Los tres días que ahora debe explicar el Estado: del aviso del 27-J a la avalancha de Ceuta

HALLAZGOS PRINCIPALES

• La existencia de avisos previos ya está documentada por fuentes oficiales: el CNI comunicó el 29-J una convocatoria para entrar a nado; el CENIF emitió notas el 28 y 29-J y la primera alerta derivada salió a las 21:09 del 29-J.
• Pedro Sánchez reconoce que el CNI produjo dos informes de situación durante julio y que existió una comunicación por mensajería entre la Delegación del Gobierno y la Guardia Civil el 29-J.
• El Mundo publica el 4-S una ruta militar distinta: REW 32 habría alertado al CIFAS el 27-J de un riesgo «muy probable» de entrada masiva, pero el informe final no habría llegado al JEMAD hasta las 10:06 del 30-J. El documento militar primario no es público.
• La Guardia Civil ha entregado el 4-S a la Audiencia Nacional un informe que confirma comunicaciones previas con organismos estatales de Información e Inteligencia, aunque sostiene que ninguna permitió anticipar la dimensión final.
• El punto de conflicto ya no es «aviso sí / aviso no», sino la clasificación del riesgo, la distribución de los productos, el umbral de escalado y el momento en que una señal debía traducirse en refuerzo operativo.
• La cronología oficial de Defensa sitúa a las 11:30 del 30-J el comienzo del asalto masivo a unos 5.200 cruces por hora y a las 20:30 la solicitud de despliegue militar; el intervalo entre los avisos previos y ese tasking es el núcleo a auditar.
• El dossier que Sánchez ha prometido publicar se convierte en la prueba documental decisiva: deberá permitir comparar informes, destinatarios, horas, acuses y decisiones.

Por Neil Fernandez · 4 de septiembre de 2026 · Madrid / Ceuta

El Gobierno sostiene que ningún informe anticipó la escala de la entrada masiva. Pero el expediente público ya reúne una alerta militar fechada el 27 de julio, dos notas del CENIF del 28 y 29, una comunicación del CNI en Ceuta y un nuevo informe de la Guardia Civil entregado este 4 de septiembre. La cuestión ya no es si existieron señales, sino cómo fueron valoradas, a quién llegaron y por qué no alteraron a tiempo el nivel de respuesta.

A 4 de septiembre, el debate ya no puede seguir siendo binario

La discusión pública sobre Ceuta se ha pasado más de un mes atrapada en una pregunta demasiado simple: ¿hubo o no hubo avisos antes del 30 de julio? A estas alturas, la respuesta documental es que sí hubo señales previas. Lo que continúa abierto —y es mucho más importante— es qué contenía cada señal, qué nivel de riesgo le asignó cada organismo, quién la recibió, cómo se distribuyó y en qué momento se convirtió, o no, en una orden operativa.

El propio presidente del Gobierno ha dejado atrás la formulación absoluta. En su comparecencia del 3 de septiembre, Pedro Sánchez aseguró que el Ejecutivo revisó los informes, mensajes y notas de las Fuerzas y Cuerpos de Seguridad y del CNI remitidos a autoridades políticas y a la Delegación del Gobierno. Su defensa no fue que no existiera información, sino que ninguno de esos productos anticipó la escala y la probabilidad del desbordamiento final. Esa distinción importa: el Gobierno discute la capacidad predictiva de los avisos, no su existencia.

Veinticuatro horas después, el expediente se ha vuelto todavía más incómodo. La Jefatura de Información de la Guardia Civil ha entregado a la jueza María Tardón un informe de cinco páginas que, según fuentes conocedoras de la causa citadas por El País, confirma comunicaciones previas con diferentes organismos y agencias estatales de Información e Inteligencia. El mismo informe sostiene, sin embargo, que ninguna de ellas permitió anticipar la dimensión del episodio. Es la fotografía exacta del problema: había información; lo que está en disputa es si el sistema la interpretó, escaló y convirtió en medidas de prevención de forma adecuada.

El 27-J: una alerta militar que todavía necesita su documento

El dato más grave publicado este 4 de septiembre no procede todavía de un documento oficial abierto, sino de la reconstrucción de El Mundo. El diario sostiene que el Regimiento de Guerra Electrónica nº 32 (REW 32), con sede en Sevilla, avisó al Centro de Inteligencia de las Fuerzas Armadas (CIFAS) el 27 de julio de un riesgo calificado como «muy probable» de una «entrada masiva» en Ceuta alrededor de la noche del 29 o del día 30, coincidiendo con el Día del Trono marroquí.

