El Mediterráneo se ha convertido en una de las grandes arterias energéticas de Europa. Gasoductos que unen el norte de África con la península ibérica e Italia, cables eléctricos submarinos, terminales de gas natural licuado y una red creciente de parques solares y eólicos conectados en tiempo real. Durante décadas, el debate sobre la seguridad de estas infraestructuras giró en torno a la geopolítica clásica: acuerdos de suministro, rutas y estabilidad política. Hoy se suma otra dimensión, menos visible y más difícil de atribuir: la ciberseguridad.
Un mar de gasoductos, cables y renovables
España ocupa una posición central en este mapa. Recibe gas argelino a través de Medgaz, mantiene interconexiones eléctricas con Marruecos y aspira a convertirse en un nodo de hidrógeno verde para el resto de Europa. Italia, Grecia o Chipre siguen trayectorias parecidas, con proyectos que conectan sus redes con las del sur y el este del Mediterráneo.
Esta interdependencia multiplica los puntos vulnerables. Cada subestación, cada centro de control y cada sistema que gestiona remotamente un parque eólico es, además de una pieza industrial, un equipo conectado a una red. La transición energética, basada en generación distribuida y gestión digital de la demanda, amplía aún más esa superficie de exposición.
Precedentes que cambiaron la conversación
Varios episodios recientes demostraron que la amenaza no es teórica. En 2021, un ataque de ransomware contra Colonial Pipeline obligó a detener el mayor oleoducto de combustible de la costa este de Estados Unidos y provocó desabastecimiento en gasolineras. En febrero de 2022, en las horas iniciales de la invasión rusa de Ucrania, un ciberataque contra la red de satélites KA-SAT dejó sin conexión remota a miles de aerogeneradores en Alemania, cuyo control dependía de ese servicio.
En el ámbito ibérico, el apagón del 28 de abril de 2025 reabrió el debate público, aunque las investigaciones oficiales descartaron que su origen fuera un ciberataque. La rapidez con la que se extendió la hipótesis muestra hasta qué punto la sociedad percibe ya la red eléctrica como un objetivo posible. El seguimiento diario de incidentes que ofrecen medios especializados como cybernews.com/es confirma la tendencia: las filtraciones de datos y los ataques contra organismos públicos y empresas estratégicas españolas forman parte ya de la actualidad cotidiana.
Qué cambia con NIS2
La Unión Europea ha respondido con la directiva NIS2, que amplía el número de entidades obligadas a gestionar sus riesgos de ciberseguridad y notificar incidentes graves, con especial atención al sector energético. Exige medidas de gestión de riesgos, controles sobre la cadena de suministro y responsabilidad directa de los órganos de dirección. La Agencia de la Unión Europea para la Ciberseguridad (ENISA) publica análisis periódicos sobre las amenazas en Europa que sirven de referencia para operadores y reguladores.
Para las empresas energéticas medianas, comercializadoras, operadores de renovables o proveedores de servicios técnicos, el cambio es profundo. Muchas de ellas no figuraban en el radar regulatorio y ahora deben demostrar que conocen sus riesgos y que pueden responder a un incidente.
A ello se suma la cadena de suministro tecnológica. Inversores solares, sistemas de control industrial y plataformas de mantenimiento remoto proceden a menudo de fabricantes extracomunitarios, y su seguridad depende de actualizaciones y accesos que el operador no siempre controla. La revisión de esos proveedores se ha convertido en una cuestión de política industrial y no solo técnica.
El factor de la orilla sur
La dimensión mediterránea añade una capa geopolítica. Las infraestructuras compartidas con países del Magreb funcionan bajo marcos regulatorios distintos, y su protección depende de la cooperación entre operadores y autoridades de ambas orillas. El cierre del gasoducto Magreb-Europa en 2021, por razones políticas y no técnicas, recordó que la seguridad energética en la región es inseparable de las relaciones diplomáticas.
En un escenario de tensión, los ciberataques ofrecen a actores estatales y grupos afines una herramienta de presión barata, difícil de atribuir y con un coste político menor que una acción militar. Por eso la cooperación en intercambio de información, ejercicios conjuntos y estándares comunes debería formar parte de los acuerdos energéticos euromediterráneos, al mismo nivel que los precios o los volúmenes.
Lo que queda por hacer
España cuenta con capacidades relevantes, como el CCN-CERT para el sector público y el INCIBE-CERT para empresas y operadores estratégicos. El reto pasa por trasladar esa experiencia a una red cada vez más fragmentada, con miles de pequeñas instalaciones conectadas y proveedores tecnológicos de muchos países.
La seguridad energética del Mediterráneo ya no se mide solo en metros cúbicos de gas o en gigavatios de capacidad renovable. También depende de la solidez de los sistemas que los controlan. Los países que integren esa dimensión en su política exterior y energética estarán mejor preparados para el próximo incidente, que probablemente no llegará por mar ni por tierra.