El Informe de Seguridad Nacional 2025 lo confirma: las infraestructuras críticas españolas están en el punto de mira y los ciberataques lideran las amenazas al país

El Departamento de Seguridad Nacional (DSN) ha publicado esta semana el Informe Anual de Seguridad Nacional 2025, aprobado por el Consejo de Seguridad Nacional. El documento, elaborado desde el Gabinete de la Presidencia del Gobierno, ofrece el diagnóstico oficial más completo y actualizado sobre las amenazas que enfrenta España. La conclusión que sobresale en todas las secciones es la misma: el mundo ha pasado de operar según reglas compartidas a funcionar según lógicas de poder, y en ese nuevo escenario, España — con su posición estratégica en la OTAN, la UE y el Mediterráneo — es un objetivo deliberado y permanente. Los ciberataques encabezan la lista de amenazas junto a las operaciones híbridas, el espionaje exterior y las campañas de desinformación.

‍

¿Qué dice el Informe de Seguridad Nacional 2025 sobre los ciberataques en España?

El informe del DSN, publicado hoy y recogido por Infodefensa, El Español y Escudo Digital, identifica la vulnerabilidad del ciberespacio como una de las principales amenazas estratégicas para España. Los datos que acompañan al diagnóstico oficial son contundentes:

• 122.223 incidentes de ciberseguridad gestionados por INCIBE en 2025, lo que supone un aumento del 26% respecto a los 97.400 registrados en 2024. Es la cifra más alta registrada hasta la fecha.
• 237.028 sistemas vulnerables detectados y notificados por el INCIBE-CERT en 2025, susceptibles de ser explotados por ciberdelincuentes.
• El malware fue la amenaza más extendida, con 55.411 casos. De ellos, 392 fueron ataques de ransomware — secuestro de sistemas con fines extorsivos —, el tipo de ataque que mayor impacto operativo y económico genera en las organizaciones afectadas.
• 85% de los sistemas comprometidos por botnets correspondían a dispositivos del Internet de las Cosas (IoT): televisores, decodificadores, reproductores multimedia y dispositivos domésticos conectados.
• Sectores más afectados bajo NIS2: banca (34%), transporte (14%), energía (8%), infraestructuras de mercados financieros (7%) y aseguradoras y fondos de pensiones (6%). Estos operadores representan el tejido crítico del país.
• 401 incidentes gestionados en el ámbito de operadores esenciales e importantes regulados por NIS2.

El informe señala además que España se sitúa entre los países europeos más activamente apuntados por actores estatales y no estatales que utilizan el ciberespacio como herramienta de presión, desestabilización y recolección de inteligencia. La amenaza no es solo técnica: es estratégica.

‍

Por qué España es objetivo prioritario: los factores que explican la vulnerabilidad

El DSN identifica una serie de factores estructurales que convierten a España en un blanco de alta prioridad para múltiples tipos de actores:

1. Posición geoestratégica de primer orden. España es hub logístico, energético y de telecomunicaciones de la fachada atlántica europea. Su participación activa en la OTAN y la UE la convierte en objetivo de actores que buscan presionar, obtener inteligencia o desestabilizar la alianza occidental.
2. Infraestructuras críticas digitalizadas con protección desigual. El proceso de digitalización acelerado de los últimos años en energía, transporte, finanzas y administración pública no siempre ha ido acompañado de una inversión proporcional en ciberseguridad, generando brechas explotables.
3. Tejido empresarial dominado por pymes con baja madurez en ciberseguridad. Más del 70% de los ciberataques en España se dirigen a pymes. Un 60% de las que sufren un incidente grave cierran en los seis meses siguientes. El coste medio de un ataque para una pyme puede alcanzar los 75.000 euros.
4. Operaciones híbridas como nueva normalidad. El informe destaca que los actores estatales han evolucionado hacia métodos híbridos que combinan ciberataques con sabotajes físicos, desinformación e injerencia electoral, dificultando la detección y atribución.
5. Transposición NIS2 incompleta. La directiva de ciberseguridad NIS2, que debía estar transpuesta en octubre de 2024, sigue sin cerrarse en España, dejando a muchas organizaciones en una zona gris sobre sus obligaciones y exposición regulatoria.

