Los papeles de Ceuta: el CNI avisó el 29-J de un asalto por valla y mar; CENIF declaró el riesgo “MUY ALTO”

HALLAZGOS PRINCIPALES

• Los documentos desclasificados confirman que el 29 de julio el CNI y CENIF estaban siguiendo una movilización concreta hacia Ceuta. El CNI transmitió información sobre intentos previstos para el día siguiente por mar y por la valla, mientras CENIF llegó a calificar el riesgo de entradas a nado como “MUY ALTO”, activó una “ALERTA TEMPRANA” y describió una amenaza consolidada y prioritaria.
• La actualización TIFA-3133 de CENIF del 29-J calificó el riesgo de cruces a nado como «MUY ALTO», activó «ALERTA TEMPRANA» y describió comunicaciones orientadas a entradas masivas y a provocar el mayor colapso posible.
• Esa información oficial coincide con un corpus que FORTIS había construido antes y durante la crisis desde el interior del propio ecosistema de movilización. El equipo accedió directamente a grupos y canales utilizados por participantes de la movilización, conservó los mensajes y capturas originales, realizó su hashado y comprobación por hash-match, generó transcripciones y mantuvo una cronología de los contenidos observados.
• Antes de la desclasificación, FORTIS ya había mantenido monitorización directa del ecosistema de movilización, con acceso a grupos/canales utilizados para organizar desplazamientos, archivo de mensajes y seguimiento operativo en tiempo real. Esa colección interna permitió observar que la movilización digital no era un fenómeno retrospectivo reconstruido después del 30-J.
• El ledger interno consolidó una movilización digital distribuida previa al 30-J a través de Facebook y WhatsApp. El universo reconstruido incluía múltiples grupos y enlaces de cruce; no se estableció un patrocinador único ni una cadena estatal de dirección.
• La investigación no fue una reconstrucción retrospectiva. FORTIS estuvo siguiendo esos espacios mientras la movilización se estaba produciendo, trasladando y analizando información en tiempo real. Esa colección contemporánea permite fijar qué mensajes estaban circulando, en qué momento, dentro de qué entorno de movilización y cómo evolucionaron las convocatorias antes, durante y después del 30-J.
• La publicación posterior de documentación de CNI, CENIF, Guardia Civil y CIFAS permite ahora cruzar dos relojes independientes: lo que FORTIS estaba observando desde dentro de los grupos y lo que los organismos del Estado estaban detectando por sus propios canales. La coincidencia temporal y temática entre ambas capas aumenta sustancialmente la solidez de la reconstrucción.
• El corpus FORTIS utilizado en esta investigación conserva los artefactos originales, hashes, correspondencias hash-match, capturas efectuadas desde los grupos, transcripciones y registros temporales. Por ello, ese material debe clasificarse como evidencia primaria de primera mano de FORTIS, no como mera OSINT externa ni como una colección secundaria de capturas.

La discusión política sobre Ceuta acaba de cambiar de naturaleza. Hasta hoy, Gobierno, oposición y autoridades de la ciudad discutían sobre recuerdos, declaraciones y fragmentos de informes. Desde este 9 de septiembre existe un corpus oficial que permite someter la controversia a una prueba mucho más incómoda: la cronología documental.

La Moncloa ha publicado 40 documentos y comunicaciones elaborados entre el 1 y el 31 de julio por Policía Nacional, Guardia Civil, Centro Nacional de Inteligencia y Centro de Inteligencia de las Fuerzas Armadas. Treinta y seis son informes o alertas; cuatro son transcripciones de mensajería del CNI. El valor del repositorio no está sólo en lo que cada organismo escribió, sino en que incorpora fecha, hora, canal y destinatario. Por primera vez puede reconstruirse qué señal existía, quién la recibió y cuándo.

El primer resultado de esa auditoría obliga a corregir una parte del relato público: antes del 30-J no existieron únicamente oscilaciones estadísticas o avisos abstractos sobre presión migratoria. El 29 de julio circularon comunicaciones que identificaban el día siguiente, la combinación de mar y valla y una capacidad de difusión de gran tamaño en redes sociales. Paralelamente, el Centro Nacional de Inmigración y Fronteras de la Policía había elevado el riesgo de los cruces a nado a su nivel más severo dentro de la nota analizada.

Pero los papeles también imponen un límite a la conclusión contraria. Ningún documento previo localizado en el repositorio anticipa la dimensión final de una entrada de más de 70.000 personas. El hecho de que hubiera avisos específicos no equivale a demostrar que el Ejecutivo conociera de antemano la escala que terminó produciéndose. Esa diferencia es el centro de esta historia.