Según esa información, el CIFAS incorporó la señal a un análisis definitivo, lo apuntaló el 29 y el documento recorrió la cadena interna hasta llegar al Jefe del Estado Mayor de la Defensa a las 10:06 del día 30. El periódico identifica además al director del CIFAS, Antonio Romero Losada, como uno de los escalones por los que pasó el análisis. A partir de la recepción del JEMAD, siempre según la reconstrucción periodística, se produjo el despacho con Margarita Robles y la coordinación con Presidencia.

Ese relato no puede convertirse todavía en una afirmación documental propia de El Estándar. Falta el mensaje primario del REW 32, falta saber qué significaba exactamente «masiva» para el emisor, falta la ficha de evaluación, faltan los destinatarios y faltan los acuses de recibo. También faltan las versiones intermedias del análisis del CIFAS. Pero si la cronología publicada es correcta, la pregunta institucional es inevitable: ¿qué ocurrió entre el 27 y las 10:06 del 30 para que una señal descrita como «muy probable» no alcanzara antes el escalón de decisión política?

No es lo mismo decir que Moncloa ignoró una alerta durante tres días —eso no está probado— que constatar que una alerta pudo permanecer tres días dentro del circuito militar antes de llegar al JEMAD. La primera afirmación atribuye conocimiento al presidente sin evidencia. La segunda obliga a auditar la cadena de inteligencia.

28 y 29 de julio: el CENIF sí trabajó con escenarios concretos

La comparecencia de Sánchez del 3 de septiembre añadió otro nivel de precisión. El presidente citó el contenido de dos notas del Centro Nacional de Inmigración y Fronteras (CENIF), dependiente de la Policía Nacional.

La nota del 28 de julio evaluaba el movimiento en redes sociales como no especialmente preocupante y preveía, por las condiciones existentes, un incremento paulatino de los intentos de acceso a través de los espigones. Es importante no deformar ese documento retrospectivamente: no describía una avalancha de decenas de miles de personas y, según el relato del presidente, su escenario central seguía siendo gradual.

La nota del 29 de julio era más específica. Sánchez explicó que contenía una tabla de escenarios, con una probabilidad alta de que aumentaran las entradas a nado, pero con un impacto valorado como bajo o medio. Un movimiento coordinado que combinara entradas a nado y saltos de la valla aparecía con una probabilidad media-baja. La propia nota advertía de que no podía asegurarse que el escenario se materializara.

Esa matriz constituye uno de los puntos más relevantes de toda la investigación. No demuestra que el CENIF previera lo que ocurrió. Al contrario: muestra una posible desalineación entre probabilidad e impacto. El organismo veía probable un incremento de entradas por mar, pero no proyectaba un efecto catastrófico. Si esa valoración fue razonable con la información disponible, el Gobierno tiene una defensa sólida. Si, en cambio, otros canales estaban aportando señales más graves que no se fusionaron con esa matriz, el problema sería de integración y escalado.

El presidente aportó además una hora concreta: 21:09 del 29 de julio. Ese fue, según su intervención, el momento de la primera alerta derivada de la nota, enviada «exclusivamente» a puestos fronterizos. Las siguientes alertas se produjeron durante el 30 y el 31, cuando el episodio ya se había materializado. El dato de las 21:09 transforma una discusión política en una pregunta auditable: ¿qué recibió cada puesto, quién acusó recibo, qué tasking produjo y por qué la distribución quedó en ese nivel?

29-J: el CNI también había entrado en la cadena

La Policía no era el único circuito activo. Margarita Robles dejó constancia en el Diario de Sesiones del Congreso de que el CNI mantenía personal desplegado en Ceuta, monitorizando diariamente la situación desde distintos ángulos y compartiendo su trabajo con las Fuerzas y Cuerpos de Seguridad y con la Delegación del Gobierno.

La ministra fue más lejos: situó el 29 de julio una comunicación concreta en la Delegación. Según su testimonio, funcionarios de inteligencia dieron cuenta de una convocatoria para intentar entrar al día siguiente a nado aprovechando una festividad en Marruecos. La formulación no equivale a una previsión de 70.000 u 80.000 entradas. Sí prueba, como mínimo, que el escenario de un intento coordinado con fecha inmediata estaba encima de la mesa en Ceuta.

