Qué descubrió el Ministerio de Defensa

El corresponsal de defensa de The Telegraph, Richard Holmes, informó el 9 de agosto de 2026 que las cámaras de vigilancia instaladas en los drones marinos K3 Scout de la Royal Navy, utilizados por los Royal Marines y estrechamente vinculados a operaciones del Special Boat Service en Poole, contenían componentes fabricados en China que enviaban "comunicaciones de latido" a un dispositivo en China. Un portavoz del Ministerio de Defensa confirmó lo esencial de la historia: las transmisiones se detectaron durante una "evaluación rutinaria de vulnerabilidad cibernética" de la flota K3, y la información intercambiada solo confirmaba que la cámara estaba en línea y funcionando, no datos operativos. Tras el hallazgo, el MoD retiró toda conectividad a internet de las cámaras afectadas.

La postura oficial del MoD, repetida a varios medios, es que una investigación posterior no encontró evidencia de que se accediera, comprometiera o transmitiera al exterior ningún dato o sistema del MoD. Es una afirmación más limitada que decir que los componentes eran seguros: confirma que no hay exfiltración conocida, no que ese comportamiento de llamada a casa fuera intencionado, declarado o estuviera previsto.

La flota de 12 millones de libras detrás de Project Beehive

El K3 Scout es un vehículo de superficie no tripulado de 8,4 metros construido por Kraken Technology Group, una contratista de defensa británica con sede en Fareham, Hampshire. La Royal Navy contrató a Kraken para suministrar 20 unidades K3 Scout y sus sistemas de control en tierra dentro de Project Beehive, un programa para integrar embarcaciones no tripuladas de alta velocidad en las operaciones de la flota; los botes pueden transportar cargas de sensores, carga o armamento y también se han probado en ensayos como un lanzamiento aéreo desde un A400M de la Royal Air Force. La flota, valorada en 12 millones de libras, está en servicio con los Royal Marines desde marzo de 2026, y según informaciones algunas unidades están destinadas a un despliegue en el Golfo para proteger la navegación en el Estrecho de Ormuz.

Kraken Technology Group declaró a los periodistas que las cámaras cumplían la normativa NDAA -el estándar estadounidense de contratación de defensa que excluye a determinados proveedores chinos-, pero reconoció que las unidades contenían "un pequeño número de componentes de fuera del Reino Unido", que dijo haber obtenido de un proveedor externo que había dado garantías de seguridad. Kraken sostuvo que no se había compartido información sensible.

Dónde falló realmente la cadena de garantías

La cadena tiene aquí tres eslabones: Kraken construyó y vendió el K3 Scout a la Royal Navy; Kraken compró el módulo de cámara a un proveedor externo; ese proveedor dio a Kraken garantías de seguridad sobre el componente. Ninguna de esas garantías detectó el tráfico de latido antes de que los botes entraran en servicio. Salió a la luz solo unos cinco meses después de iniciarse el uso operativo, cuando el MoD realizó una evaluación rutinaria de vulnerabilidad cibernética -el tipo de revisión que ocurre periódicamente, no la que se integra al incorporar la pieza de un nuevo proveedor.

La ministra de seguridad en la sombra, Alicia Kearns, declaró que el episodio muestra cómo las vulnerabilidades de la cadena de suministro pueden socavar la capacidad de defensa soberana incluso cuando el contratista principal es británico y se ha cumplido formalmente un estándar de cumplimiento (NDAA). Eso es precisamente lo que el papeleo de cumplimiento no capta: un componente puede superar un estándar con nombre y una garantía escrita de un proveedor, y aun así comportarse en producción de una forma que nadie, río arriba, probó ni declaró.

Qué significa esto para las empresas de la UE y el Reino Unido más allá de la defensa

Esto no es solo un problema del Ministerio de Defensa. Los módulos de cámara y sensor fabricados en China están presentes en una enorme variedad de hardware comercial que compran empresas corrientes de la UE y el Reino Unido: cámaras de seguridad, sistemas de control de acceso, sensores de edificios inteligentes, equipos de monitorización industrial, incluso quioscos de atención al cliente. El caso del K3 Scout demuestra que una garantía documental de un proveedor -"cumple NDAA", "no se comparten datos sensibles", un cuestionario de seguridad firmado- no equivale a la afirmación "hemos comprobado qué hace realmente este dispositivo en la red", y ambas cosas pueden divergir sin que nadie en la cadena lo note hasta que una auditoría ajena lo detecta por casualidad.

Bajo NIS2, las entidades esenciales e importantes de toda la UE (energía, sanidad, infraestructura digital, fabricantes de productos críticos y más) tienen una obligación explícita de gestión de riesgos de la cadena de suministro: el artículo 21(2)(d) exige evaluar las prácticas de seguridad de los proveedores directos y prestadores de servicios, no solo su papeleo. En España, esa obligación se traslada a la práctica a través del Esquema Nacional de Seguridad y la transposición de NIS2, con INCIBE como referencia técnica para operadores y empresas afectadas. El episodio de la Royal Navy es una ilustración concreta de por qué esa obligación debería traducirse en un paso técnico, no solo contractual. Un equipo de compras que quiera evitar descubrir su propio problema de "latido" cinco meses después de la puesta en marcha debería exigir, antes del despliegue, una captura independiente del tráfico de red de cualquier módulo de cámara, sensor o IoT de un tercero, comprobando a dónde se conecta realmente, no solo lo que el proveedor dice que no hace. El Reino Unido queda fuera de la jurisdicción de NIS2, pero afronta la misma exposición práctica, por lo que su propio NCSC ha publicado orientaciones similares sobre garantías de la cadena de suministro por esta misma razón.

Leer a continuación: Rote cada credencial de CI usada el 4 de agosto  |  La corrección firma los archivos nuevos, no su archivo histórico