El 2 de mayo de 2022, el Gobierno de España, a través de una declaración del ministro Bolaños, comunicó a la opinión pública, con la seguridad propia de un hecho consumado, que el teléfono del presidente Pedro Sánchez había sido infectado con el software espía Pegasus mediante una “intrusión ilícita y externa”. La fuente de esa afirmación era, y sigue siendo hoy, una sola: el Centro Nacional de Inteligencia (CNI). Han transcurrido más de cuatro años. Tratándose de un tema de seguridad nacional carecía de sentido pedir que un laboratorio forense independiente examinara el dispositivo, pero si lo era que alguna autoridad extranjera administrativa o científica confirmara la metodología usada (cosa que argumenté en mi comparecencia en el Parlamento Europeo en Noviembre de 2022). El propio organismo que hizo la afirmación original ha reconocido después, en sede judicial, que le resulta “técnicamente imposible” decir nada concluyente sobre lo ocurrido. Entre esos dos extremos —la certeza de 2022 y la incertidumbre reconocida en 2025— ha transcurrido algo más que tiempo procesal: han transcurrido consecuencias reales para las instituciones democráticas españolas, que conviene enumerar con la misma frialdad con la que se presentó, en su día, el propio caso.

La entonces directora del CNI, Paz Esteban, fue cesada ocho días después del anuncio. Es la única consecuencia institucional tangible que el caso ha producido hasta la fecha, y se adoptó sobre la base de una información que, según sabemos ahora, ni siquiera el propio organismo que la generó puede sostener con certeza técnica plena. Un cese de esta naturaleza —de la máxima responsable de un servicio de inteligencia del Estado— no es un trámite menor: es una decisión de calado institucional, tomada al calor de una afirmación cuya solidez no ha podido confirmarse ni desmentirse desde entonces.

El caso coincidió, además, con el agravamiento de una crisis diplomática ya existente con Marruecos, y ha alimentado desde entonces —a través de fuentes periodísticas y de inteligencia no identificadas y de conclusiones “presuntas” recogidas por el propio Parlamento Europeo— una atribución de responsabilidad a ese país que nunca ha sido confirmada oficialmente por ningún canal verificable. Una democracia no debería construir su relación con un país vecino sobre una atribución de espionaje que ni siquiera sus propios servicios pueden sostener con la certeza que en su momento se transmitió a la ciudadanía.

Y hay una tercera consecuencia, más difusa pero no menos real: el caso Sánchez se ha convertido, en el debate público español, en el contrapeso retórico casi automático frente a cualquier mención del Catalangate — “también el CNI espió, también el Gobierno fue víctima”. Ese uso del caso, para equilibrar responsabilidades políticas, presupone una certeza sobre los hechos que, a día de hoy, no existe. Si la afirmación original no puede sostenerse con el rigor que su propio uso público exige, tampoco puede sostenerse el argumento político que sobre ella se ha construido durante cuatro años.

Frente a esta secuencia de consecuencias asentadas sobre una certeza no verificada, merece la pena destacar, con el mismo rigor, la actitud que ha mantenido el instructor de la causa, el magistrado José Luis Calama, hoy, años después decidiendo sobre casos mas complejos, que afectan a nuestra democracia. A diferencia del anuncio gubernamental de 2022, la instrucción judicial nunca ha dado por cerrado el caso con la misma seguridad. El juez decretó el sobreseimiento provisional en 2022 ante la falta de cooperación de Israel —sin forzar una conclusión que los hechos no permitían—. Cuando en 2024 llegaron nuevos datos desde Francia, no se conformó con el primer informe del CCN-CERT: exigió una comparación exhaustiva, y ante la demora del propio CNI en entregarlo, hizo constar esa demora en un auto y amplió el plazo de instrucción en lugar de cerrar la causa por defecto. Cuando el informe finalmente llegó y resultó impreciso, el juez no lo dio por bueno sin más: lo hizo constar literalmente —“no aporta ninguna novedad”, “técnicamente imposible afirmar nada”— (valoración que desde mi modestia técnica soporto plenamente) y, en lugar de archivar, pidió interrogar directamente al CEO de NSO Group (la ingeniería autora y comercializadora de Pegasus) remitiendo una nueva comisión rogatoria a Israel.

