Respuesta corta: un dron que despega solo desde una estación, patrulla un patio de almacén, un parque solar o una subestación y vuelve a aterrizar es una operación de la categoría “específica” en la UE. La categoría abierta solo cubre vuelos dentro del alcance visual del piloto a distancia (VLOS), por debajo de 120 m y con menos de 25 kg. Más allá del VLOS, el operador necesita la aprobación de la autoridad aeronáutica nacional, y el vídeo de personas en las instalaciones hace entrar en juego la legislación de protección de datos.
- Normas aeronáuticas: Reglamento (UE) 2019/947 (cómo se operan los drones) y Reglamento Delegado (UE) 2019/945 (los propios drones, incluidas las marcas de clase C0–C6).
- Vías de la categoría específica: una autorización operacional basada en una evaluación de riesgos (SORA 2.5 o SORA 2.0, o una PDRA), una declaración conforme al escenario estándar STS-01 o STS-02, o un certificado de operador de UAS ligeros (LUC).
- Siempre obligatorio: el registro del operador y, en la categoría específica, un sistema de identificación remota activo en cada dron.
- En torno al vuelo: el RGPD y las Directrices 3/2019 del CEPD para el vídeo, NIS2 y CER para entidades esenciales y críticas, y el Reglamento de IA para las funciones biométricas.
- Nivel nacional: las zonas, los procedimientos y las fechas de transición los fija cada Estado miembro (en Chequia: ÚCL).
Situación a 5 de octubre de 2026. Esta página es información general, no asesoramiento jurídico.
¿Qué reglamentos de la UE regulan las operaciones con drones?
El Reglamento de Ejecución (UE) 2019/947 de la Comisión establece las normas de operación y se aplica desde el 31 de diciembre de 2020. El Reglamento Delegado (UE) 2019/945 de la Comisión fija los requisitos de las aeronaves, incluidas las etiquetas de clase C0 a C6 (C5 y C6 se utilizan en los escenarios estándar).
El artículo 3 del 2019/947 clasifica cada operación en una de tres categorías:
- Abierta: sin autorización previa. Exige una aeronave con marca de clase (o de construcción privada o heredada) de menos de 25 kg, alejada de personas y concentraciones de personas, en VLOS en todo momento (con excepciones limitadas), a menos de 120 m de la superficie, sin transportar mercancías peligrosas ni arrojar ningún objeto (artículo 4).
- Específica: cualquier operación que incumpla uno de los requisitos de la categoría abierta. Necesita una autorización operacional conforme al artículo 12, una declaración de escenario estándar o un LUC con las atribuciones adecuadas (artículos 3 y 5).
- Certificada: UAS certificados sobre concentraciones de personas, transporte de personas o de mercancías peligrosas de alto riesgo, o cuando la autoridad considera que el riesgo no puede mitigarse de otro modo (artículo 6).
Las patrullas perimetrales lanzadas desde una estación sin ningún piloto mirando no cumplen la condición VLOS de la categoría abierta, por lo que se encuadran en la categoría específica. El reglamento lo prevé: UAS.SPEC.050 exige a los operadores de “operaciones autónomas” asignar adecuadamente las responsabilidades del piloto a distancia en cada fase del vuelo.
¿Cómo se obtiene permiso para vuelos de la categoría específica?
1. Autorización operacional basada en una evaluación de riesgos (SORA)
La vía por defecto: el operador realiza una evaluación de riesgos conforme al artículo 11 y presenta la solicitud a la autoridad competente del Estado miembro en el que está registrado (artículo 5). El medio aceptable de cumplimiento de EASA para esta evaluación es la Specific Operations Risk Assessment (SORA). El 15 de septiembre de 2025, EASA adoptó la Decisión ED 2025/018/R (publicada el 29 de septiembre de 2025). Esta incorporó SORA 2.5 a los AMC y GM del Reglamento (UE) 2019/947 y establece que el material anterior de SORA 2.0 “seguirá en vigor”. Las autoridades nacionales gestionan el cambio. En Chequia, la ÚCL indica que SORA 2.5 entró en vigor el 30 de septiembre de 2025 y que aceptará solicitudes SORA 2.0 junto con SORA 2.5 hasta el 31 de diciembre de 2026. A partir de esa fecha, solo aceptará SORA 2.5.
