La 111.ª sesión del Comité de Seguridad Marítima de la OMI puso en agenda la revisión del Código PBIP para responder a riesgos de protección más amplios, incluidos los asociados con actividades ilícitas y delictivas. Este artículo analiza las implicaciones de ese debate y propone una evolución doctrinal: convertir el PBIP en un verdadero Sistema de Gestión de la Protección Marítima, tomando como referencia la arquitectura de ISO 28000 y los principios de ISO 31000.
Resumen
El Comité de Seguridad Marítima de la Organización Marítima Internacional celebró su 111.ª sesión (MSC 111) del 13 al 22 de mayo de 2026. Antes de la reunión, la OMI anunció expresamente que el Comité sería invitado a considerar una propuesta para revisar el Código Internacional para la Protección de los Buques y de las Instalaciones Portuarias (Código PBIP/ISPS Code) y estudiar cómo podría emplearse para abordar riesgos de protección más amplios, incluidos los relacionados con actividades ilícitas y delictivas.[1] A la fecha de este artículo, la página pública de resultados de MSC 111 sigue indicando que el resumen completo se publicará posteriormente; el índice oficial de resoluciones de MSC 111 no registra una enmienda a SOLAS XI-2 ni al Código PBIP.[2][3]
El análisis del texto vigente demuestra, sin embargo, que el Código PBIP ya contiene una base sólida de gestión del riesgo: exige identificar actividades y bienes críticos, amenazas posibles, probabilidad, vulnerabilidades —incluido el factor humano—, medidas de tratamiento y revisión frente a cambios de amenaza. La Parte B, tanto para buques como para instalaciones portuarias, exige examinar todas las posibles amenazas. El problema contemporáneo no es únicamente la ausencia de determinadas palabras —narcotráfico, crimen organizado, corrupción, amenaza interna o ciberataque—, sino la falta de una arquitectura de gestión que haga continua, medible, auditable y armonizada la adaptación a amenazas emergentes.
La tesis de este artículo es que una futura reforma del Código PBIP no debería limitarse a ampliar una lista de amenazas. Debería evolucionar hacia un Sistema de Gestión de la Protección Marítima (SGPM) basado en contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora, tomando como referencia ISO 28000:2022 y apoyándose en ISO 31000 para la gestión del riesgo. En este modelo, la compañía naviera y la instalación portuaria se convierten en propietarias de su riesgo operacional, mientras el Gobierno Contratante conserva sus funciones soberanas de regulación, inteligencia, supervisión, determinación de niveles de protección, verificación y aprobación.
Palabras clave: MSC 111; Código PBIP; ISPS Code; protección marítima; protección portuaria; ISO 28000; ISO 31000; gestión del riesgo; crimen organizado; narcotráfico marítimo; ciberseguridad marítima; EPIP; EPB; PPIP; PPB; SGPM.
Abstract
The International Maritime Organization’s Maritime Safety Committee held its 111th session (MSC 111) from 13 to 22 May 2026. Prior to the meeting, IMO explicitly announced that the Committee would be invited to consider a proposal to review the International Ship and Port Facility Security (ISPS) Code and how it could be used to address broader security risks faced by ships and port facilities, including those associated with illicit and criminal activity.[1] As of the publication date of this article, IMO’s public MSC 111 highlights still state that the full meeting summary will be published in due course, while the official index of MSC 111 resolutions shows no amendment to SOLAS chapter XI-2 or to the ISPS Code.[2][3]
This paper argues that the future of the ISPS Code should not be limited to adding new threat categories. The Code should evolve into a genuine Maritime Security Management System (MSMS), drawing on the management-system architecture of ISO 28000:2022 and the risk-management principles and process of ISO 31000. Shipping companies, ships and port facilities should continuously identify threats and assess risks according to their routes, ports of call, cargoes, operating environments and local criminal context, while Contracting Governments retain sovereign regulatory, intelligence, oversight and approval responsibilities.
Keywords: MSC 111; ISPS Code; maritime security; port security; ISO 28000; ISO 31000; risk management; organized crime; drug trafficking; cyber risk; ship security assessment; port facility security assessment.
