La puerta china: cómo COSCO construyó una posición estratégica en los puertos de España

HALLAZGOS PRINCIPALES

• COSCO SHIPPING Ports obtuvo en 2017 el control exclusivo de Noatum Port Holdings mediante la adquisición del 51 % de su capital, operación autorizada por la CNMC.
• La huella española de COSCO conecta infraestructura marítima y ferroviaria: el grupo declara participaciones en CSP Iberian Valencia Terminal, CSP Iberian Bilbao Terminal, CSP Iberian Rail Services, CSP Iberian Zaragoza Rail Terminal y CSP Logitren.
• CSP Iberian Valencia Terminal ocupa aproximadamente 1,31 millones de metros cuadrados en una concesión con vigencia hasta 2041 y opera sistemas automatizados de acceso y OCR conectados con flujos de información logística.
• En Bilbao, la infraestructura operativa de la terminal incorpora vigilancia perimetral, cámaras con inteligencia artificial, OCR, automatización ferroviaria y procesos EDI.
• El proyecto europeo TRANSCEND identifica expresamente sensores, bases de datos, sistemas IT/OT, intercambio de información, monitorización, notificación de incidentes y acceso físico como superficies que deben protegerse en el corredor Valencia-Zaragoza.
• La posición de COSCO en España no equivale a soberanía china sobre los puertos: el Estado conserva las competencias soberanas mientras el operador privado gestiona determinadas capas operativas, tecnológicas y logísticas.

Por Neil Fernandez · 2 de septiembre de 2026

La puerta no se abrió con una operación clandestina. Se abrió con un expediente de competencia.

El 30 de agosto de 2017, la Comisión Nacional de los Mercados y la Competencia autorizó a COSCO SHIPPING Ports (Spain) Limited a tomar el control exclusivo de Noatum Port Holdings mediante la adquisición del 51% de su capital. La resolución era pública, formal y perfectamente legal. Vista en aquel momento, podía leerse como una operación empresarial más dentro de la consolidación mundial del transporte marítimo. Vista nueve años después, muestra algo más: el momento en que uno de los mayores grupos portuarios del mundo, integrado en una estructura empresarial estatal china, adquirió una posición operativa permanente dentro de la infraestructura logística española.

No significa que China administre los puertos de España. No lo hace. Las autoridades portuarias, Aduanas, Interior y el marco español de protección marítima conservan las competencias soberanas. Tampoco existe evidencia pública de que COSCO haya utilizado sus terminales españolas para realizar espionaje, manipular alarmas o ocultar incidentes. Precisamente por eso la cuestión interesante no es formular una acusación que los documentos no sostienen, sino entender qué posición ha construido el grupo y por qué esa posición tiene hoy una dimensión de seguridad que en 2017 era mucho menos visible.

Una compra que cambió el mapa

La operación de 2017 no fue una participación financiera pasiva. La CNMC la clasificó expresamente como una adquisición de control exclusivo sobre Noatum Port. La empresa adquirida reunía activos y participaciones en terminales españolas que terminarían integrándose en la actual estructura de COSCO SHIPPING Ports en la Península.

Las cuentas de COSCO SHIPPING Ports correspondientes a 2024 permiten reconstruir con precisión esa huella. El grupo declaraba un 51% de interés efectivo en CSP Iberian Valencia Terminal, un 39,51% en CSP Iberian Bilbao Terminal, un 51% en CSP Iberian Rail Services y un 30,60% en CSP Iberian Zaragoza Rail Terminal. A ello se añadía una participación del 26,02% en CSP Logitren. El resultado no es únicamente una presencia en dos muelles: es una cadena que conecta terminal marítima, ferrocarril e interior peninsular.

La estructura corporativa tampoco es neutral desde el punto de vista estratégico. El propio informe anual de COSCO SHIPPING Ports identifica como empresas estatales chinas a las sociedades que se sitúan por encima de la compañía en la cadena de control. Una circular bursátil posterior describe a China COSCO SHIPPING Corporation como una empresa estatal íntegramente propiedad y bajo control de la State-owned Assets Supervision and Administration Commission, la SASAC. Estado propietario no equivale automáticamente a dirección política de cada decisión local. Pero sí significa que la huella española no pertenece a un inversor privado cualquiera: forma parte de un grupo estatal con presencia global en transporte, terminales y logística.

Valencia: de la concesión al dato

En Valencia, la dimensión física es difícil de considerar marginal. El anuario estadístico de la Autoridad Portuaria sitúa la concesión de CSP Iberian Valencia Terminal en aproximadamente 1,31 millones de metros cuadrados y con vigencia hasta octubre de 2041 para la manipulación pública de contenedores y servicios logísticos complementarios. Es una instalación de largo plazo dentro de uno de los principales puertos del Mediterráneo.

Pero medir su importancia únicamente en metros cuadrados conduce a una lectura incompleta. Una terminal contemporánea es también un sistema de información. Las puertas automatizadas utilizan OCR para registrar matrículas, identificadores y datos de la carga. Esos registros se cruzan con información previamente recibida por ValenciaportPCS. Los movimientos ferroviarios, las órdenes de carga, la disponibilidad de contenedores y las operaciones de patio producen continuamente información operacional.

