integra satélites, estaciones terrestres, redes, plataformas de datos, programas informáticos, servicios en la nube, centros de control, equipos industriales y proveedores de servicios. Una debilidad en un servicio aparentemente secundario puede comprometer una misión crítica. Por tanto, la seguridad debe abarcar las infraestructuras físicas, los sistemas de información, los datos y las relaciones contractuales que conectan a los actores.

El espacio como infraestructura de soberanía

La Dirección General de Industria de Defensa y Espacio de la Comisión Europea distingue dos dimensiones complementarias. La primera es el uso del espacio para la defensa. Abarca las capacidades espaciales necesarias para la inteligencia, la preparación y la ejecución de las operaciones militares, así como la evaluación de sus efectos. La segunda es la defensa del espacio. Se centra en la detección de amenazas, la protección de los activos y los servicios, la respuesta a los ataques y, cuando sea necesario, las operaciones militares en órbita.

Esta distinción aclara el alcance de la ciberseguridad espacial. No basta con proteger un satélite frente a una intrusión. Es necesario garantizar la disponibilidad y la integridad de los servicios que utilizan sus datos, asegurar la continuidad de los enlaces y preservar la capacidad de decisión en un entorno disputado o degradado. Los retos incluyen también la congestión orbital, los riesgos de colisión, la gestión del espectro radioeléctrico, el conocimiento de la situación espacial, la conformidad de las operaciones y la interoperabilidad entre las capacidades nacionales y europeas.

Los trabajos dedicados a la gestión del tráfico espacial defienden así un enfoque europeo federado. Este permitiría combinar los medios nacionales y construir al mismo tiempo un marco coherente, escalable y soberano. El enfoque se apoya especialmente en los trabajos realizados para el Centre national d’études spatiales, el sistema europeo de vigilancia y seguimiento de objetos espaciales y el Mando del Espacio francés. La federación responde a una doble necesidad: compartir la información útil y mantener una gobernanza controlada de las capacidades sensibles.

El refuerzo de los programas europeos

Creada en 2020 a partir de actividades anteriormente vinculadas a la dirección responsable del mercado interior, la dirección europea dedicada a la industria de defensa y al espacio cuenta con cinco direcciones, cinco grupos de trabajo, dieciséis unidades y unas cuatrocientas personas. También organiza veinticinco eventos anuales dentro de su ecosistema y fuera de él. Esta estructura refleja la rápida ampliación de las responsabilidades europeas en los ámbitos de la defensa, el espacio y la conectividad segura.

Los programas industriales de defensa incluyen el Fondo Europeo de Defensa, EDIRPA, ASAP, SAFE, EDIP, el préstamo de apoyo a Ucrania, AGILE, ECF todavía en negociación y un componente dedicado a las capacidades espaciales. Las magnitudes presupuestarias citadas muestran un cambio de escala. Los importes pasan de 0,59 mil millones de euros entre 2014 y 2020 a unos 8 mil millones entre 2021 y 2027. Para el marco financiero de 2028 a 2034 se proponen 131 mil millones de euros.

Solo en el ámbito espacial y de la conectividad segura, los datos disponibles señalan 15 mil millones de euros para 2021 a 2027, seguidos de una horquilla de 40 a 60 mil millones para 2028 a 2034. Los programas abarcan la navegación y la sincronización, la observación de la Tierra, la conectividad segura, el conocimiento de la situación espacial, el acceso al espacio, la soberanía tecnológica y la economía espacial. También integran el servicio gubernamental de observación de la Tierra, el seguimiento de objetos en órbita, la gestión del tráfico espacial, la vigilancia de frecuencias, la inteligencia artificial y las tecnologías cuánticas.

El escudo espacial europeo como próximo paso

La estrategia europea para la seguridad y la defensa en el espacio, adoptada en 2023, estableció cuatro objetivos. Pretende reforzar la resiliencia y la protección de los sistemas espaciales europeos, organizar la respuesta a las amenazas, desarrollar el uso del espacio para la seguridad y la defensa y, por último, promover comportamientos responsables en el espacio.