Esta forma de proceder contrasta, de manera notable, con la premura del anuncio político original. Donde el Gobierno ofreció certeza inmediata, el juez ha exigido, sistemáticamente, prueba verificable — y allí donde esa prueba no ha llegado con la solidez requerida, lo ha dejado consignado con precisión en lugar de darlo por sentado. Es, en cierto sentido, la prudencia judicial operando como el contrapeso que la comunicación política de 2022 no ofreció: mientras el Ejecutivo transmitía una seguridad que los hechos no sostenían, la instrucción judicial ha ido, paso a paso, exigiendo exactamente el nivel de verificación que a la ciudadanía se le presentó ya como innecesario, porque el caso se anunció como resuelto desde el primer día.

Nada de lo anterior permite concluir que la infección no ocurriera, ni que el Gobierno actuara de mala fe al anunciarla. Lo que sí permite concluir, con la información disponible hoy, es que una democracia ha adoptado decisiones de consecuencia real —el cese de una alta funcionaria, el agravamiento de una crisis diplomática, un argumento político sostenido durante cuatro años— sobre la base de una certeza institucional que el propio organismo que la produjo ya no puede sostener con el rigor con el que en su día se presentó. Que sea precisamente la prudencia de un juzgado, y no la comunicación pública del Estado, la que haya mantenido abierta la pregunta durante todo este tiempo, dice tanto sobre el valor de la independencia judicial como sobre el coste de haber dado por cerrado, en 2022, algo que en realidad nunca llegó a demostrarse.

Una afirmación, un solo autor

El informe pericial sobre la infección de los teléfonos de Sánchez, Robles, Grande-Marlaska y Planas fue elaborado por el Centro Criptológico Nacional (CCN-CERT), organismo que depende orgánicamente del CNI. No existe constancia pública de que Citizen Lab, Amnistía Internacional u otro laboratorio forense ajeno al Estado español haya tenido acceso a esos dispositivos. Esto contrasta con el propio caso Catalangate, que dio origen a esta historia: allí, aunque con las controversias metodológicas que después se han señalado, hubo al menos un actor externo —Citizen Lab, con revisión cruzada parcial de Amnistía— examinando los teléfonos de las víctimas. En el caso de Sánchez, esa capa de verificación externa nunca existió. La entidad que se declara víctima es, simultáneamente, la única entidad que produce la prueba de su propia victimización.

La indignación que me produjo la posibilidad que mi Gobierno, democráticamente elegido, utilizara herramientas como Pegasus elaborada por un grupo de ex militares israelitas integradas en la empresa NSO solo puede compararse a la falta de rigor técnico del informe Catalangate, alejado de cualquier rigor propio del nivel que requiere demostrar la posibilidad de un ataque de este tipo, una circunstancia que se agravaba ante la presencia de empresas catalanas en la explicacion de sus resultado. Recien jubilado entonces, pensé que este episodio merecía un análisis en profundidad, a la espera que los servicios gubernamentales encrgados de velar por la ciberseguridad informática de España se pronunciaran.

Cabe una precisión técnica: es probable que el CCN-CERT emplease, en su análisis interno, herramientas derivadas del propio Mobile Verification Toolkit desarrollado por Amnistía Internacional. Pero usar la herramienta de un tercero no equivale a que ese tercero verifique el resultado. Amnistía no participó, no revisó y no ha avalado en ningún momento la conclusión relativa al teléfono del presidente del Gobierno español.

Una cronología que no está clara ni siquiera en sus propios términos

La versión con la que la opinión pública se ha quedado —que el Gobierno descubrió el espionaje a su propia cúpula a raíz de revisar sus dispositivos tras conocer el informe Catalangate del 18 de abril de 2022— ha sido, en sí misma, puesta en duda por fuentes de inteligencia citadas en 2026: según esa versión alternativa, Moncloa habría tenido constancia de la infección del móvil de Sánchez desde 2021, apenas horas después de producirse, y la habría mantenido bajo secreto de Estado durante casi un año, revelándola en mayo de 2022, pocos día después de una sesión de la Comisión de Secretos oficiales, dando el supuesto ataque a 18 miembros de los 65 miembros citados en Catalangate como justificación del cese de la entonces directora del CNI, Paz Esteban, y aplacar a los socios parlamentarios independentistas que acababan de descubrirse espiados por ese mismo servicio.

