! Inteligencia en Ciberseguridad OT

Centro de Noticias

Análisis de incidentes reales, actualizaciones normativas y vulnerabilidades críticas en entornos industriales y sistemas OT/ICS.

[!] Incidente OT CRÍTICO
27 junio 2017 - Análisis RRUS-OT

NotPetya arrasa con Danfoss: cuando el ransomware llega a la industria de refrigeración

El fabricante danés de automatización industrial Danfoss fue golpeado de lleno por NotPetya, el wiper destructivo disfrazado de ransomware atribuido al grupo ruso Sandworm. Más de 1.400 servidores y 2.500 aplicaciones afectadas. Pérdidas de ~100 millones de DKK. Una lección brutal sobre la convergencia IT/OT y la importancia de la segmentación de red.

NotPetya Wiper ICS/OT Supply Chain EternalBlue CVE-2017-0144
Impacto documentado
~15MEUR
Pérdidas estimadas
1.400+
Servidores afectados
2.500+
Aplicaciones comprometidas
~2 sem
Tiempo de recuperación
Cadena de ataque
1. Infección inicialActualización maliciosa de M.E.Doc (software contable ucraniano)
2. PropagaciónEternalBlue (MS17-010) por SMB - puerto 445
3. Elevación de privilegiosMimikatz extrae credenciales de LSASS en memoria
4. Movimiento lateralWMIC + PsExec con credenciales robadas
5. DestrucciónCifra MBR y MFT - sistema irrecuperable
Fuente: Danfoss IR - Wired - CISA

¿Quién es Danfoss?

Danfoss es un fabricante industrial danés fundado en 1933, con sede en Nordborg (Dinamarca). Factura más de 7.500 millones de euros anuales y emplea a unas 40.000 personas en más de 100 países.

Sus productos son omnipresentes en entornos industriales y comerciales: variadores de frecuencia (drives) para motores eléctricos, controles de refrigeración para supermercados y almacenes frigoríficos, sistemas de calefacción urbana (district heating) y componentes hidráulicos para maquinaria pesada.

Relevancia OT: Los controladores Danfoss (Optyma, AK-SC, drives VLT/FC) están integrados en infraestructuras críticas: cadenas de frío alimentarias, plantas de climatización, sistemas de bombeo y generación de energía. Un ataque a Danfoss no es solo un incidente corporativo - tiene implicaciones en toda su cadena de clientes industriales.

El día del ataque - Cronología

27 jun, 10:30
Vector inicial: M.E.Doc, software contable usado por empresas con operaciones en Ucrania, distribuye una actualización troyanizada. NotPetya se activa en miles de máquinas simultáneamente.
27 jun, 11:00
Propagación masiva: NotPetya se extiende por redes corporativas mediante EternalBlue (MS17-010), exploit filtrado por Shadow Brokers en abril de 2017. Danfoss no había parcheado todas sus máquinas.
27 jun, tarde
Contención: Danfoss detecta la infección y ordena desconectar segmentos de red. El daño ya está hecho: más de 1.400 servidores y 2.500 aplicaciones cifrados o destruidos.
27 jun - 3 jul
Crisis operacional: Sistemas de email, ERP, logística y soporte técnico inoperativos. Los empleados trabajan con teléfonos personales y papel.
11 jul 2017
Recuperación parcial: Danfoss anuncia que ha restaurado los sistemas críticos de producción y logística en aproximadamente dos semanas.

Análisis técnico: NotPetya vs. Petya

Aunque inicialmente se le llamó "Petya" por su parecido visual, NotPetya es técnicamente un wiper destructivo, no ransomware. Las diferencias son fundamentales:

Petya original Ransomware real. Cifra MBR. Tiene mecanismo de pago funcional y clave de descifrado. NotPetya Wiper. El ID de víctima es aleatorio - imposible recuperar datos aunque se pague. Sin canal C2 operativo. Objetivo real Destrucción máxima de infraestructura. Ucrania era el objetivo primario; el resto fue "daño colateral" deliberado. Atribución Sandworm (GRU, unidad 74455). Confirmado por EE.UU., Reino Unido, UE y Australia en 2018.
# Componentes de NotPetya - resumen técnico EternalBlue -> exploit SMBv1 (CVE-2017-0144) para propagación sin usuario EternalRomance-> exploit SMBv1 alternativo (CVE-2017-0145) Mimikatz -> extrae hashes NTLM y tickets Kerberos de LSASS WMIC / PsExec-> ejecución remota con credenciales robadas MBR overwrite-> substituye Master Boot Record con código malicioso MFT encrypt -> cifra Master File Table (NTFS) -> archivos inaccesibles No recovery -> ID víctima pseudoaleatorio, sin clave real de descifrado

Impacto en la cadena OT

Danfoss confirmó que sus sistemas de producción no se detuvieron completamente gracias a que sus plantas cuentan con sistemas de control separados de la red corporativa. Sin embargo, las consecuencias operacionales fueron severas:

  • Sistemas de diseño y ingeniería (CAD, PLM) completamente inutilizados
  • Cadena logística paralizada: pedidos, expediciones y facturación sin funcionar
  • Soporte técnico global interrumpido para clientes industriales y supermercados
  • Portal de atención al cliente y documentación técnica inaccesibles
  • Comunicación interna reducida a llamadas telefónicas y reuniones presenciales
Lección clave: El impacto no afectó solo a Danfoss. Sus clientes - supermercados, plantas industriales, distribuidoras de energía - perdieron soporte técnico para sus sistemas de refrigeración y control en pleno verano europeo.

