MADRID, 30 de octubre de 2026. El CNI nació en 2002 y la firma israelí NSO Group en 2010. Investigaciones de 2022 sitúan la compra de Pegasus alrededor de 2015-2016; faltan documentos contractuales públicos.
¿Por qué no sabemos exactamente qué compró el CNI, si ya se conocía Pegasus?
La pregunta necesita distinguir tres niveles de conocimiento. Primero, en 2022 se publicaron investigaciones que vinculaban al Centro Nacional de Inteligencia con el uso de Pegasus, una herramienta de origen israelí desarrollada por NSO Group. Segundo, el 5 de mayo de aquel año la directora Paz Esteban mostró al Congreso documentación de 18 intervenciones de comunicaciones autorizadas judicialmente. Tercero, eso no equivale a publicar un contrato, el inventario de herramientas ni el detalle completo de cada intervención. De hecho, EL PAÍS informó tras aquella comisión de que Esteban evitó confirmar expresamente el nombre del medio técnico ante los diputados, apoyándose en la protección legal de las fuentes y medios del centro.
Así que la afirmación «nadie sabía que el CNI tenía Pegasus» es inexacta si alude al debate público posterior a 2022. En cambio, la pregunta por el coste total, la autorización de contratación, las renovaciones, las garantías técnicas y la situación actual de la licencia sí permanece sin una respuesta pública integral. Una compra histórica atribuida al centro no permite afirmar sin evidencia adicional que Pegasus esté operativo hoy, 30 de octubre de 2026.
Qué dijo Pedro Sánchez en el Congreso y qué establece la ley
La declaración decisiva consta literalmente en el Diario de Sesiones del Congreso del 26 de mayo de 2022. Sánchez señaló que el Ejecutivo define las prioridades de la seguridad nacional en la Directiva de Inteligencia, pero sostuvo que el Gobierno no conoce ni decide las operaciones individuales del servicio, que requieren los controles jurídicos que correspondan. No afirmó, por tanto, que el Estado español careciera de capacidades de espionaje; distinguió dirección política general de decisiones operativas concretas.
La Ley 11/2002, artículos 3 y 9, establece que el Gobierno aprueba anualmente los objetivos del CNI y que la dirección del organismo debe impulsar la actividad conforme a ellos. La misma norma atribuye a la dirección facultades para celebrar contratos y convenios necesarios para sus fines. La responsabilidad de aprobar prioridades y supervisar la institución no implica que el presidente deba autorizar personalmente cada interceptación. A la inversa, la autonomía del servicio en operaciones concretas no elimina los controles de gestión, presupuesto y rendición de cuentas.
El propio CNI afirma en su explicación pública de sus mecanismos de supervisión que existe control político del Gobierno por la Comisión Delegada para Asuntos de Inteligencia, control parlamentario, control económico de la Intervención General del Estado y el Tribunal de Cuentas, además de control judicial. Es una declaración institucional que permite formular preguntas precisas al Ejecutivo sobre su supervisión, aunque no prueba que Sánchez conociese un objetivo o una operación individual.
Por qué la comisión parlamentaria tampoco puede conocer todos los medios
El artículo 5 de la Ley 11/2002 clasifica como secretos las actividades, organización, medios, procedimientos y fuentes del servicio. El artículo 11.2 prevé, además, que la Comisión del Congreso que controla los gastos reservados tenga acceso a materias clasificadas con excepciones para fuentes y medios del CNI y determinada información procedente de servicios extranjeros. Por tanto, el secreto no comienza porque un presidente responda con evasivas: nace de una protección legal que restringe la difusión de capacidades y operaciones incluso en órganos parlamentarios.
Esto explica de manera comprobable por qué la prensa puede reconstruir una adquisición y publicar testimonios sobre Pegasus mientras siguen sin aparecer facturas, número de licencias o especificaciones contractuales. El régimen legal no prueba que se haya ocultado un delito, pero sí limita el grado de verificación pública de una tecnología comprada con recursos del Estado. La cuestión editorial es si existen controles suficientes para conciliar esa reserva con la rendición de cuentas, y qué datos agregados podrían divulgarse sin revelar capacidades activas.
