Profesionales de seguridad: Por qué

8 min de lectura

Alemania tiene un problema de ciberseguridad. Hay 149.000 puestos de TI vacantes y, en promedio, se tarda 7,7 meses en cubrirlos. Al mismo tiempo, el país forma a algunos de los mejores investigadores en seguridad del mundo. El CISPA de Saarbrücken es, según CSRankings, el número uno mundial en seguridad informática. Esto no es una contradicción: es la mayor oportunidad desaprovechada de Alemania. Y también la clave para su reinicio.

En resumen

• Falta global: Faltan 4,76 millones de profesionales de ciberseguridad en todo el mundo, con un aumento del 19 % respecto al año anterior (ISC2, 2024)
• Falta en la UE: Faltan casi 300.000 profesionales de ciberseguridad en la UE, pero solo se gradúan 3.100 anualmente (ENISA)
• Alemania: Cuenta con 439.243 profesionales activos de ciberseguridad, pero hay 149.000 puestos de TI vacantes en total (ISC2/Bitkom)
• Elite mundial: El CISPA de Saarbrücken es el número uno mundial en seguridad informática; el HGI de Bochum es el mayor instituto europeo de seguridad informática
• Disparidad salarial: Los cargos senior en seguridad se remuneran un 30-50 % más en Estados Unidos que en Alemania

La paradoja: Investigación de clase mundial frente a una escasez récord

En Alemania hay 149.000 puestos de TI vacantes, una cifra récord según Bitkom. Hace cinco años eran 82.000. Solo el 2 % de las empresas considera suficiente la oferta de talento especializado, frente al 8 % del año anterior. La proyección para 2040 es de 663.000 profesionales de TI faltantes si no se adoptan medidas correctivas. Además, el 77 % de las empresas anticipa un empeoramiento adicional de esta situación.

Esa es una cara de la moneda. La otra: Alemania forma a algunos de los mejores expertos en ciberseguridad del planeta. El Centro Helmholtz CISPA de Saarbrücken ocupa el primer puesto mundial en seguridad informática y criptografía, según el número de publicaciones en las cuatro conferencias más prestigiosas (IEEE S&P, ACM CCS, USENIX Security y NDSS) durante un período de diez años. No se trata de rankings cualquiera: son las conferencias más rigurosas y revisadas por pares del sector. En 2025, el CISPA obtuvo la calificación «Sobresaliente» en todas las categorías de la evaluación internacional de Helmholtz.

¿Cómo conciliar ambos hechos? La respuesta resulta incómoda: Alemania produce talento de talla mundial, pero lo pierde frente a empleadores internacionales, otros sectores y la burocracia de su propio sistema educativo. La investigación es excelente, pero su traslación al tejido empresarial no lo es. Y precisamente aquí radica la mayor oportunidad del reinicio: si Alemania resuelve este cuello de botella en la transferencia, la ciberseguridad dejará de ser un mero coste para convertirse en un producto de exportación de éxito.

Fuentes: Estudio sobre la fuerza laboral en ciberseguridad de ISC2 (2024), Bitkom (2024), CSRankings

Las cuatro columnas de la formación alemana en seguridad

Lo que distingue a Alemania de otros países no es la existencia de uno o dos buenos programas de seguridad, sino todo un ecosistema. Cuatro centros constituyen la columna vertebral de la investigación alemana en ciberseguridad, cada uno con un perfil propio.

Centro Helmholtz CISPA, Saarbrücken: Líder mundial en seguridad informática y criptografía. Más de 800 investigadores trabajan en temas que van desde la criptografía postcuántica hasta la ingeniería de privacidad. Su colaboración con Stanford (Centro CISPA-Stanford para la Ciberseguridad) refleja su reconocimiento internacional. Como centro Helmholtz, el CISPA cuenta con financiación federal a largo plazo, una ventaja estructural frente a clústeres de investigación basados en proyectos en otros países, que deben competir cada tres o cinco años por nuevas subvenciones.

Instituto Horst Görtz (HGI), Universidad Ruhr de Bochum: El mayor instituto europeo de seguridad informática, con más de 150 científicos y 36 profesores. Desde el año 2000, Bochum ofrece la primera titulación universitaria alemana en seguridad informática, una iniciativa pionera entonces y hoy un estándar de calidad. Cuenta con unos 900 estudiantes, más de 200 publicaciones en conferencias de primer nivel y 16 premios a los mejores artículos. El Clúster de Excelencia CASA («Proteger la sociedad digital») es, desde 2019, el único clúster alemán de excelencia en el ámbito de la seguridad informática. Su cercanía con G DATA CyberDefense ejemplifica el modelo bochumés: investigación e industria compartiendo el mismo campus.