Contexto: las otras víctimas

NotPetya afectó a más de 60 países y causó daños totales estimados en más de 10.000 millones de dólares a nivel global:

Maersk ~300 M$ - reinstalaron 45.000 PCs y 4.000 servidores en 10 días Merck ~870 M$ - producción farmacéutica paralizada semanas FedEx / TNT ~400 M$ - paquetes perdidos, sistemas manuales durante meses Mondelez ~100 M$ - litigio con aseguradora (acto de guerra) Danfoss ~100 M DKK (~14MEUR) - recuperación en 2 semanas

La recuperación relativamente rápida de Danfoss se atribuye a sus políticas de backup y a la separación parcial entre IT y OT.

Exposición actual - Danfoss AK-SM

Según datos de Zscaler publicados en agosto de 2026, el parche para el AK-SM 800A lleva más de un año disponible y los dispositivos sin actualizar siguen siendo visibles en internet:

Shodan 3.726 interfaces AK-SM expuestas (a 19 agosto 2026) Censys ~2.800 interfaces detectadas Parche disponible Firmware R4.3.1 (2025) - corrige CVE-2025-41450
Cómo funciona el bypass (ICSA-25-140-03): CVE-2025-41450 implementa un mecanismo de acceso de emergencia cuya contraseña se calcula a partir de la fecha y hora del sistema - de ahí el apodo "código del día". Quien conoce la fórmula (publicada tras el aviso CISA) puede derivar la clave en cualquier momento sin robarla ni forzarla. El firmware R4.3.1 elimina este mecanismo por completo.

Lecciones para entornos OT

01 - PARCHEO
Gestión de parches urgente
MS17-010 tenía parche disponible desde marzo 2017, 3 meses antes del ataque. La dilación costó miles de millones globalmente.
02 - SEGMENTACIÓN
IT/OT network separation
La separación entre red corporativa y red de control industrial evitó que las plantas se detuvieran. El air-gap o DMZ industrial salva operaciones.
03 - BACKUPS
Copias offline verificadas
Los backups en línea también fueron cifrados. Solo las copias offline (cintas, sistemas aislados) permitieron la recuperación en 2 semanas en lugar de meses.
04 - CADENA SUMINISTRO
Riesgo de terceros
El vector inicial fue una actualización de software de un proveedor (M.E.Doc). Auditar las actualizaciones de software de terceros es crítico en OT.
05 - CONTINUIDAD
Plan de contingencia real
Danfoss demostró que un BCP (Business Continuity Plan) bien ensayado marca la diferencia. Sus 40.000 empleados mantuvieron operaciones mínimas sin sistemas.
06 - NORMATIVA
IEC 62443 y NIS2
NIS2 (2024) y IEC 62443 exigen exactamente las medidas que habrían mitigado este ataque: segmentación, gestión de parches, detección de intrusiones y planes de respuesta.
Referencias: Danfoss Press Releases (2017) - Andy Greenberg, "Sandworm" (2019) - CISA Alert AA18-074A - Wired "The Untold Story of NotPetya" - CVE-2017-0144 (MS17-010)
[V] Vulnerabilidad OT CRÍTICO
Febrero 2026 - ICSA-26-057-10

Copeland XWEB Pro: 23 vulnerabilidades en el controlador de refrigeración de miles de supermercados

Claroty Team82 descubre 21 vulnerabilidades de severidad alta en los modelos XWEB 300D, 500D y 500B PRO - la plataforma de supervisión de refrigeración más extendida en grandes superficies europeas. Entre ellas, una contraseña de administrador calculable a partir del MAC, la fecha y una semilla de firmware (CVSS 10.0).

Copeland CVSS 10.0 Claroty Team82 Refrigeración OT
ICSA-26-057-10 - Claroty Team82 - Febrero 2026

Copeland XWEB Pro - Análisis técnico completo

El dispositivo y su implantación

El Copeland XWEB Pro (modelos 300D, 500D y 500B PRO) es una plataforma de supervisión y control de instalaciones de refrigeración comercial. Gestiona compresores, condensadoras, murales frigoríficos y sistemas de climatización HVAC en grandes superficies: supermercados, hipermercados, centros logísticos y almacenes frigoríficos. Es el competidor directo del Danfoss AK-SM 800A en el mercado europeo.

Su interfaz web integrada permite al personal de mantenimiento supervisar alarmas, modificar setpoints de temperatura y acceder de forma remota - lo que también lo convierte en superficie de ataque directa si queda expuesto a internet.

Las vulnerabilidades - 23 CVEs, 21 de severidad alta

CVE-2026-21718 CVSS 10.0 - La contraseña del administrador no es aleatoria: se calcula a partir de la dirección MAC del dispositivo, la fecha del sistema y una semilla fija del firmware. Quien conoce el algoritmo (publicado tras el aviso) puede derivar la clave de cualquier XWEB Pro sin robarla. CVE-2026-24663 CVSS 9.0 - Ejecución remota de código sin autenticación. La ruta de instalación de librerías del sistema no está restringida; un atacante puede subir código arbitrario y ejecutarlo con privilegios del sistema. CVE-2026-25085 CVSS 8.6 - Bypass de autenticación mediante tabla vacía. Una condición de borde en el módulo de sesiones permite eludir el login dejando en blanco determinados campos de la petición HTTP. CVE-2026-21389 Severidad alta - Inyección de comandos a través de la importación de contactos. Campos no saneados en la función de importación CSV permiten ejecutar comandos del sistema operativo. + 19 CVEs adicionales Desbordamientos de buffer, path traversal, almacenamiento inseguro de credenciales, CSRF, XSS persistente y múltiples vectores de escalada de privilegios.
Patrón idéntico al Danfoss AK-SM: igual que el "código del día" de CVE-2025-41450, el CVE-2026-21718 implementa una contraseña calculable en lugar de aleatoria. Claroty Team82 investigó ambos fabricantes y encontró el mismo antipatrón de diseño en los dos productos líderes del mercado de refrigeración OT.

