KRITIS Puerto: seguridad de terminal según Dachgesetz 2026

Las terminales portuarias afrontan en 2026 una doble presión regulatoria. La KRITIS-Dachgesetz exige resiliencia física, NIS-2 exige resiliencia cibernética, y los puertos marítimos sujetos a ISPS suman el Port Facility Security Plan. Este artículo separa terminales marítimas de fluviales, cuantifica las obligaciones en euros y semanas, y sitúa la robótica como pieza complementaria entre valla, muelle y centro de control.

KRITIS Puerto: umbrales y obligaciones del operador 2026

El sector de Transporte y Tráfico incluye puertos cuyo volumen anual de transbordo supera los umbrales del BSI-Kritisverordnung. La KritisV define estos umbrales para puertos marítimos y fluviales según volumen de transbordo y tráfico de pasajeros. Una terminal de contenedores con transbordo por encima del umbral es instalación KRITIS, con independencia de que el operador sea público o privado.

La KRITIS-Dachgesetz según Bundestag-Drucksache 20/9262 obliga a los operadores a aplicar medidas físicas de protección adicionales a las obligaciones cibernéticas de NIS-2. La Directiva NIS-2 2022/2555 regula en paralelo la resiliencia cibernética y de la cadena de suministro. Ambos regímenes aplican simultáneamente en la terminal.

Operativamente esto se traduce en cuatro obligaciones. Primera: registro ante el BBK como autoridad central de notificación dentro del plazo legal. Segunda: elaboración de un plan de resiliencia con medidas constructivas, técnicas y de personal. Tercera: notificación de incidentes de seguridad en un plazo de 24 horas al BBK y a la supervisión federal competente. Cuarta: acreditación en la auditoría bienal. Las terminales fluviales no suelen estar sujetas a ISPS, pero sí a KritisV y Dachgesetz. Las terminales marítimas cargan con ambos regímenes.

Siguiente paso: Lista de 12 obligaciones de la Dachgesetz.

Situación de amenaza en el perímetro de la terminal

Una terminal de contenedores mediana tiene líneas de valla de dos a seis kilómetros. El lado de agua queda abierto, las conexiones ferroviarias atraviesan el perímetro, la puerta de carretera filtra miles de camiones al día. Las cadenas clásicas de cámaras cubren ejes visuales estáticos, pero dejan en gran medida ciegos los cantiles de muelle y las superficies de apilado.

Los sobrevuelos de drones para reconocimiento de plazas de contenedores y zonas ISPS están documentados desde 2023. En el puerto fluvial se añaden los robos en trailers estacionados, contenedores frigoríficos y mercancía de alto valor. Los importes de daño por incidente se sitúan en la práctica entre 40.000 y 380.000 euros, con cifras superiores en carga farmacéutica.

Existe potencial de sabotaje en infraestructura eléctrica, de frío e informática. Un fallo de la alimentación reefer durante doce horas destruye la carga de varios cientos de contenedores refrigerados. El riesgo no es hipotético, sino parte del análisis de amenazas que la Dachgesetz exige en el plan de resiliencia.

Siguiente paso: Protección perimetral para parques industriales.

Lagunas operativas del Wachschutz clásico

Los datos sectoriales del BDSW muestran infradotación estructural en protección de objetos 24/7. Los puertos compiten con centros logísticos, parques industriales y contratos municipales por el mismo personal con Sachkundeprüfung según §34a GewO. Las subidas tarifarias del Manteltarifvertrag agravan la situación.

En euros concretos: un puesto 24/7 cuesta en 2026 entre 15.000 y 25.000 euros mensuales, según región y cualificación. Tres puestos en una terminal mediana inmovilizan entre 540.000 y 900.000 euros anuales. Las rondas a pie alcanzan en condiciones reales dos o tres pasadas por turno, lo que da intervalos de patrulla de dos a cuatro horas por tramo de valla.

Las cámaras fijas cubren solo ejes visuales preinstalados. El seguimiento adaptativo a través de varias zonas no es posible sin control PTZ por un operador. En horas punta el mismo operador supervisa decenas de canales en paralelo. La documentación de incidentes se hace con frecuencia a mano o en campos de texto libre. La validez probatoria ante un tribunal es en ambos casos limitada.

Siguiente paso: Comparativa TCO Wachschutz.

QR-3 en la terminal: sensórica y perfil operativo

El QR-3 con LiDAR y detección de drones navega de forma autónoma sobre superficies de contenedores, instalaciones de muelle y áreas no asfaltadas. El mapa SLAM basado en LiDAR registra las alturas de apilado en tiempo real y adapta las rutas cuando se mueven contenedores. Esto es decisivo en la operativa diaria, porque la topología cambia cada día.

La detección de drones funciona mediante detección RF de los protocolos de control habituales y firmas acústicas hasta 400 metros. La cámara térmica detecta personas con niebla, lluvia y oscuridad, es decir, bajo las condiciones en las que se producen los intentos de intrusión por el lado de agua.

Las rutas de patrulla funcionan con intervalos aleatorizados. Esto impide la previsibilidad. Los planes fijos de ronda son un punto de ataque conocido. La conexión con el centro de control se realiza por 4G/5G cifrado con stream en vivo. La intervención por un operador humano es posible en todo momento. El robot es sensor y plataforma móvil. No toma decisiones.

Límite del sistema: el control de acceso a zonas ISPS sigue siendo humano. La robótica complementa el perímetro y las superficies de contenedores, pero no sustituye al PFSO ni al puesto en la puerta principal.