TU Darmstadt (CROSSING/CYSEC): El programa especial de investigación financiado por la DFG, CROSSING, lleva desde 2014 trabajando con más de 65 investigadores en soluciones criptográficas para la era postcuántica. Diecisiete grupos de investigación nucleares de seis departamentos distintos se reúnen bajo el paraguas CYSEC. La TU Darmstadt combina criptografía, ingeniería de software y usabilidad: un enfoque interdisciplinar que pocos centros ofrecen a nivel mundial. La pregunta de cómo pueden los usuarios finales utilizar realmente sistemas seguros no se trata como un tema secundario, sino como un campo central de investigación.

KIT Karlsruhe (KASTEL): El Centro de Competencia en Tecnologías de Seguridad Aplicada fue fundado en 2011 como uno de los tres centros nacionales alemanes de competencia en ciberseguridad. Desde 2021, KASTEL forma parte del programa permanente de investigación Helmholtz «Engineering Digital Futures». Su foco principal es la transferencia de la investigación básica a aplicaciones industriales: precisamente ese puente que Alemania necesita más que nunca.

Fraunhofer: El puente entre investigación e industria

Lo que distingue al modelo alemán de otros es la Sociedad Fraunhofer como mecanismo institucionalizado de transferencia tecnológica. Ningún otro país dispone de una estructura comparable que transfiera sistemáticamente la investigación aplicada al tejido empresarial. Fraunhofer AISEC emplea a unos 230 expertos en seguridad y gestiona diez laboratorios especializados en seguridad informática – para automoción, hardware, Industria 4.0, IoT, software y nube – . Son entornos de pruebas donde las empresas pueden someter sus productos a condiciones reales de ataque.

El Laboratorio de Formación en Ciberseguridad de Fraunhofer, financiado con seis millones de euros anuales por el BMBF, ofrece formación continua adaptada a la vida laboral en una superficie práctica de 90 metros cuadrados, con escenarios reales de ataque y defensa. Para las empresas que desean capacitar a su personal actual sin tener que liberarlo para estudios a tiempo completo, esta es la solución más pragmática del mercado. En un mundo donde, según ENISA, el 76 % del personal de ciberseguridad carece de certificación formal, este tipo de formación no es un lujo, sino una necesidad imperiosa.

Hecho en Alemania: Cuando las empresas de seguridad nacen en la universidad

Las mejores empresas alemanas de seguridad tienen sus raíces precisamente en este ecosistema de investigación. Tres ejemplos ilustran cómo puede funcionar la transferencia – y lo distintos que pueden ser los modelos.

secunet Security Networks, con sede en Essen, es el socio de seguridad informática de la República Federal de Alemania y la primera empresa alemana de ciberseguridad que ha superado la barrera de los 400 millones de euros. En 2024, sus ingresos ascendieron a 406,4 millones de euros (un 4 % más), mientras que su negocio internacional creció un 14 % hasta alcanzar los 40,1 millones de euros. Con más de 1.000 empleados y once años consecutivos de crecimiento de ingresos, secunet demuestra que la ciberseguridad «Made in Germany» es un modelo de negocio escalable, no meramente un proyecto de investigación.

G DATA CyberDefense, con sede en Bochum – justo al lado del HGI – , desarrolló en 1987 el primer programa antivirus del mundo para el Atari ST. Casi 40 años después, la empresa opera en más de 90 países y ostenta el sello ECSO «Ciberseguridad hecha en Europa». Su vínculo con la Universidad Ruhr de Bochum como socio investigador sigue siendo estrecho. Lo que muestra Bochum es claro: la continuidad y la integración profunda entre campus y empresa generan un ciclo virtuoso autosostenible.

Cure53, con sede en Berlín y fundada en 2007 por el investigador en seguridad Mario Heiderich, representa un modelo alternativo: 30 especialistas con doctorados y másteres que realizan auditorías profundas del código fuente y revisiones criptográficas para clientes internacionales como Proton, Coinbase, Mozilla, Threema y Bitwarden. Cure53 demuestra que el conocimiento alemán en seguridad no necesita emigrar para ser relevante a escala global. Los clientes acuden a Berlín porque allí reside la experiencia. Su modelo: pequeño, altamente especializado y conectado globalmente.