27-J: el CNI ya hablaba de una presión creciente

La cronología relevante no comienza el 29 de julio. Dos días antes, el CNI distribuyó la nota C/10266/27.07.2026 a autoridades pertinentes del Gobierno de la Nación y la compartió con autoridades locales de Ceuta. El documento advertía de un incremento de la presión sobre Ceuta y Melilla y señalaba que la reciente doctrina del Tribunal Supremo sobre las entradas a nado podía tener un impacto operativo relevante.

Ese mismo 27-J, una conversación de mensajería publicada por Moncloa muestra que el Gabinete de la Delegación del Gobierno en Ceuta comunicó al CNI que llevaba reunido desde las 09:30 con Ciudad, Policía Nacional y Guardia Civil por el problema de los nadadores. La existencia de coordinación previa, por tanto, ya no depende únicamente del testimonio político de las partes: aparece en la documentación oficial.

Esto no convierte todavía el 27-J en una alerta de avalancha. La nota del CNI describe tendencia, presión y un posible efecto jurídico sobre el patrón de entradas. Es un aviso estratégico, no una previsión cuantitativa del 30-J.

29-J, 13:52: “por valla y mar mañana”

El salto cualitativo aparece el 29 de julio. A las 13:52, el CNI escribió al Gabinete de la Delegación del Gobierno en Ceuta para advertir de un llamamiento en redes para un intento por mar y por valla al día siguiente, coincidiendo con la Fiesta del Trono. La comunicación añadía que los dos grupos observados reunían 180.000 seguidores y que ese dato servía para dimensionar el alcance potencial de la difusión.

Un minuto después, a las 13:53, el CNI intentó contactar con UCE-3 de la Guardia Civil. La transcripción oficial señala que el servicio disponía de información sobre entradas a nado y salto a la valla para el día siguiente y sobre varios grupos de Facebook y WhatsApp que las incentivaban. El primer intento de llamada no obtuvo respuesta. A las 14:41 consta una llamada de siete minutos y treinta y ocho segundos.

Aquí hay un hecho documental nuevo y relevante: la advertencia no era únicamente ‘suben los cruces’. Incorporaba una fecha —el día siguiente— y dos modalidades concretas —mar y valla—. Lo que la transcripción no explica es qué decisión operativa generó esa llamada. Ese tramo sigue siendo la pieza que debe reconstruirse con partes de servicio, órdenes de refuerzo y registros de mando.

CENIF: entradas masivas, “RIESGO MUY ALTO” y “ALERTA TEMPRANA”

En paralelo, la Policía Nacional había abierto su propio análisis. La actualización de la nota interna TIFA-3133, fechada el 29 de julio, partía de una alerta anterior derivada de la sentencia 814/2026 del Tribunal Supremo y estudiaba el riesgo de un salto masivo o de cruces a nado durante los últimos días del mes.

El documento contiene una tensión interna que resulta informativamente importante. Por un lado, señala que en fuentes abiertas la tendencia general todavía era incipiente y que no existían indicadores concluyentes de un salto terrestre articulado de forma aislada. Por otro, afirma que se habían detectado comunicaciones internas en grupos de migrantes para organizar entradas masivas utilizando modalidades terrestres y marítimas con el objetivo de provocar el mayor colapso posible.

La valoración final es todavía más precisa. Para los cruces a nado, CENIF fija “RIESGO MUY ALTO”. Para los indicadores observados en fuentes abiertas, activa “ALERTA TEMPRANA”. Y al analizar la presión acumulada del mes, considera que la amenaza ya era consolidada y prioritaria. A la vez, mantiene una reserva: no prueba una relación causal entre el incremento y la sentencia del Supremo, y para la vía terrestre aislada seguía sin encontrar indicios concluyentes.

Ese matiz es fundamental para no deformar la nota. CENIF no escribió que fuera seguro un asalto terrestre de decenas de miles de personas. Sí escribió, antes del 30-J, que el riesgo marítimo era muy alto, que existían indicadores de coordinación y que no podían descartarse acciones combinadas por mar y tierra.

Una alerta interna no equivale a que Moncloa la recibiera

El segundo gran límite probatorio está en la distribución. El índice publicado por Moncloa identifica la actualización TIFA-3133 del 29-J como una comunicación interna cuyo destinatario era el propio CENIF. Por tanto, no es correcto escribir que Pedro Sánchez, el Ministerio del Interior o Presidencia recibieron esa nota concreta antes del 30-J salvo que aparezca un registro de remisión adicional.

El repositorio sí acredita otros canales. La nota del CNI del 27-J fue dirigida a autoridades pertinentes del Gobierno de la Nación y compartida con Ceuta. Las comunicaciones del 29-J llegaron a Delegación del Gobierno y a UCE-3 de Guardia Civil. Y a las 21:09 del mismo día aparece una nota TIFA-3136 del CENIF dirigida a los puestos fronterizos de Ceuta y Melilla.

La pregunta ya no es, por tanto, si había información. La pregunta correcta es qué parte de esa información ascendió por cada cadena de mando, a qué nivel y con qué consecuencias.