Si esa segunda versión es correcta, entonces ni siquiera la cronología pública de “cuándo se supo” es fiable: no habría sido un análisis forense motivado por Catalangate, sino la administración calculada de una información ya conocida. Ambas versiones —la oficial y la alternativa— comparten, sin embargo, algo revelador: las dos dependen exclusivamente de fuentes gubernamentales o de inteligencia, nunca de una verificación independiente.

El contenido de lo sustraído: la pregunta que no se debió apuntar

El Gobierno cifró la sustracción en 2,6 gigabytes de información en la primera intrusión al teléfono de Sánchez (19 de mayo de 2021) y 130 megabytes en la segunda (31 de mayo), más 9 megabytes del teléfono de Robles. Estas cifras se hicieron públicas. Lo que nunca se ha hecho público —ni ante la Audiencia Nacional con el detalle suficiente para sostener una instrucción activa, ni ante el Congreso más allá de la Comisión de Secretos Oficiales, cuyos miembros tienen prohibido divulgar lo tratado— es qué contenían esos archivos. No se sabe si eran mensajes, documentos, fotografías, contactos, grabaciones, o alguna combinación de todo ello. No se sabe si afectaban a materias de Estado, a comunicaciones personales, o a ambas. El propio juez de la instrucción, según reveló su auto de febrero de 2025, recibió del CCN-CERT la conclusión de que resultaba “técnicamente imposible afirmar nada sobre la naturaleza de la información” a la que accedieron los atacantes. Puedo entender perfectamente que el CNI se reservara el contenido de lo que había investigado, es su deber. Nunca he entendido que hablará de la dimensión de los archivos correspondientes, un parámetro que ni siquiera MVT garantiza en su metodología.

Lo que esto no es, y lo que sí es

Nada de lo anterior permite concluir que la infección no ocurriera. Tampoco lo contrario. Lo que permite establecer, con la precisión que exige cualquier ejercicio serio de escrutinio, es esto: la afirmación “el teléfono del presidente del Gobierno de España fue infectado con Pegasus en 2021” descansa, en su totalidad, sobre el testimonio de la misma agencia de inteligencia que meses antes había sido señalada como autora de un espionaje masivo a la disidencia catalana —y que, según una versión no desmentida por fuente alguna con capacidad de hacerlo, pudo haber conocido el hecho durante un año antes de decidir, por motivos políticos, cuándo y cómo revelarlo.

En ausencia de verificación externa, de contenido conocido y de una cronología no controvertida, lo único que puede afirmarse con seguridad, a día de hoy, es que el CNI lo dijo. Nadie más lo ha confirmado. En mi opinión, nadie más ha podido hacerlo, con un mínimo de rigor cientifico.

Por qué esto lo plantea un técnico, y no un actor político

No soy parte de este caso. No fui víctima del espionaje que se atribuye al teléfono del presidente del Gobierno, ni tengo ningún interés personal en el resultado político de esa disputa. Mi relación con este asunto es de otra naturaleza, más modesta y, creo, más defendible: soy un Catedrático jubilado que ha pasado años, además de afrontar su obligaciones académicas, en ayudar a los jueces (Cesiones de Crédito del B. de Santander, Ampliación de capital del Valencia SAD) de forma altruista como servidor público. Ahora, en la última fase de mi vida profesional, he afrontado la verificación del espionaje con software comercial, aceptada por mi Gobierno. En noviembre de 2022 fui llamado para comparecer como testigo experto ante la comisión PEGA del Parlamento Europeo. No fui a acusar a nadie. Fui a exponer, con el rigor que exige cualquier trabajo técnico serio, una serie de dudas e inexactitudes metodológicas sobre el instrumento forense —el Mobile Verification Toolkit— que sustentaba entonces, y sigue sustentando hoy, buena parte de las conclusiones sobre espionaje con Pegasus en Europa. No fue una comparecencia cualquiera: en esa misma sesión intervino también Esperanza Casteleiro, quien había sustituido a Paz Esteban al frente del CNI meses antes, compareciendo ante la misma comisión para dar cuenta del propio caso español. Si alguien tenía, en aquella sala, la capacidad institucional de responder a mis dudas con autoridad técnica de primera mano, era ella. No lo hizo entonces. Nadie lo ha hecho desde entonces.

