El desempeño insatisfactorio atribuido al modelo de Reserva Voluntaria vigente en el ámbito ciber se ha vinculado precisamente a esa carencia, tanto en la proposición de ley como en análisis profesionales del sector.
01 · Objeto y alcance
Qué profundiza este documento
El Documento II estableció que la variable crítica es el encaje institucional. Este Outlook profundiza en ese eje: qué modelos de diseño existen, cómo los han resuelto otros países, cómo encaja el nivel europeo y qué efectos encadenados produce cada opción sobre el ecosistema de talento español.
No es un documento de recomendación política, sino de análisis de opciones de diseño y de sus consecuencias por orden. La pregunta que organiza el texto no es si la capacidad debe existir, sino bajo qué arquitectura tendría valor operativo y bajo cuál sería nominal.
02 · Modelos de diseño
Tres arquitecturas posibles
Premisa común a las tres: en todos los modelos la figura opera como capacidad de refuerzo de activación excepcional, en apoyo a los efectivos profesionales del MCCE. Ninguno plantea una estructura que sustituya al mando profesional ni que absorba de forma permanente talento del mercado. Lo que se discute es bajo qué techo se encuadra y adiestra esa capacidad latente.
Modelo A
Militar · subordinación al MCCE
Cuerpo de carácter civil puesto a disposición del mando militar, activable en crisis sistémica. Es el diseño de la proposición de ley original: cinco divisiones —Operaciones, Detección de talento, Formación, Recursos e Inteligencia—, habilitación de seguridad obligatoria y compromiso inicial plurianual.
Ventaja: cadena de mando clara, cobertura legal directa, encaje natural en la estructura existente.
Coste estructural: reproduce el molde de reserva militar en un dominio donde el talento reside en el sector civil, poco permeable a la lógica castrense.
Modelo B
Civil-gubernamental · bajo la gobernanza de ciberseguridad
Capacidad articulada en el marco de la ciberseguridad civil, coordinada por el órgano resultante de la ley de transposición, con conexión a INCIBE.
Ventaja: encaje natural con el pool civil, permeabilidad al sector privado, coherencia con el nivel europeo.
Coste estructural: exige resolver la relación con el ámbito militar cuando la amenaza escale a defensa nacional; no elimina la necesidad de una interfaz operativa con el MCCE.
Modelo C
Híbrido · componente civil y militar coordinado
Doble componente, seleccionado por un órgano de gobernanza y activable tanto en el ámbito civil como en el militar según la naturaleza de la amenaza.
Ventaja: cubre todo el espectro de amenaza y distribuye el coste político del encaje.
Coste estructural: es el más complejo de gobernar; exige precisamente el acuerdo interdepartamental cuya ausencia es el riesgo dominante.
Criterio transversal · encuadramiento y adiestramiento
Con independencia del modelo que se adopte, el factor que determina si la figura tiene valor operativo es su régimen de encuadramiento y adiestramiento continuo.
Ese régimen se materializa en cuatro elementos: participación obligatoria en ciberejercicios; plataformas de entrenamiento y entornos de simulación; habilitación personal de seguridad vigente; y pertenencia a una estructura de mando definida con anterioridad a la crisis. Sin ellos, la capacidad existe sobre el papel y no sobre el terreno.
Este criterio es el que separa una capacidad de refuerzo operativa de una figura de perfil representativo o de relación institucional. Una reserva cuya actividad ordinaria se agote en actos de vinculación y contacto profesional no genera capacidad desplegable: llegado el momento de activación, el encuadramiento no existe y el adiestramiento está desfasado.
Replicar ese diseño en la ciberreserva reproduciría el mismo resultado, con independencia del techo institucional elegido. El adiestramiento no es un detalle de implementación: es la variable que separa una capacidad real de una nominal.
03 · Referencias internacionales
Estonia y Reino Unido
Análisis comparado de los modelos operativos existentes, con atención a qué problema resuelve cada uno y cuál deja abierto.
Estonia · Referencia histórica
Küberkaitseliit · Unidad Cibernética de la Liga de Defensa
Unidad de voluntarios civiles integrada en la Liga de Defensa, activa desde 2010 tras los ciberataques de 2007, hoy vinculada al Cyber Command estonio creado en 2018. Es el caso de referencia por su longevidad y arraigo social.
Caveat: opera en un país de 1,3 millones de habitantes con una cultura de defensa territorial y voluntariado muy particular; no está establecido que la arquitectura escale linealmente a un país del tamaño de España.