La propia Autoridad Portuaria de Valencia explicó en 2019 que las nuevas puertas de acceso a la terminal contaban con ocho entradas y cinco salidas equipadas con OCR, capaces de registrar automáticamente datos del camión y de la carga y contrastarlos con la información de ValenciaportPCS. La automatización mejora la eficiencia del puerto. También convierte a quien opera la instalación en un actor situado en la primera capa de observación de una parte sustancial del flujo logístico.

Eso no implica que el operador controle los sistemas de Aduanas ni que pueda modificar unilateralmente la información de la Autoridad Portuaria. El punto es otro: antes de que un contenedor se convierta en una cifra agregada, pasa por puertas, patios, grúas, terminales ferroviarias, mensajes electrónicos y decisiones operativas. Quien gestiona esas capas ve una parte del sistema desde dentro.

Bilbao: cámaras, OCR y ferrocarril

En Bilbao, la documentación pública permite bajar todavía más al nivel técnico. La Autoridad Portuaria ha descrito CSP Iberian Bilbao Terminal como parte del grupo COSCO SHIPPING Ports (Spain) y ha detallado la existencia de cámaras perimetrales de intrusión basadas en inteligencia artificial, sistemas OCR en los accesos de camiones y en la terminal ferroviaria, posicionamiento automatizado de contenedores y procesos EDI que comunican automáticamente la finalización de la carga y la composición de los trenes.

La misma fuente señala que la integración ferroviaria se conecta con procedimientos aduaneros a través de e-puertobilbao. De nuevo, la conclusión correcta no es que COSCO controle la seguridad del puerto de Bilbao. La conclusión es más precisa: un operador vinculado a un grupo estatal chino participa directamente en una capa en la que confluyen vigilancia perimetral, control de accesos, logística y generación automatizada de datos.

Ese matiz es crucial. La arquitectura de una infraestructura crítica rara vez se divide limpiamente entre un Estado que lo ve todo y una empresa privada que sólo mueve mercancía. En la práctica existen responsabilidades compartidas, sistemas interconectados y diferentes niveles de visibilidad. Esa diferencia entre autoridad soberana y conocimiento operacional es exactamente uno de los problemas que hoy estudian los programas europeos de resiliencia.

La UE ya está estudiando la superficie de exposición

El proyecto europeo TRANSCEND resulta especialmente revelador porque elimina la necesidad de especular sobre si estos sistemas generan riesgos relevantes. Su piloto español, liderado por Fundación Valenciaport, reúne entre otros a COSCO Shipping Ports (Spain), CSP Iberian Valencia Terminal, CSP Logitren y el Ministerio del Interior.

El objetivo es proteger infraestructuras críticas de transporte frente a amenazas físicas, cibernéticas e híbridas. En el corredor Valencia-Zaragoza, el proyecto analiza expresamente tipos de control, sensores, bases de datos, sistemas IT y OT, intercambio de información, notificación de incidentes, monitorización en tiempo real y acceso físico. También plantea una torre de control digital para observar el servicio multimodal completo.

Esto importa porque coloca el debate en el terreno correcto. Los riesgos asociados a una terminal no consisten únicamente en quién posee acciones. Consisten en qué sistemas opera, qué datos procesa, qué accesos administra, qué dependencias crea y qué capacidad de auditoría tiene el supervisor. TRANSCEND no acusa a COSCO de ninguna conducta hostil. Hace algo distinto y, para esta investigación, más útil: confirma institucionalmente que esas capas existen y que son una superficie de vulnerabilidad que debe ser protegida.

Quién controla qué

El marco jurídico español obliga a evitar una simplificación frecuente. Las terminales concesionadas no son enclaves soberanos dentro del puerto. El Real Decreto 1617/2007 atribuye a las autoridades portuarias funciones de control, aprobación y supervisión de las evaluaciones y planes de protección; el Ministerio del Interior interviene en la aprobación de la protección portuaria y la normativa integra las responsabilidades de usuarios y concesionarios dentro del dispositivo general.

Por tanto, hablar de ‘puertos chinos en España’ sería incorrecto. La soberanía sigue siendo española. Lo que existe es un modelo de control dividido: el Estado conserva la autoridad, mientras operadores privados gestionan sistemas, instalaciones y procesos en primera línea. Esa separación es normal en la economía portuaria moderna. También genera una pregunta de seguridad legítima: hasta qué punto el supervisor dispone de visibilidad continua, directa y verificable sobre todos los sistemas que opera el concesionario.

La respuesta no puede deducirse de un organigrama. Para conocerla harían falta arquitecturas técnicas, matrices de permisos, políticas de conservación de registros, acceso de administradores, auditorías de integridad, interfaces con los sistemas públicos y protocolos de escalado de incidentes. La ausencia pública de esos documentos no demuestra una vulnerabilidad explotada. Sí identifica dónde debe mirar una investigación seria.