La estrategia de 2023 reconoció el espacio como un ámbito disputado. La estrategia de preparación de la Unión publicada en 2025 identificó los servicios espaciales como medios críticos para la resiliencia y la continuidad civil y militar, al tiempo que establecía un mandato directo para un escudo espacial europeo. La hoja de ruta para la preparación de la defensa con horizonte en 2030 presentó después este escudo como una iniciativa destinada a permitir que los activos europeos y nacionales prosigan sus operaciones en entornos disputados o degradados.

Un plan de acción debe traducir esta ambición política en medidas concretas. Su adopción está anunciada para diciembre de 2026. Debe conectar las capacidades existentes, subsanar las carencias críticas y proteger las infraestructuras espaciales europeas con la industria como socio indispensable. Esta lógica sitúa la ciberseguridad en el centro de la política espacial, porque un escudo eficaz depende de la confianza en los programas informáticos, las redes, los datos y los proveedores que sustentan cada misión.

Los espacios de datos como infraestructura estratégica

La reflexión sobre un espacio europeo de datos espaciales parte de una constatación sencilla. Los datos procedentes de los satélites, las misiones de seguridad espacial, la navegación y las comunicaciones siguen dispersos entre numerosas plataformas públicas y privadas. Su valor aumenta cuando pueden descubrirse, combinarse y procesarse fuera de su entorno de origen. Sin embargo, esta puesta en común solo puede funcionar si los titulares conservan el control de las condiciones de acceso y uso.

Un espacio de datos combina, por tanto, cinco componentes. Incluye un mecanismo de gobernanza que establece los derechos mediante la ley, las normas administrativas y los contratos. Se basa en una infraestructura informática segura que protege la confidencialidad. Permite a los titulares decidir quién accede a sus datos, con qué finalidad y en qué condiciones. Pone a disposición grandes volúmenes de recursos, gratuitamente o a cambio de una remuneración, según la elección del titular. Por último, permanece abierto a un número potencialmente amplio de organizaciones y personas, sujeto a criterios de adhesión y conformidad.

Una arquitectura basada en la confianza y la federación

La arquitectura propuesta separa claramente la gobernanza, los servicios de federación, los participantes y los servicios que crean valor. La autoridad de gobernanza define las funciones, el modelo de negocio, los acuerdos jurídicos, las responsabilidades, los criterios de adhesión, los derechos de acceso, las normas de seguridad y los procedimientos de auditoría. Estas normas se aplican a todos los participantes y también deben integrar los requisitos europeos y las limitaciones propias del sector espacial.

Los servicios de federación garantizan la identidad, la confianza, el descubrimiento de datos, la alineación semántica, la aplicación de políticas y la trazabilidad. El proveedor y el usuario se conectan cada uno mediante un agente capaz de gestionar las identidades, los permisos y las normas de uso. Los contratos regulan la relación, mientras que el acceso puede referirse a los propios datos o a una capacidad de cálculo. Los mercados digitales y los pagos siguen siendo opcionales, porque dependen del modelo de negocio elegido.

La interoperabilidad debe ir más allá del sector espacial. Las normas, los modelos semánticos, los mecanismos de confianza y los protocolos deben poder interactuar con los espacios de datos de la movilidad, el turismo, la agricultura, las ciudades inteligentes, la salud, la energía, las finanzas y la industria. El esquema cita varios componentes de referencia, entre ellos el Blueprint del Data Spaces Support Centre, Gaia X, IDSA, Eclipse, Prometheus X, iSHARE, Simpl, FIWARE y las normas geoespaciales del Open Geospatial Consortium.

