Setenta y dos horas: sobre el miedo administrado, el enemigo atribuido y una posible custodia
Por Juan Pablo Torres Muñiz
Una fotografía aérea fue suficiente…
El 10 de noviembre de 2026, The New York Times y Reuters informaron, citando fuentes al tanto, que el secretario del Tesoro de Estados Unidos, Scott Bessent, había dejado su casa en el área de Washington para instalarse en una base militar no revelada, a raíz de amenazas iraníes contra su vida; la gravedad de esas amenazas, precisaron las mismas fuentes, no estaba clara (Al Jazeera, 2026; CBS News, 2026). No hubo atentado. Sólo una imagen: The Wall Street Journal había publicado una vista aérea de la mansión de Georgetown que el secretario compró por 12,5 millones de dólares, y la fotografía permitió geolocalizarla (Al Jazeera, 2026). El Tesoro respondió que Bessent «no será disuadido por las amenazas del régimen iraní» y que mantiene la Operación Economic Outcast y el bloqueo que, juntos, «están colapsando la economía de Irán». Una fuente añadió que la prensa tiene la obligación de actuar con responsabilidad. Es decir: lo que precipitó la mudanza no fue un ataque, sino una publicación, y la respuesta a ésta fue una mudanza y un pedido de reserva. En esa secuencia —imagen, temor, custodia— está, en miniatura, el problema que aquí examinaremos.
La conjetura que se motiva es incómoda: que las campañas europeas de preparación para emergencias —apagones, cortes de internet, guerra—, la atribución sistemática de los ataques a China, Corea del Norte e Irán contra el mundo anglosajón y de cualquier desperfecto europeo a Rusia, el euro digital, las normas de vigilancia y censura digital y el racionamiento que se anticipa, así como la alarma estadounidense, formarían parte de una misma operación destinada a disponer a la población a aceptar el control, en el marco de una guerra, previsiblemente contra Rusia e Irán.
Nuestra respuesta: que la conjetura resulta falsa en su forma y certera en su objeto: no hay evidencia clara de una campaña dirigida con ese fin, pero sí un régimen de administración del miedo que produce, sin autor especificado, buena parte de los efectos que produciría un plan. Y exige una corrección que la vuelve más grave: la guerra que ya ordena el racionamiento no es la que la conjetura imagina, y el instrumento de control más invasivo que la Unión Europea ha puesto en vigor este año no nació de una emergencia, sino de un quórum.
Fijemos el criterio antes de los hechos. Una afirmación de intención requiere documentos, coordinación y calendario; la coincidencia de efectos no la prueba. Popper (1945) llamó teoría conspirativa de la sociedad a la que explica los males por designios ocultos, y Sunstein y Vermeule (2009) mostraron que esa explicación se vuelve casi irrefutable porque absorbe su propia falta de pruebas como prueba de encubrimiento. No es nuestro camino. Distinguiremos, como solemos aquí, entre constatación, inferencia y conjetura, y marcaremos cada una. El adversario de esta tesis no es la ingenuidad, sino la comodidad de un culpable: si alguien lo dirige, basta desenmascararlo; si nadie lo dirige, hay que custodiar. Lo segundo es, en realidad, más trabajo y menos consuelo.
De modo que seamos claros: la doctrina de preparación no fabrica el riesgo, pero redistribuye su custodia. La evidencia es abundante y pública. El informe del expresidente finlandés Sauli Niinistö (2024) presentó unas ochenta recomendaciones y llegó a proponer que al menos el 20 % del presupuesto de la Unión se destinara a seguridad y preparación. La Estrategia de Unión Preparada (Comisión Europea, 2025a) fijó como objetivo una autosuficiencia poblacional de «mínimo 72 horas», la inclusión de la preparación en los currículos escolares y un enfoque «de toda la sociedad». El 3 de noviembre de 2026, la comisaria Hadja Lahbib presentó las directrices de preparación de la población: autosuficiencia de 72 horas con bolsa de emergencia, preparación educativa desde la primera infancia «sin crear miedo ni ansiedad», inclusión de las personas con discapacidad y comunicación de riesgos; anunció además un Día Europeo de la Preparación cada 23 de octubre, desde 2027, y una recomendación de continuidad operativa y pruebas de esfuerzo para los puntos nacionales de contacto de protección civil (Comisión Europea, 2026a). Francia publicó el 20 de noviembre de 2025 la guía «Tous responsables», del Secretariado General de Defensa y Seguridad Nacional, tras la actualización de la Revue nationale stratégique y el discurso presidencial del 13 de julio, y celebra desde hace cinco ediciones una Jornada Nacional de la Resiliencia (Ministerio del Interior, 2025). Suecia reparte la quinta versión de su folleto «En caso de crisis o guerra» —las anteriores son de 1943, 1952, 1961 y 2018— y su Parlamento pide algo más que la Unión: que cada hogar pueda cubrir sus necesidades básicas «al menos una semana sin apoyo de la sociedad», porque los recursos públicos «no alcanzan para todos al mismo tiempo, sino que deben ir a quienes más los necesitan» (Agencia Sueca de Defensa Civil y Resiliencia, 2026).
Lo decisivo aquí es el estatuto jurídico y el registro operatorio del material. Casi todo son recomendaciones no vinculantes: no hay obligación, no hay sanción, no hay presupuesto comparable al de un programa de defensa. Lo que se modifica no es la ley, sino el hábito. El Estado, en lugar de legislar el miedo, lo que no puede, administra un ámbito que la ley no alcanza: allí en la cocina, en la mochila, en el calendario escolar. Y esta operación tiene una forma precisa: la persona es incorporada como prótesis de la institución, que extiende en los hogares la porción de sí misma que no puede financiar. Setenta y dos horas no es una cifra técnica: es el tiempo que la institución calcula que tardará en volver a ocuparse de usted. Suecia lo declara sin eufemismos.
De esta forma se redefine el contrato social en el registro del afecto y la costumbre, no en el del derecho, y por eso mismo sin debate parlamentario. Un panel de ciento cincuenta ciudadanos europeos, reunido entre marzo y mayo de 2026, pidió una semana anual de preparación (Comisión Europea, 2026a): la demanda no es solo descendente.
El miedo tiene un referente real. Desde el 28 de febrero de 2026 existe una guerra entre Estados Unidos e Israel, por un lado, e Irán por otro, con ataques coordinados que incluyeron la muerte del líder supremo Alí Jamenei y operaciones cibernéticas y electrónicas previas a los bombardeos; el conflicto cerró el estrecho de Ormuz, derivó en un bloqueo naval estadounidense de los puertos iraníes anunciado en abril y, desde agosto, en la campaña de asfixia económica que dirige precisamente Bessent (Cyberwarfare during the 2026 Iran war, 2026; Al Jazeera, 2026). El 10 de noviembre, el secretario de Estado Marco Rubio declaró que no veía necesidad de reanudar las operaciones de combate a gran escala porque las sanciones estaban funcionando (CBS News, 2026). La consecuencia europea de esa guerra no es una trinchera, ni mucho menos, sino un surtidor. La Agencia Internacional de la Energía (AIE) coordinó la mayor liberación de reservas de emergencia de su historia y registra, en su seguimiento de respuestas a la crisis de 2026, sesenta y un países o regiones con medidas de demanda, veintiocho con restricciones al transporte —incluido racionamiento de combustible— y dieciocho con teletrabajo promovido o impuesto (AIE, 2026). Eslovenia fue el primer país de la Unión en racionar: limitó la compra a cincuenta litros diarios por particular en marzo, para frenar el arbitraje de conductores de países vecinos, y retiró la medida ese mismo mes; Eslovaquia mantiene topes de compra; Sri Lanka raciona gasolina y diésel mediante un sistema nacional de códigos QR para coches y motos; Myanmar fija cuotas por cilindrada; Nepal llenó a medias los cilindros de gas; Filipinas declaró emergencia energética el 24 de marzo; Japón liberó ochenta millones de barriles el 16 de marzo (AIE, 2026; 2026 Iran war fuel crisis, 2026). El precio del gas se ha duplicado en 2026, en un choque comparable al del corte ruso (Bloomberg, 2026).