Las 18 autorizaciones: qué confirmó el Defensor del Pueblo
El 18 de mayo de 2022, el Defensor del Pueblo publicó su examen del CNI. Ángel Gabilondo y su equipo tuvieron acceso a documentación clasificada y verificaron que, en 18 casos, las intervenciones se habían producido con autorización judicial previa. Consideraron que los autos estaban suficientemente motivados y que existían mecanismos internos para solicitar y controlar las autorizaciones. El mismo documento pidió reflexionar sobre la suficiencia de una legislación aprobada veinte años antes para tecnologías radicalmente más intrusivas.
Ese pronunciamiento es fundamental para confrontar narrativas sin deformarlas: la existencia de 18 intervenciones autorizadas no constituye prueba de espionaje ilegal en esos 18 casos. Tampoco demuestra que el CNI fuera responsable de todos los demás dispositivos que Citizen Lab identificó como infectados o intentados infectar. El informe respalda el funcionamiento del control judicial en la muestra examinada; no certifica todas las actividades históricas de cualquier operador de Pegasus.
Qué dijo Sánchez sobre Policía y Guardia Civil, y qué no dijo
Durante la sesión de control del 18 de mayo de 2022, el diputado Aitor Esteban preguntó expresamente si la Policía Nacional o la Guardia Civil disponían de Pegasus. Sánchez respondió que no, siguiendo la información comunicada por el Ministerio del Interior. Esa respuesta no puede citarse como una negación de que el CNI utilizara herramientas similares: son organismos diferentes, con competencias y adscripciones distintas. Confundirlos fabricaría una contradicción que no existe en el documento original.
Una información atribuida por EL PAÍS el 8 de mayo de 2022 a fuentes de Moncloa sostuvo que el Ejecutivo no conocía —y no deseaba conocer— las personas concretas investigadas por el CNI. Era una posición comunicada por fuentes gubernamentales, no una frase que deba presentarse como cita literal de Sánchez en aquella sesión. En la comparecencia del día 26 el presidente argumentó públicamente que la separación entre prioridades políticas y objetivos operativos servía para evitar intervenciones discrecionales del poder ejecutivo.
La compra y los distintos gobiernos: qué responsabilidad corresponde a cada etapa
La compra de Pegasus fue situada por reportajes de 2022 en torno a 2015-2016, durante el Gobierno de Mariano Rajoy. Por tanto, investigar la decisión original de adquisición exige estudiar la etapa institucional y presupuestaria de entonces. El Gobierno de Pedro Sánchez comenzó en junio de 2018 y pasó a dirigir las prioridades anuales de inteligencia desde ese momento. No es correcto atribuirle automáticamente la autorización inicial de un contrato fechado antes de su llegada al poder.
Las cuestiones sobre continuidad del servicio, posibles renovaciones, supervisión presupuestaria, asignación de objetivos y reacción ante la controversia de 2022 sí requieren revisar las actuaciones de los gobiernos sucesivos y sus responsables. Para cada decisión deben diferenciarse aprobación política, firma administrativa, autorización judicial y actuación técnica. Una cronología de compras, contratos, informes y responsabilidades resultaría más esclarecedora que imputar indiscriminadamente todas las actuaciones a un presidente.
Cuatro preguntas de rendición de cuentas que siguen abiertas
¿Qué organismo aprobó y ejecutó la compra inicial? Las atribuciones de 2015-2016 deben confrontarse con el contrato, la cadena de autorizaciones y las facultades del director del centro. ¿Qué partidas y renovaciones se pagaron después de 2018? Hace falta un informe económico agregado, no datos técnicos que identifiquen operaciones activas. ¿Qué sabía cada órgano de supervisión sobre el mantenimiento de esas capacidades? El Gobierno puede no conocer objetivos individuales y, al mismo tiempo, estar obligado a evaluar el cumplimiento de las prioridades, el coste y el control de la institución. ¿Existe hoy una licencia operativa? No se ha verificado públicamente, y la existencia histórica de Pegasus no permite responder afirmativamente.
