Respaldo parlamentario acumulado: proposición no de ley aprobada por unanimidad en el Congreso el 21 de abril de 2021; nueva instancia al Gobierno el 19 de septiembre de 2024; moción aprobada en el Senado el 23 de junio de 2025 por 19 votos a favor y 9 en contra. Fuente: Diario de Sesiones del Senado, núm. 449.
01 · Situación
La variable crítica
España debate desde 2015 la creación de una capacidad de refuerzo civil para la ciberdefensa. La propuesta —originada en el ámbito profesional, articulada como proposición de ley y respaldada en tres votaciones parlamentarias— no ha superado la fase de desarrollo reglamentario. El marco jurídico habilitante existe desde 2007.
Conviene delimitar primero el objeto. La figura debatida no es una estructura permanente que resuelva el déficit de personal del Estado, sino una capacidad de refuerzo de activación excepcional: se moviliza ante ataque masivo contra infraestructuras críticas, en apoyo a los efectivos profesionales del MCCE, y permanece latente el resto del tiempo. Es complementaria, no sustitutiva. Todo el análisis siguiente se construye sobre esa delimitación.
Sobre ese objeto, lo que determinará la evolución no es un acontecimiento electoral ni una reforma legal, sino una decisión de arquitectura institucional: bajo qué techo administrativo se encuadra la capacidad y cómo se ordena la concurrencia entre los actores estatales que operan sobre el mismo talento escaso. Todo lo demás —escala, estatuto, presupuesto— es subsidiario de esa decisión.
El artículo 123 de la Ley 39/2007, de la Carrera Militar, habilita la incorporación de reservistas voluntarios para colaborar con las Administraciones Públicas. La cobertura jurídica es, por tanto, anterior en catorce años al primer respaldo parlamentario. Fuente: BOE.
El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad fue aprobado en Consejo de Ministros el 14 de enero de 2025 a propuesta conjunta de Interior, Defensa y Transformación Digital, y crea el Centro Nacional de Ciberseguridad bajo la Secretaría General de Presidencia del Gobierno. A julio de 2026 continúa sin publicarse en el BOE. Fuente: Departamento de Seguridad Nacional.
02 · Factores estructurales
Qué condiciona el sistema
Elementos que operan con independencia de la coyuntura política y que ninguna decisión de corto plazo modifica.
Escasez de talento
El déficit global de profesionales de ciberseguridad es documentado y transversal a los países desarrollados. No es un problema español ni coyuntural: es la condición de fondo sobre la que opera cualquier mecanismo de movilización.
Fragmentación competencial
La ciberseguridad española se reparte entre Defensa (MCCE), Transformación Digital (INCIBE, tras la reestructuración de diciembre de 2024 bajo la Secretaría de Estado de Telecomunicaciones, Infraestructuras Digitales y Seguridad Digital) e Interior y CNI (Centro Criptológico Nacional). No hay un único titular natural del problema.
Disponibilidad sobre retención
El diferencial retributivo con el sector privado condiciona la dotación permanente del Estado. Sobre una capacidad de activación excepcional el efecto es distinto: el reservista no abandona su empleo, por lo que el reto no es retenerlo en plantilla sino asegurar su disponibilidad y su nivel de adiestramiento en el momento de la activación.
Aterritorialidad y dinamismo del dominio
El ciberespacio exige disponibilidad casi en tiempo real y conocimiento en desarrollo continuo. Esto no erosiona el modelo de reserva, pero desplaza su exigencia: de la activación periódica al encuadramiento y adiestramiento continuos.
Qué cambia · qué permanece
Once años de debate
Cambia el marco europeo: la Directiva NIS2 y la Reserva de Ciberseguridad de la UE introducen un nivel supranacional que no existía cuando se formuló la propuesta original en 2015. Permanece el diagnóstico de fondo —escasez de talento, fragmentación competencial, dificultad de asegurar disponibilidad— idéntico al de hace once años.