El CNI también avisó a DGST y DGED en Marruecos

A las 18:26 del 29 de julio, el CNI emitió además la nota urgente C/10399/29.07.2026 dirigida a los servicios de inteligencia marroquíes DGST y DGED. El repositorio oficial la sitúa expresamente entre los informes anteriores al inicio de la entrada.

La existencia de esa comunicación es importante por dos razones. Primero, demuestra que la preocupación se consideró suficientemente seria como para ser trasladada al otro lado de la frontera antes del 30-J. Segundo, introduce una pregunta verificable sobre la respuesta marroquí: qué medidas adoptaron esos servicios y qué información devolvieron, si la hubo.

Pero también funciona como control negativo. Avisar a DGST y DGED no demuestra que el Estado marroquí organizara la entrada ni que la impidiera. La documentación publicada permite probar el aviso; la autoría y la cadena de mando del 30-J siguen siendo una cuestión distinta.

Lo que dijo Sánchez y lo que los documentos obligan a matizar

El 3 de septiembre, Pedro Sánchez sostuvo en el Congreso que ninguno de los informes iba más allá de datos o de un aviso rutinario y que ninguno había previsto ni la escala ni la probabilidad de lo que finalmente ocurrió. Hoy, después de leer el corpus, ha mantenido que se detectó un incremento previo de llegadas a nado pero que nadie estaba hablando de 70.000 personas.

La segunda parte de esa defensa conserva un respaldo documental importante: El Estándar no ha localizado en los informes anteriores al inicio una cifra ni una estimación remotamente equivalente a la magnitud final. No aparece una predicción de 70.000 entradas ni una estimación pre-evento semejante.

La primera parte, en cambio, necesita matiz. Es difícil encajar sin más dentro de la categoría de ‘aviso rutinario’ una comunicación del CNI que fija el día siguiente y señala mar y valla, o una nota de CENIF que eleva a muy alto el riesgo de la principal modalidad de entrada y activa alerta temprana. Eso no prueba que el Gobierno central conociera el desenlace; sí demuestra que la información disponible era más específica que una mera oscilación estadística.

Sobre la probabilidad también hace falta precisión. La expresión ‘RIESGO MUY ALTO’ del CENIF se refiere a los cruces a nado, no a la probabilidad de que más de 70.000 personas atravesaran la frontera. Confundir ambos niveles produciría exactamente el mismo error que minimizar el aviso: mezclar amenaza sectorial con predicción de escala total.

El informe militar de “MUY PROBABLE” llegó cuando la crisis ya había empezado

El repositorio contiene además un SIGINTREP de la REW-32 que califica como muy probable una entrada masiva. Es uno de los documentos más contundentes del corpus, pero su hora impide utilizarlo como prueba de anticipación previa: fue transmitido al CIFAS el 30 de julio a las 12:06, dentro del bloque que la propia Moncloa clasifica como informes emitidos a partir del inicio de la entrada.

La misma regla debe aplicarse al INTREP de CIFAS de las 13:00 y a los sucesivos partes de Guardia Civil y Policía. Son fundamentales para reconstruir la velocidad de reacción una vez iniciada la crisis, pero no pueden retrotraerse artificialmente al día anterior.

La auditoría documental debe separar siempre cuatro niveles: señales anteriores, alerta operativa previa, inteligencia generada con el evento ya en marcha y respuesta posterior. Sin esa separación, cualquier conclusión política puede fabricarse seleccionando la hora que más convenga.

La siguiente pregunta: qué decisión produjo cada aviso

Los 40 documentos resuelven una parte de la investigación y abren otra más precisa. Ya sabemos que hubo avisos específicos. Sabemos que algunos llegaron a Delegación del Gobierno y Guardia Civil. Sabemos que CENIF había elevado el riesgo marítimo. Sabemos que el CNI avisó también a los servicios marroquíes.

Lo que falta es convertir la secuencia de inteligencia en una secuencia de decisión. Entre las 13:52 del 29-J y el inicio de la entrada masiva deben localizarse órdenes, prealertas, refuerzos, cambios de turno, comunicaciones a Madrid, solicitudes de medios y respuestas. El informe de Guardia Civil sobre los refuerzos ya permite seguir decisiones adoptadas el 30-J, pero la franja crítica continúa siendo la víspera.

La fórmula de cierre es simple: DOCUMENTO → RECEPTOR → ALERTA → DECISIÓN → TIEMPO. Sólo cuando esa cadena esté completa podrá hablarse con rigor de anticipación suficiente, infravaloración, fallo de escalado o respuesta proporcionada.

Lo que ya no puede sostenerse, a la vista del repositorio publicado por el propio Gobierno, es que antes del 30-J sólo hubiera ruido. Hubo señales. Algunas fueron concretas. El debate serio empieza ahora: determinar qué hizo el Estado con ellas.