Estas preguntas confrontan el discurso político con el diseño legal real del servicio sin atribuir una falsedad, orden de espionaje o encubrimiento que todavía no haya sido probado. La documentación diferencia lo revelado públicamente en 2022, lo acreditado por el Defensor del Pueblo y lo que permanece fuera del escrutinio público por clasificación legal o ausencia de información comprobable.
Dos fechas que desmontan la versión de los noventa
La afirmación de que el Centro Nacional de Inteligencia compró Pegasus en los años noventa no supera una comprobación cronológica básica. La historia del propio CNI fija su creación en mayo de 2002, como sucesor del Centro Superior de Información de la Defensa. NSO Group, la empresa israelí que desarrolló Pegasus, fue fundada en 2010. Por tanto, no es posible documentar en 1990-1999 una adquisición de ese producto por ese organismo. La ausencia de un contrato público no justifica corregir estas fechas hacia atrás ni convertir una hipótesis en certeza.
El CESID sí tuvo vínculos internacionales
Durante los años noventa existía el CESID, con relaciones de cooperación exterior que incluían a servicios israelíes, según el historial de la institución. También existieron acuerdos internacionales sobre protección de información clasificada y diversos medios técnicos de interceptación. Pero un programa concreto no es sinónimo de todas las tecnologías anteriores de vigilancia. La cooperación institucional de aquellos años puede investigarse sin afirmar que Pegasus se compró cuando ni el desarrollador ni el CNI existían.
2010 y 2016: el origen técnico
Citizen Lab recoge que NSO Group se fundó en 2010 y documentó en agosto de 2016 el intento de infectar el teléfono del activista Ahmed Mansoor con un enlace preparado para explotar vulnerabilidades de iOS. Los investigadores analizaron la cadena de infección y la reportaron a Apple. El producto pudo operar antes de hacerse público este caso, y existen referencias a su evolución durante los primeros años de la década. No hay respaldo técnico para situar su explotación comercial en los años noventa.
Las noticias sobre la compra española
El País informó el 20 de abril de 2022 de una adquisición por el CNI durante la primera mitad de la década de 2010, con un coste estimado en unos seis millones de euros según fuentes próximas al servicio. Heraldo publicó cuatro días después que la compra se habría cerrado en los primeros meses de 2016. No son documentos oficiales de adjudicación y sus fechas precisas deben atribuirse a los periodistas que las recabaron. Ambas reconstrucciones se sitúan, en cualquier caso, muy lejos de los noventa.
Por qué se consideró útil la herramienta
La cobertura periodística atribuyó a fuentes de inteligencia el argumento de que Pegasus permitía seguir determinados dispositivos cuando sus usuarios salían de la cobertura de las operadoras españolas, además de interceptar comunicaciones mediante servicios de mensajería. Es una explicación periodística de la finalidad alegada, no una declaración pública del contrato completo ni una autorización universal. La identificación de una infección concreta requiere un análisis forense separado; el hecho de que un servicio comprase un programa no demuestra que operara todas las infecciones detectadas.
Pegasus y el escrutinio de 2022
Las denuncias sobre presunto espionaje a dirigentes independentistas se cruzaron en 2022 con las investigaciones por infecciones detectadas en teléfonos del presidente del Gobierno y ministros. La Moncloa comunicó actuaciones judiciales relativas a estas últimas. Por su parte, fuentes próximas al CNI sostuvieron que determinadas intervenciones del centro estaban sometidas a control judicial. El medio debe separar procedimientos e imputaciones antes de atribuir responsables, objetivos o ilegalidades; no existe una única causa que explique automáticamente todos los casos.