Tres consecuencias se siguen. Primera: el racionamiento como instrumento de disciplinamiento ya se dio, y su causa fue, por lo que se ve, la escasez física y el precio; no precisamente un plan de domesticación —aunque ésta puede ser una implicación, tan aprovechable como las que se dieron con el aislamiento social adoptado ante la pandemia de COVID-19—. Segunda: su política fue, en abrumadora mayoría, amortiguadora —rebajas de impuestos, topes de precio, subsidios, vales—; el mismo seguimiento de la AIE (2026) registra a Perú, por ejemplo, con un subsidio al diésel para el transporte de carga y de pasajeros, y a España, Argentina, Chile, Portugal y Uruguay con medidas análogas. La guerra está ya en el surtidor iberoamericano. Tercera: el miedo europeo precede y excede a estas campañas. El Eurobarómetro del Parlamento Europeo publicado en febrero de 2026 registró un 72 % de europeos «muy preocupados» por los conflictos activos cerca de la Unión, y el Eurobarómetro estándar de primavera de 2026 un 76 % que considera la invasión rusa de Ucrania una amenaza para la seguridad de la Unión (Parlamento Europeo, 2026; Comisión Europea, 2026b). Rusia constituye, en efecto, un frente distinto y documentado: Alemania reforzó la seguridad de sus bases el 1 de noviembre por amenazas de sabotaje (Stars and Stripes, 2026), y su ministro de Defensa ha situado la posible capacidad rusa de atacar a la OTAN en el horizonte 2028-2029 (Kyiv Post, 2025). Pero un horizonte es una estimación, nada más. Cuando el temor ya está en el mercado, no hace falta fabricarlo; lo que se administra es su dirección. (Otra historia es si se fomentó previamente dicho temor…)
En todo caso, la atribución de los ataques es un acto político con calendario propio. Reconstruyamos el caso que conocemos mejor. La noche del 11 de octubre de 2026, un atacante tomó el gobierno de los controladores de refrigeración de hasta setecientos emplazamientos comerciales franceses y los forzó a ciclos continuos de desescarche; en algunas tiendas los frigoríficos alcanzaron 50 °C, hubo equipos fundidos, incendios y toneladas de alimento destruido (Poireault, 2026; Kipling y Tidy, 2026). Los aparatos eran controladores AK-SM800 y AK-SC355 de la firma danesa Danfoss, fuera de soporte desde 2021 y 2016, respectivamente, con un servidor web expuesto a internet y un acceso cuyo usuario era «admin» y cuya contraseña podía eludirse introduciendo la fecha del día: fallas que Danfoss comunicó en marzo de 2025, con parche en agosto de ese año para la serie aún soportada, y que Claroty detalló públicamente en agosto de 2026 (European cold chain hacks, 2026; Jones, 2026). El 2 de noviembre una segunda oleada alcanzó a Bélgica, Luxemburgo, Países Bajos, Suecia, Estonia, Irlanda, Portugal y Alemania, y tres centros del Establecimiento Francés de Sangre, donde se intentó llevar las cámaras a 110 °C; el sistema de monitoreo alertó, el personal recuperó el control y no se perdió producto (Jones, 2026).
El 9 de noviembre, veintinueve días después, el gobierno francés atribuyó la campaña a la Guardia Revolucionaria iraní; el CERT-FR publicó un aviso técnico que vincula al grupo Shahid Kaveh con direcciones IP de extremos iraníes, palabras en farsi en los rastros y técnicas coincidentes con campañas previas; la fiscal de París, Laure Beccuau, abrió investigación contra el jefe de esa unidad y sus dos adjuntos; se convocó al embajador iraní y se anunciaron sanciones europeas (Poireault, 2026). Francia rara vez atribuye, y esta vez habló del «primer gran ciberataque de sabotaje» en su territorio. Al día siguiente, Irán calificó la acusación de «infundada y hostil» (Kipling y Tidy, 2026). Dos detalles importan más que la acusación. Primero, que la atribución excluye expresamente el ataque a las cámaras de sangre, es decir, la institución gradúa internamente su confianza mientras el comunicado político produce un enemigo único. Segundo, que dos grupos hacktivistas alineados con Rusia reivindicaron los ataques y casi nadie les creyó (Kipling y Tidy, 2026). La reivindicación no es prueba; la lengua y la dirección IP tampoco, en un teatro de guerra donde ambos son baratos de falsificar. Nada de esto demuestra que la atribución sea falsa: demuestra que es una decisión bajo incertidumbre, exactamente lo que Rid y Buchanan (2015) describieron como proceso con grados de confianza y componente político, y no un acto binario.
El contraste es lo que vuelve visible el mecanismo. En julio de 2026, mientras los servicios de inteligencia apuntaban a Irán por la intrusión en unas treinta y seis redes municipales de agua de Minnesota, el presidente estadounidense rechazó públicamente esa responsabilidad y atribuyó el problema a la incompetencia del estado (Pequeño, 2026). En diciembre de 2025, Dinamarca atribuyó a los grupos prorrusos Z-Pentest y NoName057(16) el ataque de 2024 a una planta de agua cerca de Køge y las denegaciones de servicio previas a las elecciones locales; el embajador ruso respondió que no se había aportado prueba alguna (The Record, 2025). Y el gran apagón ibérico del 28 de abril de 2025, cuya sombra sirvió para invocar el ciberataque, fue oficialmente atribuido a una cascada de sobretensiones. La regla que emerge no es «mienten sobre Rusia», sino algo más fino y más útil: la atribución se expande cuando autoriza sanciones y se contrae cuando obligaría a la guerra. Francia necesitaba un autor para sancionar; Washington necesitaba no tenerlo para seguir estrangulando económicamente sin reanudar los bombardeos. La disuasión por castigo presupone un culpable (Nye, 2017), y esa necesidad estructural —no una conspiración— es la que produce el mercado de enemigos: cada instrumento selecciona su autor. Quien quiera resistirse a ese mercado no debe preguntar quién lo dice, sino qué se puede verificar, con qué grado de confianza y qué decisión se toma con ello.
Ahora bien, las normas más invasivas no llegan precisamente por la puerta de la emergencia. Se trata más bien de la vía del procedimiento. Veamos: El Reglamento (UE) 2021/1232 permitía a los proveedores rastrear voluntariamente comunicaciones privadas no cifradas de extremo a extremo para detectar abuso sexual infantil. El Parlamento Europeo rechazó su prórroga el 26 de marzo de 2026 por 311 votos contra 228 y 92 abstenciones, y el régimen expiró el 3 de abril. Como una norma caducada no puede prorrogarse, el Consejo propuso una ley formalmente nueva de contenido idéntico, la adoptó el 2 de julio, el Parlamento aprobó el procedimiento de urgencia el 7 de julio por 331 contra 303 y, el 9 de julio, los 314 votos que querían rechazarla no alcanzaron la mayoría absoluta de 361 exigida; el Consejo la adoptó el 22 de julio, se firmó el 24 y se publicó el 28 como Reglamento (UE) 2026/1881, aplicable hasta el 3 de abril de 2028 (Parlamento Europeo y Consejo, 2026; Fight Chat Control, 2026). Una mayoría de los diputados que votaron quería detenerla y no pudo: la aritmética del umbral decidió lo que la mayoría no logró.