Reino Unido · Referencia de acceso
Joint Cyber Reserve Force
En marcha desde 2013, con una vía de acceso lateral que exime a los reservistas de la instrucción militar convencional y prioriza el conocimiento técnico. Las solicitudes superaron desde el inicio las plazas disponibles, según respuestas parlamentarias.
Lectura: el reto documentado no es la captación sino la profundidad de especialización y la integración sostenible; analistas del IISS señalan la dificultad de desarrollar experiencia profunda sin carreras completas en el dominio.
Francia · la referencia más próxima
La réserve opérationnelle de cyberdéfense del COMCYBER es la referencia más cercana al modelo debatido en España, y la que más directamente lo valida en sus tres elementos centrales.
El Commandement de la cyberdéfense emplea en torno a 400 reservistas operativos de ciberdefensa, procedentes del mundo civil, frente a los 300 contabilizados en 2024. Fuente: Ministère des Armées.
El objetivo declarado de la reserva es disponer de una capacidad movilizable ante un ataque informático de gran envergadura, con la restauración de las capacidades operativas de los sistemas afectados como misión principal. Fuente: Ministère des Armées.
El estatuto es el de «militar a tiempo parcial» mediante compromiso de servicio en la reserva, con formación militar y días de activación según disponibilidad. Se organiza en tres perfiles —expertos sénior, analistas y técnicos— y se apoya en convenios firmados entre el ministerio y empresas para facilitar la liberación de los reservistas. Fuente: Ministère des Armées.
El encuadramiento se materializa en sesiones periódicas de aculturación militar en el campo de Coëtquidan. En noviembre de 2025 se creó el escuadrón de reserva de ciberdefensa del Ejército del Aire y del Espacio, con compromiso mínimo de quince días anuales y cometidos de auditoría de conformidad y pruebas de intrusión. Fuente: Ministère des Armées.
Los reservistas participaron en la protección de los sistemas de información de las Fuerzas Armadas durante los Juegos Olímpicos y Paralímpicos de París 2024. Fuente: Ministère des Armées.
Precisión: Francia mantiene además una reserva ciudadana de ciberdefensa, de naturaleza distinta, que agrupa a personalidades con competencias de interés relevante y no constituye capacidad operativa desplegable.
04 · Encaje europeo
Dos vías que conviene distinguir
El nivel europeo opera sobre este caso por dos vías de naturaleza distinta, que suelen confundirse en el debate público.
Vía normativa
Directiva NIS2
La Directiva (UE) 2022/2555 obliga a los Estados miembros a dotarse de un marco de gobernanza de la ciberseguridad. España la transpone mediante el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que crea el Centro Nacional de Ciberseguridad como autoridad coordinadora. El plazo de transposición venció el 17 de octubre de 2024 y España no lo cumplió, lo que motivó un dictamen motivado de la Comisión Europea.
Vía operativa
Reserva de Ciberseguridad de la UE
En vigor desde el 4 de febrero de 2025 al amparo del Reglamento de Cibersolidaridad, despliega servicios de respuesta a incidentes de proveedores privados a petición de los Estados miembros e instituciones europeas. Es un mecanismo de provisión contratada, no de voluntariado ciudadano.
Consecuencias por orden · efectos encadenados
Análisis de los efectos de la constitución —o no constitución— de la capacidad, ordenados por grado de derivación. Los órdenes superiores son los que más importan al decisor y los que menos se analizan.
Primer orden
¿Qué ocurre?
Se constituye, o no, una capacidad de refuerzo latente, encuadrada y adiestrada, activable ante crisis sistémica.
Segundo orden
¿Qué efectos genera?
El Estado dispone de una bolsa de capacidad desplegable sin incrementar su plantilla permanente. A diferencia de una estructura estable, no sustrae talento del mercado: el reservista continúa en su organización de origen. El efecto sobre el ecosistema depende del estatuto: unas contrapartidas bien diseñadas —valoración de méritos, reconocimiento profesional, ventajas para las organizaciones que liberan a sus profesionales— movilizan talento que hoy no se ofrece al Estado; su ausencia deja la figura sin capacidad de atracción.
Tercer orden
¿Qué nuevas dinámicas aparecen?
Aquí se concentra buena parte del valor de la propuesta, y conviene no tratarlo como efecto colateral: la figura opera como canal permanente de circulación de conocimiento entre el sector civil y las Fuerzas Armadas. De ese canal se derivan externalidades que exceden la función de defensa —transferencia de experiencia en ambas direcciones, estímulo a la I+D+i nacional, elevación de la cultura de ciberseguridad en el tejido empresarial y vertebración de una comunidad profesional articulada en torno al interés general. También puede generar fricción con INCIBE y el CCN si no se delimitan competencias.