2. Evaluación de riesgos predefinida (PDRA)
Una PDRA es un escenario cuyo riesgo EASA ya ha evaluado y publicado como AMC del artículo 11, de modo que los operadores que encajan en él se ahorran una SORA completa. EASA recoge las PDRA-S01, S02, G01, G02 y G03; S02, G01, G02 y G03 cubren vuelos BVLOS sobre zonas escasamente pobladas o en espacio aéreo segregado, y EASA cita la vigilancia como uso típico de S02 y G01.
3. Declaración conforme a un escenario estándar (STS-01 / STS-02)
En lugar de una autorización, el operador puede declarar el cumplimiento de un escenario estándar de la UE (artículo 5, apartado 5, UAS.SPEC.020), posibilidad que existe desde el 1 de enero de 2024; las declaraciones basadas en escenarios nacionales dejaron de ser válidas el 1 de enero de 2026. Se puede empezar a volar una vez que la autoridad confirma que la declaración está completa. Límites:
- STS-01: VLOS sobre una zona terrestre controlada en un entorno poblado, clase C5, velocidad respecto al suelo inferior a 5 m/s, identificación remota directa activa.
- STS-02: BVLOS con o sin observadores del espacio aéreo, sobre una zona terrestre controlada situada íntegramente en un entorno escasamente poblado, aeronave de clase C6 con un sistema activo que la mantiene dentro de la geografía de vuelo, visibilidad de vuelo superior a 5 km y VLOS en el despegue y la recuperación. Sin observadores, la aeronave puede volar como máximo a 1 km del piloto a distancia, siguiendo una trayectoria preprogramada cuando está fuera de VLOS. Con observadores, el límite es de 2 km.
Ambos limitan la altura a 120 m y exigen formación certificada del piloto a distancia. Debido a la condición de VLOS en el despegue y a los límites de distancia, el STS-02 rara vez encaja con una estación totalmente remota, por lo que la mayoría de las operaciones desde estación pasan por una autorización operacional.
4. Certificado de operador de UAS ligeros (LUC)
Un operador titular de un LUC con las atribuciones adecuadas no necesita una autorización ni una declaración independientes para las operaciones comprendidas en ellas (artículo 5, apartado 6, anexo, parte C).
Volar en otro país de la UE (artículo 13)
Su autorización la emite el Estado de registro. Para volar en otro Estado miembro, envíe a la autoridad de ese Estado una copia de la autorización, las ubicaciones y las medidas de mitigación actualizadas para el espacio aéreo, el terreno, la población y el clima locales, y empiece una vez que confirme que son satisfactorias.
¿Qué deben demostrar los operadores para operaciones BVLOS desde estación?
Los detalles dependen del resultado de la SORA y de la autoridad, pero el artículo 11 y la SORA piden las mismas pruebas esenciales:
- Concepto de operaciones: finalidad, zona, planificación, personal y medios técnicos (artículo 11, apartado 2).
- Volumen operacional y zona de amortiguación del riesgo en tierra: la geografía de vuelo, un volumen de contingencia y una zona de amortiguación dimensionada para que una aeronave que abandone el volumen operacional termine su vuelo dentro de ella. En SORA se aplica la regla 1:1 (zona de amortiguación igual a la altura) o un valor calculado.
- Riesgo en tierra y en el aire: densidad de población dentro y junto a la zona, clase de espacio aéreo y probabilidad de encuentro, que determinan la clase de riesgo aéreo (ARC) y el SAIL.
- Contención: cómo se mantiene el dron dentro del volumen operacional (SORA 2.5 rebajó algunos requisitos de contención).