Impacto potencial en entornos reales

Un atacante que encadene CVE-2026-21718 (credenciales calculadas) + CVE-2026-24663 (RCE sin autenticación) obtiene control total del controlador XWEB Pro sin necesitar ninguna credencial previa. Desde ahí puede:

  • Modificar setpoints de temperatura en todos los murales y cámaras frigoríficas
  • Silenciar alarmas de temperatura para ocultar la alteración
  • Provocar pérdidas masivas de producto alimentario (cadena de frío rota)
  • Usar el XWEB como pivote hacia la red corporativa si no hay segmentación
  • Interrumpir operaciones durante períodos críticos (campañas navideñas, verano)

Exposición y parche

Aviso CISA ICSA-26-057-10 - publicado febrero 2026 Parche disponible Firmware 1.13 (febrero 2026) - corrige las 23 vulnerabilidades Exposición internet Mismo patrón de exposición que Danfoss AK-SM; interfaces web accesibles directamente sin VPN documentadas en búsquedas OSINT Fabricante Copeland (escisión de Emerson Climate Technologies, 2023)

Lecciones para entornos OT

01 - DISEÑO
Nunca contraseñas calculadas
Una contraseña derivada de datos conocidos o predecibles (MAC, fecha, semilla fija) no es una contraseña: es un algoritmo público con un resultado privado de nombre. El firmware 1.13 elimina este patrón.
02 - RED
Los controladores de refrigeración no deben ser internet-facing
XWEB Pro y AK-SM 800A son equipos de proceso, no servidores web. Acceso remoto legítimo: VPN corporativa con MFA. Nunca exposición directa de la interfaz HTTP/S al exterior.
03 - PARCHES
OT también necesita gestión de parches
El firmware 1.13 está disponible desde febrero 2026. La ventana de exposición entre publicación de CVEs y actualización de firmware en campo puede ser de meses en entornos OT sin proceso de gestión de parches activo.
04 - CADENA DE FRÍO
Disponibilidad como requisito de seguridad
La alteración silenciosa de temperatura en una cámara frigorífica es un ataque de disponibilidad con impacto económico y sanitario directo. La ciberseguridad OT en retail no es solo datos: es producto, es seguridad alimentaria.
05 - INVESTIGACIÓN
Claroty Team82 y el modelo de divulgación responsable
Las 23 vulnerabilidades fueron reportadas a Copeland antes de la publicación, permitiendo coordinar el parche con el aviso CISA. El mismo equipo investigó Danfoss AK-SM meses antes - patrón sistemático de revisión del sector refrigeración OT.
Referencias
ICSA-26-057-10 - CISA ICS Advisory INCIBE-CERT - Múltiples vulnerabilidades en Copeland XWEB Pro Claroty Team82 - Industrial Cybersecurity Research
[R] Incidente OT ESTADO
Agosto 2017 - Petro Rabigh, Arabia Saudí

Triton/TRISIS: el primer malware diseñado para desactivar los sistemas que evitan catástrofes físicas

Atacantes vinculados al CNIIHM de Moscú comprometieron los controladores Safety Instrumented System (SIS) Triconex de una planta petroquímica saudí. Su objetivo no era robar datos ni pedir rescate - era silenciar la última barrera entre un fallo del proceso y una explosión. Solo un bug en el propio malware lo detuvo.

Triton/TRISIS Schneider Triconex TEMP.Veles Safety Systems
TEMP.Veles - CNIIHM - Agosto 2017 - Arabia Saudí

Triton/TRISIS - Análisis técnico completo

Qué es un SIS - y por qué importa

Un Safety Instrumented System (SIS) es la última barrera de protección en una planta industrial. Mientras el DCS controla el proceso productivo y el PLC ejecuta la automatización, el SIS monitoriza condiciones de peligro - presión excesiva, temperatura crítica, concentración de gas tóxico - y actúa de forma autónoma para llevar el proceso a un estado seguro antes de que ocurra una catástrofe.

Los SIS están diseñados para ser independientes del resto de la red de control: tienen sus propios sensores, su propia lógica y sus propios actuadores. Esta independencia es exactamente lo que Triton atacó: si consigues desactivar el SIS, el proceso puede fallar de forma catastrófica sin que nada lo detenga.

Analogía para clase: el DCS es el conductor, el PLC es el motor, y el SIS son los airbags. Triton no atacó al conductor ni al motor - fue directamente a por los airbags.

El ataque - framework TRITON y protocolo TriStation

Objetivo Controladores Schneider Electric Triconex (modelos Tricon, Trident, Tri-GP) - Safety Instrumented System de la planta petroquímica Petro Rabigh, Arabia Saudí Vector inicial Acceso previo a la red IT corporativa -> movimiento lateral hasta la zona de ingeniería -> workstation de programación del SIS Protocolo TriStation 1131 - protocolo propietario de Schneider Electric, reverse-engineered por los atacantes para comunicarse directamente con los controladores sin software legítimo Framework TRITON: malware modular escrito en Python, empaquetado como ejecutable Windows. Módulos para comunicación TriStation, inyección de payload en la lógica de seguridad, y falsificación de respuestas al operador Objetivo final Reprogramar los controladores SIS para que ignorasen alarmas de peligro - de forma que al producirse el siguiente fallo del proceso, los SIS no pudieran actuar y el fallo escalara a accidente físico sin activar ninguna protección

El bug que salvó la planta

Durante el intento de reprogramar los controladores Triconex, un bug en el código de TRITON hizo que varios SIS entrasen en modo fail-safe - el estado seguro por defecto que detiene el proceso de forma controlada. No era el comportamiento esperado por los atacantes.