Agenda de Contenidos
- Resumen
- Abstract
- Estado documental
- 1. Relevancia de MSC 111
- 2. Propuesta de revisión
- 3. Cambio doctrinal
- 4. Base de riesgo ya existente
- 5. Problema de armonización
- 6. Cautela sobre autoría
- 7. Bélgica
- 8. Colombia y Latinoamérica
- 9. LEG 112
- 10. Narcotráfico
- 11. Ciberseguridad
- 12. MASS
- 13. LRIT
- 14. VDES y spoofing
- 15. Piratería
- 16. Riesgo geopolítico
- 17. Verificación remota
- 18. Partes del PBIP a revisar
- 19. Amenazas contemporáneas
- 20. Aplicación inmediata EPB/EPIP
- 21. Conclusión MSC 111
- 22. Propuesta SGPM
- Hoja de ruta práctica
- Artículos satélite
- FAQ
- Referencias
Agenda de Contenidos
- Resumen
- Abstract
- Estado documental
- 1. Relevancia de MSC 111
- 2. Propuesta de revisión
- 3. Cambio doctrinal
- 4. Base de riesgo ya existente
- 5. Problema de armonización
- 6. Cautela sobre autoría
- 7. Bélgica
- 8. Colombia y Latinoamérica
- 9. LEG 112
- 10. Narcotráfico
- 11. Ciberseguridad
- 12. MASS
- 13. LRIT
- 14. VDES y spoofing
- 15. Piratería
- 16. Riesgo geopolítico
- 17. Verificación remota
- 18. Partes del PBIP a revisar
- 19. Amenazas contemporáneas
- 20. Aplicación inmediata EPB/EPIP
- 21. Conclusión MSC 111
- 22. Propuesta SGPM
- Hoja de ruta práctica
- Artículos satélite
- FAQ
- Referencias
Estado documental: qué está probado y qué no
| Asunto | Estado | Base documental |
|---|---|---|
| MSC 111 se celebró del 13 al 22 de mayo de 2026. | Confirmado | OMI, resumen/aviso oficial MSC 111.[1] |
| La OMI puso en agenda una propuesta para revisar el Código PBIP y abordar riesgos más amplios, incluidos los asociados con actividades ilícitas y delictivas. | Confirmado: propuesta en consideración | OMI, apartado “Enhancing maritime security”.[1] |
| MSC 111 adoptó una enmienda al Código PBIP. | No | El índice oficial de resoluciones MSC 111 no registra una resolución que enmiende SOLAS XI-2 o el PBIP.[3] |
| El resumen público completo de MSC 111 ya está disponible. | No todavía | La propia OMI indica que el resumen completo será publicado posteriormente.[2] |
| El PBIP debe convertirse en un SGPM basado en ISO 28000/ISO 31000. | Propuesta del autor | No es una decisión de la OMI. Es la tesis técnica desarrollada en este artículo. |
1. MSC 111: por qué es relevante para la protección marítima
MSC 111 no fue una reunión dedicada exclusivamente al Código PBIP. Su agenda incluyó seguridad de la navegación, MASS, LRIT, VDES, digitalización, piratería, combustibles alternativos y otros asuntos. Sin embargo, el punto sobre mejora de la protección marítima tiene una relevancia estratégica especial porque la OMI anunció que el Comité examinaría una propuesta de revisión del Código PBIP con el propósito de enfrentar riesgos de protección más amplios.[1]
Ese anuncio es significativo porque el Código PBIP constituye, desde 2004, la columna vertebral del régimen internacional de protección de buques e instalaciones portuarias. Sus objetivos incluyen cooperación internacional, detección de amenazas, intercambio de información, asignación de responsabilidades y una metodología de evaluación de la protección que permita establecer planes y medidas adecuadas y proporcionadas.[4]
2. La propuesta central: revisar el PBIP para riesgos más amplios
La formulación pública de la OMI es inequívoca: el Comité sería invitado a estudiar una propuesta de revisión del Código PBIP y la forma en que este podría utilizarse para hacer frente a riesgos de protección más amplios que afectan a buques e instalaciones portuarias, incluidos los asociados con actividades ilícitas y delictivas.[1]
El alcance potencial es mucho mayor que una simple actualización terminológica. Introducir de manera expresa la criminalidad organizada dentro de la lógica PBIP puede afectar la evaluación de amenazas, el factor humano, la protección de la carga, la debida diligencia sobre terceros, la inteligencia de protección, la coordinación con autoridades, la ciberseguridad y la medición de la eficacia de los controles.