- Objetivos de seguridad operacional (OSO): procedimientos, mantenimiento, formación y robustez al nivel que exige el SAIL.
- Obligaciones del operador (UAS.SPEC.050): procedimientos de protección, “medidas de protección frente a interferencias ilícitas y accesos no autorizados”, procedimientos conformes al RGPD, incluida una EIPD cuando proceda, y pilotos a distancia competentes.
Las autoridades aprueban operaciones de un operador concreto, no productos. Las geovallas, el regreso al punto de despegue y los registros de comandos son pruebas que un operador puede aportar en su SORA, no un sustituto de ella.
Remote ID, registro, zonas geográficas y U-space
Registro. Todo operador de la categoría específica debe registrarse, sea cual sea el peso de la aeronave. El registro se realiza en el Estado miembro del centro principal de actividad del operador, y un operador solo puede estar registrado en un Estado miembro (artículo 14).
Identificación remota. En la categoría específica, toda aeronave debe contar con “un sistema de identificación remota activo y actualizado” y con una luz verde intermitente para su visibilidad nocturna (UAS.SPEC.050, apartado 1, letra l). El requisito de identificación remota se aplica desde el 1 de enero de 2024. El Reglamento 2019/945 define la identificación remota directa como la emisión local de información sobre la aeronave en vuelo, incluida su marca, de modo que pueda recibirse sin acceso físico a la aeronave.
Zonas geográficas (artículo 15). Los Estados miembros pueden prohibir vuelos, fijar condiciones, exigir autorización previa de vuelo o admitir solo determinadas clases o aeronaves con identificación remota o conocimiento geográfico, por motivos de seguridad operacional, protección, privacidad o medio ambiente. Los datos de las zonas deben publicarse en un formato digital común, así que consulte el mapa nacional antes de planificar las rutas de patrulla.
U-space (Reglamento (UE) 2021/664). Aplicable desde el 26 de enero de 2023. Las operaciones en espacio aéreo U-space designado deben utilizar cuatro servicios obligatorios: identificación en red, conocimiento geográfico, autorización de vuelo de UAS e información de tráfico. Solo es relevante donde ese espacio aéreo se haya designado realmente.
RGPD: ¿qué se aplica al vídeo de los drones de seguridad?
El vídeo en el que se puede identificar a personas es un dato personal según el RGPD (Reglamento (UE) 2016/679). Las Directrices 3/2019 del CEPD sobre el tratamiento de datos personales mediante dispositivos de vídeo (versión 2.0, adoptadas el 29 de enero de 2020) son la referencia principal:
- Base jurídica. Los propietarios de instalaciones privadas suelen basarse en el interés legítimo (artículo 6, apartado 1, letra f), que según el CEPD debe ser real y actual y estar ponderado con los derechos de las personas grabadas.
- EIPD. El artículo 35, apartado 3, letra c), la exige para la “observación sistemática a gran escala de una zona de acceso público”; el CEPD prevé que muchos casos de videovigilancia la necesiten, y las autoridades nacionales publican listas.
- Transparencia. El CEPD recomienda información por capas, empezando por un cartel de aviso antes de que las personas entren en la zona vigilada. Con una cámara móvil, eso implica señalización en los accesos a las instalaciones y límites de patrulla claros.
- Conservación. Las grabaciones deberían borrarse normalmente, a ser posible de forma automática, al cabo de pocos días. Cuanto más tiempo se conserven, sobre todo más allá de 72 horas, más justificación se necesita.
- Desde el diseño. El artículo 25 exige protección de datos desde el diseño y por defecto, p. ej., cobertura mínima fuera de las instalaciones y plazos de conservación cortos por defecto.
El CEPD señala también que un sistema que detecta características físicas para clasificar a una persona, sin crear plantillas biométricas para identificarla, no queda por ese motivo sujeto a las normas del artículo 9 sobre datos biométricos.
NIS2 y CER: ¿qué cambia para las instalaciones energéticas y críticas?
