EE. UU. redefine la política de ciberseguridad y su plan interpela a Europa

El pasado 6 de marzo, la Casa Blanca presentó la ciberestrategia del presidente Trump para América. Aunque el título puede sonar excesivo, conviene no quedarse en la superficie porque, más allá de la envoltura retórica, el documento contiene una verdadera declaración de poder: sitúa el ciberespacio en la intersección entre la defensa del territorio nacional, la competencia entre grandes potencias y la superioridad tecnológica e industrial. Su tesis de fondo no es solo que EE. UU. deba proteger mejor sus redes, sino que debe utilizar el ciberespacio para reforzar su posición estratégica, elevar los costes del adversario y garantizar su ventaja tecnológica. 

¿Qué cambia en la nueva ciberestrategia de Trump para América?

De hecho, la mejor forma de entender esta estrategia es leerla junto a la Estrategia de Seguridad Nacional de 2025 y la Estrategia de Defensa Nacional de 2026. La primera proporciona el marco general: reducción de dependencias, seguridad de las cadenas de suministro, reindustrialización, liderazgo en tecnologías emergentes y fortalecimiento de la capacidad estatal de atribución y respuesta frente a ciberincidentes. Todo ello acompañado de una apuesta explícita por la desregulación como instrumento de competitividad e innovación. La segunda traslada esa lógica al plano militar: sitúa la defensa del territorio nacional como primera línea de esfuerzo, plantea reforzar la ciberdefensa y desarrollar opciones para disuadir o degradar cualquier ciberamenaza contra EE. UU., y convierte el reparto de cargas (burden sharing) con los aliados y la revitalización de la base industrial en dos ejes centrales de la estrategia.

"Se trata de un plan que utiliza el dominio digital para articular seguridad, inteligencia artificial, industria, cadenas de suministro y coerción dentro de una misma lógica de poder"

Observada en este contexto, la nueva ciberestrategia actúa como una bisagra entre la gran estrategia y su proyección militar. No estamos, por tanto, ante una estrategia de ciberseguridad en sentido genérico. Se trata de un plan que utiliza el dominio digital para articular seguridad, inteligencia artificial, industria, cadenas de suministro y coerción dentro de una misma lógica de poder. Su brevedad y su tono abiertamente político forman parte de su propia naturaleza, ya que aspira a dejar a un lado el detalle de una arquitectura técnica exhaustiva para fijar una dirección general clara. Su mensaje de fondo pide menos ingenuidad y más competición; menos compartimentos estancos y más integración entre tecnología, economía y seguridad.

Esta orientación no surge de la nada. La tradición ciberestratégica estadounidense lleva décadas de maduración. Desde finales de los años noventa, Washington asumió que la seguridad nacional dependía de unas infraestructuras críticas cada vez más digitalizadas y que, en consecuencia, el ciberespacio no podía leerse solo en clave militar o policial. Más tarde trató de articular esa preocupación con una determinada idea de gobernanza del entorno digital, de liderazgo tecnológico y de defensa de un cierto orden abierto. Sin embargo, el giro decisivo llegó en 2018, con la consolidación de la lógica de la defensa avanzada (defend forward): dejar atrás una postura predominantemente reactiva para pasar a detectar, perturbar y degradar la actividad hostil antes de que alcanzara redes propias o infraestructuras críticas. La Administración Biden no revirtió ese giro, aunque sí intentó corregir algunos de sus límites al insistir en que la ofensiva exterior servía de poco si la base doméstica seguía siendo demasiado vulnerable. La estrategia de 2026 hereda esa trayectoria, pero vuelve a desplazar el centro de gravedad a la coerción, a la industria y a la superioridad tecnológica.

Ese desplazamiento se aprecia con gran claridad en su primer pilar, dedicado a modelar el comportamiento del adversario. La estrategia plantea conducir toda la gama de operaciones cibernéticas —tanto defensivas como ofensivas— para detectar, desarticular y derrotar al adversario antes de que logre penetrar en las redes estadounidenses, degradar sus capacidades y movilizar, cuando sea necesario, el conjunto de los instrumentos del poder nacional para disuadir (por negación y castigo) cualquier agresión. El lenguaje aquí es particularmente significativo. Ya no domina la gramática de la gestión del riesgo, sino la de la voluntad estratégica. El documento añade, además, que la respuesta no quedará confinada al ámbito cibernético y que el reparto de costes y responsabilidades con los aliados deberá ser "justo". En ese sentido, el ciberespacio pasa de aparecer como un mero problema de protección o resiliencia para configurarse como un espacio de coerción integrada.