3. Del origen antiterrorista a un ecosistema de amenazas criminales y tecnológicas
El régimen SOLAS XI-2/PBIP surgió de la respuesta internacional posterior a los atentados de 2001. Su estructura refleja fuertemente preocupaciones como terrorismo, sabotaje, explosivos, acceso no autorizado, captura del buque, uso del buque como arma y armas de destrucción masiva. No obstante, la realidad operacional de 2026 muestra un entorno más complejo: organizaciones criminales transnacionales explotan contenedores, tripulaciones, contratistas, sistemas digitales, patios portuarios, información logística y vulnerabilidades de la interfaz buque-puerto.
La pregunta doctrinal ya no es si el terrorismo sigue siendo una amenaza —lo sigue siendo—, sino si un sistema internacional de protección marítima puede considerarse completo cuando el principal riesgo de determinadas rutas o terminales puede ser el narcotráfico, la corrupción, la infiltración interna, el robo de carga o un ataque cibernético.
Para una lectura complementaria sobre el entorno regional, véase Los principales riesgos de protección marítima en Latinoamérica y cómo enfrentarlos.
4. El Código PBIP vigente ya contiene una base de gestión del riesgo
Una reforma seria debe comenzar reconociendo lo que el Código ya exige. El PBIP no es solamente un catálogo de medidas. En la evaluación de protección del buque (EPB), la Parte A/8.4 exige identificar medidas existentes, actividades esenciales, amenazas y su probabilidad, y puntos débiles, incluidos los relacionados con el factor humano. La compañía debe documentar, examinar, aceptar y conservar la EPB.
Para instalaciones portuarias, la Parte A/15.5 exige identificar bienes e infraestructuras, amenazas y probabilidad, medidas de protección y su eficacia, así como vulnerabilidades —incluido el factor humano—. Además, la Parte A/15.4 ordena revisar y actualizar la EPIP cuando cambien las amenazas o la instalación.
La Parte B es todavía más explícita: B/8.9 y B/15.11 establecen que las evaluaciones deben examinar todas las posibles amenazas, antes de enumerar ejemplos. Esa expresión es crucial: la lista no debería interpretarse como taxonomía cerrada.
El Código vigente ya permite incorporar una amenaza no mencionada literalmente si es razonablemente relevante para el buque o la instalación. Una EPIP que ignore un patrón criminal documentado en su entorno por el solo hecho de que la palabra “narcotráfico” no aparece en B/15.11 estaría aplicando una lectura excesivamente restrictiva del enfoque de evaluación.
Profundización: Evaluación y Plan de Protección PBIP: EPB/EPIP, PPB/PPIP y qué revisa una auditoría.
5. El verdadero problema: explicitud, armonización y auditabilidad
Si el PBIP ya permite considerar nuevas amenazas, ¿por qué revisar el Código? Porque la flexibilidad interpretativa también genera diferencias. Una Administración puede exigir que la EPIP valore narcotráfico, infiltración criminal, ciberataques y corrupción; otra puede mantener una aplicación centrada en las amenazas tradicionalmente enumeradas.
El reto contemporáneo es lograr que la gestión de amenazas emergentes sea:
- explícita, para que ninguna organización pueda alegar que una amenaza material está fuera del alcance;
- armonizada, para reducir diferencias excesivas entre Estados y puertos;
- basada en evidencia, conectada con inteligencia, incidentes, rutas y contexto;
- medible, mediante indicadores y pruebas de eficacia;
- auditable, no solo verificable documentalmente;
- adaptativa, capaz de evolucionar sin esperar veinte años para agregar cada nueva modalidad.