El marco de garantías
La Ley 11/2002 regula el CNI y la Ley Orgánica 2/2002 establece el control judicial previo para actuaciones que afecten a ciertos derechos fundamentales. Un permiso concreto no equivale a facultad ilimitada de vigilancia. La información clasificada puede impedir conocer públicamente detalles de adquisición, objetivos o renovaciones. Sin embargo, el secreto no es una razón periodística para aceptar afirmaciones incompatibles con la cronología documentada.
Qué queda por acreditar
Una copia desclasificada del contrato, auditorías verificables, resoluciones judiciales o respuestas institucionales permitirían precisar fechas, costes y alcance. Hasta entonces debe identificarse qué procede de fuentes oficiales y qué de informaciones periodísticas. La conclusión es limitada y sólida: la supuesta compra por el CNI en los noventa es incorrecta; la evidencia publicada apunta a un proceso de adquisición en torno a 2015-2016.
Por qué la adquisición de Pegasus importa más que una fecha
El dato central no es una discusión semántica sobre los años noventa. España decidió incorporar una capacidad de inteligencia móvil desarrollada por una empresa israelí. El reportaje de Miguel González publicado por EL PAÍS el 20 de abril de 2022 sitúa esa adquisición en la primera mitad de la década de 2010 y recoge, de fuentes próximas al CNI, una inversión inicial de unos seis millones de euros. El calendario exacto de contratación puede investigarse, pero no debe ocultar el asunto estratégico: qué problema intentaba resolver el servicio español, por qué eligió una herramienta de origen israelí y qué controles acompañaron a su uso.
Las comunicaciones pasaron de llamadas y SMS sujetos a interceptación convencional a aplicaciones con cifrado de extremo a extremo y acceso desde múltiples países. Para un organismo encargado de recabar información de amenazas graves, el teléfono inteligente se convirtió en un nodo central de comunicaciones, archivos, contactos y desplazamientos. Poder obtener información del terminal —siempre dentro de competencias y autorizaciones aplicables— ofrecía una capacidad distinta de solicitar datos a una operadora telefónica. Esto explica el atractivo de las herramientas de acceso a dispositivos para los servicios de inteligencia. No acredita que cada finalidad invocada se tradujera en una operación lícita.
La aportación de una empresa tecnológica israelí
NSO Group surgió en el ecosistema israelí de ciberseguridad y desarrolló un producto de inteligencia de alta complejidad técnica. Su importancia es observable en la evolución de capacidades de explotación de vulnerabilidades, interacción con sistemas operativos móviles y arquitectura de comunicaciones. No es necesario recurrir a elogios sin datos: la existencia de investigaciones técnicas independientes y de adquisiciones por Estados demuestra que el producto alcanzó relevancia internacional.
La compañía ha defendido que licencia Pegasus a gobiernos para investigaciones de terrorismo y delitos graves, bajo autorizaciones de exportación israelíes. Esa es la finalidad declarada por NSO, no una certificación de que todos sus clientes respetaran esos límites. Israel sostiene que la autorización gubernamental se refiere a la exportación y no a la gestión cotidiana de las operaciones de cada cliente. Esta separación es esencial para determinar responsabilidades: fabricante, Estado exportador, Estado comprador y operador de una intervención no son sujetos jurídicos equivalentes. Sus deberes concretos deben analizarse conforme a hechos y competencias probadas.
Qué compró realmente el CNI: producto, servicio y dependencia
Los reportajes de 2022 hablaron de la compra de un sistema y de un coste inicial. Para valorar el alcance contractual hace falta preguntar si incluía terminales de operación, licencias periódicas, mantenimiento, actualizaciones y asistencia técnica. La palabra «compra» no significa necesariamente adquirir independencia tecnológica plena. Una herramienta cuyo funcionamiento depende de explotar vulnerabilidades en teléfonos modernos requiere adaptarse constantemente cuando Apple, Google u otros proveedores corrigen fallos.