Han pasado más de tres años y medio. Esa pregunta sigue sin respuesta, pese a agotar, en orden, cada vía que no exigía litigar: ENISA (acuse de recibo, sin respuesta de fondo), el Defensor del Pueblo Europeo (inadmitida), la Defensora del Pueblo española (silencio), la GAIP catalana (pendiente de admisión, la reclamación contra la decisión del Comisario Trapero acerca de las tecnologías que el Cuerpo Mossos estaba utilizando para afirmar ante la Justicia, que una serie de políticos catalanes habrían sido víctimas de Pegasus, hace muchos meses), y una carta a Anthropic, la empresa creadora de esta maravilla tecnologica que es MYTHOS (con sus pros y sus contras9 en materia de ciberseguridad , que es decisiva para resolver el problema que España arrastra con Pegasus (tampoco respondida). Son mas episodios, pero valgan estas cinco vías. Cinco silencios. Ninguna de ellas exigía que nadie fuera culpable de nada — solo que alguien, en algún punto del sistema, considerara que la pregunta merecía una respuesta técnica.

No busco un juicio. Busco que la pregunta se sustancie. No persigo una condena, ni tengo la certeza de que exista un delito en sentido técnico-jurídico —eso corresponde valorarlo a un profesional del derecho, no a mí—. Lo que persigo es mucho más acotado: que la afirmación con la que abre este texto sea sometida, por fin, al mismo tipo de escrutinio técnico independiente que el trabajo de mi vida me ha enseñado a considerar imprescindible en cualquier afirmación de esta naturaleza. Una revista académica no puede requerir a Apple que confirme una vulnerabilidad, ni a un tribunal que solicite un peritaje independiente sobre la fiabilidad del MVT. Solo un procedimiento judicial, con la fuerza coactiva que lo caracteriza, tiene esa capacidad. No es la vía que hubiera elegido en primer lugar. Dicho sin rodeos: agotadas ENISA, el Defensor del Pueblo Europeo, la Defensora del Pueblo española, la GAIP y Anthropic, no me cabía otra opción que ponerlo en manos de los tribunales.

No es solo una convicción personal. Es, además, una vía que el propio juez instructor de la causa ha defendido frente al intento del Estado de cerrarla. Cuando la Abogacía General del Estado solicitó que no se permitiera litigar a ninguna acusación popular en este mismo procedimiento —alegando que su participación comprometería la intimidad del propio presidente y de los ministros afectados—, el juez José Luis Calama rechazó esa petición, argumentando que la participación de la ciudadanía en la administración de la Justicia a través de la acción popular “es una manifestación del principio democrático”. Si el propio instructor de la causa ha defendido, frente al Estado que pretendía excluirla, la legitimidad de que un tercero ajeno a los hechos participe en el escrutinio de este caso, esa misma legitimidad debería amparar a quien lleva tres años y medio intentando, por todas las vías no judiciales disponibles, que alguien responda a una pregunta técnica razonable.

Un contraste jurisdiccional que agrava, no resuelve, la pregunta de fondo

Hay que situar el caso Sánchez junto a lo que ocurre, en paralelo, en los juzgados catalanes con el mismo organismo y en parte con la misma exdirectora — y la diferencia, examinada con precisión jurídica, no es solo de resultado sino de arquitectura procesal.

El caso Sánchez/Robles se tramita ante la Audiencia Nacional a partir de una denuncia, presentada por la Abogacía del Estado en representación del Estado y de las personas afectadas, ante un hecho de autoría desconocida —presuntamente un actor extranjero, Marruecos según el informe PEGA—. En esa causa, el Estado ocupa simultáneamente dos posiciones: es acusador, a través de la Abogacía del Estado, y es fuente única de la prueba, a través del CCN-CERT/CNI. No hay ningún tercero privado personado impulsando activamente la instrucción.