¿Qué hay del contenido mismo de la norma? Excluye expresamente las comunicaciones cifradas de extremo a extremo y las de audio. Su considerando octavo reconoce que estas actividades voluntarias constituyen una injerencia en los derechos fundamentales de todos los usuarios y que el monitoreo general e indiscriminado lesiona la confidencialidad. Exige evaluación de impacto y consulta previa a la autoridad de control, confirmación humana antes de denunciar material no identificado previamente, supresión de datos en un plazo máximo de doce meses, informes públicos anuales con las tasas de falsos positivos desde febrero de 2027, directrices del Comité Europeo de Protección de Datos y recurso judicial efectivo; y declara que nada en él debilita el cifrado ni afecta al secreto profesional de abogados, médicos y periodistas (Parlamento Europeo y Consejo, 2026). El propio servicio jurídico del Consejo había advertido, en junio de 2026, que el rastreo «voluntario» generalizado sigue siendo incompatible con el artículo 7 de la Carta sin sospecha razonable ni autorización judicial previa, y el reglamento permanente sigue sin acuerdo tras cinco trílogos fallidos y una sexta ronda convocada para fines de septiembre bajo presidencia irlandesa (Fight Chat Control, 2026). Es decir: la institución de segundo orden no está muerta; funciona, pero con una asimetría de velocidad que la vuelve inoperante en el momento decisivo.
Lo mismo ocurre con el resto del paquete. El Escudo Democrático Europeo, presentado el 12 de noviembre de 2025, propone unos cincuenta puntos de acción mayoritariamente no vinculantes, y su pieza central —el Centro Europeo para la Resiliencia Democrática— quedó bajo gestión de la Comisión, cuando el Parlamento pedía una agencia independiente; incluye una red europea de verificadores con cinco millones de euros y un protocolo de incidentes y crisis bajo el Reglamento de Servicios Digitales (Comisión Europea, 2025b). El análisis del Jacques Delors Centre es demoledor: la Comisión atribuye a la desinformación extranjera un peso desproporcionado respecto de su impacto real, las advertencias repetidas aumentan la desconfianza general hacia todos los medios —también los fiables—, la primera multa del Reglamento de Servicios Digitales, a X, llegó el 5 de diciembre tras dos años de investigación y retrasos por razones políticas, y el Ómnibus Digital propuesto días después del Escudo arriesga derechos fundamentales en favor de intereses comerciales extranjeros (Quaritsch, 2025). A ello se añade la cartera europea de identidad digital, cuyo plazo de despliegue vence a fines de 2026 (Comisión Europea, 2026c), y una aplicación de verificación de edad que, según EDRi (2026), no resuelve el vínculo entre la actividad restringida por edad y la identidad real. La conclusión es institucional, no conspirativa… Cuando la legalidad se conserva por aritmética, lo que se pierde es la legitimidad, que era el tercer plano del Derecho y el único que no se vota (Weber, 1984).
El euro digital no es en sí mismo un instrumento de racionamiento; aquí, lo inquietante es otro asunto. Para entenderlo, vamos primero con los hechos: El Banco Central Europeo (2026) sostiene que el euro digital complementaría el efectivo y no lo sustituiría, que tendría curso legal y uso básico gratuito, que no devengaría intereses, que estaría sujeto a límites de tenencia, que el Eurosistema solo trataría datos seudonimizados y no podría identificar a los usuarios —la verificación de identidad y los controles antiblanqueo quedarían en los proveedores de pago—, que la liquidación sería centralizada y no sobre registros distribuidos, que el ejercicio piloto comenzará en el segundo semestre de 2027 con treinta y seis proveedores y que la primera emisión posible sería en 2029, siempre que el reglamento se adopte antes de que termine 2026; el Consejo adoptó su posición el 19 de diciembre de 2025 y el Parlamento el 9 de julio de 2026, y el trílogo está en curso. Y responde de forma explícita a la pregunta decisiva: el euro digital «nunca sería dinero programable», aunque podría admitir pagos condicionales. La CNIL y la autoridad alemana de protección de datos (2026) confirman esa no programabilidad «a diferencia del yuan digital», discuten un límite de tenencia de entre 500 y 3 000 euros —cuyo fundamento es la estabilidad financiera, no el control del consumo—, piden identificadores dinámicos porque los estáticos admiten reidentificación retroactiva por cruce con datos externos, y advierten que el punto único de acceso sería una superficie de ciberataque. El Bundesbank (2026) añade el dato que acaso más importa: el mandato del Consejo prevé que el límite de saldo utilizable sin conexión baste para cubrir el gasto cotidiano de «al menos 72 horas».
Y he aquí el hallazgo. Las setenta y dos horas del kit de emergencia y las setenta y dos horas del monedero fuera de línea son la misma cifra institucional en dos doctrinas distintas: la estima que hace la institución de su propia ausencia. No prueba coordinación, sino que la resiliencia se ha vuelto el criterio común de la protección civil y del diseño monetario, y que ambos se piensan desde el supuesto del fallo. La superficie de control, en consecuencia, no es la programabilidad —prohibida— sino la conjunción: aceptación obligatoria, límite de tenencia fijado por el Consejo y el Banco Central, identificación del cliente en el proveedor, un punto único de acceso, y un Estado que ya ha aprendido a tope litros y a racionar por código QR. Nada de eso requiere mala fe, sino una custodia que aún no existe. Y llegado este punto conviene desmontar el eslabón falso de la conjetura planteada en principio: el racionamiento no necesita dinero programable. Sri Lanka lo hizo con códigos QR sobre combustible corriente (AIE, 2026). Lo que el racionamiento exige es un registro del derecho a comprar, y ese registro no lo emite el banco central: lo emite quien administra la escasez. Confundir ambas cosas es regalarle al adversario una objeción fácil.
Ahora, volvamos a Georgetown, porque el caso Bessent enseña lo que ningún comunicado. El director de inteligencia nacional advirtió en octubre que Irán había «aumentado sustancialmente» sus esfuerzos para atacar a estadounidenses, incluidos funcionarios actuales y anteriores; el Departamento de Estado ajustó dotaciones en Oriente Medio y el ejército retiró aviones de dos bases británicas; y el propio Times señaló que los funcionarios estadounidenses consideran limitada la capacidad iraní para ataques de gran escala en territorio de Estados Unidos (CBS News, 2026; Al Jazeera, 2026). No hubo atentado, ni se ha hecho pública una amenaza operativa concreta: hubo una fotografía, una geolocalización, una evaluación de riesgo y una mudanza. Lo que se afirma es un traslado; lo que se implica —en el sentido de Grice (1975)— es una huida, un pánico, una guerra inminente. El género informativo colapsa la amenaza y el atentado. Dos observaciones más: el hombre que se muda a una base es el arquitecto del bloqueo y de la asfixia económica de un país; la amenaza no es un mal gratuito ni un teatro, es el efecto de retorno de una política que se paga en la moneda de la vida privada. Por otra parte, el pedido de que la prensa «actúe con responsabilidad» es una apelación a una institución de segundo orden —la ética profesional— justamente donde la ley no puede llegar, y es el espejo exacto de lo que la conjetura denuncia en Europa. La asimetría final es la que debería indignarnos: la seguridad de los altos funcionarios se resuelve con muros y mudanzas; la de los hogares, con una lista de compras.
¿Qué hay de lares más cercanos?