Casos de uso civiles y soberanos

El espacio de datos espaciales debe federar la información procedente de los satélites de observación, navegación y comunicación, así como de las misiones de seguridad espacial. Se sitúa por encima de las infraestructuras y puede conectarse al Copernicus Data Space, a Destination Earth, a los servicios federados Gaia X y a una plataforma pública de datos abiertos destinada especialmente a la inteligencia artificial. La financiación de 20 millones de euros para esta plataforma ilustra la voluntad de construir servicios compartidos.

Los usos previstos abarcan la salud, la industria, la agricultura, la cultura, la movilidad, la transición ecológica, la seguridad, la administración pública, los medios de comunicación y las finanzas. Dos ejemplos muestran el carácter sensible de estos servicios. La gestión del tráfico espacial exige compartir de forma controlada información sobre los objetos en órbita, el espectro radioeléctrico y los riesgos de colisión. El servicio gubernamental de observación de la Tierra debe producir información geoespacial de valor añadido reservada a usuarios públicos autorizados, para apoyar la preparación, la toma de decisiones, la seguridad y la defensa. Su funcionamiento se basa en tres pilares: los servicios y los datos, la infraestructura y la gobernanza.

La seguridad debe integrarse desde el diseño

El caso de Skynopy ilustra la aplicación operativa de estos principios en el segmento terrestre. La empresa indica que incorporó la seguridad desde su creación y que obtuvo la certificación ISO IEC 27001 para su actividad de estación terrestre ofrecida como servicio. Para los operadores de satélites, las agencias y las administraciones de defensa, esta certificación constituye una señal de confianza, pero no sustituye al análisis de riesgos.

Se imponen dos principios. En primer lugar, una medida de seguridad debe ser proporcional al riesgo y al coste de la pérdida que pretende evitar. En segundo lugar, los fundamentos siguen teniendo prioridad frente a las tecnologías de moda. Un ataque puede comenzar por un permiso de acceso olvidado, una contraseña débil o un servidor sin parches de seguridad. Una organización que descuide estos puntos no estará protegida por la incorporación de mecanismos más sofisticados. Este enfoque enlaza directamente con los requisitos de madurez presentados para la base industrial y tecnológica de defensa.

La inteligencia artificial, la ciberseguridad y la criptografía poscuántica también figuran entre las respuestas que deben estudiarse para reforzar la resiliencia de los servicios espaciales. Las soluciones desarrolladas por Seclab, Alyon.ai y Aldoria muestran la diversidad de los actores movilizados. Sin embargo, la información disponible no permite detallar aquí sus resultados técnicos. Su presencia en este ecosistema confirma, sobre todo, que la protección del espacio combina ahora seguridad de las redes, procesamiento automatizado de la información y anticipación de la transición criptográfica.

La ciberseguridad se convierte en una cuestión económica y contractual

Las cifras recogidas del panorama de la ciberamenaza 2025 de la Agencia Nacional de Seguridad de los Sistemas de Información muestran una amenaza persistente. En 2025, la agencia gestionó 3 586 eventos de seguridad, un descenso del 18 por ciento respecto a 2024. Sin embargo, el número de incidentes registrados en la serie mostrada pasa de 831 en 2022 a 1 112 en 2023, 1 361 en 2024 y 1 366 en 2025. El documento también menciona 128 compromisos de seguridad mediante ransomware en 2025, de los cuales el 48 por ciento afectó a microempresas y pequeñas o medianas empresas.

La dimensión cibernética afecta directamente a los datos, la continuidad de la actividad, la confianza de clientes y socios, las cadenas de valor de la defensa y el acceso a los mercados. Para un proveedor de defensa, una madurez insuficiente puede provocar, por tanto, una interrupción, una pérdida de información o la exclusión de un contrato. La seguridad ya no es solo una cuestión técnica confiada a un equipo especializado. Se convierte en una condición de competitividad y una responsabilidad de la dirección.