La Directiva NIS2 (UE) 2022/2555 y la Directiva CER (UE) 2022/2557 debían transponerse a más tardar el 17 de octubre de 2024. Ambas obligan a la entidad regulada, no a los productos de los proveedores, pero un sistema de drones de seguridad puede quedar dentro de las obligaciones de la entidad:
- El artículo 21 de NIS2 exige medidas de gestión de riesgos “que tengan en cuenta todos los riesgos”, incluidas la seguridad de la cadena de suministro, el control de acceso, la criptografía y la autenticación multifactor. Una plataforma de drones conectada en red in situ es uno de los sistemas afectados.
- La Directiva CER obligaba a los Estados miembros a identificar a las entidades críticas a más tardar el 17 de julio de 2026. Su artículo 13 exige a esas entidades garantizar una protección física adecuada, “teniendo debidamente en cuenta, por ejemplo, vallas, barreras, herramientas y rutinas de vigilancia perimetral, equipos de detección y controles de acceso”.
En Chequia, NIS2 se transpone mediante la Ley n.º 264/2025 Sb. de ciberseguridad (NÚKIB), en vigor desde el 1 de noviembre de 2025. El ámbito de aplicación depende de la legislación nacional.
¿Se aplica el Reglamento de IA a la analítica de vídeo de drones?
El Reglamento de IA, Reglamento (UE) 2024/1689, regula según el caso de uso. Sus prohibiciones se aplican desde el 2 de febrero de 2025. Incluyen la identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales (con excepciones limitadas), la extracción no selectiva de imágenes faciales para crear bases de datos de reconocimiento facial y la categorización biométrica que infiere rasgos sensibles como la raza o las opiniones políticas. El anexo III considera de alto riesgo la identificación biométrica remota, la categorización biométrica y el reconocimiento de emociones, así como la IA utilizada como componente de seguridad en la gestión de determinadas infraestructuras críticas.
El Ómnibus digital sobre IA, Reglamento (UE) 2026/1744, publicado el 24 de julio de 2026, aplazó el inicio de las obligaciones de alto riesgo del anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027, y al 2 de agosto de 2028 para la IA en productos cubiertos por el anexo I.
El Reglamento define la “identificación biométrica” como el establecimiento de la identidad de una persona comparando sus rasgos con una base de datos. Detectar que un objeto es una “persona” o un “vehículo” no identifica a nadie, por lo que en general no es identificación biométrica, aunque la clasificación depende de la finalidad prevista y el RGPD sigue aplicándose.
Notas por país: Chequia, Alemania, Polonia, Eslovaquia, Austria
República Checa: ÚCL
- Autoridad: Úřad pro civilní letectví (ÚCL), caa.gov.cz; vías: autorización SORA, STS, PDRA o LUC.
- Registro: los operadores se registran en el portal de la ÚCL dron.caa.gov.cz y reciben un número de registro por correo electrónico.
- Transición SORA: se aceptan solicitudes SORA 2.0 hasta el 31 de diciembre de 2026. Después, solo SORA 2.5.
- Zonas geográficas: desde el 1 de septiembre de 2025, el mapa oficial es DroneMap (dronemap.gov.cz), gestionado por ŘLP ČR para la ÚCL, que sustituye a DronView.
- Ciberseguridad: NÚKIB, Ley n.º 264/2025 Sb. (véase más arriba).
Países vecinos (una línea cada uno)
- Alemania: el Luftfahrt-Bundesamt (LBA) tramita las autorizaciones operacionales de la categoría específica, con formularios SORA 2.5 y un procedimiento simplificado “FastFlight” para operaciones VLOS de bajo riesgo.
- Polonia: el Urząd Lotnictwa Cywilnego (ULC) tramita las declaraciones STS, las autorizaciones operacionales y los LUC.
- Eslovaquia: el Dopravný úrad (Autoridad de Transporte) expide autorizaciones de la categoría específica por un máximo de 2 años, con evaluaciones de riesgos conforme a SORA 2.5.
