La Universidad de Murcia ha concluido su participación en el proyecto europeo Cobalt, finalizado el 31 de octubre de 2026, una iniciativa de Horizonte Europa orientada a avanzar desde las auditorías puntuales de ciberseguridad hacia sistemas de evaluación y certificación continua durante todo el ciclo de vida de productos y servicios digitales. El grupo de investigación CSIT, dirigido por Antonio F. Skarmeta, ha liderado la arquitectura del proyecto y ha desarrollado un registro de confianza basado en blockchain para compartir evidencias de certificación entre empresas y entidades certificadoras.
Desarrollado durante tres años, Cobalt ha trabajado en herramientas para automatizar la gestión de evidencias de seguridad y facilitar su reutilización en distintos procesos de certificación. Entre sus resultados figuran un modelo común de certificación, el uso de gemelos digitales para la evaluación continua y un registro descentralizado para el intercambio de información entre los participantes.
Certificación continua y gemelos digitales
Cobalt aborda un problema creciente para fabricantes, operadores y proveedores de servicios digitales: la coexistencia de múltiples regulaciones y esquemas de certificación que varían por sector y país. Estos requisitos pueden solaparse, elevar los costes de cumplimiento y afectar de forma especial a las pymes, además de apoyarse en auditorías estáticas que pierden vigencia cuando el sistema evaluado cambia.
El proyecto se sitúa en el contexto del nuevo marco regulatorio europeo, incluido el Reglamento de Ciberresiliencia (CRA), que establece requisitos de ciberseguridad a lo largo del ciclo de vida de los productos con elementos digitales. Para facilitar los procesos de evaluación, Cobalt plantea un Modelo Común de Certificación y un lenguaje legible por máquinas basado en estándares ISO/IEC, del Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) y de la Agencia de la Unión Europea para la Ciberseguridad (ENISA). Este enfoque permite estructurar en un formato único la descripción del sistema y su información de seguridad, con el fin de automatizar y reutilizar datos durante la certificación.
La solución incorpora gemelos digitales de seguridad, concebidos como réplicas virtuales que supervisan el sistema real y recopilan evidencias de forma continuada. El proyecto se ha validado en dos pilotos: una aplicación de inteligencia artificial industrial desplegada en la nube, alineada con el Reglamento de Inteligencia Artificial y el Esquema Europeo de Certificación en la Nube (EUCS), y la certificación de servicios de computación cuántica, un ámbito en el que todavía no existen normativas consolidadas.
Estas pruebas han permitido evaluar los componentes desarrollados en dos entornos tecnológicos diferentes, aunque no suponen una implantación generalizada del sistema de certificación propuesto.
El papel del grupo CSIT de la Universidad de Murcia
El equipo CSIT de la Universidad de Murcia ha tenido un papel central en el consorcio al asumir el paquete de trabajo dedicado a la arquitectura de Cobalt y a la definición de sus casos de uso. Esta labor ha consistido en diseñar cómo se integran los distintos componentes aportados por los socios del proyecto.
La UMU también ha desarrollado CCM-Ledger, un registro descentralizado basado en blockchain en el que fabricantes, operadores y entidades certificadoras pueden registrar evidencias de seguridad de un producto. El sistema está diseñado para garantizar la inalterabilidad de los datos y preservar la privacidad mediante un control de acceso segmentado, de forma que cada parte consulte solo la información que le corresponde. Además, el equipo ha trabajado en la integración de este registro y del sistema de identidades con los componentes de evaluación continua desarrollados por otros socios.
Otra aportación de la Universidad de Murcia ha sido la creación del modelo común de certificación mediante la adaptación y extensión del Lenguaje Abierto de Evaluación de Controles de Seguridad (OSCAL), diseñado originalmente por el NIST, al contexto de la certificación. Este trabajo se presentó en un taller oficial del NIST y derivó en una colaboración con la Organización Europea de Ciberseguridad (ECSO), que culminó con la creación de un grupo de trabajo dedicado a OSCAL dentro de la entidad.
Formación, divulgación y consorcio europeo
Los resultados de Cobalt se han incorporado a la actividad docente de la Universidad de Murcia. La investigadora y profesora Sara N. Matheu ha introducido contenidos del proyecto en las asignaturas Seguridad software y ciclo de vida del software seguro, del Máster en Ciberseguridad, y Diseño y desarrollo de software seguro, del Máster en Ingeniería del Software. Los materiales Descriptores de ciberseguridad, SBOM laboratory y Aseguramiento del ciclo de vida del software seguro están publicados en abierto en Zenodo.
La Microcredencial universitaria en Auditorías de Seguridad en Aplicaciones Web, en la que participa como docente Álvaro Navarro, también incorpora el enfoque de las certificaciones y normas de ciberseguridad, con Cobalt como caso de referencia. La iniciativa ha tenido además actividad de divulgación fuera del ámbito académico durante la Noche de los Investigadores de 2025.
Cobalt estuvo coordinado por el Centro Nacional de Investigación Científica Demokritos, de Grecia, y contó con 14 socios de siete países: Fraunhofer, Robert Bosch, Bosch Global Software Technologies, TÜV SÜD, la Universitat Politècnica de Catalunya, el CTTC, eBOS, Red Alert Labs, ECSO, Practin, la Universidad Mediterránea Helénica, Inqbit y la Universidad de Murcia. El presupuesto total fue de casi 6 millones de euros, de los que la Unión Europea aportó cerca de 5 millones. A la Universidad de Murcia le correspondieron 385.000 euros.
El título del proyecto es ‘Certificación de ciberseguridad en las TIC de la UE mediante gemelos digitales descentralizados’ (Cobalt). La iniciativa se enmarca en la convocatoria HORIZON-CL3-2022-CS-01, tema HORIZON-CL3-2022-CS-01-04, dentro de Horizonte Europa, Clúster 3 Seguridad civil para la sociedad, como Acción de Innovación. La entidad financiadora es la Unión Europea, a través de la Comisión Europea.
La entrada El proyecto europeo Cobalt culmina con un modelo de certificación continua de ciberseguridad aparece primero en CASADOMO.