6. Autoría de la propuesta: una cautela documental necesaria
Distintas reseñas sectoriales han atribuido la propuesta sometida a MSC 111 a Estados Unidos. Sin embargo, la página pública de la OMI que anuncia el punto de agenda no identifica al patrocinador en el texto visible.[1] Para mantener rigor académico, este artículo distingue entre la existencia confirmada de la propuesta y la atribución de su patrocinio.
7. Bélgica: evidencia pública de una línea favorable a enmendar el Código
Existe evidencia primaria de que Bélgica trabajó en una propuesta vinculada a MSC 111. El archivo parlamentario oficial de Austria registra un documento de trabajo de enero de 2026 titulado “Amendments to the International Ship and Port Facility Security (ISPS) Code linked to the fight against organised crime / Draft submission by Belgium”.[13]
La existencia de este borrador demuestra que, al menos dentro del proceso europeo de coordinación, se consideró expresamente la opción de modificar el Código PBIP para vincularlo con la lucha contra el crimen organizado. Esto no equivale, por sí solo, a una enmienda aprobada por la OMI ni prueba que el texto haya llegado sin cambios al plenario; sí evidencia una dirección política y técnica concreta.
8. Colombia y Latinoamérica: por qué el debate es especialmente relevante
Para Colombia y otros países latinoamericanos exportadores y de transbordo, la discusión no es teórica. Las terminales de contenedores, los buques que recalan en puertos de alto riesgo, los corredores hacia Norteamérica y Europa y la exposición a organizaciones criminales transnacionales hacen que el entorno de amenaza pueda estar dominado por contaminación de carga, conspiración interna, uso de buzos, corrupción, manipulación de sellos, robo de carga y extracción o introducción clandestina de mercancías.
La Resolución A.1190(33), adoptada por la Asamblea de la OMI en 2023, se titula precisamente Enhancing the framework on the fight against organized crime in the maritime sector, lo que confirma que la delincuencia organizada ya forma parte del programa político de alto nivel de la Organización.[5]
Para una aplicación práctica al contexto criminal, véanse Corrupción, colusión interna y conspiraciones internas y ASR 004 CMCON 2026 explicado con enfoque PBIP.
9. LEG 112: la dimensión jurídica de las amenazas a la protección marítima
El Comité Jurídico de la OMI, en su 112.ª sesión de marzo de 2025, aprobó un nuevo resultado titulado “Measures to address maritime security threats”. La OMI señala que, bajo este resultado, se espera que el Comité examine de manera holística los aspectos jurídicos de un amplio espectro de amenazas a la protección marítima.[6]
Esto es importante porque el debate sobre la evolución de la protección marítima no se limita al MSC. La arquitectura futura puede requerir coherencia entre obligaciones SOLAS/PBIP, cooperación internacional, jurisdicción, intercambio de información, derechos de la gente de mar, actuaciones de autoridades, pruebas y responsabilidades frente a actividades criminales transnacionales.
10. Narcotráfico y contrabando de drogas: la presión más evidente sobre el modelo actual
El narcotráfico marítimo muestra con claridad la diferencia entre una lectura histórica y una lectura basada en riesgos. El Código PBIP puede abordar aspectos del fenómeno mediante manipulación indebida de carga, acceso no autorizado, vulnerabilidades humanas y protección de la carga; pero la palabra “narcotráfico” no estructura por sí misma el régimen PBIP.
Paralelamente, FAL 50 continuó en marzo de 2026 la revisión de las directrices para prevenir y reprimir el contrabando de drogas, sustancias psicotrópicas y precursores químicos en buques dedicados al tráfico marítimo internacional. La OMI indicó que el trabajo busca cerrar brechas frente a amenazas actuales y atender el riesgo de criminalización injustificada de gente de mar, personal portuario y compañías.[7]
El futuro normativo debería articular mejor el marco de protección PBIP con los instrumentos especializados contra el contrabando, sin convertir al OPIP, OPB u OCPM en autoridades policiales o aduaneras.