Comparativa TCO: puesto 24/7 frente a flota QR-3

Tres puestos 24/7 en una terminal mediana cuestan, como se ha derivado, entre 540.000 y 900.000 euros anuales. Tres QR-3 en Robotics-as-a-Service sin CapEx se sitúan en 136.800 euros anuales. La entrega se realiza en 48 horas, la duración mínima del contrato es de 24 meses.

La comparación directa es engañosa, porque la robótica no sustituye al puesto en la puerta. Realista es un modelo híbrido: un puesto humano de intervención en la puerta más una flota QR-3 para perímetro y superficies de contenedores. Este modelo reduce los costes totales en los casos que hemos acompañado en torno al 60 por ciento frente al modelo de tres puestos.

Las primas de seguro bajan con patrullaje robótico documentado en varios casos prácticos. Las aseguradoras aceptan el log con marca temporal como prueba de la frecuencia real de patrulla. Los libros de ronda manuscritos no ofrecen esta ventaja.

Lo que funciona: modelo híbrido con uno o dos puestos más dos o tres QR-3. Lo que no funciona: operación puramente robótica sin fuerza humana de intervención, porque las obligaciones ISPS y el puesto §34a en la puerta deben seguir siendo humanos.

Integración en ISPS y reglamento portuario

En terminales marítimas, la coordinación con el Port Facility Security Officer antes del inicio del piloto es obligatoria. Las rutas robóticas se integran en el Port Facility Security Plan. La policía fluvial competente y la Generaldirektion Wasserstraßen und Schifffahrt reciben notificación de ello.

Las terminales fluviales sin obligación ISPS no tienen esta barrera, pero deben respetar el reglamento portuario respectivo y las exigencias de la KritisV. El control de acceso a zonas ISPS sigue siendo humano en ambos casos, la robótica se mueve por definición en el perímetro y en zonas de transición, no en el Restricted Area del buque.

La conformidad con el RGPD se logra mediante enmascaramiento de zonas. Las superficies residenciales y de oficina se marcan en el mapa como No-Record-Zone, la cámara difumina estas áreas automáticamente. La interfaz con el sistema PSIM funciona por API abierta (REST o MQTT). Los incidentes aparecen directamente en el cuadro de mando existente.

Siguiente paso: Sectores KRITIS en visión general.

Pilotaje: 14 semanas hasta operación plena

La fase piloto sigue un esquema fijo, porque los pasos regulatorios deben correr en paralelo al setup técnico.

Semana 1 a 2: site survey in situ, medición radio para cobertura 4G/5G, cartografía de los corredores de patrulla con LiDAR. El resultado es el mapa SLAM y el plan de cobertura radio.

Semana 3 a 4: coordinación con el PFSO en puertos marítimos, notificación al BBK del proyecto piloto y evaluación de impacto en protección de datos según art. 35 RGPD. Sin estos documentos no arranca la operación.

Semana 5 a 8: operación de prueba de un QR-3 en un tramo definido, habitualmente una plaza de contenedores con perímetro claramente delimitado. El objetivo es validar rutas, cobertura sensórica y conexión con el centro de control.

Semana 9 a 12: escalado a flota completa, formación del personal del centro de control en la consola del operador, recepción por la dirección interna de seguridad.

Semana 13 a 14: traspaso al régimen operativo regular, documentación con validez probatoria de los resultados piloto, revisión KPI con frecuencia de patrulla, número de incidentes y tiempos de reacción.

Siguiente paso: Registro BBK paso a paso.

Acreditación y documentación ante BBK

Cada patrulla genera un log con marca temporal, GPS-track y datos de sensores. El log se almacena de forma inalterable y se protege contra manipulación mediante cadenas hash. La frecuencia real de patrulla queda así objetivamente acreditada. Los libros de ronda manuscritos no logran esto.

Los incidentes se clasifican automáticamente y se escalan al centro de control. La clasificación distingue entre persona en perímetro, dron en espacio aéreo, vehículo fuera de ruta y anomalía técnica. Cada clase tiene un perfil de escalado propio, coordinado con el reglamento portuario y el plan de resiliencia.

Los formatos de exportación cubren las exigencias de los órganos de control: BSI, BBK y la autoridad supervisora de los Länder. Habituales son PDF con firma hash para el expediente, CSV para el análisis estadístico y JSON para la transferencia API al PSIM o a un portal administrativo.

Los plazos de conservación según KritisV y reglamento portuario están preconfigurados. Estándar son tres años para datos de incidentes y seis meses para logs de patrulla rutinaria, las exigencias divergentes de supervisores estatales individuales son configurables.

La acreditación de resiliencia en la auditoría bienal según Dachgesetz puede derivarse directamente del sistema. Los auditores reciben un espacio de datos con frecuencia de patrulla, historial de incidentes, tiempos de reacción y tiempos de indisponibilidad. Esto sustituye a la recopilación manual. En muchos puertos esta tarea consume hoy varias semanas de preparación.

Punto de entrada concreto

Quien en 2026 afronte el registro BBK y la elaboración del plan de resiliencia no debe tratar el componente físico como cuestión secundaria. KritisV, Dachgesetz y NIS-2 exigen patrullas acreditables, clasificación documentada de incidentes y conservación de datos con validez de auditoría. La robótica entrega estas pruebas como subproducto de la operación regular, las rondas clásicas las entregan solo con esfuerzo adicional considerable.

Para un cálculo TCO concreto sobre la propia terminal, un site survey o la coordinación del alcance piloto con el PFSO: detalles sobre plataforma, sensórica y condiciones RaaS en la página de producto QR-3 con LiDAR y detección de drones o directamente en la oferta RaaS para terminales portuarias.