En julio de 2026, Amnesty International Security Lab publicó un análisis técnico sobre la evolución de Pegasus, apoyado en material relacionado con litigios de WhatsApp y en investigación forense. Su conclusión más relevante para una revisión de contratos es que NSO proporcionaba componentes y apoyo operativo continuado para mantener la funcionalidad del sistema. Este hallazgo obliga a distinguir el pago inicial, los servicios posteriores y los mecanismos de auditoría. No demuestra por sí solo cómo se estructuró el contrato español, cuyo texto íntegro no está disponible públicamente.
El argumento de seguridad nacional y el control judicial
Una sociedad democrática puede reconocer la necesidad de capacidades de inteligencia para identificar amenazas terroristas o redes criminales sin otorgar poderes irrestrictos a la administración. El CNI actúa conforme a la Ley 11/2002 y a la Ley Orgánica 2/2002, que establece control judicial previo para determinadas actuaciones con afectación al secreto de las comunicaciones y a otros derechos protegidos.
El 5 de mayo de 2022, según la información sobre su comparecencia parlamentaria, la entonces directora Paz Esteban mostró ante la Comisión de Gastos Reservados documentación judicial sobre intervenciones a 18 personas. Es un hecho de relevancia institucional: acredita la existencia de actuaciones sometidas a autorización judicial según lo expuesto a los parlamentarios. No equivale a una autorización judicial para las más de sesenta infecciones o intentos de infección identificados por investigaciones forenses independientes, ni resuelve la legalidad individual de todas las actuaciones cuestionadas.
Diferenciar al comprador de quien atacó teléfonos del Gobierno
La investigación sobre las infecciones de los teléfonos de Pedro Sánchez y varios ministros plantea una cuestión distinta de la adquisición por el CNI. Tener licencia de Pegasus no demuestra ser autor de una intrusión específica. Para eso harían falta registros atribuibles a un operador, peritajes y pruebas que vincularan acciones con personas o entidades.
El 22 de enero de 2026, el juez José Luis Calama acordó de nuevo el sobreseimiento provisional de la causa por las infecciones de los móviles de miembros del Ejecutivo. EFE y Reuters explicaron que las peticiones españolas de cooperación judicial a Israel no habían obtenido la respuesta necesaria para identificar a los responsables. Este dato es incómodo para cualquiera que pretenda presentar la relación bilateral sin conflictos, pero omitirlo dejaría incompleta la investigación. El archivo no acredita que los ataques no ocurrieran ni señala judicialmente a su autor.
La responsabilidad de los operadores y las investigaciones independientes
Citizen Lab ha documentado infecciones y ataques vinculados a Pegasus en distintos países, y su investigación sobre Cataluña identificó indicios de numerosas infecciones o intentos de infección de dispositivos de dirigentes y miembros de la sociedad civil. En su informe CatalanGate de 2022, el laboratorio subrayó que no atribuía de manera concluyente todas esas operaciones a una entidad determinada. La importancia estratégica de una tecnología no excluye el deber de investigar posibles usos abusivos; tampoco permite atribuirlos automáticamente a Israel como Estado.
Una lectura responsable reconoce simultáneamente tres cuestiones: la relevancia del conocimiento tecnológico desarrollado en Israel, la necesidad legítima de capacidades de inteligencia sometidas a derecho y la obligación de controlar tecnologías intrusivas. Defender la validez de los hechos documentados sobre la cooperación con Israel no exige desacreditar a las víctimas de eventuales abusos ni desatender las decisiones judiciales.
Las preguntas económicas que siguen abiertas
Para la fiscalización institucional faltan todavía datos sobre el coste total de propiedad del sistema, el número de licencias, renovaciones, garantías técnicas, autorizaciones de exportación aplicables, alcance de la asistencia del proveedor y mecanismos internos de cumplimiento. Ninguno de estos elementos debe inferirse solo del importe inicial divulgado en 2022.