Lectura satélite: La seguridad del personal: el eslabón crítico frente al narcotráfico marítimo.
11. Ciberseguridad marítima: de un riesgo complementario a una dependencia crítica
La digitalización transforma la naturaleza de la protección. Sistemas de control de acceso, CCTV, OCR, TOS, BAPLIE, plataformas de intercambio de datos, comunicaciones de buque, navegación y ventanillas únicas marítimas crean dependencias ciberfísicas que pueden ser explotadas por actores criminales.
FAL 50 aprobó proyectos de enmienda al Convenio FAL para exigir medidas de ciberseguridad en las Maritime Single Windows y acordó iniciar el desarrollo de un Código Marítimo Cibernético no obligatorio.[7] Estas iniciativas no modifican por sí mismas el PBIP, pero muestran una tendencia: la protección marítima ya no puede dividirse artificialmente entre “seguridad física” y “ciberseguridad”.
En un SGPM, un ataque contra CCTV, TOS o credenciales privilegiadas debe analizarse de la misma forma que una intrusión física: activo, amenaza, vulnerabilidad, probabilidad, consecuencia, control, riesgo residual y eficacia.
12. Código MASS: protección marítima en buques autónomos y operaciones remotas
MSC 111 adoptó el Código MASS no obligatorio para buques de superficie marítimos autónomos. La OMI señala que el marco busca que los buques controlados a distancia o autónomos alcancen un nivel de seguridad, protección marítima y protección ambiental equivalente al esperado de un buque convencional.[2][9]
El proyecto presentado a MSC 111 incluía capítulos sobre evaluación de riesgos, contexto operacional, software, conectividad, operaciones remotas y medidas especiales para mejorar la protección marítima.[1] Esto refuerza una idea fundamental: el futuro regulatorio marítimo se está desplazando hacia marcos basados en objetivos, contexto y riesgo.
Para la protección, aparecen escenarios como compromiso del centro de operación remota, credenciales privilegiadas, manipulación de software, pérdida de autenticidad de datos, interferencia de conectividad o control ilícito de funciones críticas.
13. LRIT: conocimiento del dominio marítimo y respuesta frente a actividades ilícitas
MSC 111 aprobó proyectos de enmienda orientados a facilitar que Estados ribereños reciban sin costo determinados informes estándar de posición LRIT; la OMI relaciona el cambio con una mejor capacidad de monitoreo de actividad marítima y respuesta a problemas como navegación ilegal y contaminación marina. Las enmiendas se someterán a consideración para adopción en MSC 112.[2]
El vínculo con el SGPM está en la información de contexto. Una evaluación de riesgo moderna no debería ser estática: necesita inteligencia y conciencia situacional. Sistemas como LRIT pueden alimentar, en el nivel estatal, una mejor comprensión del entorno operacional en el que navegan los buques.
14. VDES, autenticación y spoofing: protección de la confianza digital
MSC 111 introdujo VDES en el marco regulatorio de la OMI como alternativa avanzada al AIS. La OMI destaca que VDES permite intercambiar más datos con mayor rapidez y seguridad e incorpora autenticación, ayudando a reducir el riesgo de spoofing.[2]
La lección para el PBIP es más amplia: la protección moderna no consiste solamente en impedir la entrada física de una persona. También exige proteger la integridad, autenticidad, disponibilidad y confiabilidad de la información utilizada para decidir.
15. Piratería y robo a mano armada: amenazas tradicionales que siguen creciendo
Según la información anunciada por la OMI para MSC 111, en 2025 se notificaron 171 incidentes o tentativas de piratería y robo a mano armada contra buques, frente a 146 en 2024, un aumento aproximado del 17 %.[1]
La evolución hacia un SGPM no sustituiría las medidas específicas contra piratería. Permitiría integrarlas dentro de un perfil dinámico de riesgo del buque: ruta, área geográfica, tiempo de exposición, velocidad, francobordo, información de inteligencia, capacidad de vigilancia, refugios seguros, comunicaciones y medidas físicas.