El segundo gran movimiento se produce en el terreno regulatorio. Frente a la Estrategia Nacional de Ciberseguridad de 2023, que veía en la regulación y en la corrección de incentivos un instrumento para endurecer el ecosistema digital, la de 2026 carga contra la lógica del cumplimiento burocrático y promete reducir las cargas regulatorias. Eso no significa, sin embargo, una retirada del Estado. Significa otra cosa: una redefinición de sus prioridades. El documento insiste en modernizar las redes federales mediante arquitecturas de confianza cero (zero trust), criptografía poscuántica y transición a la nube; en reforzar las infraestructuras críticas y las cadenas de suministro; y en asegurar la base tecnológica de la inteligencia artificial, desde los centros de datos hasta los modelos y la infraestructura que los sostiene. No estamos, por tanto, ante una simple desregulación, sino ante una modalidad bastante definida de tecnonacionalismo: menos fe en la disciplina regulatoria general y más confianza en la ventaja tecnológica, industrial y operativa de EE. UU.

"Washington no aspira solo a estar más seguro en el ciberespacio; aspira, en realidad, a ser más fuerte gracias a él"

Es ahí donde su relación con la Estrategia de Seguridad Nacional de 2025 se revela con mayor claridad. Ese documento ya vinculaba seguridad nacional, resiliencia tecnológica, cadenas de suministro, ciberoperaciones ofensivas y desregulación como palancas de competitividad e innovación. La nueva ciberestrategia no hace más que trasladar esa lógica general al dominio digital. Lo "ciber" deja así de ser una política funcional —proteger redes, perseguir delincuentes, elevar estándares, etc.— y se inserta en una estrategia más amplia de primacía económica, tecnológica y geopolítica. Washington no aspira solo a estar más seguro en el ciberespacio; aspira, en realidad, a ser más fuerte gracias a él. Esa es, probablemente, la clave más importante.

La Estrategia de Defensa Nacional de 2026 termina de completar este cuadro. Al situar la defensa del territorio nacional como prioridad, reforzar la protección frente a ciberataques contra objetivos militares e infraestructuras civiles críticas y contemplar opciones para disuadir o degradar esas amenazas, consolida el ciberespacio como un pilar ya plenamente integrado en la defensa nacional. Además, insiste en un mayor reparto de cargas con los aliados. No es un detalle menor: significa que esta ciberestrategia también responde a una determinada concepción del vínculo trasatlántico largamente anunciada: menos tutela externa, más exigencia a los aliados para que cumplan sus compromisos y un alineamiento más estrecho con las prioridades de Washington en el plano industrial y tecnológico.

¿Qué límites tiene la estrategia de EE. UU. y qué implica para Europa?

Ahora bien, que la lógica estratégica resulte coherente no significa que esté exenta de tensiones. La principal es bastante sencilla: ser más asertivo no equivale necesariamente a estar mejor defendido. La insistencia de Washington en la protección de las infraestructuras críticas y de las cadenas de suministro pone de relieve hasta qué punto su superficie de exposición sigue siendo inmensa, compleja y de naturaleza esencialmente civil. Dicho de otro modo, el problema estratégico no consiste solo en elevar el coste de la agresión, sino también en reducir la vulnerabilidad estructural de su propio ecosistema digital. Ese es, en el fondo, el límite más visible de cualquier estrategia demasiado confiada en la disuasión por castigo.

Para Europa, la lección debería ser bastante clara. Washington está integrando ciberseguridad, política industrial, inteligencia artificial, defensa del territorio y rivalidad geopolítica dentro de un mismo marco estratégico, y lo hace —como no podía ser de otra forma— desde una concepción transaccional del vínculo trasatlántico. Eso obliga a Bruselas a mirar el ciberespacio con menos ingenuidad: tanto como un ámbito de regulación, protección de datos o resiliencia, como desde la perspectiva de un problema de poder, de dependencia tecnológica y de competición estratégica. Ahí es donde afloran los límites de una autonomía estratégica europea que ha avanzado más en el plano discursivo y normativo que en el estratégico: la Unión Europea llega tarde a esta convergencia entre tecnología, industria y poder, y lo hace todavía sin una traducción convincente en capacidades, escala y voluntad política. Ese es, precisamente, el terreno en el que la nueva ciberestrategia estadounidense obliga a Europa a dejar atrás la comodidad regulatoria y empezar a pensar en términos de poder.