El operador, al ver el proceso detenido sin causa aparente, abrió una investigación. La respuesta al incidente descubrió el malware. Si TRITON hubiera funcionado correctamente, los SIS habrían sido comprometidos silenciosamente y nadie habría sabido que estaban desactivados hasta que el proceso fallara de verdad.

Consecuencia paradójica: Triton es el primer malware ICS conocido diseñado para causar daño físico y víctimas humanas - y fue descubierto por su propio fallo. Si hubiera funcionado bien, probablemente nunca lo habríamos conocido. Solo habríamos sabido de la explosión.

Atribución - TEMP.Veles y el CNIIHM

Grupo APT TEMP.Veles (Mandiant/FireEye) - XENOTIME (Dragos) Organización CNIIHM - Instituto Central de Investigación Científica en Química y Mecánica, Moscú - organismo del gobierno ruso bajo supervisión del Ministerio de Defensa Confirmación Departamento de Justicia de EE.UU. (2022) - acusación formal contra Evgeny Viktorovich Gladkikh y otros miembros del CNIIHM por los ataques a infraestructuras críticas mediante el framework TRITON Motivación No espionaje, no ransomware - capacidad de sabotaje con daño físico real. Preparación para un ataque destructivo diseñado para parecer un accidente industrial

Lecciones para entornos OT

01 - ARQUITECTURA
El air-gap del SIS debe ser real
Los atacantes llegaron al SIS desde la red IT corporativa. Un SIS no puede estar conectado a la misma red que los equipos de ingeniería de uso general. ISA/IEC 62443 e IEC 61511 son explícitos: el SIS requiere su propia zona de seguridad con acceso físico controlado y sin conectividad bidireccional.
02 - DETECCIÓN
Monitorizar el tráfico hacia los SIS
El protocolo TriStation no debería generar tráfico fuera de la workstation de programación autorizada. Cualquier comunicación inesperada hacia los controladores SIS es una señal de alarma. La detección de anomalías en protocolos propietarios de SIS es técnicamente posible y operativamente necesaria.
03 - INTEGRIDAD
Verificar el firmware de los SIS
Schneider Electric publicó herramientas de verificación de integridad para Triconex tras el incidente. Los SIS no son equipos "instala y olvida": su firmware y lógica de seguridad deben tener checksums verificables y un proceso de revisión periódico documentado.
04 - MODELO DE AMENAZA
Triton cambia lo que hay que defender
Antes de Triton, las evaluaciones de riesgo en SIS contemplaban fallos accidentales (IEC 61508/61511 primera edición). Triton demostró que los SIS son objetivos deliberados de actores estado. IEC 61511 ed. 2 (2016) ya exige evaluación de amenazas intencionales - pero muchas plantas siguen con evaluaciones de la primera edición.
05 - DISEÑO SEGURO
El fail-safe es la última línea de defensa
El diseño intrínsecamente seguro del Triconex (fail-safe al detectar anomalías en su propio comportamiento) fue lo que expuso el ataque. La seguridad funcional bien implementada puede detectar ataques cibernéticos como si fueran fallos de hardware - exactamente para eso existe el SIL.
Referencias
ICSA-18-107-02 - Schneider Electric Triconex Tricon (CISA) Dragos - TRISIS: Analyzing Safety System Targeted Malware Mandiant - TRITON Actor TTP Profile (TEMP.Veles) DoJ EE.UU. - Acusación contra miembros del CNIIHM (2022) Ver en la Cronología de Incidentes OT ->
Normativa UE 2022/2555
Octubre 2024 - Directiva NIS2

NIS2: la nueva directiva europea de ciberseguridad que obliga a miles de empresas industriales a reforzar su seguridad

La Directiva (UE) 2022/2555 amplía radicalmente el alcance de NIS1: ya no solo afecta a los grandes operadores de servicios esenciales, sino a miles de entidades en sectores críticos como energía, agua, transporte o fabricación. Con sanciones de hasta 10 millones de euros y responsabilidad directa de la alta dirección, NIS2 cambia las reglas del juego en ciberseguridad industrial.

NIS2 IEC 62443 OT/ICS Infraestructura Critica
Directiva (UE) 2022/2555 - Octubre 2024

NIS2 - Análisis completo para entornos OT/ICS

Que es NIS2 y por que importa

La Directiva NIS2 (Network and Information Security 2) es el marco europeo de ciberseguridad vigente. Aprobada en diciembre de 2022, derogó la Directiva NIS1 de 2016 y amplió enormemente su alcance. El plazo de transposición a los ordenamientos nacionales de los Estados miembros fue el 17 de octubre de 2024.

España no completó la transposición a tiempo. En 2025 se encuentra en tramitación la Ley de Coordinación y Gobernanza de la Ciberseguridad, que designará a INCIBE y al CCN como CSIRT nacionales de referencia para los sectores privado y publico respectivamente. Hasta su aprobación, la Directiva tiene efecto directo.