Iberoamérica recibe la doctrina sin los recursos; su exposición es mayor que su voz. Los datos que reunimos en otro lugar siguen en pie: en abril de 2026 las organizaciones iberoamericanas sufrieron un promedio de 3 364 ataques semanales, un 20 % más que un año antes, y el sector educativo de la región encabezó la lista mundial de los más atacados, con 4 946; ESET situó al Perú a la cabeza de la actividad de malware del semestre; los intentos de fraude con deepfakes crecieron cerca del 500 % en México mientras el total de intentos caía un 32 %, es decir, menos fraude y de mejor calidad; y las aplicaciones falsas que reproducen la pantalla de confirmación de Yape prosperan junto al troyano Zanubis. Añadamos ahora el puente material: el mismo seguimiento de la AIE (2026) que registra el racionamiento asiático registra el subsidio peruano al diésel del transporte. La cadena de frío exportadora —arándanos y paltas del Perú, fruta y salmón de Chile, carnes de Argentina— corre sobre controladores de los mismos fabricantes, con las mismas credenciales de fábrica y el mismo final de soporte que hicieron posible el octubre francés; no hay evidencia de campañas equivalentes en la región, pero la debilidad es global y ya fue demostrada. Recibimos, además, sin discutirlo, el vocabulario de la preparación y las infraestructuras de identidad que otros diseñan para otros mercados. Y la paradoja final: se designa a la educación como el lugar donde se aprende a prepararse, siendo el sector más atacado de la región. Ahí está, sin embargo, la única buena noticia del cuadro.
A lo expuesto, podría objetarse que, si no hay plan, no hay problema. Cabe en el terreno de la intención, pero no en cuanto a los efectos. Higgs (1987) documentó el trinquete por el cual cada crisis expande el alcance del gobierno y la contracción nunca devuelve la línea de base; Perrow (1984) mostró que los sistemas de acoplamiento estrecho fallan por sí solos, sin malicia. Basta la convergencia de intereses —cada agencia amplía su mandato, cada proveedor vende su remedio, cada gobierno traslada su costo— para obtener el resultado que un plan produciría, y ese resultado es más difícil de combatir porque no tiene autor al que citar.
Podría afirmarse, también, que todo esto es prudencia, y que la prudencia salva vidas. Pero el metaanálisis de Witte y Allen (2000) estableció que las apelaciones al miedo solo producen protección cuando van acompañadas de eficacia percibida; sin ella producen evitación y fatalismo. Asimismo, las advertencias repetidas sobre manipulación informativa elevan la desconfianza hacia todos los medios, incluidos los fiables (Quaritsch, 2025), de modo que la campaña que promete defender el debate lo degrada. Además, un kit de setenta y dos horas presupone despensa, dinero, agua y vivienda; trasladar la custodia sin trasladar los recursos no refiere a ninguna resiliencia, sino, claramente, a desigualdad, aunque con un nombre nuevo.
Finalmente, es cierto que Volt Typhoon mantiene acceso persistente en infraestructura crítica estadounidense desde antes de 2024 (CISA et al., 2024), que los grupos prorrusos atacan redes de agua y sitios electorales, e Irán ejecutó en marzo de 2026 un ataque significativo contra una empresa estadounidense de suministros médicos (Cyberwarfare during the 2026 Iran war, 2026). Pero no sostenemos que los enemigos sean inventados, y concedemos también, con Rid (2012), que lo que observamos no satisface los criterios clausewitzianos de la guerra: es sabotaje, delito y coerción por debajo del umbral, y llamarlo ciberguerra confunde más que aclara. Ocurre que la verdad de una acusación no valida su oportunidad ni su selección, y añadimos un dato primordial: los Estados que atribuyen también censuran. Washington presionó a las firmas satelitales Vantor y Planet para retrasar o retener imágenes de la zona de guerra, y un análisis posterior del Washington Post identificó al menos 228 estructuras o equipos dañados en bases estadounidenses que no se habían comunicado; Israel sometió el material de los periodistas a su censor militar antes de publicar; Irán impuso el apagón más largo de su historia (Censorship during the 2026 Iran war, 2026). El criterio, por tanto, no puede ser la procedencia, sino la verificabilidad. Y hay una simetría que conviene no perder: la prensa que geolocalizó una mansión y forzó una mudanza es la misma que midió, contra la censura de su propio gobierno, el daño que ese gobierno ocultaba. Es la única institución que hace ambas cosas, y por eso se la presiona desde los dos lados.
De modo que la evidencia de una campaña dirigida para fabricar pánico e imponer el euro digital, la censura y el racionamiento antes de una guerra con Rusia es, ciertamente, escasa. Sí, pero hay un régimen de administración del miedo cuyos efectos convergen con los que describiría un plan: traslado de la custodia a los hogares sin recursos equivalentes; atribución de enemigos según el instrumento que cada gobierno necesita; ampliación de la vigilancia por umbrales procedimentales y no por deliberación; y una infraestructura monetaria cuya resiliencia se mide en las mismas horas que la emergencia. La convergencia es el problema, no el complot. El atacante de octubre no venció a la técnica: ocupó un eslabón de confianza y gobernó una prótesis ajena. El administrador del miedo hace algo análogo desde dentro: ocupa el eslabón de la confianza pública y, desde allí, gobierna la disposición de la población sin necesidad de legislarla.
La unidad de análisis sigue siendo la institución y no la técnica. A cada medida conviene aplicarle los tres planos del Derecho —legalidad, justicia, legitimidad (Weber, 1984)—, así como una pregunta: quién puede cambiarla mañana y con qué quórum.
De vuelta a Georgetown. Lo que supuestamente protege al secretario es, sin más, una mudanza. Lo que salva el plasma francés, un técnico que miró a tiempo un indicador. Entre ambas escenas se extiende todo el problema de nuestro siglo: instituciones que saben proteger a los suyos con muros y protegen a los demás con listas de compras. El abad Cellach levantó muros hasta olvidar qué protegía, y los muros cayeron; la salida no era derribarlos, sino recordar su función transmisiva y abrirse con criterio. El miedo administrado no se combate con menos miedo, sino con más custodia: inventarios, plazos, quórums, segundas verificaciones y alguien que mire a tiempo. Lo demás —la sospecha de un plan— tiene el defecto de consolarnos: si alguien lo dirige, alguien puede detenerlo… Como sea, hay que detenerlo igual.
Referencias bibliográficas:
2026 Iran war fuel crisis. (2026). En Wikipedia. https://en.wikipedia.org/wiki/2026_Iran_war_fuel_crisis
Agamben, G. (2004). Estado de excepción (Homo sacer II, 1). Adriana Hidalgo. (Obra original publicada en 2003)
Agencia Internacional de la Energía. (2026). 2026 energy crisis policy response tracker. https://www.iea.org/data-and-statistics/data-tools/2026-energy-crisis-policy-response-tracker
Agencia Sueca de Defensa Civil y Resiliencia. (2026). Download or order the brochure In case of crisis or war. https://www.mcf.se/en/advice-for-individuals/the-brochure-in-case-of-crisis-or-war/download-and-order-the-brochure-in-case-of-crisis-or-war/
Al Jazeera. (2026, 11 de noviembre). US Treasury chief Bessent moved to military base after ‘Iranian threats’. https://www.aljazeera.com/news/2026/11/11/us-treasury-chief-bessent-moved-to-military-base-after-iranian-threats
Banco Central Europeo. (2026, 17 de agosto). Preguntas frecuentes sobre el euro digital. https://www.ecb.europa.eu/euro/digital_euro/faqs/html/ecb.faq_digital_euro.es.html
Beck, U. (1998). La sociedad del riesgo: hacia una nueva modernidad. Paidós. (Obra original publicada en 1986)
Bloomberg. (2026, noviembre). Why the Iran war means Europe can’t afford a severe winter. https://www.bloomberg.com/graphics/2026-europe-energy-woes/
Buzan, B., Wæver, O. y de Wilde, J. (1998). Security: A new framework for analysis. Lynne Rienner.
