Tres iniciativas parlamentarias favorables: proposición no de ley en el Congreso el 21 de abril de 2021, aprobada por unanimidad; nueva instancia al Gobierno el 19 de septiembre de 2024; moción aprobada en el Senado el 23 de junio de 2025 por 19 votos a favor y 9 en contra. Fuente: Diario de Sesiones del Senado, núm. 449.
01 · Lo esencial
Panorama en treinta segundos
La creación de una reserva de talento en ciberseguridad ha sido respaldada por las Cortes en tres ocasiones sin que se haya traducido en una estructura operativa. El marco legal habilitante ya existe: el obstáculo no es normativo, sino de constitución efectiva del órgano que debe coordinarla.
3
respaldos parlamentarios
2021 · 2024 · 2025
18
meses del anteproyecto
sin publicar en BOE
58,3
Índice de Riesgo
de Implementación
El artículo 123 de la Ley 39/2007, de la Carrera Militar, ya habilita la incorporación de reservistas voluntarios para colaborar con las Administraciones Públicas. Fuente: BOE.
El bloqueo es de naturaleza ejecutiva y de arquitectura institucional, no conceptual ni jurídica.
La reiteración del respaldo sin desarrollo reglamentario sugiere un patrón de consenso declarativo sin prioridad ejecutiva (debate parlamentario y prensa especializada).
Escenario base: la capacidad no se constituye como cuerpo autónomo en el corto plazo; el mecanismo genérico de reservistas voluntarios sigue absorbiendo la función (banda 40–60 %).
La idea que debe quedar
La ciberreserva no resuelve el déficit de talento del Estado: es una capacidad adicional de refuerzo. Se activa de forma excepcional —ante ataque masivo contra infraestructuras críticas— en apoyo a los efectivos profesionales del Mando Conjunto del Ciberespacio (MCCE). Es complementaria, no sustitutiva. Leerla como solución al problema estructural de personal conduce a expectativas que ninguna reserva puede satisfacer.
Sobre ese encuadre, el riesgo dominante no es la falta de una ley, sino la fragmentación institucional de la ciberseguridad española. Tres actores estatales —Defensa, Transformación Digital e INCIBE— concurren sobre un mismo pool escaso de talento. La variable crítica no es aprobar la reserva una cuarta vez, sino constituir el órgano que ordene esa concurrencia.
El vehículo que lo prevé existe y está identificado: el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que transpone la Directiva NIS2 y crea el Centro Nacional de Ciberseguridad bajo la Secretaría General de Presidencia del Gobierno. Su carácter interministerial evita tener que elegir entre departamentos. Su bloqueo, sin embargo, es hoy el factor determinante.
02 · Escenarios de implementación
Vía Defensa y vía Gobernanza
El caso admite tres trayectorias principales más un vector transversal que las atraviesa. En todas ellas la figura opera como capacidad de activación excepcional, no como estructura permanente.
HORIZONTE 2026–2031
Escenario A · Vía Defensa
BAJA–MODERADA 30–50 %Desarrollo reglamentario del modelo militar. Defensa desarrolla la reserva bajo el MCCE conforme al diseño respaldado en las tres iniciativas. Fundamento: vía con cobertura legal más directa y apoyo del estamento técnico. Caveat: es la vía bloqueada desde 2021 por falta de prioridad ejecutiva. Confianza: moderada.
Escenario B · Vía Gobernanza
BAJA 15–40 %Encaje en la transposición de NIS2. La capacidad se articula en el marco del anteproyecto de Ley de Coordinación y Gobernanza. Fundamento: único vehículo que prevé un órgano de coordinación intersectorial, de carácter interministerial. Caveat: no consta previsión expresa de reserva en el texto, y el propio vehículo está bloqueado. Confianza: moderada.
