La UE prepara en secreto su respuesta a un ataque híbrido con víctimas, un escenario que cinco diplomáticos ya no creen teórico. Las conversaciones se celebran en formato restringido: sin móviles, sin asistentes y con los embajadores de los Veintisiete en la misma sala.
Sobre la mesa hay tres cosas. Cómo desplegar equipos de emergencia en el Estado golpeado, qué bolsas de dinero comunitario se liberan sin abrir un debate presupuestario y quién sale a hablar en nombre de Europa cuando todavía no se sabe cuántos muertos hay. La discusión avanza, pero nadie quiere firmarla en público.
El calendario interno se aceleró en agosto. La aparición de un dron cargado de explosivos en el aeropuerto de Leipzig, en Alemania, cambió el tono de las conversaciones entre diplomáticos y ministros. Ya no se discute solo ciberataque, sabotaje o injerencia electoral. Se discute el salto cualitativo: un ataque híbrido con víctimas mortales.
Bruselas lleva años con herramientas para esto. La caja de herramientas híbrida, el paquete de medidas comunitarias que coordina respuestas a ciberataques, interferencia electoral y sabotaje, existe desde hace una década. Lo nuevo es el foco. En una de las últimas reuniones de embajadores, el debate se centró en ejemplos concretos de ataque con víctimas masivas, según dos de los diplomáticos consultados.
El diagnóstico compartido es sombrío. Desde la invasión rusa de Ucrania, la UE atribuye a Moscú una campaña sostenida de sabotajes, incendios y violaciones de espacio aéreo. A eso se suma lo ocurrido esta semana en el mar Negro: varios marineros desaparecidos tras el hundimiento de un buque por drones, según las autoridades búlgaras.
La pregunta ya no es si habrá un ataque con muertos, sino si la respuesta europea llegará antes que los titulares.
Los precedentes dibujan el patrón. El dron de Leipzig. Un incendio sospechoso en una estación terrestre polaca que gestiona comunicaciones por Starlink. Un plan para colocar artefactos incendiarios en nodos de transporte comercial de la UE y del Reino Unido. Violaciones de espacio aéreo casi semanales.
Hay un problema añadido que no aparece en los comunicados: la falta de canales seguros. Varios diplomáticos admiten recelo a compartir inteligencia sensible en el Coreper, el comité de representantes permanentes donde se cocina casi todo en Bruselas. Un representante de un país del flanco este lo resume así: ‘O sale en los medios o va directo a Moscú’.
El episodio húngaro envenenó el clima. Los informes sobre un exministro de Exteriores de Budapest que habría compartido con su homólogo ruso el contenido de conversaciones al máximo nivel empujaron a varias capitales a reservar la información verdaderamente sensible para los formatos de la OTAN. Eso deja a la UE fuera de la parte más delicada del tablero.
Y ahí está el pulso de fondo.
¿OTAN o Bruselas? El pulso que nadie quiere librar en público
Ursula von der Leyen quiere capitalizar el momento. En su discurso sobre el Estado de la Unión en Estrasburgo, la presidenta de la Comisión Europea propuso un protocolo europeo de seguridad de emergencia y la creación de un Consejo de Seguridad Europeo. Ambas piezas deberían aterrizar en la Estrategia de Seguridad Europea que verá la luz a principios de noviembre, según dos diplomáticos.
No todos lo ven claro. Varias capitales sostienen que estos formatos tardarán meses en montarse y que duplican lo que ya existe. El argumento es que, en una crisis, la UE ya cuenta con el IPCR, el dispositivo integrado de respuesta política creado al amparo del Tratado de Lisboa, que se activó durante la pandemia y en otras emergencias. Ese mecanismo permite a la presidencia de turno convocar reuniones de emergencia con expertos de la OTAN, la ONU u otros organismos.
Oana Lungescu, ex portavoz de la Alianza Atlántica y hoy investigadora en el centro de estudios RUSI, avisa del riesgo: ‘Si hay confusión o duplicación, la toma de decisiones se ralentiza, y el tiempo siempre es lo más escaso’. Su propuesta es una división del trabajo nítida: la OTAN se queda con el intercambio de inteligencia y la disuasión militar; la UE, con la respuesta civil.