De la Ruta de la Seda a la infraestructura crítica

La propia Autoridad Portuaria de Valencia ha descrito CSP Iberian Valencia Terminal como un eje estratégico de las grandes rutas marítimas y un punto clave dentro de la iniciativa One Belt, One Road con la que COSCO está alineada. La formulación es comercial, pero deja claro que Valencia no se concibe como una inversión aislada: forma parte de una red logística más amplia.

El Parlamento Europeo lleva años advirtiendo de las implicaciones de ese modelo. En su informe de 2023 sobre la influencia china en infraestructuras críticas, la Eurocámara señaló que compañías estatales chinas tenían participaciones en puertos europeos responsables de más del 10% de la capacidad de contenedores y advirtió del riesgo de espionaje cuando determinadas posiciones se encuentran cerca de bases navales o apoyan la logística de la OTAN.

La advertencia europea tampoco prueba que exista espionaje en España. Sí demuestra que el problema ha dejado de ser exclusivamente económico. Para Bruselas, una participación estatal extranjera en un nodo logístico puede generar dependencias, acceso, capacidad de observación y riesgos de seguridad aunque no exista un incidente conocido.

La acusación que cambia el contexto

El debate ha adquirido una nueva urgencia esta semana. El 1 de septiembre, Reuters publicó que funcionarios estadounidenses acusan a COSCO de colaborar con Pekín en la obtención de inteligencia marítima mediante equipos de inteligencia de señales ocultos a bordo de buques. Según la información, Washington considera que esos sistemas habrían sido utilizados para captar comunicaciones militares en zonas costeras de distintos países.

La acusación es grave y debe permanecer exactamente donde está: como una acusación de funcionarios estadounidenses recogida por Reuters. La Embajada china en Washington la negó y no existe, a partir de esa información, ningún fundamento para trasladar automáticamente ese comportamiento a las terminales de Valencia o Bilbao. Un buque, una terminal y una red ferroviaria son entornos distintos; una acusación en uno no prueba una actividad en los otros.

Sin embargo, la noticia modifica la pregunta estratégica. Cuando un grupo estatal con una huella operativa extensa en puertos europeos pasa a ser acusado por autoridades estadounidenses de colaborar en inteligencia marítima, resulta razonable examinar con mayor atención qué nivel de acceso, datos y dependencia existe en las infraestructuras donde opera. Examinar no significa acusar. Significa dejar de tratar la cuestión como una simple inversión comercial.

Lo que sabemos y lo que no

A 2 de septiembre de 2026, la evidencia permite establecer cuatro niveles diferentes.

El primero es corporativo: COSCO SHIPPING Ports obtuvo el control exclusivo de Noatum Port en 2017 y mantiene una huella relevante en Valencia, Bilbao y servicios ferroviarios interiores. El segundo es operativo: las terminales gestionan accesos, movimientos, comunicaciones y sistemas que producen información logística detallada. El tercero es de seguridad: en Bilbao existen sistemas de vigilancia perimetral y OCR operados en el ámbito de la terminal, y el proyecto TRANSCEND reconoce expresamente como superficies de riesgo los sensores, las bases de datos, los sistemas IT/OT, la notificación de incidentes y el acceso físico. El cuarto es estratégico: la Unión Europea considera que las participaciones estatales chinas en puertos pueden plantear riesgos para la seguridad y la defensa.

Lo que no está demostrado es igualmente importante. No existe evidencia pública de que COSCO haya manipulado cámaras, alarmas o registros en España. No existe prueba pública de que haya extraído ilegalmente datos de ValenciaportPCS, de Aduanas o de los sistemas del Ministerio del Interior. Tampoco existe evidencia de que las autoridades portuarias españolas hayan perdido sus competencias soberanas.

El riesgo, por tanto, no debe confundirse con el hecho consumado. Una arquitectura puede ofrecer capacidad, visibilidad o dependencia sin que esa capacidad haya sido utilizada de manera hostil. Esa diferencia no debilita la investigación; la hace defendible.

La verdadera puerta

Durante años, el debate europeo sobre China se concentró en la propiedad: qué porcentaje de un puerto, una eléctrica o una empresa estratégica había adquirido capital chino. El desarrollo tecnológico ha vuelto insuficiente esa pregunta. En una terminal moderna, la posición relevante no se mide únicamente en acciones. También se mide en flujos de datos, interfaces, accesos, sistemas de seguridad, conexiones ferroviarias y conocimiento de la cadena logística.

España conserva la soberanía sobre Valencia y Bilbao. Esa es una realidad jurídica. Pero también es una realidad que un grupo estatal chino opera desde hace años dentro de capas críticas de ambos ecosistemas portuarios y que su presencia se extiende hacia el interior mediante servicios ferroviarios. La coexistencia de ambas cosas —supervisión española y operación privada de primera línea— es precisamente lo que debe analizarse.

La puerta china no es una bandera sobre un muelle. Es una posición construida durante años dentro de la arquitectura que mueve, identifica y registra mercancías. La cuestión decisiva no es si esa puerta existe. Los documentos públicos demuestran que existe. La cuestión es cuánto ve quien está detrás de ella, qué puede hacer con esa visibilidad y qué capacidad tiene España para comprobarlo de forma independiente.