Quien está obligado: Anexo I y Anexo II

NIS2 clasifica a las entidades en dos grupos. Ya no es necesario que el Estado te designe como operador - si tu empresa encaja en los sectores y supera los umbrales de tamaño, estás obligada a cumplir.

Anexo I - Entidades esenciales Energía (electricidad, gas, petróleo, hidrogeno), transporte (aéreo, ferroviario, marítimo, carretera), banca, infraestructuras de mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital (proveedores DNS, cloud, datacenters, CDN, redes publicas), gestión de servicios TIC B2B, administración publica, espacio. Anexo II - Entidades importantes Servicios postales y mensajería, gestión de residuos, fabricación y distribución de productos químicos, producción y distribución de alimentos, fabricación critica (dispositivos médicos, equipos informáticos y electrónicos, maquinaria, vehículos, otro equipo de transporte), proveedores digitales (marketplaces, motores de búsqueda, redes sociales), investigación. Umbrales de tamaño Medianas empresas (mas de 50 empleados o mas de 10 millones EUR de facturación) y grandes empresas. Las microempresas y pequeñas empresas quedan excluidas salvo excepciones (p. ej., único proveedor nacional de un servicio critico).

Obligaciones principales

El articulo 21 de NIS2 establece las medidas mínimas que deben implementar todas las entidades afectadas:

  • Políticas de seguridad de las redes y sistemas - documentación, aprobación por la alta dirección y revisión periódica.
  • Gestión de incidentes - procedimientos para detección, análisis, contención, notificación y recuperación.
  • Continuidad del negocio - copias de seguridad, recuperación ante desastres y gestión de crisis.
  • Seguridad de la cadena de suministro - evaluación de proveedores y clausulas contractuales de ciberseguridad.
  • Seguridad en el desarrollo y adquisición de sistemas - gestión de vulnerabilidades y divulgación responsable.
  • Formación y concienciación - los órganos de dirección deben recibir formación especifica en ciberseguridad.
  • Criptografía y cifrado - uso de criptografía adecuada para datos en transito y en reposo.
  • Control de acceso y autenticación multifactor (MFA) - obligatorio para el acceso a sistemas críticos.
  • Seguridad de recursos humanos - verificación de antecedentes, procesos de incorporación y baja.

Notificación de incidentes - plazos obligatorios

24 horas Alerta temprana al CSIRT nacional (INCIBE-CERT o CCN-CERT) desde el momento en que se detecta un incidente significativo. Se considera significativo aquel que cause o pueda causar graves perturbaciones operativas o pérdidas económicas importantes. 72 horas Notificación de incidente completa: descripción del incidente, sistemas afectados, impacto estimado y medidas adoptadas hasta ese momento. 1 mes Informe final con análisis completo de causa raíz, medidas correctoras implementadas y lecciones aprendidas.
Novedad clave: NIS1 solo obligaba a notificar al regulador nacional. NIS2 introduce la notificación cruzada: si el incidente puede afectar a usuarios en otros países, el CSIRT lo comunicara a sus homólogos europeos a través de la red CyCLONe.

Sanciones

Entidades esenciales (Anexo I) Multa maxima de 10.000.000 EUR o el 2% del volumen de negocio mundial total anual, si esta cifra fuera superior. Entidades importantes (Anexo II) Multa maxima de 7.000.000 EUR o el 1,4% del volumen de negocio mundial total anual, si esta cifra fuera superior. Responsabilidad personal Los órganos de dirección pueden ser declarados responsables personales del incumplimiento. NIS2 permite a las autoridades prohibir temporalmente el ejercicio de funciones directivas a las personas responsables.

Impacto especifico en entornos OT/ICS

NIS2 no distingue entre IT y OT: las obligaciones aplican a todos los sistemas de información y redes de la entidad, incluidos los sistemas de control industrial. Esto tiene implicaciones directas:

  • Los PLC, SCADA, DCS e ICS quedan dentro del alcance de las medidas de gestión de riesgos.
  • La segmentación de redes IT/OT y la gestión de acceso remoto son requisitos implícitos del articulo 21.
  • La IEC 62443 es la norma de referencia para demostrar cumplimiento en entornos industriales - varios estados miembros ya la citan expresamente en sus guías de transposición.
  • Los proveedores de equipos OT (integradores, fabricantes de PLC, empresas de mantenimiento remoto) entran como parte de la cadena de suministro que hay que auditar y controlar.
  • Los incidentes en sistemas OT que causen perturbaciones operativas significativas deben notificarse al CSIRT en el mismo plazo de 24 horas que cualquier otro incidente.

NIS1 frente a NIS2 - principales diferencias

Alcance NIS1 requería designación previa por el Estado. NIS2 aplica directamente por sector y tamaño - la entidad debe autoevaluarse. Sectores NIS1: 7 sectores. NIS2: 18 sectores, incluyendo fabricación critica, administración publica y espacio. Sanciones NIS1 dejaba las sanciones a criterio de cada Estado miembro. NIS2 fija mínimos máximos armonizados en toda la UE. Responsabilidad directiva NIS1 no contemplaba responsabilidad personal. NIS2 permite sancionar directamente a los órganos de gobierno. Cadena de suministro NIS1 no la regulaba. NIS2 la convierte en obligación expresa del articulo 21.
Referencias
Directiva (UE) 2022/2555 - texto completo en EUR-Lex INCIBE - Guía NIS2 para empresas ENISA - NIS2 Directive CCN-CERT - Centro Criptológico Nacional
Normativa IEC 62443
Serie vigente - ISA/IEC 62443

IEC 62443: el marco de referencia para la ciberseguridad industrial que cita la propia NIS2

La serie IEC 62443 es el conjunto de normas internacionales específicamente diseñado para proteger los sistemas de automatización y control industrial (IACS). Desarrollada por ISA y adoptada por IEC, estructura la ciberseguridad OT en niveles de seguridad (SL), zonas y conductos, y es la referencia que reguladores europeos señalan para demostrar cumplimiento con NIS2.