El marco fundamental de madurez cibernética

El marco fundamental de madurez cibernética responde a la mayor exposición de la cadena de proveedores de defensa y a la dispersión de los requisitos entre los contratantes. Su origen se remonta a 2019, con un convenio cibernético entre el Ministerio de las Fuerzas Armadas y ocho contratistas industriales principales. En 2022, los grupos de trabajo entre el Estado y la industria dedicados a la economía de guerra refuerzan este enfoque. En 2023 aparecen dos marcos fundamentales dedicados a la seguridad física y a la ciberseguridad. En julio de 2026 se publica una guía dedicada a la comprensión y aplicación del marco.

El grupo de trabajo está dirigido por la Dirección General de Armamento, junto con los ocho contratistas principales del convenio cibernético y con el apoyo de la Agencia Nacional de Seguridad de los Sistemas de Información. Se plantean tres objetivos: elevar el nivel de ciberseguridad de las empresas de defensa, preservar su acceso a los mercados internacionales y evitar perjuicios económicos. El enfoque prioriza medidas aplicables por cualquier empresa y guías de mejora accesibles en el sitio web del Ministerio de las Fuerzas Armadas.

Veintiún requisitos repartidos en cuatro bloques

El marco contiene veintiún requisitos fundamentales. Cada uno recibe una puntuación de uno a cuatro, y la conformidad se alcanza en el nivel tres. Si un requisito no resulta aplicable, debe justificarse. El instrumento tiene dos usos. Un contratante puede imponerlo a sus proveedores en el marco contractual. También puede servir para una autoevaluación destinada a medir y poner en valor la madurez, con la perspectiva de una certificación posterior.

El marco puede resumirse en cinco preguntas dirigidas al responsable de la empresa. ¿Sabe la empresa qué información es realmente sensible y dónde está almacenada? ¿Hay una persona claramente responsable de la ciberseguridad que rinda cuentas a la dirección? ¿Están bajo control los derechos de acceso, las conexiones remotas, las cuentas de administrador y las contraseñas? ¿Sabría la organización reanudar rápidamente su actividad después de un ataque de ransomware? Por último, ¿puede demostrarse el nivel alcanzado mediante una declaración y pruebas verificables?

Una declaración que compromete y pruebas que deben conservarse

El requisito se incorpora progresivamente a los contratos de defensa mediante el repertorio de cláusulas de la Dirección General de Armamento y debe armonizarse entre los contratantes. La empresa se evalúa con la matriz oficial. El responsable de la empresa firma una declaración válida durante un máximo de tres años y la revisa cada año. Las pruebas deben seguir disponibles en caso de auditoría. Esta combinación convierte la declaración en un compromiso de gobernanza y no en una mera formalidad documental.

Se prevén mecanismos de apoyo. El diagnóstico Cyber Défense se anuncia como subvencionado al 50 por ciento. La Dirección de Inteligencia y Seguridad de la Defensa puede ofrecer asesoramiento gratuito. La Dirección General de Armamento también dispone de una unidad de ciberseguridad destinada a las pequeñas y medianas empresas. Tres puntos merecen especial atención. No se fija un plazo único para los parches de seguridad, pero los retrasos y las excepciones deben conocerse, registrarse y compensarse. El ámbito incluye las máquinas herramienta y la informática industrial. Por último, recurrir a la nube o a un proveedor de servicios no transfiere la responsabilidad, y el alojamiento remoto no constituye por sí mismo una copia de seguridad.

Una articulación necesaria con los demás marcos

El marco fundamental de madurez cibernética no sustituye a los demás marcos. Constituye una base común adaptada a los proveedores franceses de defensa. Se validan o estudian equivalencias para evitar la repetición de los procesos. La guía precisa, en particular, que el nivel bronce del marco Aircyber ofrece una equivalencia. Por tanto, una empresa que ya trabaje en ISO IEC 27001 o en la adaptación a NIS 2 ha recorrido parte del camino, aunque todavía debe demostrar los requisitos específicos de los contratos de defensa.