- Austria: Austro Control (dronespace.at) tramita las solicitudes de la categoría específica, las declaraciones STS y los LUC.
Tabla resumen: ¿qué norma se aplica y cuándo?
| Requisito | Se aplica cuando | Origen |
|---|---|---|
| Autorización operacional (SORA o PDRA) | Cualquier vuelo fuera de los límites de la categoría abierta (p. ej., BVLOS) no cubierto por un STS o un LUC | Regl. (UE) 2019/947, art. 5, 11, 12; AMC de EASA (Decisión ED 2025/018/R) |
| Declaración STS | La operación encaja en STS-01 (VLOS, C5) o STS-02 (BVLOS, C6, zona escasamente poblada) | 2019/947, art. 5, apdo. 5, UAS.SPEC.020, apéndice 1 |
| LUC | El operador quiere aprobar sus propias operaciones dentro de las atribuciones del certificado | 2019/947, art. 5, apdo. 6, anexo, parte C |
| Solicitud transfronteriza | Vuelo de categoría específica en un Estado miembro distinto del de registro | 2019/947, art. 13 |
| Registro del operador | Todas las operaciones de la categoría específica | 2019/947, art. 14 |
| Remote ID + luz verde intermitente | Toda aeronave de la categoría específica | 2019/947, UAS.SPEC.050, apdo. 1, letra l; 2019/945 (definición) |
| Condiciones de las zonas geográficas | La instalación está en una zona fijada por el Estado miembro | 2019/947, art. 15; mapas nacionales (CZ: DroneMap) |
| Servicios U-space | Espacio aéreo designado como U-space | Regl. (UE) 2021/664 |
| Base jurídica, transparencia, conservación | El vídeo capta a personas identificables | RGPD, art. 5, 6, 25; Directrices 3/2019 del CEPD |
| EIPD | Tratamiento de alto riesgo, p. ej., observación sistemática a gran escala de zonas de acceso público | RGPD, art. 35; UAS.SPEC.050 |
| Medidas de gestión de riesgos de ciberseguridad | El operador o el propietario de la instalación es una entidad esencial o importante | NIS2, art. 21; Ley checa 264/2025 Sb. |
| Medidas de resiliencia física | El propietario de la instalación ha sido identificado como entidad crítica | Directiva CER, art. 13 |
| Prohibiciones / obligaciones de alto riesgo del Reglamento de IA | El sistema realiza identificación biométrica, categorización u otros usos enumerados | Regl. (UE) 2024/1689, art. 5, anexo III; Regl. (UE) 2026/1744 |
Cómo se corresponde el diseño de Nestua con estos requisitos
Nestua es una plataforma de dron de seguridad autónomo con estación (drone in a box) (dron, estación base estanca, nodo local en el borde, nube opcional). La plataforma de software es funcional en versiones de desarrollo; el dron y la estación base aún están en construcción. Nestua no posee ninguna aprobación aeronáutica, y nada de lo que sigue es una aprobación ni un certificado de cumplimiento. Son decisiones de diseño pensadas para respaldar las pruebas y los procedimientos que necesita un operador:
- Contención y conocimiento geográfico: geovallas y zonas de exclusión aérea poligonales y circulares con bloqueo o regreso al punto de despegue (RTL), y RTL de seguridad ante fallos. Ayudan a los operadores a elaborar la parte de contención y volumen operacional de una SORA, junto con los límites de zona tomados de los mapas nacionales.
- Cadena de mando controlada: confirmación escrita para los comandos críticos; un comando solo se considera correcto tras el acuse de recibo MAVLink del dron. Un motor de políticas añade los modos solo local, visualización remota y control remoto, aprobación local de los comandos remotos, modo solo emergencias, franjas horarias y restricciones según el estado del dron, lo que favorece una asignación clara de las responsabilidades del piloto.