Queda un recordatorio incómodo. A Vladímir Putin le da igual que la decisión se tome en el Coreper o en el Consejo Atlántico. ‘No es así como piensa Moscú’, zanja la antigua portavoz aliada.
Teija Tiilikainen, directora del Centro de Excelencia Europeo contra las Amenazas Híbridas con sede en Helsinki, pone el límite por el otro lado: la coordinación europea sirve, pero no es comparable con la resiliencia de un Estado. Finlandia lleva décadas con un modelo de seguridad integral que ningún mecanismo comunitario sustituye.
Nadie discute que el riesgo existe. El problema es de arquitectura: cuántas salas de crisis puede permitirse Europa antes de que la propia arquitectura se convierta en parte del problema.
El Eje del Poder Europeo
La geometría de esta discusión es reconocible. El flanco este, Polonia, los bálticos, Chequia, y Eslovaquia, empuja hacia formatos aliados: quiere inteligencia compartida en canales cerrados y disuasión militar, no coordinación civil a veintisiete. Alemania y Francia, con la Comisión de Von der Leyen detrás, quieren que Bruselas tenga cartera propia en seguridad. Los frugales del norte, Países Bajos, Austria y Dinamarca, no se oponen al discurso, pero fruncen el ceño cuando aparece la palabra dinero. Y el sur, con España, Italia, Grecia y Portugal, teme dos cosas: que la seguridad se convierta en moneda de cambio presupuestaria y que el Mediterráneo y el Sahel desaparezcan del mapa de prioridades.
Para España el asunto no es abstracto. Desde su entrada en la OTAN en 1982, Madrid ha defendido reforzar el pilar europeo de defensa sin tocar la primacía aliada. Es una posición cómoda cuando no hay que poner dinero encima de la mesa y bastante menos cómoda ahora, con la presión sobre el gasto militar al alza en toda la Alianza.
El riesgo físico también es nacional. España es uno de los grandes nudos de conectividad del continente: puertos de primer orden, aeropuertos con tráfico intercontinental y una red de cables submarinos que enlaza Europa con África y América. Un incidente híbrido en cualquiera de esos puntos tendría coste económico inmediato y obligaría a responder en horas, no en semanas. Leipzig queda lejos. Barajas o Algeciras, no tanto.
A eso se suma la industria. Indra, Navantia y una constelación de firmas medianas de ciberseguridad miran el debate con un interés muy concreto: que el dinero no se quede solo en los grandes contratistas de París y Berlín. Si la respuesta a un ataque híbrido se articula con fondos y compras centralizadas, la pregunta de siempre volverá a la mesa.
En el capítulo presupuestario, la discusión acabará en el próximo Marco Financiero Plurianual, el presupuesto de varios años de la UE que arrancará en 2028. España, receptora de fondos de cohesión y de la PAC, tiene interés en que la prevención de amenazas híbridas no se pague con recortes en esas partidas. La tentación en Bruselas es etiquetar como seguridad cualquier cosa y rebautizar fondos existentes. Ya ocurrió en 2020, cuando media política de cohesión se rebautizó como recuperación.
Hay un precedente que conviene tener presente. Solo una vez se ha activado el artículo 42.7 del Tratado de la UE, la cláusula de asistencia mutua: lo hizo Francia tras los atentados de París de noviembre de 2015. No hubo despliegue militar conjunto ni gran gesto de solidaridad. Hubo coordinación policial entre París y Bruselas y una declaración política. La lección es incómoda para quien espera que Europa reaccione como un solo Estado.
La contribución de la UE ante un ataque híbrido con víctimas será, previsiblemente, civil: equipos, dinero, comunicación de crisis y presión diplomática. La parte militar seguirá en manos de la OTAN, con o sin protocolo europeo de emergencia. El riesgo real no es que Bruselas haga de más, sino que levante una estructura nueva sin presupuesto ni mandato claro y que, llegado el día, la respuesta se decida en tres teléfonos distintos.
El calendario marca la próxima cita: la Estrategia de Seguridad Europea, prevista para principios de noviembre, y las reuniones de embajadores que seguirán en paralelo. Hasta entonces, la pregunta sigue en el aire: si un ataque híbrido deja víctimas mortales en un país de la UE, ¿quién responde, con qué dinero y en cuántas horas?