CBS News. (2026, 11 de noviembre). Bessent relocates from D.C.-area home to military base over Iran threats to kill him. https://www.cbsnews.com/news/bessent-relocate-dc-area-home-military-base-iran-threats-to-kill-him/
Censorship during the 2026 Iran war. (2026). En Wikipedia. https://en.wikipedia.org/wiki/Censorship_during_the_2026_Iran_war
CISA, FBI, NSA et al. (2024, 7 de febrero). PRC state-sponsored actors compromise and maintain persistent access to U.S. critical infrastructure (Aviso AA24-038A). https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a
CNIL. (2026, 26 de mayo). Confidentiality in the digital euro: Where are we? [Con la autoridad federal alemana de protección de datos, BfDI]. https://www.cnil.fr/en/confidentiality-digital-euro-where-are-we
Cohen, S. (1972). Folk devils and moral panics: The creation of the Mods and Rockers. MacGibbon & Kee.
Comisión Europea. (2025a). EU preparedness union strategy. https://commission.europa.eu/topics/preparedness_en
Comisión Europea. (2025b, 12 de noviembre). European Democracy Shield and EU Strategy for Civil Society pave the way for a stronger and more resilient Union. https://enlargement.ec.europa.eu/news/european-democracy-shield-and-eu-strategy-civil-society-pave-way-stronger-and-more-resilient-2025-11-12_en
Comisión Europea. (2026a, 3 de noviembre). Commission takes new steps to prepare Europeans for growing crisis risks. DG ECHO. https://civil-protection-humanitarian-aid.ec.europa.eu/news-stories/news/commission-takes-new-steps-prepare-europeans-growing-crisis-risks-2026-11-03_en
Comisión Europea. (2026b). Standard Eurobarometer 105 – Spring 2026. https://europa.eu/eurobarometer/surveys/detail/3613
Comisión Europea. (2026c). EU Digital Identity Wallet Home. https://ec.europa.eu/digital-building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/694487738/EU+Digital+Identity+Wallet+Home
Cyberwarfare during the 2026 Iran war. (2026). En Wikipedia. https://en.wikipedia.org/wiki/Cyberwarfare_during_the_2026_Iran_war
Deutsche Bundesbank. (2026, marzo). The digital euro: Key elements and outlook. Monthly Report. https://publikationen.bundesbank.de/publikationen-en/reports-studies/monthly-reports/the-digital-euro-key-elements-and-outlook-991182
EDRi. (2026, 7 de septiembre). Why the EU age-verification tool does not solve privacy concerns. https://edri.org/our-work/eu-age-verification-tool-does-not-solve-privacy-concerns/
European cold chain hacks. (2026). En Wikipedia. https://en.wikipedia.org/wiki/European_cold_chain_hacks
Fight Chat Control. (2026). Chat Control 1.0 vs 2.0 [Cronología legislativa]. https://fightchatcontrol.eu/chat-control-overview.html
Foucault, M. (2008). Seguridad, territorio, población: Curso en el Collège de France (1977-1978). Akal. (Obra original publicada en 2004)
Grice, H. P. (1975). Logic and conversation. En P. Cole y J. L. Morgan (Eds.), Syntax and semantics: Vol. 3. Speech acts (pp. 41-58). Academic Press.
Higgs, R. (1987). Crisis and Leviathan: Critical episodes in the growth of American government. Oxford University Press.
Jones, D. (2026, 5 de noviembre). French authorities probe cyberattack targeting nation’s blood supply. Cybersecurity Dive. https://www.cybersecuritydive.com/news/french-probe-cyberattack-blood-supply/873871/
Kipling, E. y Tidy, J. (2026, 10 de noviembre). Iran rejects French claims it was behind supermarket fridge hacking. BBC News. https://www.bbc.co.uk/news/articles/cmg474vk6dyqo
Klein, N. (2007). The shock doctrine: The rise of disaster capitalism. Metropolitan Books.
Kyiv Post. (2025, 17 de noviembre). Germany warns Russia could be ready to attack NATO by 2028-29. https://www.kyivpost.com/post/64385
Ministerio del Interior de Francia. (2025, 20 de noviembre). Tous responsables: face aux risques, agissons. https://www.interieur.gouv.fr/actualites/actualites-du-ministere/tous-responsables-face-aux-risques-agissons
Niinistö, S. (2024). Safer together: Strengthening Europe’s civilian and military preparedness and readiness. Comisión Europea. https://commission.europa.eu/document/download/5bb2881f-9e29-42f2-8b77-8739b19d047c_en
Nye, J. S., Jr. (2017). Deterrence and dissuasion in cyberspace. International Security, 41(3), 44-71. https://doi.org/10.1162/ISEC_a_00266
Parlamento Europeo. (2026, febrero). EP Autumn 2025 survey. Eurobarómetro. https://europa.eu/eurobarometer/surveys/detail/3632
Parlamento Europeo y Consejo de la Unión Europea. (2026). Reglamento (UE) 2026/1881, de 24 de julio de 2026, relativo a una excepción temporal a determinadas disposiciones de la Directiva 2002/58/CE en lo que respecta a la utilización de tecnologías por los proveedores de servicios de comunicaciones interpersonales independientes de la numeración para el tratamiento de datos personales y de otro tipo con el fin de combatir los abusos sexuales a menores en línea. Diario Oficial de la Unión Europea, L, 2026/1881, 28.7.2026. http://data.europa.eu/eli/reg/2026/1881/oj
Pequeño, A., IV. (2026, 31 de julio). Trump rejects suspicions Iran carried out cyberattack against ‘grossly incompetent’ Minnesota. Forbes. https://www.forbes.com/sites/antoniopequenoiv/2026/07/31/trump-rejects-suspicions-iran-carried-out-cyberattack-against-grossly-incompetent-minnesota/
Perrow, C. (1984). Normal accidents: Living with high-risk technologies. Basic Books.
Poireault, K. (2026, 10 de noviembre). France blames Iran for supermarket fridge hack, requests international arrest warrants. Infosecurity Magazine. https://www.infosecurity-magazine.com/news/france-blames-iran-supermarket/
Popper, K. R. (1945). The open society and its enemies. Routledge.
Quaritsch, L. (2025, 12 de diciembre). The European Democracy Shield – Papering over the cracks [Policy brief]. Jacques Delors Centre. https://www.delorscentre.eu/en/publications/detail/publication/the-european-democracy-shield-papering-over-the-cracks
Rid, T. (2012). Cyber war will not take place. Journal of Strategic Studies, 35(1), 5-32. https://doi.org/10.1080/01402390.2011.608939
Rid, T. y Buchanan, B. (2015). Attributing cyber attacks. Journal of Strategic Studies, 38(1-2), 4-37. https://doi.org/10.1080/01402390.2014.977382
Stars and Stripes. (2026, 1 de noviembre). Germany tightens security at military bases over concerns about Russia. https://www.stripes.com/theaters/europe/2026-11-01/german-bases-security-threats-23326000.html
Sunstein, C. R. y Vermeule, A. (2009). Conspiracy theories: Causes and cures. Journal of Political Philosophy, 17(2), 202-227.
The Record. (2025, 19 de diciembre). Denmark summons Russian ambassador over alleged cyberattacks. https://therecord.media/denmark-summons-russian-ambassador-cyberattack-elections
Torres Muñiz, J. P. (2022). Homo Institutionalis. Grupo Editorial Caja Negra.
Torres Muñiz, J. P. (2025, 7 de octubre). Normar lo normativo: Participación en foro sobre el Derecho desde la perspectiva del Homo Institutionalis. Criba. https://formacionsaro.com/normar-lo-normativo-participacion-en-foro-sobre-el-derecho-desde-la-perspectiva-del-homo-institutionalis/
Torres Muñiz, J. P. (s. f.-a). Extensión: Sobre el Homo Proteticus, desde la visión del Homo Institutionalis. Criba. https://formacionsaro.com/extension-sobre-el-homo-proteticus-desde-la-vision-del-homo-institutionalis/
Weber, M. (1984). Economía y sociedad: Esbozo de sociología comprensiva (J. Medina Echevarría et al., Trads.). Fondo de Cultura Económica. (Obra original publicada en 1922)
Witte, K. y Allen, M. (2000). A meta-analysis of fear appeals: Implications for effective public health campaigns. Health Education & Behavior, 27(5), 591-615.