La disparidad salarial: ¿Por qué se marchan los talentos?

Según la Guía salarial de ciberseguridad 2026 de Optima Europe, un ingeniero senior en ciberseguridad en Alemania gana entre 100.000 y 140.000 euros. En Estados Unidos, el salario equivalente comienza en 180.000 dólares. Un director de seguridad de la información (CISO) en una empresa mediana alemana percibe entre 140.000 y 190.000 euros, mientras que en grandes corporaciones puede llegar a 260.000 euros. En el mercado estadounidense, los salarios parten de 245.000 dólares. La brecha oscila entre el 30 y el 50 % según el cargo.

Esta es la razón estructural por la que los talentos alemanes en ciberseguridad son tan codiciados internacionalmente. Google, Microsoft y Amazon cuentan con oficinas en Múnich y Berlín que reclutan activamente dentro del ecosistema alemán de seguridad. No se trata de una fuga de cerebros en sentido clásico: muchas veces los profesionales siguen residiendo físicamente en Alemania. Pero trabajan para empresas extranjeras, y su experiencia fluye hacia productos estadounidenses, no hacia el desarrollo de un ecosistema alemán de seguridad.

La consecuencia para la cumplimentación de NIS2: según ENISA, el 89 % de las organizaciones necesitan personal adicional para cumplir con los nuevos requisitos. Al mismo tiempo, el 76 % del personal existente en ciberseguridad carece de certificación formal. La oferta de profesionales cualificados se reduce relativamente frente a una demanda que aumentará masivamente en los próximos dos años debido a NIS2, DORA y la Ley de Inteligencia Artificial.

Qué hace bien Alemania – y qué le falta

Lo acertado: La Estrategia de Ciberseguridad 2021 (vigente hasta 2026) sentó importantes bases. La Agencia para la Innovación en Ciberseguridad financia proyectos de investigación ambiciosos. La Universidad de las Fuerzas Armadas de Múnich forma a oficiales y funcionarios públicos en ciberseguridad, generando así un grupo de talento que, tras finalizar su servicio, pasa al sector privado. La certificación del BSI goza de reconocimiento internacional gracias a los acuerdos SOGIS-MRA (Europa) y CCRA (mundial), lo que constituye la base para la exportación de productos alemanes de seguridad informática y una ventaja diferencial que ningún otro país europeo ofrece en esta amplitud.

Lo erróneo: No existe una estrategia nacional coordinada para traducir la excelencia investigadora en fortaleza económica. Israel lo logró con la Unidad 8200: antiguos miembros de los servicios de inteligencia fundan startups de seguridad, y el Estado impulsa activa y sistemáticamente esa transferencia. Alemania cuenta con cuatro institutos de investigación de élite, pero carece de un mecanismo equivalente para incentivar las fundaciones. La financiación EXIST es demasiado lenta, el ecosistema de capital riesgo para startups de seguridad es demasiado débil y las barreras regulatorias para spin-offs procedentes de centros Helmholtz son demasiado elevadas.

También la capacidad formativa es claramente insuficiente: según ENISA, en toda la UE se gradúan anualmente solo 3.100 especialistas en ciberseguridad – un aumento del 25 % en dos años, pero matemáticamente imposible de compensar frente a una brecha de 300.000 profesionales solo en Europa. Alemania debería multiplicar su capacidad formativa, no limitarse a incrementarla de forma incremental.

La oportunidad de exportación: El sello del BSI como llave de acceso

Existe una palanca que Alemania apenas ha explotado: la certificación del BSI como sello internacional de calidad. La certificación Common Criteria del BSI es reconocida en más de 30 países. Los productos alemanes de seguridad pueden exportarse a cualquier Estado miembro del CCRA sin necesidad de recertificación local. secunet aprovecha esto para su expansión internacional (crecimiento del 14 %, 40 millones de euros de ingresos internacionales), pero la mayoría de las empresas alemanas de seguridad desaprovechan esta ventaja simplemente porque la desconocen o temen el proceso de certificación.