03 · Mapa de actores
Capacidad efectiva sobre la trayectoria
Los actores se clasifican por su capacidad real de alterar el desenlace, no por sus declaraciones públicas.
| Actor | Rol | Influencia | Alineamiento |
|---|---|---|---|
| A1 · Defensa (EMAD / MCCE) | Titular de la vía militar; receptor del refuerzo | ALTA | Favorable en el nivel técnico; ejecución pendiente en el político |
| A2 · Transformación Digital | Ciberseguridad civil (INCIBE); coproponente del anteproyecto | ALTA | Favorable a la gobernanza; sin posición pública sobre la reserva |
| A8 · Presidencia / DSN / futuro CNC | Órgano coordinador previsto; contacto único ante la UE | ALTA | Determinante una vez constituido; hoy inexistente como tal |
| A9 · Interior | Coproponente; infraestructuras críticas | MEDIA | Concurrente en el reparto de autoridades de control |
| A3 · Hacienda | Control presupuestario | MEDIA | Condicionante menor: coste estimado bajo |
| A4 · Grupos parlamentarios | Impulso legislativo | MEDIA | Consenso declarativo; sin capacidad de forzar la ejecución |
| A5 · INCIBE / CCN | Gestores de talento civil y formación | MEDIA | Concurrentes sobre el mismo pool; potencial solapamiento |
| A6 · Sector privado | Empleador de origen de los reservistas | ALTA | Externo; su cooperación es requisito para la activación efectiva |
| A7 · Nivel UE | Origen de la obligación de transposición | MEDIA–ALTA | Presiona a favor del vehículo; modula la urgencia nacional |
J&H Actor Map™. La influencia mide capacidad de alterar la trayectoria, no jerarquía administrativa.
04 · Índice de Riesgo de Implementación
Instrumento propietario J&H
El Country Risk Score no aplica a un caso que no es de riesgo-país. J&H construye para esta colección el Índice de Riesgo de Implementación, que mide la probabilidad de que una política respaldada no llegue a ejecutarse. Escala 0–100, donde el valor más alto equivale a mayor riesgo de no-implementación.
58,3Riesgo moderado de no-implementación
Escala J&H: 0–40 bajo · 41–60 moderado · 61–75 elevado · 76–100 alto. Suma ponderada de seis dimensiones. Estimación propia; no constituye asesoramiento jurídico.
75Voluntad ejecutiva25 %
80Encaje institucional20 %
55Claridad del estatuto jurídico15 %
45Concurrencia por el talento15 %
40Presión externa (europea)10 %
30Disponibilidad presupuestaria15 %
Lectura de las dimensiones. El riesgo se concentra en la voluntad ejecutiva y, sobre todo, en el encaje institucional. Esta última puntuación no refleja ausencia de diseño —el anteproyecto prevé un coordinador intersectorial bajo Presidencia del Gobierno— sino que ese órgano no está constituido y la norma que lo crea permanece bloqueada. El encaje está resuelto sobre el papel y sin resolver en la práctica.
En sentido contrario, la disponibilidad presupuestaria es la dimensión más favorable: el coste es bajo, lo que confirma que el dinero nunca fue el obstáculo. La concurrencia por el talento se sitúa en banda intermedia y no alta, porque al tratarse de una capacidad de activación excepcional el reservista permanece empleado en su organización de origen y no se sustrae de forma permanente del mercado.
Con el órgano coordinador sin constituir, la probabilidad de no-implementación en el corto plazo se mantiene en banda moderada-alta, con estimación central del 50–60 %. La aprobación de la ley y la puesta en funcionamiento del Centro Nacional de Ciberseguridad reducirían la dimensión dominante de 80 a 40 y situarían el índice en banda baja-moderada.
05 · Vectores de riesgo
Jerarquía de exposición
Los vectores se ordenan por capacidad de determinar el desenlace, no por gravedad aparente. El dominante sostiene a todos los demás.