- Accesos no autorizados e interferencias: roles de administrador, operador y observador con mínimo privilegio por defecto; acceso remoto desactivado por defecto, con reautenticación del administrador para activar el control remoto. El vídeo, la telemetría y el control usan un enlace cifrado (acuerdo de claves X25519, AES-256-GCM o ChaCha20-Poly1305 por paquete, emparejamiento mutuo estricto). La nube opcional utiliza comandos firmados con HMAC por nodo, MFA y SSO opcional. Esto guarda relación con las medidas de protección de UAS.SPEC.050 y con los aspectos de control de acceso y criptografía de NIS2.
- Registros: un diario de eventos, un registro de comandos y un seguimiento de cambios de configuración exportables. Cada acción crítica queda registrada, incluidas las acciones de misión y las activadas por la IA.
- Protección de datos desde el diseño: el plano de control se ejecuta in situ sin Internet; la grabación va a un búfer circular local y el envío fuera de las instalaciones está desactivado por defecto. El operador sigue siendo quien fija las finalidades, la señalización y la conservación.
- IA en el borde sin identificación: detección YOLO de personas y vehículos en la NPU del ordenador en el borde, íntegramente in situ. Detecta clases de objetos y no identifica a las personas; sin reconocimiento facial. Las acciones activadas por la IA respetan la política de seguridad y las geovallas.
Más información: por qué importa el funcionamiento sin conexión en los drones de seguridad, qué significa drone in a box y casos de uso. Para hablar de su instalación, solicite una demo.
Aviso legal. Esta página es información general, no asesoramiento jurídico. Los actos de la UE, el material de EASA y su aplicación nacional cambian, y las autoridades los interpretan caso por caso. Consulte los textos consolidados vigentes y a sus autoridades nacionales de aviación y de protección de datos antes de planificar operaciones.
Fuentes
- Reglamento de Ejecución (UE) 2019/947 de la Comisión, texto consolidado (art. 3–6, 11–15, 23; anexo UAS.SPEC.020, UAS.SPEC.050, STS-01, STS-02): eur-lex.europa.eu
- Reglamento Delegado (UE) 2019/945 de la Comisión, texto consolidado (definiciones, art. 40, partes 16–17 sobre C5/C6): eur-lex.europa.eu
- Decisión ED 2025/018/R de EASA (SORA 2.5 en los AMC y GM del 2019/947): easa.europa.eu
- EASA, Specific category – civil drones: easa.europa.eu
- EASA, Predefined Risk Assessment (PDRA): easa.europa.eu
- EASA, presentación del taller SORA (volumen operacional, zona de amortiguación del riesgo en tierra, ARC, SAIL, OSO): easa.europa.eu
- Reglamento de Ejecución (UE) 2021/664 de la Comisión (U-space): eur-lex.europa.eu
- Reglamento (UE) 2016/679 (RGPD): eur-lex.europa.eu
- Directrices 3/2019 del CEPD sobre el tratamiento de datos personales mediante dispositivos de vídeo: edpb.europa.eu
- Directiva (UE) 2022/2555 (NIS2): eur-lex.europa.eu
- Directiva (UE) 2022/2557 (CER): eur-lex.europa.eu
- Reglamento (UE) 2024/1689 (Reglamento de IA): eur-lex.europa.eu
- Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA): eur-lex.europa.eu
- ÚCL, Specifická kategorie (SPECIFIC), incl. transición SORA 2.0/2.5: caa.gov.cz
- ÚCL, Provozovatel bezpilotního systému (registro a través de dron.caa.gov.cz): caa.gov.cz
- ÚCL, Nová digitální mapa DroneMap v provozu: caa.gov.cz
- NÚKIB, Ley n.º 264/2025 Sb. de ciberseguridad (presentación): portal.nukib.gov.cz
- Luftfahrt-Bundesamt, Betriebsgenehmigungen (categoría específica): lba.de
- Urząd Lotnictwa Cywilnego, kategoria szczególna: ulc.gov.pl
- Dopravný úrad, osobitná (specific) kategória: letectvo.nsat.sk
- Austro Control, dronespace.at – Specific: dronespace.at