Ciberataques a infraestructuras críticas en España, lo que se sabe y lo que no se cuenta
Cuando España sufrió el gran apagón eléctrico de abril de 2025, la primera pregunta de mucha gente fue si se trataba de un ciberataque. La respuesta oficial, tras meses de investigación del CNI y de Red Eléctrica, fue que no: el origen estuvo en fallos de generación y oscilaciones de tensión, no en una intrusión externa. Pero esa pregunta no salió de la nada. España ya es, según sus propios servicios de inteligencia, uno de los países más atacados del planeta, aunque casi nunca se hable de ello con esa claridad.
España, tercer país más atacado del mundo
El informe de 2025 sobre amenazas de ciberseguridad del Centro Nacional de Inteligencia (CNI) sitúa a España como el tercer país del mundo más atacado por hackers, solo por detrás de Ucrania e Israel, según recoge El Español. Los principales responsables identificados son grupos vinculados a Rusia —como Sandworm, APT28 o el colectivo prorruso NoName057, que ejecuta ataques de denegación de servicio (DDoS) todos los días desde marzo de 2022 contra países de la OTAN y aliados de Ucrania— y a China, con el grupo Volt Typhoon como principal referencia, además de actividad puntual de Lazarus Group, vinculado a Corea del Norte.
El reparto de esos ataques por objetivo, dentro de España, deja un dato revelador: la Administración Pública concentra el 36,19% de los ataques, las infraestructuras críticas el 23,7%, las empresas privadas el 18,12% y los ciudadanos el 17,26%. Es decir, seis de cada diez ataques registrados en 2024 tuvieron como objetivo directo al Estado o a sus infraestructuras esenciales, no a empresas privadas ni a particulares.
La cifra que rara vez sale en la conversación pública
Más allá del ranking, hay un dato de tendencia que debería preocupar más de lo que se comenta: los ciberataques dirigidos específicamente a infraestructuras críticas en España se dispararon un 43% durante 2024, y la tendencia siguió al alza en 2025. El sector energético fue el más golpeado, concentrando alrededor del 9% del total de incidentes registrados, con un repunte claro de ataques de tipo ransomware, además de varias filtraciones de información confidencial que acabaron circulando en foros clandestinos.
A escala más amplia, INCIBE-CERT —el organismo que atiende a ciudadanos y empresas privadas, en paralelo al CCN-CERT, centrado en Administración Pública e infraestructuras críticas— gestionó 122.223 incidentes de ciberseguridad en 2025, un 26% más que en 2024, y notificó 237.028 sistemas vulnerables. Dentro de los operadores esenciales regulados por la normativa europea NIS2, se gestionaron 401 incidentes solo en ese ámbito. Por sectores, la banca concentra el 34% de los ataques, el transporte el 14% y la energía el 8%, seguidos de las infraestructuras de mercados financieros (7%) y aseguradoras y fondos de pensiones (6%).
Casos que ya no son hipótesis
Estas cifras dejan de ser abstractas en cuanto se miran los casos concretos que ya se han hecho públicos. El Hospital Clínic de Barcelona sufrió un ataque de ransomware que afectó a los servicios de urgencias, laboratorio y farmacia, con un rescate exigido de 4,5 millones de dólares. El Ayuntamiento de Sanxenxo, en Galicia, sufrió el 26 de enero de 2026 un ataque de ransomware que cifró miles de archivos internos; en ese caso, el consistorio rechazó pagar el rescate de 5.000 dólares en bitcoin exigido por los atacantes y restauró los sistemas desde sus copias de seguridad diarias, el desenlace que cualquier organismo público debería poder replicar y que muchos, en la práctica, no pueden.
El sector sanitario es, además, uno de los que más está notando el repunte: España registró un 40% más de ataques de ransomware en salud en 2026 respecto a 2025, con hasta 2.400 ciberataques semanales contra el sector, según datos recogidos por Digital Perito.
Lo que sí se descartó, con nombre y apellido
Frente a tanto dato de ataques reales, vale la pena remarcar lo que la investigación oficial sí descartó de forma explícita: ni Red Eléctrica ni el CNI encontraron evidencia de que el apagón de abril de 2025 tuviera origen en un ciberataque, interno o externo, tras analizar en detalle los sistemas de las eléctricas. La Audiencia Nacional mantiene abierta una investigación judicial sobre el suceso, pero por la vía de un posible fallo técnico y de coordinación, no por la de un ataque. Distinguir esto importa: no toda incidencia sobre infraestructura crítica es un ciberataque, igual que no todo ciberataque contra infraestructura crítica llega a tener la visibilidad mediática de un apagón nacional.
El vacío regulatorio que sigue sin resolverse
Aquí está la parte que menos se cuenta de esta historia: España debía haber transpuesto la directiva europea NIS2 —que obliga a las entidades esenciales e importantes de sectores críticos a implantar gestión de riesgos, notificar incidentes en plazos concretos y responder a nivel de dirección, con sanciones de hasta 10 millones de euros— antes del 17 de octubre de 2024. Ese plazo se cumplió sin ley aprobada. El Consejo de Ministros aprobó el anteproyecto en enero de 2025, pero a mediados de 2026 la Ley de Coordinación y Gobernanza de la Ciberseguridad seguía en tramitación, sin publicarse en el BOE. La Comisión Europea ya ha enviado dos requerimientos formales, el segundo en mayo de 2026 exigiendo la transposición “con urgencia”, el paso previo a llevar a España ante el Tribunal de Justicia de la UE.
Mientras esa ley no entre en vigor, buena parte de la obligación de notificar incidentes a organismos como INCIBE o el CCN-CERT sigue dependiendo más de la buena voluntad y la reputación de cada organización que de una obligación legal exigible con sanción real detrás. Eso significa que las cifras que sí conocemos —122.223 incidentes, un 43% más de ataques a infraestructura crítica, el tercer puesto mundial en el ranking del CNI— son, casi con toda seguridad, un suelo, no un techo, del volumen de ataques que se están produciendo de verdad.
Datos reales, transparencia parcial
Lo que distingue este problema de otros analizados en este blog es que aquí no falta cuantificación agregada —hay informes oficiales del CNI, INCIBE y el CCN-CERT que dan cifras concretas cada año—, sino cobertura legal completa. Se sabe cuánto crece la amenaza y quién la ejecuta, pero no existe todavía la obligación uniforme de reportar cada incidente que sí tendrán las entidades esenciales en cuanto la ley de ciberseguridad entre finalmente en vigor. Hasta entonces, España sigue siendo, con datos propios de su propio servicio de inteligencia, uno de los tres países más atacados del mundo, con una legislación de coordinación que lleva ya casi dos años de retraso sobre su propio plazo.