RIESGO DOMINANTE · CONFIANZA ALTA
Fragmentación institucional
La inexistencia de un titular único del problema perpetúa la parálisis. El coordinador previsto —el Centro Nacional de Ciberseguridad, bajo Presidencia del Gobierno— resolvería la atribución, pero depende de una norma bloqueada. Mientras tanto ningún departamento asume el coste de coordinar a los demás. Señal temprana: aprobación de la ley de transposición y constitución efectiva del Centro.
RIESGO SECUNDARIO · CONFIANZA ALTA
Consenso declarativo sin ejecución
Tres respaldos parlamentarios sin desarrollo reglamentario evidencian que el apoyo político es condición necesaria pero no suficiente. Un cuarto respaldo no alteraría el patrón.
RIESGO SECUNDARIO · CONFIANZA MODERADA
Disponibilidad y adiestramiento efectivos
Aun constituida la capacidad, el riesgo material no es la fuga hacia el sector privado —el reservista nunca sale de él— sino que, llegado el momento de activación, los efectivos no estén disponibles o su adiestramiento haya quedado desfasado. El modelo de voluntariado sin contrapartida agrava ambos extremos.
RIESGO TRANSVERSAL · CONFIANZA MODERADA
Desactivación por vía europea
El mecanismo de la UE puede reducir la presión política sin resolver la necesidad nacional específica, dejando el caso en un limbo indefinido sin que medie decisión explícita.
RIESGO RESIDUAL · CONFIANZA MODERADA
Exposición reputacional del impulso
En el clima de escrutinio actual sobre influencia y contratación pública, un impulso mal articulado puede leerse como interés particular. Es residual en magnitud, pero material en gestión.
06 · Señales tempranas
Sistema de alerta
Combinación de indicadores adelantados, concurrentes y rezagados. La prioridad corresponde a los adelantados.
| Tipo | Indicador | Lectura |
|---|---|---|
| Adelantado | Publicación en BOE de la Ley de Coordinación y Gobernanza | Desbloquea el vehículo; condición necesaria de todo lo demás |
| Adelantado | Constitución efectiva del Centro Nacional de Ciberseguridad | Atribuye por fin la competencia coordinadora |
| Adelantado | Mención a reserva de talento en el articulado aprobado | Confirmaría el encaje explícito de la capacidad |
| Concurrente | Desarrollo reglamentario del art. 123 Ley 39/2007 | Estatuto diferenciado frente al reservista genérico |
| Concurrente | Desglose de plazas de ciberseguridad en la convocatoria anual | Primer indicio de dimensionamiento real |
| Concurrente | Dotación presupuestaria nominada | Traduce la voluntad declarada en recurso |
| Rezagado | Primera activación operativa bajo mando definido | Verifica que la capacidad es desplegable |
| Rezagado | Datos de disponibilidad y adiestramiento a 24–36 meses | Verifica sostenibilidad, no solo constitución |
J&H Early Warning System™. Los rezagados no anticipan: verifican.
Implicaciones · lectura para el decisor
La arquitectura está diseñada y sin constituir
El caso no se desbloquea con más respaldo parlamentario. Lo que falta es la aprobación de la norma que crea el órgano coordinador y la constitución efectiva de ese órgano. Cualquier lectura que sitúe el problema en la falta de cobertura legal o de presupuesto describe mal el caso.
La tramitación del vehículo, no las iniciativas sectoriales
El anteproyecto de transposición de NIS2 y, dentro de él, la constitución del Centro Nacional de Ciberseguridad, es el indicador adelantado decisivo. Sin coordinador constituido, ninguna vía departamental resuelve el encaje.
Con independencia del desenlace
Situar cualquier iniciativa en el cauce de coordinación intersectorial, no en una vía departamental; resolver el encaje y el estatuto antes que la escala; y documentar todo impulso con trazabilidad verificable.
Test de falsabilidad · qué invalidaría este análisis
La disciplina de la casa exige declarar en qué condiciones el análisis sería erróneo. Un juicio que no puede fallar no es un juicio.