El anteproyecto fue aprobado en Consejo de Ministros el 14 de enero de 2025 a propuesta conjunta de los ministerios del Interior, de Defensa y para la Transformación Digital y de la Función Pública. Transpone la Directiva (UE) 2022/2555 y crea el Centro Nacional de Ciberseguridad, dependiente de la Secretaría General de Presidencia del Gobierno. Fuente: Departamento de Seguridad Nacional.
A julio de 2026 continúa sin publicarse en el BOE. España incumplió el plazo de transposición del 17 de octubre de 2024 y la Comisión Europea le remitió dictamen motivado. Parte de las obligaciones se incorporaron por urgencia mediante el Real Decreto-ley 7/2025.
Escenario C · Statu quo
MODERADA 40–60 %Absorción por el mecanismo genérico. No se crea cuerpo autónomo; la función se cubre con la figura genérica del reservista voluntario, cuyas plazas totales han crecido de 150 en 2019 a 500 en 2026, sin desglose ni estatuto diferenciado para ciberseguridad. Fundamento: trayectoria inercial, no requiere decisión activa. Caveat: no resuelve la disponibilidad ni el adiestramiento efectivos. Confianza: alta.
Transversal · Absorción europea
BAJA 15–40 %Desplazamiento hacia el nivel europeo. La Reserva de Ciberseguridad de la UE, en vigor desde el 4 de febrero de 2025, cubre progresivamente la respuesta a incidentes mediante proveedores privados. Fundamento: mecanismo operativo a petición de los Estados miembros.
Los escenarios A, B y C son parcialmente concurrentes: una vía civil podría convivir con desarrollo militar. El vector transversal opera como modulador a la baja sobre A y B, no como trayectoria independiente. Las bandas no suman 100 % por esa concurrencia.
03 · Probabilidades
Bandas por escenario
Las probabilidades son juicios analíticos expresados en bandas, no datos de fuente. La confianza se expresa de forma independiente de la probabilidad.
| Escenario | Banda | Estimación central | Confianza |
|---|---|---|---|
| A · Vía Defensa | Baja–Moderada (30–50 %) | 40 % | Moderada |
| B · Vía Gobernanza | Baja (15–40 %) | 30 % | Moderada |
| C · Statu quo | Moderada (40–60 %) | 55 % | Alta |
| Transversal · Absorción UE | Baja (15–40 %) | — | Moderada |
Bandas J&H. La estimación central se presenta como valor de referencia, subordinado a la banda.
Nota metodológica
Por qué no se aplica el Country Risk Score
El instrumento habitual de la casa mide riesgo-país y no es aplicable a un caso cuya variable crítica es la implementación de una política ya respaldada. En su lugar, el Documento II construye el Índice de Riesgo de Implementación (IRI) sobre seis dimensiones ponderadas: voluntad ejecutiva, encaje institucional, disponibilidad presupuestaria, concurrencia por el talento, claridad del estatuto jurídico y presión externa. Su valor vigente es 58,3 sobre 100, en banda moderada.
Matriz probabilidad × impacto · J&H
Fragmentación institucionalALTO · DOMINANTE
Bloqueo del vehículo normativoALTO
Consenso sin ejecuciónELEVADO
Disponibilidad y adiestramientoMODERADO
Ambigüedad del estatutoMODERADO
Desactivación por vía europeaBAJO
Bandas canónicas J&H: alto · elevado · moderado · bajo. El vector dominante se marca con filete dorado.
04 · Riesgos materiales
Cuadro de mando para el decisor
Riesgos para un decisor institucional que quiera impulsar la constitución de la capacidad. Jerarquizados: el dominante en primer lugar.