Sánchez añadió el 3 de septiembre que el CNI había elaborado dos informes de situación durante el mes anterior, compartidos con varias instituciones, y que ambos describían el aumento de cruces por el espigón y recomendaban extremar la cautela. También habló de una comunicación por mensajería entre la Delegación del Gobierno y la Guardia Civil el 29 sobre la convocatoria para intentar cruzar al día siguiente.

Por tanto, a última hora del 29 no existía una única señal aislada. Existían, al menos en el registro público, una nota del CENIF con escenarios de entrada, una alerta distribuida a puestos fronterizos, información del CNI sobre una convocatoria al día siguiente y una comunicación Delegación–Guardia Civil. A ello se suma ahora el reporting sobre una posible alerta militar anterior. La cuestión es si esos elementos se vieron como fragmentos rutinarios o si alguien construyó un cuadro conjunto.

El problema de la «normalización»: cuando demasiadas alertas pierden capacidad de alarma

La defensa más fuerte de Interior no debe caricaturizarse. Fernando Grande-Marlaska ha insistido en que los servicios de información reciben datos y avisos de manera continua y que ninguno anticipó algo comparable a la magnitud final. El propio Sánchez recordó que las convocatorias en redes y los intentos a nado tenían precedentes, que los cruces venían creciendo y que la cifra de 180.000 usuarios citada en la polémica correspondía al tamaño de un grupo de Facebook, no a una estimación de personas dispuestas a cruzar.

Ese contexto explica un fenómeno clásico de gestión del riesgo: la normalización. Si muchas convocatorias anteriores no producen un resultado extraordinario, la siguiente señal puede ser evaluada como una repetición del patrón. La información existe, pero su valor predictivo se degrada por la experiencia acumulada.

Precisamente por eso, la auditoría no puede limitarse a preguntar si había un mensaje. Hay que saber qué factores hacían distinto al 29 de julio. ¿Coincidían las llamadas digitales con movimientos físicos observados? ¿Había cambios en el despliegue marroquí? ¿Se recibieron señales desde más de un servicio? ¿Se modificó la probabilidad o el impacto en EUROSUR? ¿Hubo fuentes que describieran una entrada «masiva» y otras que sólo esperaran un incremento gradual? Sin esa fusión, es imposible saber si el Estado sufrió un fallo de inteligencia o un fallo de decisión.

30-J: el reloj se acelera hasta hacer inútil la prevención

El tiempo operativo se agotó muy deprisa. En la comparecencia de Defensa del 25 de agosto, Robles reconstruyó la mañana del 30 con una precisión que permite ver el punto de ruptura.

Según la ministra, alrededor de las 11:00 se observaron familias rodeando el espigón a nado. A las 11:30 comenzó el asalto masivo, con un flujo estimado de 5.200 personas por hora. A las 20:00, según la reconstrucción de Defensa, ya había entre 45.000 y 55.000 personas en Ceuta. A las 20:30 se solicitó el despliegue de personal militar en apoyo de las Fuerzas y Cuerpos de Seguridad.

La hora de las 10:06 introducida por El Mundo —la supuesta recepción del informe CIFAS por el JEMAD— es, por eso, crítica. Si se confirma, deja menos de hora y media entre el momento en que el escalón militar superior recibe el documento final y el inicio de un flujo que supera cualquier dispositivo ordinario. Moncloa argumenta que, cuando el Gobierno pudo reaccionar, miles de personas estaban ya en el agua o en el espigón y la prioridad pasó a ser evitar muertes.

Ese razonamiento puede ser correcto para el 30 por la mañana y, al mismo tiempo, no resolver qué ocurrió los días anteriores. El debate central no es si a las 11:30 se podía «cerrar» físicamente una frontera ante miles de personas en el mar. Es si había razones suficientes el 27, 28 o 29 para elevar niveles de alerta, reforzar el dispositivo, activar reservas o preparar una postura de fuerza más robusta antes del punto de no retorno.

El 4-S añade una pieza independiente: Guardia Civil confirma comunicaciones previas

El informe entregado este viernes por la Guardia Civil a la Audiencia Nacional introduce un control especialmente importante. La jueza Tardón había pedido saber si las unidades de Ceuta contaban con información de los días previos que pudiera haber alertado de lo que iba a suceder. La respuesta, según la información publicada por El País, reconoce comunicaciones anteriores con organismos y agencias estatales de Información e Inteligencia.