16. Riesgo geopolítico: el Estrecho de Ormuz como recordatorio de la naturaleza cambiante de la amenaza
MSC 111 se desarrolló en un entorno de alta tensión en el Golfo. El Secretario General de la OMI se refirió a amenazas sostenidas que afectaban a gente de mar y buques en la región, y el Comité adoptó medidas relacionadas con la situación y la evacuación segura de buques y marinos atrapados.[2][15]
La implicación doctrinal es clara: el riesgo de un buque no puede valorarse una sola vez y permanecer inmutable durante años. Cambia con la geopolítica, la ruta, el puerto de escala, las sanciones, los conflictos, la criminalidad y la tecnología.
17. Verificaciones PBIP a distancia: tecnología sí, pero con límites
El Subcomité III 11 finalizó en 2025 un proyecto de orientación sobre reconocimientos a distancia, auditorías del Código IGS y verificaciones del Código PBIP, con el propósito de armonizar el uso de métodos remotos y mantener un nivel de confianza y credibilidad equivalente a la asistencia presencial.[8] El avance previo del III Subcomité había señalado que las verificaciones PBIP remotas en lugar de asistencia presencial debían limitarse a circunstancias extraordinarias, considerando la sensibilidad de la información de protección.
El programa público previo de MSC 111 indicaba que el Comité consideraría la aprobación de la circular MSC-MEPC correspondiente.[1] Dado que el resumen público temporal posterior no detalla este punto, la versión definitiva debe verificarse contra el documento oficial de resultados cuando esté disponible.
18. ¿Qué partes del Código PBIP podrían revisarse?
La siguiente tabla es un análisis prospectivo del autor; no representa un proyecto de enmienda aprobado por la OMI.
| Disposición | Función actual | Posible evolución bajo un SGPM |
|---|---|---|
| Parte A/1.2 | Objetivos del Código | Reconocer explícitamente la gestión integral de riesgos de protección y amenazas criminales emergentes. |
| Parte A/1.3 | Prescripciones funcionales | Fortalecer inteligencia, intercambio de información, indicadores, medición de eficacia y aprendizaje. |
| Parte A/8 | Evaluación de protección del buque | Incorporar contexto operacional, rutas, puertos de escala y reevaluación dinámica del riesgo. |
| Parte A/15 | EPIP | Formalizar alcance, contexto, criterios de riesgo, partes interesadas, registro de riesgos y riesgo residual. |
| Parte A/9 y A/16 | PPB y PPIP | Convertir planes en componentes operacionales del sistema de gestión, conectados con riesgos y objetivos. |
| Parte A/18 | Formación, ejercicios y prácticas | Orientar competencias y ejercicios a escenarios de riesgo reales y eficacia demostrable. |
| Parte B/8.9 y B/15.11 | Ejemplos de amenazas | Mantener una lista abierta, pero incluir categorías contemporáneas y obligación explícita de revisar el contexto. |
| Parte B/16 | Orientaciones del PPIP | Integrar controles físicos, digitales, humanos, de terceros y cadena logística bajo enfoque de riesgo. |
19. Taxonomía contemporánea de amenazas que un SGPM debería poder gestionar
Una arquitectura basada en riesgos no necesita una lista cerrada, pero sí una taxonomía de referencia que ayude a evitar omisiones. Entre las amenazas que razonablemente deberían considerarse, según el contexto, se encuentran:
Amenazas físicas y violentas
- terrorismo;
- sabotaje;
- piratería;
- robo a mano armada;
- captura o secuestro;
- armas, explosivos y sustancias peligrosas.
Crimen organizado y comercio ilícito
- narcotráfico;
- contrabando;
- tráfico de armas;
- tráfico de personas;
- polizonaje;
- robo y desvío de carga.
Amenaza interna
- corrupción;
- soborno;
- coacción;
- infiltración criminal;
- colusión interna;
- filtración de información sensible.
Amenazas digitales y ciberfísicas
- ciberataques;
- robo de credenciales;
- manipulación de TOS/CCTV/OCR;
- spoofing;
- interferencia de comunicaciones;
- alteración o destrucción de evidencia digital.