De la evaluación a la ventaja comercial

El proceso propuesto comienza con una autoevaluación requisito por requisito. A continuación, la empresa identifica las carencias, ordena sus prioridades por bloque y decide si puede actuar por sí sola o si necesita apoyo. Esta primera instantánea no constituye una auditoría ni una certificación. Sirve para objetivar la situación y preparar la decisión.

El avance se desarrolla en tres etapas. Comprender significa realizar el diagnóstico, organizar entrevistas con la dirección y los equipos y, después, elaborar un mapa de las carencias y los riesgos críticos. Decidir consiste en priorizar según el riesgo, cuantificar los costes de las acciones, decidir la asignación de recursos y articular el marco con NIS 2. Transformar implica dirigir la ejecución, preparar la declaración del responsable de la empresa y poner en valor los avances ante los clientes. La ciberseguridad se convierte entonces en un argumento comercial demostrable, siempre que las pruebas correspondan a medidas realmente aplicadas.

El riesgo de terceros medido a gran escala

La experiencia de Board of Cyber amplía la reflexión al control del riesgo introducido por terceros. La empresa presenta una calificación automatizada y no intrusiva de la superficie externa, utilizable de forma puntual o continua. Su objetivo es evaluar, supervisar y gestionar la madurez de una organización y la de su ecosistema. Este enfoque responde a una realidad central del sector espacial: la seguridad de una cadena depende de su actor más expuesto.

El Panorama NIS 2 de 2026 abarca más de 21 700 entidades francesas, 7,4 millones de elementos observables y 2,8 millones de activos distribuidos en dieciocho sectores. El análisis asigna una puntuación de cero a mil a partir de la superficie externa visible. Se destacan seis anomalías frecuentes: un puerto LDAP accesible desde internet, tecnologías que han llegado al final de su vida útil, ausencia de SPF, una política DMARC dejada en modo neutro, un certificado TLS inválido o caducado y un registro CNAME genérico en el dominio principal. Cinco de estas seis anomalías pueden corregirse mediante configuración en pocas semanas. En cambio, la gestión de las tecnologías obsoletas exige un proceso continuo.

El sector espacial en una posición intermedia

La comparación sectorial mide la proporción de entidades clasificadas con una madurez avanzada. La banca encabeza la clasificación con el 60,2 por ciento, por delante de los mercados financieros, con el 57,9 por ciento. El sector espacial se sitúa en el 36,9 por ciento, entre el agua potable, con el 38,3 por ciento, y los transportes, con el 36 por ciento. Este resultado sitúa al sector lejos de los mejores niveles, pese a que sus servicios sustentan funciones críticas.

El diagnóstico de ciento setenta empresas espaciales

El observatorio dedicado a 170 empresas del sector espacial en Bretaña muestra una puntuación media de 705 sobre mil. Nueve empresas se clasifican en el nivel básico, 98 en el intermedio y 63 en el avanzado. Los perfiles varían considerablemente según los ejes evaluados. El control de seguridad obtiene una posición relativamente favorable, mientras que la superficie de ataque, el correo electrónico y las vulnerabilidades muestran carencias más marcadas.

La principal conclusión sigue siendo preocupante. Nueve de cada diez empresas presentan al menos un problema de gravedad alta o crítica que debe corregirse. Los puertos expuestos representan un problema crítico para el 8,2 por ciento de las empresas. La configuración del correo electrónico constituye un problema importante para el 54 por ciento. Los fallos relacionados con la web y TLS afectan al 44 por ciento. Los controles de seguridad asociados a DNSSEC y a los registros DNS genéricos afectan al 11 por ciento. Las tecnologías que deben actualizarse afectan al 59 por ciento de las empresas y requieren una planificación de las actuaciones.

Un plan de acción escalonado según la urgencia

El plan de acción propuesto distribuye las correcciones en cuatro horizontes temporales. En un plazo de setenta y dos horas, las organizaciones deben eliminar las exposiciones críticas, especialmente los puertos accesibles y los servicios LDAP anónimos. Pueden filtrar estos servicios o situarlos detrás de un cortafuegos. Si la exposición se prolonga desde hace tiempo, deben renovar las credenciales y examinar los registros. Catorce empresas están directamente afectadas por esta prioridad.