Si un día se desclasifican versiones auditadas de los contratos, podrían esclarecer el equilibrio entre capacidad operativa y supervisión. Hasta entonces, la conclusión verificable es que España recurrió a una tecnología israelí de inteligencia móvil de alcance internacional, cuya adquisición tiene valor para comprender la transformación de los servicios de seguridad y cuyo funcionamiento ha planteado exigencias importantes de control democrático.
Pablo Iglesias, la supervisión del CNI y la confianza de los servicios israelíes
La etapa de Pedro Sánchez presenta otra controversia institucional que debe examinarse sin confundir funciones. El 4 de febrero de 2020, el BOE nombró a Paz Esteban directora del CNI. Pablo Iglesias era vicepresidente segundo, no director del centro. El Gobierno promovió su presencia en la Comisión Delegada de Asuntos de Inteligencia y modificó su composición mediante la disposición final segunda del Real Decreto-ley 8/2020. La sentencia 110/2021 del Tribunal Constitucional declaró nula aquella modificación por no justificarse su aprobación mediante legislación extraordinaria urgente. El Tribunal censuró el instrumento jurídico empleado, no declaró que Iglesias dirigiera el servicio ni que filtrase secretos.
En una respuesta oficial del Gobierno al Congreso del 8 de junio de 2022, se indicó que durante la pertenencia de Iglesias a la comisión este órgano no se reunió, de modo que él no asistió a ninguna sesión. Esto resulta esencial cuando se discute la protección de herramientas y fuentes sensibles: su incorporación formal no demuestra que recibiera una relación de licencias de Pegasus ni instrucciones o documentos de una agencia extranjera.
La dimensión internacional también provocó noticias relevantes. Vozpópuli publicó en febrero de 2020 temores de que Israel y otros aliados restringieran información. En 2021, OKDIARIO atribuyó a fuentes anónimas del CNI una reducción del intercambio de datos con Israel, Reino Unido y Estados Unidos. Ambas informaciones deben identificarse como temor y testimonio atribuido, respectivamente, porque no aportan registros oficiales que acrediten cuántos informes dejaron de compartirse.
En sentido distinto, THE OBJECTIVE informó el 28 de mayo de 2024, citando fuentes gubernamentales, de la continuidad de la cooperación Mossad-CNI. Ello no excluye restricciones parciales anteriores, pero impide presentar como hecho comprobado una ruptura total y definitiva provocada por Iglesias. La pregunta política legítima para el Ejecutivo de Sánchez es qué análisis de confianza se realizaron sobre los socios extranjeros, qué medidas de protección se aplicaron y si existieron cambios verificables en el acceso a información sensible.
No debe confundirse tampoco la confianza entre servicios con el contrato de Pegasus. Una cosa es el suministro de una herramienta por una empresa israelí, otra el posible intercambio bilateral de inteligencia y otra el acceso interno del Gobierno a medios clasificados. La coincidencia temporal de polémicas políticas no acredita que una decisión de la comisión provocase el cese de una licencia de NSO Group, que continuara operativa en octubre de 2026 o que Israel retirara tecnología o personal de España.
Qué sabemos
- El CNI sustituyó al CESID en 2002.
- NSO Group fue fundada en 2010, de acuerdo con Citizen Lab.
- La compra española de Pegasus fue situada por medios periodísticos en torno a 2015-2016.
Qué no sabemos
- No se conoce públicamente el contrato íntegro, el coste final ni todas las renovaciones.
- No existe documentación verificable que acredite una compra de Pegasus por el CNI en los años noventa.
Documentos y fuentes originales
-
Nombramiento de Paz Esteban como directora del CNI (BOE, 2020)
-
Vozpópuli: temor por la cooperación de inteligencia, febrero 2020
-
La Moncloa: preguntas a Sánchez sobre Guardia Civil, Policía y Pegasus, 18 de mayo de 2022
-
CNI: controles políticos, parlamentarios, económicos y judiciales
-
Defensor del Pueblo: examen de 18 intervenciones, 18/05/2022
-
Investigación de EL PAÍS sobre la compra por el CNI, 20/04/2022