La Guardia Civil no sostiene que esas comunicaciones predijeran la dimensión final. Ese matiz beneficia la tesis del Gobierno sobre la imprevisibilidad de la escala. Pero al mismo tiempo consolida otro hecho: existió un intercambio previo de información entre varios nodos estatales.

La consecuencia periodística es clara. Ya no resulta serio preguntar sólo «¿había un informe?». Había distintos productos y comunicaciones. La investigación debe reconstruir un grafo de distribución: emisor, hora, destinatario, contenido, confianza, acuse, instrucción y ejecución. Hasta que ese mapa exista, cualquier relato que reduzca el caso a una única nota —a favor o en contra del Gobierno— será incompleto.

Dos circuitos, una misma frontera

La hipótesis de trabajo más relevante es la existencia de dos grandes circuitos que convergían sobre el mismo riesgo.

Por un lado, el circuito civil y policial: CENIF, brigadas de Extranjería y Fronteras, puestos fronterizos, Jefaturas, Guardia Civil, Delegación del Gobierno, Policía Nacional e Interior. Por otro, el circuito de inteligencia y defensa: CNI, la estructura militar de información, CIFAS, JEMAD y Defensa. La investigación todavía no permite afirmar que ambos circuitos fueran plenamente independientes ni que manejaran exactamente la misma información.

El valor de esa separación es analítico. Si dos canales distintos recibieron señales complementarias y ninguna instancia las fusionó antes de la crisis, el problema sería de coordinación. Si sí se fusionaron pero el riesgo se consideró bajo, el problema sería de evaluación. Si la evaluación fue grave pero no se elevó, hablaríamos de difusión. Y si llegó al nivel político pero no produjo medidas, entonces el foco pasaría a la decisión.

Esas cuatro hipótesis no son intercambiables. Y atribuir responsabilidad antes de localizar el punto exacto de ruptura sería sustituir la investigación por una consigna.

EUROSUR demuestra que la arquitectura de escalado existía

Hay un elemento estructural que conviene incorporar al debate porque reduce el espacio para las explicaciones vagas. España, como Estado miembro, opera dentro de EUROSUR. El Reglamento europeo obliga a mantener un centro nacional de coordinación activo las 24 horas del día, los siete días de la semana, para intercambiar información entre las autoridades responsables de las fronteras exteriores y con Frontex.

El sistema trabaja además con niveles de impacto para los incidentes y para los tramos de frontera. Cuando un tramo alcanza un nivel alto, la normativa prevé apoyo necesario y medidas reforzadas de control. Los informes de eventos deben contener información sobre la reacción adoptada o prevista.

Esto no prueba que España incumpliera esas obligaciones. Tampoco permite deducir qué nivel tenía asignado Ceuta antes del 30. Pero convierte la cuestión en una solicitud documental concreta: ¿qué incidente estaba abierto en EUROSUR, cuándo se creó, con qué nivel de impacto, qué revisiones tuvo, cuándo se compartió con Frontex y qué medidas de reacción quedaron registradas?

Si la respuesta a esas preguntas existe, será mucho más útil que cien declaraciones políticas sobre si el riesgo parecía «rutinario» o «extraordinario».

La derivada judicial complica todavía más el relato sobre Marruecos

La causa abierta en la Audiencia Nacional añade una segunda capa que no debe mezclarse con la cronología de avisos, pero que influye en la lectura del riesgo. El informe del CENIF remitido a la jueza ha sido descrito por distintos medios como un análisis que aprecia planificación previa y conducta activa de gendarmes y agentes de paisano marroquíes en el guiado de los flujos.

Al mismo tiempo, la Dirección General de la Policía y el Ministerio del Interior han subrayado que el informe no identifica a un gobierno, servicio o persona concreta como autor intelectual de la planificación. Ambas afirmaciones pueden coexistir: observar facilitación o dirección táctica de agentes sobre el terreno no equivale, por sí solo, a probar una orden estatal emitida desde Rabat.

Ese matiz es esencial para mantener el estándar probatorio. El Estándar no debe transformar una conclusión analítica policial en una sentencia judicial ni una conducta de campo en una cadena de mando todavía no documentada. Pero tampoco debe borrar el hecho de que la hipótesis de simple espontaneidad ya ha sido cuestionada por un producto policial incorporado a la causa.