Las causas catalanas, en cambio, se tramitan a partir de querellas presentadas por particulares directamente afectados —Aragonès, Riba, Jové, Solé, Van den Eynde (quien compartió conmigo la sesión de PEGA) Sabrià, Jordi Sánchez— o por organizaciones como Irídia actuando en acusación popular, contra una persona física identificada: Paz Esteban, entonces directora del CNI. Aquí el Estado, a través de la misma Abogacía del Estado, ocupa el papel inverso: defiende a la investigada, en lugar de acusar. Paz Esteban afronta, a fecha de julio de 2026, nueve querellas de este tipo, seis de las cuales han derivado ya en imputación formal. El patrón procesal también es inverso al del caso Sánchez: varios juzgados de instrucción pidieron el sobreseimiento por falta de indicios, pero la Audiencia Provincial de Barcelona ha revocado esas decisiones, ordenando la reapertura y, en al menos un caso, la propia imputación — una instancia superior forzando activamente el avance de la instrucción frente a la resistencia de los juzgados inferiores. En el caso Sánchez no existe un mecanismo equivalente: la instrucción de Calama solo ha avanzado por el impulso de un tercero externo —la Orden Europea de Investigación francesa de 2024—, nunca por presión de una instancia jerárquicamente superior dentro del propio sistema judicial español.

Cataluña sin duda es Estado y nadie debe poner en tela de juicio, solo apuntar

La diferencia jurídica de fondo, resumida: en Madrid, el Estado litiga como víctima de un tercero desconocido, con el CNI actuando como su propio testigo experto; en Barcelona, el Estado litiga en defensa de su propio servicio de inteligencia, señalado como presunto autor por ciudadanos particulares. Son dos posiciones procesales opuestas para el mismo actor institucional —la Abogacía del Estado— y sobre el mismo organismo —el CNI—, lo cual explica por qué los resultados han sido tan distintos: no se trata de que un tribunal sea más diligente que otro, sino de que ambas causas parten de arquitecturas procesales estructuralmente opuestas, con o sin instancia superior dispuesta a forzar el avance, y con el Estado situado en el lado opuesto de la mesa en cada una.

Aunque no haya conseguido información al respecto, no creo que las querellas catalanas carezcan de fundamento— es exactamente el mismo tipo de afirmación institucional sin verificación externa que este texto cuestiona respecto al caso Sánchez, solo que aplicada en sentido inverso. No se adopta aquí ni se descarta; se señala como parte del mismo patrón de fondo: la versión sobre la solidez —o fragilidad— de estas causas depende, una vez más, de qué fuente institucional o mediática la esté formulando, sin que exista un árbitro técnico independiente capaz de zanjarlo.

Hay una razón estructural, no anecdótica, por la que un caso como este puede acabar así. Cuando la Abogacía del Estado denuncia en nombre del presidente del Gobierno, y es el propio Centro Nacional de Inteligencia quien produce, en exclusiva, la prueba de esa denuncia, se cierra un circuito completamente interno: el Estado es demandante, perito y guardián de la información, protegido además por una Ley de Secretos Oficiales de 1968 que impide a cualquier tercero —incluido el propio Parlamento, más allá de una comisión que no puede divulgar lo que conoce— contrastar lo que ese circuito decide afirmar. Ese diseño no nace de mala fe; responde a razones de seguridad nacional que, en sí mismas, son legítimas. Pero tiene una consecuencia que sí es evitable y que no debería aceptarse como coste inevitable: un circuito así no contempla, en su arquitectura, ningún puerto de entrada para el escrutinio técnico externo. No hay un canal intermedio, no adversarial, por el que una duda razonable pueda plantearse y obtener respuesta razonada. Solo hay dos posiciones posibles frente a él: el silencio, o la confrontación judicial que aquí se plantea. Hubiera preferido, con mucho, la primera vía que no existió. No he encontrado la segunda hasta agotar todas las demás.

No sé cuál será la respuesta a la pregunta de fondo. Pero después de tres años y medio de silencio, me parece que merece, por fin, hacerse en voz alta.

La tempestad de fuego y acero que ya va a hacer un año se está abatiendo sobre Ucrania, junto a la pandemia, ha provocado la irrupción de algunas verdades en Europa. La UE acaba de poner sobre la mesa su nueva estrategia industrial (“Plan Industrial del Pacto Verde: liderazgo de la industria europea con cero emisiones netas”) para afrontar las tres grandes crisis: climática, medioambiental y de biodiversidad. El pretendido liderazgo en la transformación verde se derrumba al evidenciarse nuestras carencias (energía, materias primas, tecnologías verdes y defensa) y la imposibilidad de recuperar el tiempo perdido en la transformación digital. 