‍

Los actores detrás de las amenazas: Rusia, China y el cibercrimen organizado

El Informe de Seguridad Nacional 2025 ofrece por primera vez un cuadro completo de los actores que amenazan a España en el ciberespacio y más allá:

Rusia: alta intensidad operativa híbrida

Los servicios de inteligencia rusos — en particular el GRU y el SVR — registraron en 2025 lo que el DSN califica de “alta intensa actividad operativa” en Europa. El CNI detectó 108 actuaciones de servicios de inteligencia extranjeros durante el año. Las operaciones documentadas incluyen sabotajes en almacenes logísticos vinculados al apoyo a Ucrania e infraestructuras críticas, ciberataques dirigidos a redes de comunicación y energía, sobrevuelo de drones en instalaciones militares y fronterizas, y campañas de desinformación e intentos de injerencia electoral. El informe subraya que el leve descenso en el número de actuaciones detectadas respecto al año anterior no implica menor actividad: simplemente refleja la evolución hacia métodos más opacos, en la denominada “zona gris”, que dificulta su detección y atribución.

China: espionaje estratégico y vigilancia de la diáspora

China mantiene su interés en la UE y la OTAN, centrándose en la obtención de información sobre decisiones políticas y en la vigilancia de la diáspora china y colectivos disidentes en Europa. El informe docúmenta la expansión de los grupos de ciberataque chinos más allá de Asia, con incidentes documentados en infraestructura de telecomunicaciones y ministerios europeos.

Cibercrimen organizado: industrialización del ransomware

Al margen de los actores estatales, el cibercrimen organizado registró en España un incremento del 116% en ataques de ransomware en 2025, según el Informe Anual de Ransomware de Zscaler, situando al país en el top 15 mundial. Grupos como Qilin — ya responsable de ataques a Ahorramas, Asefa y la Ciudad Autónoma de Melilla en 2026 — y LockBit o sus sucesores continúan operando bajo el modelo RaaS (Ransomware como Servicio) con afiliados que atacan indiscriminadamente empresas españolas de todos los tamaños.

‍

Lecciones clave para empresas y directivos españoles

El Informe de Seguridad Nacional 2025 no es sólo un documento de geopolítica. Es un mapa de riesgo operativo para cualquier empresa española. Las lecciones accionables son directas:

• La ciberseguridad ya no es solo responsabilidad del equipo de TI. Cuando el propio Consejo de Seguridad Nacional la identifica como amenaza estratégica de primer orden, la gestión del riesgo cibernético debe estar en la agenda del consejo de administración y del comité de dirección, no delegada íntegramente al departamento técnico.
• El ransomware es la amenaza más probable y costosa para las pymes españolas. Los datos del informe confirman que los grupos de ransomware priorizan España. Una pyme sin plan de respuesta ante ransomware ni copias de seguridad probadas está en riesgo existencial.
• Las operaciones híbridas afectan también al sector privado. Los ataques rusos a infraestructuras logísticas vinculadas al apoyo a Ucrania ilustran que el sector privado es parte del campo de batalla geopolítico. Las empresas que forman parte de cadenas de suministro con implicaciones estratégicas deben evaluarlo explícitamente en su gestión de riesgos.
• NIS2 no es opcional aunque la transposición esté retrasada. Las organizaciones que operan en sectores esenciales — energía, transporte, banca, salud, infraestructuras digitales — deben alinearse con la directiva ahora, antes de que la transposición española se complete y los plazos de cumplimiento se vuelvan inmediatos.
• La seguridad del IoT es una brecha urgente. Con el 85% de los sistemas comprometidos por botnets correspondiendo a dispositivos IoT, cualquier empresa con entornos industriales conectados, edificios inteligentes o dispositivos OT debe priorizar el inventario y la protección de esos activos.

‍

La ciberseguridad como prioridad estratégica

El Informe Anual de Seguridad Nacional 2025 cierra cualquier debate sobre si la ciberseguridad es un problema técnico o un problema estratégico. Es las dos cosas — y el Gobierno español lo dice explícitamente al más alto nivel. Para las organizaciones españolas, la pregunta ya no es si serán objetivo, sino cuándo y con qué nivel de preparación responderán.

Los datos del informe apuntan en una sola dirección: las empresas y administraciones que hayan invertido en visibilidad, detección temprana y planes de respuesta probados son las que sobreviven a los incidentes. Las que esperaban a que la amenaza se concretara antes de actuar, son las que protagonizan los titulares.

‍

Apolo Cybersecurity: protegiendo a las organizaciones españolas en el escenario de amenazas que describe el DSN

En Apolo Cybersecurity trabajamos exactamente en el ámbito que el Informe de Seguridad Nacional 2025 identifica como prioritario: la protección de organizaciones españolas frente a ciberataques, ransomware, espionaje y operaciones híbridas. Ayudamos a empresas de todos los sectores a evaluar su postura real de seguridad, implantar controles contra las amenazas más prevalentes en el contexto español, alinearse con NIS2 y construir planes de respuesta a incidentes que funcionen cuando más importa.

Si el diagnóstico del Gobierno es que las infraestructuras críticas españolas están en el punto de mira, la pregunta para cualquier directivo es directa: ¿en qué punto de preparación está tu organización?

‍