En un plazo de treinta días, el esfuerzo se centra en el correo electrónico, los certificados y el protocolo HTTP. Es necesario configurar DMARC y SPF, eliminar los registros de correo innecesarios, renovar los certificados defectuosos y eliminar el uso de conexiones web no seguras. En un plazo de noventa días, la prioridad pasa a ser la actualización de los servidores web, los lenguajes y los sistemas de gestión de contenidos. Los servidores web concentran el 82 por ciento de las vulnerabilidades críticas, y el estudio registra 10 601 vulnerabilidades potencialmente críticas en estos servidores.

La cuarta etapa es continua. Las empresas deben medir periódicamente su madurez externa, comprobar que las correcciones siguen siendo eficaces y seguir los progresos de sus socios. Esta supervisión complementa el marco de madurez. Una aporta una medición visible de la superficie expuesta; el otro estructura la gobernanza, los procesos y las pruebas internas. Su combinación ofrece una visión más realista del riesgo.

Lo que deben recordar los dirigentes

La protección del sector espacial europeo se basa en una cadena de decisiones coherentes. Las instituciones deben financiar las capacidades, definir las normas comunes y organizar la respuesta a las amenazas. Los operadores deben asegurar los satélites, las estaciones terrestres, las redes y los datos. Los contratantes deben armonizar sus requisitos y verificar las pruebas. Los proveedores deben conocer sus activos sensibles, controlar los accesos, probar sus copias de seguridad y corregir las exposiciones visibles. Ninguno de estos niveles puede compensar de forma duradera la debilidad de los demás.

La gobernanza de los datos se vuelve tan importante como su protección. Un espacio de datos espaciales solo crea valor si se comparten los derechos de uso, las identidades, los contratos, los modelos semánticos y los mecanismos de auditoría. La federación europea permite poner en común los servicios y mantener al mismo tiempo el control de los titulares. Ofrece un marco adecuado para la información sensible, los intercambios entre sectores y los usos soberanos.

Por último, la resiliencia no se reduce a adquirir una tecnología. Las dificultades observadas suelen proceder de puertos abiertos, certificados caducados, reglas de correo electrónico incompletas, componentes obsoletos y derechos mal gestionados. Estos problemas son conocidos y pueden corregirse. Su persistencia muestra que la primera prioridad es la disciplina de ejecución, apoyada por una gobernanza clara, responsabilidades explícitas, plazos adaptados al riesgo y una medición periódica de los avances.

Europa dispone ya de estrategias, programas y financiación capaces de elevar su nivel de autonomía. El éxito dependerá de su traducción en los contratos, las arquitecturas y las prácticas cotidianas de cada actor. En un ámbito donde las misiones civiles, militares y comerciales comparten cada vez más las mismas infraestructuras, la ciberseguridad es la condición operativa de la soberanía espacial.

Descubre el programa completo de METRICS

En nuestro sitio web encontrarás el programa completo del congreso, los temas abordados y las distintas posibilidades para proponer una intervención, convertirte en patrocinador o asistir a los debates.

Accede al programa completo de METRICS: https://www.metrics-summit.org/fr/program

Fuentes

Dirección General de Armamento, guía del marco fundamental de madurez cibernética: comprender y aplicar, 15 de julio de 2026

Guía SDI SecNum 2217, edición 03

Agencia Nacional de Seguridad de los Sistemas de Información, Panorama de la ciberamenaza 2025, 11 de marzo de 2026

Board of Cyber, Panorama NIS 2 2026 y observatorio dedicado a 170 empresas del sector espacial

Comisión Europea, Dirección General de Industria de Defensa y Espacio, políticas y programas dedicados al espacio y la defensa