| Riesgo | Nivel | Descripción |
|---|---|---|
| Fragmentación institucional | ALTO | Tres actores estatales concurren sobre el mismo talento sin órgano coordinador constituido. Es el riesgo dominante. |
| Parálisis por consenso declarativo | ALTO | El respaldo parlamentario reiterado sin desarrollo reglamentario puede repetirse sin efecto ejecutivo. |
| Bloqueo del vehículo normativo | ALTO | El anteproyecto que crea el órgano coordinador lleva dieciocho meses sin aprobarse, con procedimiento de infracción europeo abierto. |
| Disponibilidad y adiestramiento | MEDIO | El reservista permanece en su empleo: el riesgo no es la fuga, sino que no esté disponible o su adiestramiento haya quedado desfasado. |
| Ambigüedad del estatuto | MEDIO | Régimen jurídico, responsabilidad en un ciberconflicto y contrapartidas siguen sin resolver. |
| Desactivación por vía europea | BAJO | El mecanismo de la UE puede reducir la urgencia política sin resolver la necesidad nacional. |
Semáforo J&H. La polaridad es semántica: rojo indica exposición desfavorable para el decisor.
05 · Señales tempranas
Indicadores de alerta
Sistema de vigilancia que combina indicadores adelantados, concurrentes y rezagados. La prioridad corresponde a los adelantados: son los que permiten anticipar el desenlace.
Aprobación parlamentaria del vehículo
Publicación en el BOE de la Ley de Coordinación y Gobernanza de la Ciberseguridad, y constitución efectiva del Centro Nacional de Ciberseguridad con atribución expresa de competencias sobre talento. Referencia a una reserva o cuerpo de talento en el articulado finalmente aprobado.
Desarrollo reglamentario y dotación
Desarrollo del artículo 123 de la Ley 39/2007 con estatuto diferenciado; desglose de plazas de ciberseguridad en la convocatoria anual de reservistas voluntarios; dotación presupuestaria nominada en los Presupuestos Generales del Estado o en programas de modernización.
Activación y sostenibilidad
Primera activación operativa de reservistas de ciberseguridad bajo un mando definido; publicación de datos de disponibilidad efectiva y adiestramiento a veinticuatro y treinta y seis meses.
06 · Recomendaciones
Seis líneas de actuación con independencia del desenlace
Situar el debate en el vehículo de coordinación, no en un departamento
El anteproyecto de transposición de NIS2 es el único instrumento que prevé un órgano de coordinación intersectorial y tiene carácter interministerial. Orientar el esfuerzo hacia una nueva iniciativa en sede de un único departamento reproduce el problema que se pretende resolver.
Priorizar la coordinación sobre la creación
Cualquier diseño debe resolver primero la concurrencia interdepartamental sobre el talento entre Defensa, Transformación Digital, INCIBE y el Centro Criptológico Nacional. Sin ese orden, la creación del cuerpo reproduce la fragmentación.
Aprovechar el marco legal existente
No promover legislación nueva cuando el artículo 123 de la Ley 39/2007 ya habilita la figura; concentrar el esfuerzo en el desarrollo reglamentario, que es la barrera más baja y depende solo del Ejecutivo.
Articular la complementariedad con el nivel europeo
Diseñar la capacidad nacional como complemento —no duplicado— de la Reserva de Ciberseguridad de la UE, para blindar el argumento frente a la objeción de solapamiento.
Resolver el estatuto y el adiestramiento antes que la escala
Clarificar régimen jurídico, responsabilidad, contrapartidas y régimen de encuadramiento antes de fijar objetivos numéricos. Sin adiestramiento continuo, el dimensionamiento es nominal.
Operar con transparencia trazable
Cualquier acción de impulso ante decisores públicos debe documentarse conforme al estándar de la futura regulación de grupos de interés, para proteger tanto al impulsor como al decisor.
07 · Horizonte
Escenario más probable
En el horizonte 2026–2031 el escenario más probable sigue siendo el statu quo: la función absorbida por el mecanismo genérico de reservistas, sin cuerpo autónomo ni estatuto diferenciado.
La ventana que podría alterarlo es estrecha y depende de una decisión que hoy no está tomada: aprobar el vehículo de transposición y constituir el órgano coordinador que prevé. Mientras eso no ocurra, ninguna vía departamental resuelve el encaje, y el respaldo parlamentario adicional carece de efecto práctico.