(ENGLISH VERSION)
Seventy-Two Hours: On Administered Fear, the Attributed Enemy, and a Posible Custody
Translation by Tiffany Amber Elías Trimble
An aerial photograph was enough…
On November 10, 2026, The New York Times and Reuters reported, citing sources familiar with the matter, that the United States Secretary of the Treasury, Scott Bessent, had left his home in the Washington area to move to an undisclosed military base, following Iranian threats against his life; the severity of those threats, the same sources specified, was not clear (Al Jazeera, 2026; CBS News, 2026). There was no attack. Only an image: The Wall Street Journal had published an aerial view of the Georgetown mansion that the secretary bought for 12.5 million dollars, and the photograph made it possible to geolocate it (Al Jazeera, 2026). The Treasury responded that Bessent «will not be deterred by the threats of the Iranian regime» and that he maintains Operation Economic Outcast and the blockade that, together, «are collapsing the economy of Iran.» A source added that the press has an obligation to act responsibly. That is: what precipitated the move was not an attack, but a publication, and the response to it was a move and a request for reserve. In that sequence —image, fear, custody— is, in miniature, the problem that we will examine here.
The conjecture that is motivated is uncomfortable: that the European campaigns of preparation for emergencies —blackouts, internet cuts, war—, the systematic attribution of attacks to China, North Korea, and Iran against the Anglophone world and of any European mishap to Russia, the digital euro, the norms of digital surveillance and censorship and the rationing that is anticipated, as well as the American alarm, would form part of one and the same operation destined to dispose the population to accept control, in the framework of a war, foreseeably against Russia and Iran.
Our response: that the conjecture is false in its form and accurate in its object: there is no clear evidence of a campaign directed with that end, but there is a regime of administration of fear that produces, without a specified author, a good part of the effects that a plan would produce. And it demands a correction that makes it more serious: the war that already orders rationing is not the one the conjecture imagines, and the most invasive instrument of control that the European Union has put into force this year did not spring from an emergency, but from a quorum.
Let us fix the criterion before the facts. A statement of intention requires documents, coordination, and a calendar; the coincidence of effects does not prove it. Popper (1945) called a conspiracy theory of society the one that explains evils by hidden designs, and Sunstein and Vermeule (2009) showed that that explanation becomes almost irrefutable because it absorbs its own lack of proof as proof of cover-up. That is not our path. We will distinguish, as we usually do here, between verification, inference, and conjecture, and we will mark each one. The adversary of this thesis is not naivety, but the comfort of a culprit: if someone directs it, it is enough to unmask them; if no one directs it, one must guard. The second is, in reality, more work and less consolation.
So let us be clear: the doctrine of preparation does not fabricate the risk, but it redistributes its custody. The evidence is abundant and public. The report of former Finnish president Sauli Niinistö (2024) presented some eighty recommendations and came to propose that at least 20% of the Union’s budget be destined to security and preparation. The Preparedness Union Strategy (European Commission, 2025a) set as its objective a population self-sufficiency of «minimum 72 hours,» the inclusion of preparation in school curricula, and a «whole-of-society» approach. On November 3, 2026, Commissioner Hadja Lahbib presented the guidelines for population preparation: 72-hour self-sufficiency with an emergency bag, educational preparation from early childhood «without creating fear or anxiety,» inclusion of persons with disabilities, and risk communication; she additionally announced a European Preparedness Day every October 23, from 2027, and a recommendation of operational continuity and stress tests for the national contact points of civil protection (European Commission, 2026a). France published on November 20, 2025 the guide «Tous responsables,» from the General Secretariat for Defense and National Security, following the update of the Revue nationale stratégique and the presidential speech of July 13, and has held for five editions a National Resilience Day (Ministry of the Interior, 2025). Sweden distributes the fifth version of its brochure «In Case of Crisis or War» —the previous ones are from 1943, 1952, 1961, and 2018— and its Parliament asks for something more than the Union: that each household be able to cover its basic needs «at least one week without support from society,» because public resources «are not enough for everyone at the same time, but must go to those who most need them» (Swedish Civil Contingencies Agency, 2026).
What is decisive here is the legal status and the operational register of the material. Almost everything is non-binding recommendations: there is no obligation, there is no sanction, there is no budget comparable to that of a defense program. What is modified is not the law, but the habit. The State, instead of legislating fear, which it cannot, administers a sphere that the law does not reach: there in the kitchen, in the backpack, in the school calendar. And this operation has a precise form: the person is incorporated as a prosthesis of the institution, which extends into homes the portion of itself that it cannot finance. Seventy-two hours is not a technical figure: it is the time that the institution calculates it will take to return to take charge of you. Sweden declares it without euphemisms.
In this way the social contract is redefined in the register of affection and custom, not in that of law, and for that very reason without parliamentary debate. A panel of one hundred fifty European citizens, convened between March and May 2026, asked for an annual week of preparation (European Commission, 2026a): the demand is not only top-down.
Fear has a real referent. Since February 28, 2026 there has been a war between the United States and Israel, on one side, and Iran on the other, with coordinated attacks that included the death of Supreme Leader Ali Khamenei and cyber and electronic operations prior to the bombings; the conflict closed the Strait of Hormuz, led to an American naval blockade of Iranian ports announced in April and, since August, to the campaign of economic asphyxiation directed precisely by Bessent (Cyberwarfare during the 2026 Iran war, 2026; Al Jazeera, 2026). On November 10, Secretary of State Marco Rubio declared that he saw no need to resume large-scale combat operations because the sanctions were working (CBS News, 2026). The European consequence of that war is not a trench, much less, but a fuel pump. The International Energy Agency (IEA) coordinated the largest release of emergency reserves in its history and records, in its tracking of responses to the 2026 crisis, sixty-one countries or regions with demand measures, twenty-eight with transport restrictions —including fuel rationing— and eighteen with telework promoted or imposed (IEA, 2026). Slovenia was the first country in the Union to ration: it limited purchase to fifty liters per day per individual in March, to curb arbitrage by drivers from neighboring countries, and withdrew the measure that same month; Slovakia maintains purchase caps; Sri Lanka rations gasoline and diesel through a national QR code system for cars and motorcycles; Myanmar sets quotas by engine displacement; Nepal half-filled gas cylinders; the Philippines declared an energy emergency on March 24; Japan released eighty million barrels on March 16 (IEA, 2026; 2026 Iran war fuel crisis, 2026). The price of gas has doubled in 2026, in a shock comparable to that of the Russian cut (Bloomberg, 2026).