05 · Escenarios de diseño
Trayectorias a cinco años
Trayectorias plausibles del diseño institucional en el horizonte 2026–2031, con sus bandas de probabilidad.
HORIZONTE 2026–2031
Mejor escenario · Encaje coordinado
BAJA 15–30 %Se aprueba la ley de transposición, se constituye el Centro Nacional de Ciberseguridad y este ordena la concurrencia por el talento, alojando una capacidad de componente híbrido. Estatuto claro, contrapartidas atractivas, régimen de adiestramiento definido y complementariedad europea explícita.
Escenario base · Persistencia del mecanismo genérico
MODERADA 40–60 %No se constituye capacidad autónoma. La función se sigue cubriendo con reservistas voluntarios genéricos, sin estatuto diferenciado ni régimen de encuadramiento específico. El problema estructural de disponibilidad permanece intacto.
Peor escenario · Creación fragmentada
BAJA 15–30 %Se crea un cuerpo bajo un único titular sin resolver la coordinación ni establecer un régimen de adiestramiento efectivo, generando fricción competencial con INCIBE y el CCN y una capacidad nominal sin valor operativo llegada la activación. Peor resultado que el statu quo.
Escenario de cola · Desactivación por vía europea
MUY BAJA <15 %El nivel europeo absorbe políticamente la agenda; la capacidad nacional se archiva indefinidamente sin decisión formal ni debate explícito.
J&H Scenario Tree™. Probabilidades en bandas, confianza analítica expresada de forma independiente. Estimación J&H.
Señales de diseño · qué vigilar
| Tipo | Señal de diseño | Qué revelaría |
|---|---|---|
| Adelantado | Definición de órgano coordinador con competencia sobre talento | Que el encaje deja de ser un problema abierto |
| Adelantado | Naturaleza del componente previsto: civil, militar o híbrido | Qué modelo de los tres se impone en la práctica |
| Concurrente | Diseño del estatuto: contrapartidas, responsabilidad, retribución | Si la figura tendrá capacidad real de atracción |
| Concurrente | Régimen de encuadramiento y ciberejercicios obligatorios | Si la capacidad será operativa o nominal |
| Concurrente | Delimitación de competencias frente a INCIBE y CCN | Si se evita la fricción o se institucionaliza |
| Rezagado | Datos de movilización efectiva y adiestramiento a 24–36 meses | Si el diseño resistió el contacto con la realidad |
J&H Early Warning System™ aplicado al diseño institucional.
06 · Nota metodológica
Marco de evidencia y alcance
Este outlook sigue la metodología, los estándares editoriales y la disciplina analítica del Manual J&H. Distingue de forma explícita entre hechos, juicios, valoraciones y estimaciones, y traduce toda incertidumbre en bandas de probabilidad.
Información confirmada por fuentes primarias
BOE, Diario de Sesiones, Departamento de Seguridad Nacional, Diario Oficial de la UE y sitios oficiales de los ministerios de defensa citados.
Interpretación propia de J&H
A partir de la evidencia disponible, con nivel de confianza explícito e independiente de la probabilidad.
Datos y apreciaciones de terceros
Prensa especializada, análisis académicos y jurídicos, IISS y literatura profesional del sector.
Escenarios y probabilidades en bandas
Nunca se presentan como hechos.
| Fuente | Nivel de jerarquía |
|---|---|
| BOE · Ley 39/2007 · RD 170/2026 · RD-ley 7/2025 | Nivel I · hechos |
| Diario de Sesiones del Senado, núm. 449 (23-jun-2025) | Nivel I · hechos |
| Departamento de Seguridad Nacional · anteproyecto de Ley de Coordinación | Nivel I · hechos |
| Directiva (UE) 2022/2555 · Reglamento de Cibersolidaridad | Nivel I · hechos |
| Ministère des Armées · réserve de cyberdéfense | Nivel I · hechos |
| Sitios oficiales de las reservas de Estonia y Reino Unido | Nivel I–II · datos |
| IISS · análisis académicos y jurídicos | Nivel II–III |
| Estimación J&H | Juicio analítico / estimación |
Nota de alcance. Los datos relativos al anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad —fecha de aprobación, ministerios proponentes, creación y dependencia del Centro Nacional de Ciberseguridad, estado de tramitación— proceden de fuentes oficiales y se presentan como hechos. No ha sido posible acceder al articulado íntegro del texto; cualquier afirmación sobre la presencia o ausencia de previsiones concretas en su interior se formula como estimación y así queda etiquetada. Las probabilidades son evaluaciones cualitativas en bandas; no constituyen asesoramiento jurídico ni de inversión.