IEC 62443 ISA IACS Zonas y Conductos
Serie ISA/IEC 62443 - Referencia global para OT/ICS

IEC 62443 - Guía completa para entornos industriales

Que es la serie IEC 62443

La serie IEC 62443 (anteriormente ISA-99) es el conjunto de normas internacionales para la ciberseguridad de los Sistemas de Automatización y Control Industrial (IACS). La desarrolló originalmente la International Society of Automation (ISA) y fue adoptada y publicada por IEC. Es la única serie de normas específicamente diseñada para OT, a diferencia de ISO 27001 que nació para IT.

La serie se organiza en cuatro grupos numerados del 1 al 4, cada uno con varias partes. No todas las partes son normas certificables - algunas son informes tecnicos o guías de uso.

Estructura de la serie

Serie 1 - General Terminología, conceptos, modelos y métricas comunes. La parte 1-1 define el modelo de referencia IACS y el marco conceptual completo. Base obligatoria para entender el resto. Serie 2 - Políticas y procedimientos Requisitos para los propietarios de activos (asset owners) y los proveedores de servicios. Incluye el modelo de madurez del programa de seguridad (CSMS - Cyber Security Management System) y los requisitos de parcheo y actualización. Serie 3 - Sistema Requisitos de seguridad a nivel de sistema. La parte 3-2 define la metodología de evaluación de riesgos para IACS. La parte 3-3 establece los Requisitos de Sistema de Seguridad (SSR) organizados en siete categorías funcionales. Serie 4 - Componente Requisitos para fabricantes de componentes (PLC, HMI, sensores, switches industriales). La parte 4-2 define los Requisitos de Componente de Seguridad (CR). La parte 4-1 especifica el ciclo de desarrollo seguro para fabricantes.

Conceptos clave: Zonas, Conductos y Niveles de Seguridad

Zona de seguridad (Security Zone) Agrupación lógica de activos que comparten el mismo nivel de seguridad requerido. Todos los activos dentro de una zona deben cumplir el SL de esa zona. Ejemplo: zona de control (PLC + HMI), zona de supervisión (SCADA), zona IT corporativa. Conducto (Conduit) Canal de comunicación entre zonas. Cada conducto debe tener sus propios controles de seguridad (firewalls, DMZ, diodos de datos) proporcionales a las zonas que conecta. SL 1 - Protección básica Protege contra violaciones involuntarias o accidentales. Mínimo exigible en cualquier instalación industrial. SL 2 - Protección frente a ataques deliberados simples Protege contra atacantes con medios y motivación limitados. Nivel mínimo recomendado para infraestructuras criticas. SL 3 - Protección frente a ataques sofisticados Protege contra atacantes con habilidades avanzadas, conocimiento especifico del sistema y recursos significativos. Exigible en sectores de alta criticidad (energía, agua, transporte). SL 4 - Protección frente a ataques de estado Protege contra actores con capacidades de estado nación y motivación extrema. Se aplica en infraestructuras de defensa nacional, nucleares y similares.

Las siete categorías funcionales de seguridad (FR)

  • FR 1 - Control de identificación y autenticación (IAC): gestión de identidades, MFA, política de contraseñas.
  • FR 2 - Control de uso (UC): autorización, segregación de funciones, mínimo privilegio.
  • FR 3 - Integridad del sistema (SI): protección contra modificaciones no autorizadas, firmas digitales.
  • FR 4 - Confidencialidad de los datos (DC): cifrado en transito y en reposo.
  • FR 5 - Flujo de datos restringido (RDF): segmentación de red, firewalls, listas de control de acceso.
  • FR 6 - Respuesta oportuna a eventos (TRE): monitorización, alertas, logs, respuesta a incidentes.
  • FR 7 - Disponibilidad de los recursos (RA): resiliencia, redundancia, protección contra DoS.

Relacion con NIS2 y ENS

Varios estados miembros de la UE, entre ellos Alemania (BSI) y los Países Bajos (NCSC-NL), ya citan expresamente IEC 62443 en sus guías de transposición de NIS2 como la norma de referencia para demostrar el cumplimiento del articulo 21 en entornos industriales. En España, el CCN la referencia en sus Guías CCN-STIC para sistemas industriales.

Consejo practico: Para una empresa industrial que necesita demostrar cumplimiento con NIS2, la estrategia mas eficiente es implementar IEC 62443-2-1 (CSMS) y 3-3 (requisitos de sistema) al nivel SL requerido por su sector. Esto cubre la mayoría de las obligaciones del articulo 21 de NIS2 de forma documentada y auditable.
Referencias
ISA - Serie ISA/IEC 62443 (pagina oficial) ENISA - Buenas practicas de seguridad para ICS/SCADA CCN-CERT - Guías CCN-STIC para sistemas industriales
Normativa RD 311/2022
Mayo 2022 - Real Decreto 311/2022

ENS actualizado: el Esquema Nacional de Seguridad refuerza sus exigencias para sistemas de las administraciones publicas

El Real Decreto 311/2022 actualiza el Esquema Nacional de Seguridad, de obligado cumplimiento para todas las administraciones publicas españolas y sus proveedores tecnológicos. Introduce nuevas categorías de sistemas, eleva las medidas exigibles y extiende su aplicación a entidades privadas que presten servicios a la Administración, incluyendo infraestructuras OT municipales y autonómicas.