Three consequences follow. First: rationing as an instrument of disciplining has already occurred, and its cause was, from what can be seen, physical scarcity and price; not precisely a plan of domestication —although this may be an implication, as exploitable as those that came with the social isolation adopted in the face of the COVID-19 pandemic—. Second: its policy was, overwhelmingly, cushioning —tax cuts, price caps, subsidies, vouchers—; the same IEA tracking (2026) records Peru, for example, with a diesel subsidy for cargo and passenger transport, and Spain, Argentina, Chile, Portugal, and Uruguay with analogous measures. The war is already at the Ibero-American fuel pump. Third: European fear precedes and exceeds these campaigns. The Eurobarometer of the European Parliament published in February 2026 recorded 72% of Europeans «very concerned» about active conflicts near the Union, and the standard spring 2026 Eurobarometer 76% who consider the Russian invasion of Ukraine a threat to the security of the Union (European Parliament, 2026; European Commission, 2026b). Russia constitutes, in effect, a distinct and documented front: Germany reinforced the security of its bases on November 1 due to sabotage threats (Stars and Stripes, 2026), and its Defense Minister has placed the possible Russian capacity to attack NATO on the 2028-2029 horizon (Kyiv Post, 2025). But a horizon is an estimate, nothing more. When fear is already in the market, there is no need to fabricate it; what is administered is its direction. (Another story is whether said fear was previously fostered…)
In any case, the attribution of attacks is a political act with its own calendar. Let us reconstruct the case we know best. On the night of October 11, 2026, an attacker took over the control of refrigeration controllers at up to seven hundred French commercial sites and forced them into continuous defrost cycles; in some stores the refrigerators reached 50 °C, there were melted equipment, fires, and tons of food destroyed (Poireault, 2026; Kipling and Tidy, 2026). The devices were AK-SM800 and AK-SC355 controllers from the Danish firm Danfoss, out of support since 2021 and 2016, respectively, with a web server exposed to the internet and an access whose username was «admin» and whose password could be bypassed by entering the date of the day: flaws that Danfoss communicated in March 2025, with a patch in August of that year for the series still supported, and that Claroty detailed publicly in August 2026 (European cold chain hacks, 2026; Jones, 2026). On November 2 a second wave reached Belgium, Luxembourg, the Netherlands, Sweden, Estonia, Ireland, Portugal, and Germany, and three centers of the French Blood Establishment, where an attempt was made to bring the chambers to 110 °C; the monitoring system alerted, the staff regained control, and no product was lost (Jones, 2026).
On November 9, twenty-nine days later, the French government attributed the campaign to the Iranian Revolutionary Guard; CERT-FR published a technical notice linking the group Shahid Kaveh with IP addresses of Iranian endpoints, Farsi words in the traces, and techniques coinciding with prior campaigns; the Paris prosecutor, Laure Beccuau, opened an investigation against the head of that unit and his two deputies; the Iranian ambassador was summoned and European sanctions were announced (Poireault, 2026). France rarely attributes, and this time it spoke of the «first major cyber sabotage attack» on its territory. The following day, Iran called the accusation «unfounded and hostile» (Kipling and Tidy, 2026). Two details matter more than the accusation. First, that the attribution expressly excludes the attack on the blood chambers, that is, the institution internally graduates its confidence while the political communiqué produces a single enemy. Second, that two hacktivist groups aligned with Russia claimed the attacks and almost no one believed them (Kipling and Tidy, 2026). The claim is not proof; neither is language nor the IP address, in a theater of war where both are cheap to falsify. None of this demonstrates that the attribution is false: it demonstrates that it is a decision under uncertainty, exactly what Rid and Buchanan (2015) described as a process with degrees of confidence and a political component, and not a binary act.
The contrast is what makes the mechanism visible. In July 2026, while intelligence services pointed to Iran for the intrusion into some thirty-six municipal water networks in Minnesota, the American president publicly rejected that responsibility and attributed the problem to the state’s incompetence (Pequeño, 2026). In December 2025, Denmark attributed to the pro-Russian groups Z-Pentest and NoName057(16) the 2024 attack on a water plant near Køge and the denial-of-service attacks prior to the local elections; the Russian ambassador responded that no proof had been provided (The Record, 2025). And the great Iberian blackout of April 28, 2025, whose shadow served to invoke the cyberattack, was officially attributed to a cascade of overvoltages. The rule that emerges is not «they lie about Russia,» but something finer and more useful: attribution expands when it authorizes sanctions and contracts when it would oblige war. France needed an author in order to sanction; Washington needed not to have one in order to continue strangling economically without resuming the bombings. Deterrence by punishment presupposes a culprit (Nye, 2017), and that structural need —not a conspiracy— is what produces the market of enemies: each instrument selects its author. Whoever wishes to resist that market must not ask who says it, but what can be verified, with what degree of confidence, and what decision is taken with it.
Now, the most invasive norms do not arrive precisely through the door of emergency. It is rather a matter of the path of procedure. Let us see: Regulation (EU) 2021/1232 allowed providers to voluntarily trace private communications not end-to-end encrypted in order to detect child sexual abuse. The European Parliament rejected its extension on March 26, 2026 by 311 votes against 228 and 92 abstentions, and the regime expired on April 3. Since an expired norm cannot be extended, the Council proposed a formally new law of identical content, adopted it on July 2, the Parliament approved the urgency procedure on July 7 by 331 against 303 and, on July 9, the 314 votes that wanted to reject it did not reach the absolute majority of 361 required; the Council adopted it on July 22, it was signed on the 24th and published on the 28th as Regulation (EU) 2026/1881, applicable until April 3, 2028 (European Parliament and Council, 2026; Fight Chat Control, 2026). A majority of the deputies who voted wanted to stop it and could not: the arithmetic of the threshold decided what the majority did not achieve.
What about the content of the norm itself? It expressly excludes end-to-end encrypted communications and audio communications. Its recital eight recognizes that these voluntary activities constitute an interference with the fundamental rights of all users and that general and indiscriminate monitoring harms confidentiality. It requires impact assessment and prior consultation with the supervisory authority, human confirmation before reporting previously unidentified material, deletion of data within a maximum of twelve months, annual public reports with false positive rates from February 2027, guidelines from the European Data Protection Board, and effective judicial remedy; and it declares that nothing in it weakens encryption nor affects the professional secrecy of lawyers, doctors, and journalists (European Parliament and Council, 2026). The Council’s own legal service had warned, in June 2026, that generalized «voluntary» tracing remains incompatible with Article 7 of the Charter without reasonable suspicion or prior judicial authorization, and the permanent regulation still lacks agreement after five failed trilogues and a sixth round convened for the end of September under the Irish presidency (Fight Chat Control, 2026). That is: the second-order institution is not dead; it functions, but with an asymmetry of speed that renders it inoperative at the decisive moment.
The same occurs with the rest of the package. The European Democracy Shield, presented on November 12, 2025, proposes some fifty action points, mostly non-binding, and its central piece —the European Centre for Democratic Resilience— remained under the Commission’s management, when the Parliament was asking for an independent agency; it includes a European network of verifiers with five million euros and an incident and crisis protocol under the Digital Services Regulation (European Commission, 2025b). The analysis of the Jacques Delors Centre is devastating: the Commission attributes to foreign disinformation a weight disproportionate to its real impact, repeated warnings increase general distrust toward all media —including reliable ones—, the first fine of the Digital Services Regulation, to X, arrived on December 5 after two years of investigation and delays for political reasons, and the Digital Omnibus proposed days after the Shield risks fundamental rights in favor of foreign commercial interests (Quaritsch, 2025). To this is added the European digital identity wallet, whose deployment deadline expires at the end of 2026 (European Commission, 2026c), and an age-verification application that, according to EDRi (2026), does not resolve the link between age-restricted activity and real identity. The conclusion is institutional, not conspiratorial… When legality is preserved by arithmetic, what is lost is legitimacy, which was the third plane of Law and the only one that is not voted on (Weber, 1984).
The digital euro is not in itself an instrument of rationing; here, the disturbing thing is another matter. To understand it, let us first go with the facts: The European Central Bank (2026) maintains that the digital euro would complement cash and would not replace it, that it would have legal tender and free basic use, that it would not bear interest, that it would be subject to holding limits, that the Eurosystem would only process pseudonymized data and could not identify users —identity verification and anti-money-laundering controls would remain with payment providers—, that settlement would be centralized and not on distributed ledgers, that the pilot exercise would begin in the second half of 2027 with thirty-six providers and that the first possible issuance would be in 2029, provided the regulation is adopted before the end of 2026; the Council adopted its position on December 19, 2025 and the Parliament on July 9, 2026, and the trilogue is underway. And it responds explicitly to the decisive question: the digital euro «would never be programmable money,» although it could allow conditional payments. The CNIL and the German data protection authority (2026) confirm that non-programmability «unlike the digital yuan,» discuss a holding limit of between 500 and 3,000 euros —whose foundation is financial stability, not control of consumption—, ask for dynamic identifiers because static ones allow retrospective reidentification by cross-referencing with external data, and warn that the single access point would be a cyberattack surface. The Bundesbank (2026) adds the datum that perhaps matters most: the Council’s mandate provides that the balance limit usable offline suffices to cover daily spending for «at least 72 hours.»
