Cisma en el sector de la ciberseguridad de Cataluña: el proceso de selección empresarial, en entredicho

El Barcelona Cybersecurity Congress (BCC) de 2025 se celebró el pasado mes de mayo y volvió a reunir a importantes actores de la ciberseguridad en Cataluña. Instituciones, cuerpos policiales, empresas y expertos del ámbito se dieron cita en un evento impulsado por la Agencia de Ciberseguridad de Cataluña.

Pese a erigirse como una cita referente en el sector, el congreso y, en particular, el espacio de la Agencia, ha generado críticas por la forma en que se gestionan los procesos de selección de las empresas participantes en el espacio reducido en cuestión.

El pabellón de la Agencia, para 20 entidades

La polémica gira en torno a los criterios y métodos utilizados para escoger a las 20 compañías seleccionadas --18 empresas y 2 entidades-- que ocuparon un espacio en el pabellón dentro del congreso. Según cifras oficiales, hay unas 557 compañías identificadas en el sector. Aunque, según ha explicado la Agencia a Crónica Global, se presentaron 27 de ellas.

Albert Gabàs es el CEO de Astabis IRM, una empresa especializada en ciberseguridad e inteligencia. Ha compartido con Crónica Global su crítica al sistema, reivindicando que en recientes congresos internacionales a los que acudió, como HLS&CYBER en Israel, tuvieron una mejor organización.

Gabàs ha recalcado que no solicitó participar en el stand de la Agencia, y que sus críticas vienen por una preocupación más amplia sobre el funcionamiento de la misma Agencia.

Así funciona el proceso de selección

Fuentes de la Agencia de Ciberseguridad de Cataluña han explicado a este medio el funcionamiento del proceso de selección. Por una parte, han detallado que el procedimiento arrancó con una convocatoria abierta, publicada el 23 de enero, que se difundió a través de su web, redes sociales, boletines sectoriales y comunicaciones directas a empresas previamente interesadas. La campaña estuvo activa hasta el 14 de febrero. Es decir, tres semanas.

Para optar a uno de los espacios, las compañías debían cumplir varios requisitos: ofrecer productos o servicios vinculados a la ciberseguridad, no superar los 8 millones de euros de facturación en 2023 --según datos relativos al negocio en Cataluña--, no participar en otros estands del BCC o el IoT Solutions World Congress (IOTSWC), y completar la inscripción dentro del plazo establecido.

Los tres criterios

La selección se realiza, por otra parte, a partir de tres criterios: el grado de innovación, el potencial de internacionalización y el nivel de madurez de la solución en el mercado. La Agencia ha explicado que una comisión de valoración --formada por miembros de la unidad de Comunicació i Ecosistema y de la Direcció de Comunitat i Aliances (DCA Ciberseguretat)-- puntúa las candidaturas y elabora un ránking.

Gabàs, sin embargo, considera que estos criterios pueden resultar difíciles de ponderar de forma objetiva, especialmente si se basan en descripciones de apenas 100 palabras que requiere el formulario de inscripción. También muestra inquietud por la falta de transparencia del proceso y por la posibilidad de que propuestas con fuerte carácter innovador hayan quedado fuera.

La Agencia de Ciberseguridad de Cataluña redobla esfuerzos ante el tsunami de 'hackeos'

Criterios alternativos

Preguntado por los criterios que aplicaría, Gabàs ha alegado que deberían ser claros y objetivos: que se contemple el reconocimiento del sector, menciones en informes de analistas como Gartner o Forrester, premios obtenidos o casos de éxito. Además, cree que “un porcentaje deberían ser startups con menos de tres años de vida, y también pequeñas y medianas empresas con soluciones validadas en el mercado”.

Gabàs lamenta que, con los filtros actuales, “solo dos de las seleccionadas realmente hacen innovación en Cataluña”. Menciona como ejemplo positivo a Secrets Vault y sugiere que muchas otras empresas han quedado fuera por una “mala selección basada en criterios subjetivos”.

Como solución, propone que la selección la realice un comité de expertos y que los criterios sean puntuables, “como en una adjudicación pública, donde cada solución obtendría una nota objetiva y transparente”.

Este año, explica la Agencia, se recibieron 27 solicitudes. Ocho de las veinte empresas finalmente seleccionadas eran nuevas, mientras que doce ya habían estado presentes en la edición anterior. Cinco de las aspirantes fueron descartadas por incumplimientos: fuera de plazo, candidaturas retiradas o productos no encajados en la temática.

Repetición de empresas

Precisamente, otra de las cuestiones que ha lamentado Gabàs ha sido la presencia reiterada de algunas empresas en el pabellón, en la segunda edición en la que la Agencia ha tenido un espacio, y respecto a la anterior edición. Concretamente, el 40% de participantes en 2024 repitió en 2025.

Desde la Agencia han recordado que esta solo ha sido su segunda participación en el congreso, y admiten que este aspecto se está valorando para el futuro: "A partir del 2026 se establecerán criterios para evitar una reiteración excesiva, como ya sucede en eventos de mayor trayectoria como el Mobile World Congress o el Smart City Expo".

Imagen del Barcelona Cybersecurity Congress de 2023 CEDIDA

Límite de la facturación

Una de las condiciones establecidas por la Agencia para acceder al estand compartido era no superar los 8 millones de euros de facturación anual. Según fuentes de la organización, este límite se aplica sobre la actividad económica en Cataluña, y la información se basa en los datos proporcionados por las propias candidatas.

El criterio, sin embargo, suscita críticas en Gabàs. El CEO de Astabis IRM ha señalado, concretamente, el caso de ECIX Group. Según la información facilitada por la propia compañía, habría cerrado 2023 con una facturación global de 15 millones de euros, de los cuales 2,5 millones corresponderían a su oficina de Barcelona.

Desde la Agencia, aseguran que todas las candidaturas se revisan conforme a las bases y que, si alguna incumple los requisitos, su participación puede anularse incluso después de haber sido seleccionada.

"Ridículo

Gabàs ha cuestionado la forma de aplicar este filtro: “Los criterios no especifican que se trate solo de la facturación en Cataluña”. A su juicio, aceptar cifras "sin exigir documentación es ridículo". Gabàs recuerda que las cuentas anuales que deben presentarse al Registro Mercantil no discriminan por comunidades autónomas. Por eso, concluye: “Este criterio es un cuento”.

Gabàs critica también que se ofrezca espacio a grandes empresas en un estand subvencionado, como es el caso del espacio de la Agencia: “¿Una empresa que factura 15 millones no puede pagar un estand de 3.000 euros y necesita estar en el de la Agencia? En fin. No tiene sentido”, reprocha.

Difusión de la convocatoria

Gabàs también ha señalado una visibilidad insuficiente de la convocatoria, lamentando que haya estado abierta poco tiempo y que no se haya difundido tanto como merece. Sin embargo, desde fuentes de la Agencia aseguran que se realizó "una comunicación activa dentro de los márgenes institucionales".

La campaña, argumentan, incluyó una noticia destacada en su web, publicaciones en LinkedIn y X (antes Twitter), una sesión online con el Grupo Motor del DCA, recordatorios por correo electrónico y una newsletter sectorial. También se envió información personalizada a empresas que en el pasado habían mostrado interés en participar.

La Agencia lo tiene claro: “Tenemos interés en que nuevas empresas del sector tengan presencia en próximas ediciones”. Por eso, animan a quienes deseen estar en el pabellón en 2026 a "seguir los canales oficiales y participar en la próxima convocatoria".