La comparación con el 15 de agosto, cuando las autoridades marroquíes sí desplegaron una contención mucho más eficaz, aumenta el valor de la pregunta sobre capacidad y voluntad. No la resuelve. La resuelve una orden, un registro de mando o una prueba equivalente.

El dossier prometido por Sánchez es ahora la prueba de transparencia

El presidente ha dado instrucciones para publicar un dossier con todos los informes disponibles. Fuentes gubernamentales han situado el perímetro temporal entre el 1 de julio y el 1 de agosto y han admitido que parte del material del CNI podría necesitar desclasificación.

Ese dossier no será un gesto de comunicación si se publica con un índice completo. Será una auditoría pública.

Para que tenga valor debe permitir identificar, como mínimo: las dos notas del CENIF del 28 y 29; la alerta de las 21:09 y sus destinatarios; los dos informes de situación del CNI; la comunicación Delegación–Guardia Civil; el formulario policial del 27 sobre hechos relevantes; cualquier producto REW 32/CIFAS citado por El Mundo; los registros que expliquen la llegada al JEMAD; y las decisiones de refuerzo, prealerta o despliegue adoptadas antes y durante el 30.

Igual de importante será conocer qué no se publica. Si hay documentos clasificados, debe existir un inventario de exclusiones. Si existen piezas reservadas por la causa judicial, debe indicarse su existencia sin comprometer la investigación. Si un documento citado por una autoridad no aparece, la ausencia tendrá que explicarse.

El dossier puede cerrar una parte sustancial de esta historia. También puede abrir una crisis mayor si demuestra que la información disponible era más específica de lo que el Gobierno ha sostenido.

Lo que Moncloa todavía debe responder

A esta hora, el Gobierno puede defender con fundamento que nadie predijo una entrada de la magnitud final. Lo que ya no basta es esa respuesta como explicación total.

Faltan respuestas a preguntas mucho más precisas: ¿cuándo recibió el CIFAS la información del 27 y quién la evaluó? ¿Por qué el documento final, si la reconstrucción de El Mundo es correcta, no llegó al JEMAD hasta las 10:06 del 30? ¿Qué instrucciones produjo la alerta CENIF de las 21:09? ¿Por qué su distribución se limitó a determinados destinatarios? ¿Qué hora exacta tiene la comunicación del CNI en la Delegación? ¿Qué se hizo con la mensajería entre Delegación y Guardia Civil? ¿Cuál era el nivel EUROSUR asignado al tramo de Ceuta? ¿Hubo unidades en prealerta antes de que la frontera colapsara? ¿Qué autoridad decidió que no era necesario modificar la postura operativa?

La respuesta puede demostrar que el sistema actuó de acuerdo con información razonablemente insuficiente. También puede revelar una cadena lenta, compartimentada o excesivamente acostumbrada al ruido. Lo que no puede hacerse es resolver esa cuestión con un eslogan.

No hacía falta adivinar 70.000 personas para justificar una auditoría

La inteligencia no es clarividencia. Exigir que un servicio anticipe el número exacto de personas que cruzarán una frontera sería un estándar absurdo. Pero la gestión del riesgo tampoco exige conocer el número exacto para adoptar medidas de bajo coste y alta reversibilidad cuando convergen señales.

Esa es la frontera intelectual de esta investigación. El hecho de que nadie predijera decenas de miles no responde por sí solo a si el Estado tenía suficientes indicadores para elevar la vigilancia, reforzar turnos, activar reservas, coordinar antes los circuitos civil y militar o solicitar apoyos preventivos.

A 4 de septiembre, el expediente público permite afirmar tres cosas sin exageración. Primera: hubo avisos y comunicaciones antes del 30 de julio. Segunda: esos avisos no anticiparon de manera acreditada la magnitud final. Tercera: existe una disputa real y documentable sobre cómo circularon, cómo se valoraron y cuándo alcanzaron los niveles con capacidad de ordenar una respuesta extraordinaria.

El posible fallo, si existió, no tiene por qué estar en un agente que no vio venir lo imposible. Puede estar en un sistema que vio piezas suficientes, pero no las convirtió a tiempo en una imagen común. Esa es la cuestión que el Estado debe explicar con documentos, no con memoria selectiva.

Y esa explicación tiene un reloj: 27, 28, 29 y 30 de julio. Cuatro fechas. Varias cadenas. Una frontera desbordada. El resto está en los logs.