And here is the finding. The seventy-two hours of the emergency kit and the seventy-two hours of the offline wallet are the same institutional figure in two distinct doctrines: the estimate that the institution makes of its own absence. It does not prove coordination, but rather that resilience has become the common criterion of civil protection and of monetary design, and that both are thought from the assumption of failure. The surface of control, consequently, is not programmability —prohibited— but the conjunction: mandatory acceptance, holding limit set by the Council and the Central Bank, customer identification at the provider, a single access point, and a State that has already learned to cap liters and to ration by QR code. None of that requires bad faith, but rather a custody that does not yet exist. And at this point it is fitting to dismantle the false link of the conjecture posed at the beginning: rationing does not need programmable money. Sri Lanka did it with QR codes on ordinary fuel (IEA, 2026). What rationing requires is a record of the right to buy, and that record is not issued by the central bank: it is issued by whoever administers scarcity. Confusing both things is to hand the adversary an easy objection.
Now, let us return to Georgetown, because the Bessent case teaches what no communiqué does. The director of national intelligence warned in October that Iran had «substantially increased» its efforts to attack Americans, including current and former officials; the State Department adjusted staffing in the Middle East and the army withdrew aircraft from two British bases; and the Times itself noted that American officials consider Iran’s capacity for large-scale attacks on U.S. territory limited (CBS News, 2026; Al Jazeera, 2026). There was no attack, nor has a concrete operational threat been made public: there was a photograph, a geolocation, a risk assessment, and a move. What is affirmed is a relocation; what is implied —in Grice’s (1975) sense— is a flight, a panic, an imminent war. The journalistic genre collapses the threat and the attack. Two further observations: the man who moves to a base is the architect of the blockade and of the economic asphyxiation of a country; the threat is not a gratuitous evil nor a theater, it is the blowback of a policy that is paid in the currency of private life. On the other hand, the request that the press «act responsibly» is an appeal to a second-order institution —professional ethics— precisely where the law cannot reach, and it is the exact mirror of what the conjecture denounces in Europe. The final asymmetry is the one that should indignant us: the security of senior officials is resolved with walls and moves; that of households, with a shopping list.
What about closer lares?
Ibero-America receives the doctrine without the resources; its exposure is greater than its voice. The data we gathered elsewhere still stand: in April 2026 Ibero-American organizations suffered an average of 3,364 attacks per week, 20% more than a year earlier, and the region’s education sector topped the world list of the most attacked, with 4,946; ESET placed Peru at the head of malware activity for the semester; deepfake fraud attempts grew nearly 500% in Mexico while total attempts fell 32%, that is, less fraud and of better quality; and the fake applications that reproduce the Yape confirmation screen prosper alongside the Zanubis trojan. Let us now add the material bridge: the same IEA tracking (2026) that records Asian rationing records the Peruvian diesel subsidy for transport. The export cold chain —blueberries and avocados from Peru, fruit and salmon from Chile, meats from Argentina— runs on controllers from the same manufacturers, with the same factory credentials and the same end of support that made the French October possible; there is no evidence of equivalent campaigns in the region, but the weakness is global and has already been demonstrated. We receive, moreover, without discussing it, the vocabulary of preparation and the identity infrastructures that others design for other markets. And the final paradox: education is designated as the place where one learns to prepare, being the most attacked sector of the region. There, however, is the only good news in the picture.
To what has been set out, it could be objected that, if there is no plan, there is no problem. It fits in the terrain of intention, but not as regards effects. Higgs (1987) documented the ratchet by which each crisis expands the scope of government and the contraction never returns the baseline; Perrow (1984) showed that tightly coupled systems fail by themselves, without malice. The convergence of interests suffices —each agency expands its mandate, each provider sells its remedy, each government shifts its cost— to obtain the result that a plan would produce, and that result is more difficult to combat because it has no author to cite.
It could be affirmed, too, that all this is prudence, and that prudence saves lives. But the meta-analysis of Witte and Allen (2000) established that fear appeals only produce protection when accompanied by perceived efficacy; without it they produce avoidance and fatalism. Likewise, repeated warnings about information manipulation raise distrust toward all media, including reliable ones (Quaritsch, 2025), so that the campaign that promises to defend debate degrades it. Moreover, a seventy-two-hour kit presupposes a pantry, money, water, and housing; transferring custody without transferring the resources refers to no resilience, but, clearly, to inequality, though with a new name.
Finally, it is true that Volt Typhoon has maintained persistent access in American critical infrastructure since before 2024 (CISA et al., 2024), that pro-Russian groups attack water networks and electoral sites, and Iran executed in March 2026 a significant attack against an American medical supplies company (Cyberwarfare during the 2026 Iran war, 2026). But we do not maintain that the enemies are invented, and we also concede, with Rid (2012), that what we observe does not satisfy the Clausewitzian criteria of war: it is sabotage, crime, and coercion below the threshold, and calling it cyberwar confuses more than it clarifies. It happens that the truth of an accusation does not validate its timeliness nor its selection, and we add a primordial datum: the States that attribute also censor. Washington pressured the satellite firms Vantor and Planet to delay or withhold images of the war zone, and a later analysis by the Washington Post identified at least 228 structures or equipment damaged at American bases that had not been reported; Israel subjected journalists’ material to its military censor before publishing; Iran imposed the longest blackout in its history (Censorship during the 2026 Iran war, 2026). The criterion, therefore, cannot be provenance, but verifiability. And there is a symmetry that should not be lost: the press that geolocated a mansion and forced a move is the same one that measured, against the censorship of its own government, the damage that that government was hiding. It is the only institution that does both things, and for that reason it is pressured from both sides.
So the evidence of a campaign directed to fabricate panic and impose the digital euro, censorship, and rationing before a war with Russia is, certainly, scarce. Yes, but there is a regime of administration of fear whose effects converge with those that a plan would describe: transfer of custody to households without equivalent resources; attribution of enemies according to the instrument that each government needs; expansion of surveillance by procedural thresholds and not by deliberation; and a monetary infrastructure whose resilience is measured in the same hours as the emergency. The convergence is the problem, not the plot. The October attacker did not defeat technique: he occupied a link of trust and governed a foreign prosthesis. The administrator of fear does something analogous from within: he occupies the link of public trust and, from there, governs the disposition of the population without the need to legislate it.
The unit of analysis remains the institution and not the technique. To each measure it is fitting to apply the three planes of Law —legality, justice, legitimacy (Weber, 1984)—, as well as a question: who can change it tomorrow and with what quorum.
Back to Georgetown. What supposedly protects the secretary is, plainly, a move. What saves French plasma, a technician who looked at an indicator in time. Between both scenes extends the whole problem of our century: institutions that know how to protect their own with walls and protect the rest with shopping lists. Abbot Cellach raised walls until he forgot what he was protecting, and the walls fell; the exit was not to tear them down, but to remember their transmissive function and to open with criterion. Administered fear is not fought with less fear, but with more custody: inventories, deadlines, quorums, second verifications, and someone who looks in time. The rest —the suspicion of a plan— has the defect of consoling us: if someone directs it, someone can stop it… Be that as it may, it must be stopped all the same.