Nuestra fe del carbonero en la globalización, que ni EEUU y ni China han secundado, nos ha dejado a merced de otros. Los dirigentes chinos han decidido además, y con razón, contradecir la inercia de las revoluciones industriales anteriores que remitía al denominado tercer mundo a ser los proveedores de materias primas, y en la disputa por la ubicación de los nuevos empleos industriales, derivados de la transformación verde y digital, va a intentar asentarlos en su territorio, gracias a su propio desarrollo tecnológico y a sus considerables reservas estratégicas de metales raros, fundamentales para la fabricación del coche eléctrico, aerogeneradores y placas fotovoltaicas. Por otro lado, el abandono en brazos de EEUU en el plano militar, a través de la OTAN, provoca que nuestro margen de maniobra sea muy estrecho para la búsqueda de salidas prontas a la guerra de Ucrania, que nos atenaza geopolíticamente. Además nos enfrentamos a la legítima tenaza de Biden, quien por un lado invierte en reafirmar su liderazgo en la Economía Digital y por otro, con su Inflation Reduction Act (IRA,) convoca con 369.000 millones de dólares a los inversores occidentales interesados en la economía verde para que se instalen en EE UU.

Este Plan industrial que inicialmente se presenta sin dinero fresco (se nutre de reajustes a partidas ya existentes) tiene el indiscutible valor de demostrar la determinación de la Comisión de seguir avanzando a pesar del sinnúmero de dificultades propias de las transformaciones ecológicas y digitales y su correlato industrial y de empleo. Cuatro son sus pilares:

• Un entorno reglamentario predecible y simplificado para movernos en el “Net Zero”, basado en: una Ley que apoye la capacidad de fabricación y los proyectos estratégicos multinacionales; una Ley de Materias Primas Críticas, para tratar de garantizar su acceso ellas; requisitos armonizados tanto de sostenibilidad y circularidad en la contratación pública, como exigir un diseño ecológico de los nuevos productos; Una reforma del  mercado de la electricidad, que la haga asequible a ciudadanos y empresas (solo un aspecto mas del Plan Verde, aunque en España el mercado eléctrico parece ocuparlo todo).

• Acceso más rápido a financiación. La Comisión se compromete a poner orden en la sopa de letras que usa para apoyar a su industria, al tiempo que llama la atención a los estados miembros que deben tener una política responsable respecto a aquello que pueden o no fabricar y financiar dentro del Pacto Verde. 

• Habilidades necesarias: Entre el 35- 40 % de todos los puestos de trabajo estará  afectado por las demandas de la transición ecológica, y habrá que desarrollar las capacidades que van a demandarse para los nuevos empleos. Toda una crítica a las universidades y centros de  FP. 

• Comercio abierto con cadenas de suministro resilientes. Se busca la cooperación mundial para que el comercio, durante la transición ecológica, funcione con arreglo a los principios de una competencia leal protegiendo el mercado único frente a las trampas en materia de subvenciones extranjeras en el sector de las tecnologías limpias (todo un mensaje ante la IRA) 

Ahora ya ha pasado el momento de las grandes declaraciones, hay una estrategia definida y solo cabe ponerse a trabajar. Quedan decisiones por tomar y ya se sabe la importancia de los detalles (¿Que tecnologías?, ¿Qué responsabilidades de los estados?, ¿Qué nuevas enseñanzas planteamos a los jóvenes?, etc), pero retengamos que estamos ante una hoja de ruta en la que los empresarios recibirán miles de millones de euros de dinero público sin ningún compromiso sobre los derechos de los 25 millones de trabajadores a los que esta política industrial va a afectar; hablamos de transición justa. La Confederación de Sindicatos Europeos  ha exigido compromisos que aseguren los derechos de los trabajadores, para lo que la aprobación de la taxonomía social UE conectada al Pilar de Derechos Sociales Europeos sería un buen instrumento. 

En España es vital un Pacto político, al menos entre los grandes partidos, Sindicatos y Patronal para alinear nuestras inversiones, y no solo las financiadas por Next Generation,  en la dirección de este Plan. A pesar del enfrentamiento y la polarización, y aunque sea machacar en hierro gélido, no dejaremos de insistir en esta necesidad.