ENS CCN-CERT Administración Publica OT Municipal
Real Decreto 311/2022 - CCN-CERT

Esquema Nacional de Seguridad - Análisis para entornos OT

Que es el ENS y a quien aplica

El Esquema Nacional de Seguridad (ENS) es el marco normativo de ciberseguridad de obligado cumplimiento en España para las administraciones publicas y las entidades privadas que presten servicios o suministren tecnología a la Administración. Fue creado por el Real Decreto 3/2010 y completamente revisado por el Real Decreto 311/2022, que entro en vigor en mayo de 2022.

En el contexto OT, el ENS afecta directamente a los sistemas de control de infraestructuras publicas: redes de agua municipales, alumbrado publico inteligente, gestión de residuos, semáforos y trafico, y cualquier sistema de automatización gestionado por una entidad publica o por una empresa privada contratada por ella.

Categorías de seguridad

El ENS clasifica los sistemas en tres categorías según el impacto que tendría un incidente de seguridad:

Categoría BASICA El impacto de un incidente seria limitado: perjuicio leve para las funciones de la organización, daño menor a individuos sin consecuencias graves. Aplica a sistemas administrativos de bajo riesgo. Categoría MEDIA El impacto seria moderado: degradación significativa de las capacidades de la organización, daño a individuos sin que sea grave ni duradero. La mayoría de sistemas de gestión de infraestructuras municipales entra en esta categoría. Categoría ALTA El impacto seria grave o muy grave: incapacitación de funciones criticas, daño grave a individuos, implicaciones económicas o de seguridad nacional significativas. Sistemas de control de agua potable, energía o transporte critico.

Las 75 medidas de seguridad

El Anexo II del ENS define 75 medidas de seguridad organizadas en tres marcos:

  • Marco organizativo: política de seguridad, normativas, procedimientos y roles. Las medidas aplican independientemente de la categoría del sistema.
  • Marco operacional: planificación, control de acceso, explotación, recursos externos, continuidad del servicio y monitorización. La exigencia aumenta con la categoría.
  • Medidas de protección: instalaciones, sistemas, comunicaciones, soportes de información, aplicaciones y servicios. Cada medida tiene un nivel de exigencia (bajo, medio, alto) por categoría de sistema.

Certificación y auditorias

Declaración de Conformidad Para sistemas de categoría BASICA. La propia entidad declara el cumplimiento mediante autoevaluación. Informe de Conformidad Para sistemas de categoría MEDIA. Requiere auditoria por un auditor cualificado cada dos años. Certificación ENS Para sistemas de categoría ALTA. Auditoria por entidad de certificación acreditada por ENAC cada dos años. El CCN-CERT publica la lista de entidades certificadoras autorizadas. PILAR Herramienta oficial del CCN para análisis de riesgos y cumplimiento ENS. Disponible gratuitamente para entidades publicas.
Referencias
BOE - Real Decreto 311/2022, de 3 de mayo (texto completo) CCN-CERT - Portal oficial del ENS CCN-CERT - Herramienta PILAR para análisis de riesgos ENS
Normativa En vigor 2027
Noviembre 2024 - Reglamento (UE) 2024/2847

Cyber Resilience Act: la UE obliga a los fabricantes de PLC, sensores y HMI a garantizar ciberseguridad durante toda la vida útil del producto

El Reglamento Europeo de Ciberresiliencia (CRA) aprobado en octubre de 2024 impone por primera vez requisitos obligatorios de ciberseguridad a todos los productos con elementos digitales vendidos en la UE. Afecta directamente a fabricantes de equipos OT - controladores, sensores conectados, sistemas SCADA y routers industriales - que deberán garantizar actualizaciones de seguridad durante cinco años mínimo.

CRA Fabricantes OT Productos Digitales Secure by Design
Reglamento (UE) 2024/2847 - Entrada en vigor 2027

Cyber Resilience Act - Impacto en equipos y fabricantes OT

Que es el CRA

El Cyber Resilience Act (CRA) es el primer reglamento europeo que impone requisitos de ciberseguridad obligatorios a los fabricantes de productos con elementos digitales - hardware o software con conectividad de red. Aprobado el 10 de octubre de 2024 y publicado en el Diario Oficial de la UE en noviembre de 2024, tiene plazos de aplicación escalonados hasta 2027.

A diferencia de NIS2, que regula a los operadores de servicios, el CRA regula a los fabricantes y distribuidores. Si un PLC, un sensor o un router industrial se vende en la UE, su fabricante debe cumplir el CRA independientemente de donde este ubicado.

Clasificacion de productos

Productos por defecto La gran mayoría de productos digitales. El fabricante puede hacer la evaluación de conformidad por si mismo (autodeclaración). Incluye: dispositivos IoT genéricos, software de aplicación, periféricos con conectividad. Clase I - Críticos Productos con mayor superficie de ataque cuya vulneración podría tener impacto significativo. Requieren auditoria de tercero. Incluye: navegadores, gestores de contraseñas, software de seguridad, sistemas operativos industriales, controladores de red. Clase II - Muy críticos Productos cuyo fallo podría causar graves perturbaciones sistémicas. Requieren certificación bajo esquema europeo de ciberseguridad (EUCS). Incluye: hipervisores, firewalls industriales, PKI, sistemas de control industrial críticos.
Impacto directo en OT: Los PLCs, HMIs y gateways industriales de los principales fabricantes (Siemens, Rockwell, Schneider, ABB, Beckhoff) deberán cumplir los requisitos del CRA para poder venderse en Europa a partir de 2027. Esto afecta a todos los proyectos de renovación de automatización industrial.