El aparato de respuesta ante incidentes centrado en el BSI y CERT-Bund es otro producto exportable. La metodología alemana de respuesta ante incidentes – sistemática, documentada y conforme con la normativa – es muy demandada internacionalmente, ya que cumple con los requisitos del Reglamento General de Protección de Datos (RGPD), NIS2 y regulaciones específicas por sectores. Ningún otro país ha generado una presión regulatoria comparable y, al mismo tiempo, desarrollado la metodología necesaria para hacerle frente. Esto no es casualidad: es una ventaja competitiva que solo resta comercializar.

Qué debe hacerse ahora: Tres palancas

Palanca 1: Impulsar las fundaciones desde el ecosistema investigador. Todo proyecto del CISPA, HGI o KASTEL con potencial comercial debe contar con una vía rápida hacia la creación de una empresa. No mediante solicitudes EXIST con 18 meses de espera previa, sino mediante un acelerador de seguridad especializado con apoyo directo para la certificación del BSI. Israel ya demostró que el Estado puede actuar no solo como financiador, sino también como primer cliente.

Palanca 2: Ofrecer remuneraciones competitivas en el sector público. El BSI, las Fuerzas Armadas y las administraciones regionales compiten por los mismos talentos que Google y Amazon. Mientras los salarios públicos se mantengan un 40-60 % por debajo de los del mercado, el Estado no podrá garantizar su propia ciberseguridad con recursos humanos adecuados. Tarifas especiales para profesionales de la seguridad son urgentemente necesarias – no como excepción, sino como solución sistémica.

Palanca 3: Multiplicar la capacidad formativa. 3.100 graduados en ciberseguridad al año en toda la UE es insostenible frente a 300.000 puestos vacantes. Alemania necesita triplicar el número de plazas universitarias en los centros de excelencia existentes y lanzar programas paralelos de formación continua mediante la infraestructura de Fraunhofer. Los seis millones de euros de financiación del BMBF para el Laboratorio de Formación en Ciberseguridad son un buen comienzo – pero, comparados con la magnitud del problema, representan solo una fracción mínima de lo necesario.

Preguntas frecuentes

¿Cuántos profesionales de ciberseguridad faltan en Alemania?

Según ISC2, en Alemania trabajan 439.243 profesionales de ciberseguridad. Bitkom estima en 149.000 el número total de puestos de TI vacantes, con una duración media de ocupación de 7,7 meses. Según ENISA, en toda la UE faltan cerca de 300.000 profesionales de ciberseguridad.

¿Qué universidades alemanas lideran en ciberseguridad?

CISPA Saarbrücken (número 1 mundial según CSRankings), HGI Bochum (el mayor instituto europeo de seguridad informática, con más de 150 investigadores), TU Darmstadt (CROSSING/CYSEC, financiado por la DFG) y KIT Karlsruhe (KASTEL, programa Helmholtz). Además, los institutos Fraunhofer SIT y AISEC actúan como socios de investigación aplicada.

¿Por qué se marchan los talentos alemanes en seguridad?

La brecha salarial entre Alemania y Estados Unidos para cargos senior comparables oscila entre el 30 y el 50 %. Grandes tecnológicas internacionales con sedes en Múnich y Berlín reclutan activamente dentro del ecosistema investigador alemán. Muchos talentos permanecen físicamente en Alemania, pero trabajan para empresas extranjeras.

¿Qué es la certificación del BSI y por qué constituye una ventaja para la exportación?

La certificación Common Criteria del BSI es reconocida en más de 30 países gracias a los acuerdos SOGIS-MRA y CCRA. Los productos alemanes de seguridad pueden exportarse internacionalmente sin necesidad de recertificación local. secunet utiliza esta ventaja para generar 40 millones de euros en ingresos internacionales.

¿Cuántos graduados en ciberseguridad produce Europa cada año?

Según la base de datos CyberHEAD de ENISA, solo unos 3.100 al año en toda la UE. Frente a una brecha de 300.000 profesionales, esta cifra es totalmente insuficiente. Aunque el número de graduados ha aumentado un 25 % en los últimos dos años, la brecha crece más rápido que la capacidad formativa.

Seguir leyendo

• NIS2 como ventaja competitiva: Por qué la regulación en ciberseguridad fortalece la posición económica
• Respuesta ante incidentes «Made in Germany»: Cómo colaboran el BSI y las empresas
• El CFO como impulsor de la transformación: Cómo los directores financieros financian el reinicio

Fuente de imagen: Pexels / Tima Miroshnichenko (px:5380649)

Sobre el autor: Tobias Massow

Más artículos de Tobias Massow