Obligaciones para fabricantes

  • Diseño seguro por defecto (Secure by Design): los productos deben lanzarse sin vulnerabilidades conocidas explotables, con la superficie de ataque mínima y autenticación adecuada habilitada por defecto.
  • Actualizaciones de seguridad: el fabricante debe proporcionar actualizaciones de seguridad durante un mínimo de 5 años o durante la vida útil esperada del producto si es menor. Las actualizaciones deben poder instalarse de forma sencilla.
  • SBOM (Software Bill of Materials): lista completa de todos los componentes software incluidos en el producto, para facilitar la gestión de vulnerabilidades.
  • Notificación de vulnerabilidades: el fabricante debe notificar a ENISA las vulnerabilidades activamente explotadas en un plazo de 24 horas.
  • Documentación técnica: manual de seguridad, guía de configuración segura y declaración de conformidad accesibles al usuario.

Plazos de aplicación

Noviembre 2024 Publicación en el Diario Oficial. El reglamento entra en vigor 20 días después. Septiembre 2026 Las obligaciones de notificación de incidentes y vulnerabilidades serán aplicables. Diciembre 2027 Fecha limite para que todos los productos nuevos que se lancen al mercado europeo cumplan el CRA. Los productos ya en el mercado tienen un periodo de transición.
Referencias
Reglamento (UE) 2024/2847 - texto completo en EUR-Lex ENISA - Cyber Resilience Act
Normativa UE 2022/2557
Octubre 2024 - Directiva CER

Directiva CER: la UE exige resiliencia física a los operadores de infraestructuras criticas, complementando a NIS2

La Directiva (UE) 2022/2557 sobre la Resiliencia de las Entidades Criticas (CER) se aprobó el mismo día que NIS2 y comparte su plazo de transposición - octubre de 2024. Mientras NIS2 cubre la ciberseguridad, CER aborda la resiliencia física: protección frente a sabotajes, catástrofes naturales, terrorismo y otros riesgos no digitales que pueden paralizar servicios esenciales.

CER Infraestructura Critica Resiliencia NIS2
Directiva (UE) 2022/2557 - Octubre 2024

Directiva CER -- Resiliencia de entidades criticas

Que es la Directiva CER y por que existe

La Directiva sobre la Resiliencia de las Entidades Criticas (CER, por sus siglas en ingles: Critical Entities Resilience) fue aprobada el 14 de diciembre de 2022, el mismo día que NIS2, y su plazo de transposición fue también el 17 de octubre de 2024. Deroga la Directiva europea sobre infraestructuras criticas de 2008, que había quedado completamente desfasada.

CER y NIS2 forman un binomio intencionado: NIS2 protege los sistemas de información y redes, CER protege la infraestructura física. Una instalación de tratamiento de agua, por ejemplo, necesita tanto ciberseguridad (NIS2) como protección contra sabotaje físico, inundaciones o fallos de suministro eléctrico (CER). Las dos directivas comparten definiciones, sectores y mecanismos de supervisión para evitar duplicidades.

Sectores cubiertos

CER aplica a los mismos once sectores del Anexo I de NIS2 mas uno adicional:

Energía Electricidad, petróleo, gas natural e hidrogeno. Incluye infraestructura de generación, transporte y distribución. Transporte Aéreo, ferroviario, marítimo y viario. Operadores de infraestructuras de transporte y empresas de logística critica. Banca y mercados financieros Entidades de crédito, infraestructuras de mercados financieros y depósitos centrales de valores. Sanidad Hospitales, laboratorios de referencia, fabricantes de medicamentos y dispositivos médicos críticos. Agua potable y aguas residuales Operadores de sistemas de captación, tratamiento, almacenamiento y distribución de agua potable, y de recogida y tratamiento de aguas residuales. Infraestructura digital Puntos de intercambio de internet, proveedores DNS, registros de nombres de dominio, proveedores cloud, datacenters y redes de comunicaciones publicas. Administración publica Entidades de la administración central. Los estados miembros pueden excluir a la administración regional y local. Espacio Operadores de infraestructura espacial de tierra (estaciones de seguimiento, control de satélites) que presten servicios esenciales en la UE. Alimentación Sector exclusivo de CER que no figura en NIS2: producción, transformación y distribución de alimentos a gran escala.

Como funciona: identificación y obligaciones

CER establece un proceso de identificación en dos niveles. Primero, cada Estado miembro elabora una evaluación nacional de riesgos para sus infraestructuras criticas en un plazo de 21 meses desde la transposición. Con esa evaluación como base, el Estado identifica cuales son las entidades criticas de cada sector.

Las entidades identificadas como criticas tienen las siguientes obligaciones:

  • Evaluación de riesgos propia: análisis especifico de los riesgos que podrían afectar a la prestación de sus servicios esenciales, considerando riesgos físicos, digitales, medioambientales y sociales.
  • Medidas de resiliencia: medidas técnicas, de seguridad y organizativas para prevenir incidentes, resistir sus efectos, absorber perturbaciones y recuperarse. Incluye protección perimetral, control de acceso físico, planes de continuidad y redundancia de infraestructura.
  • Plan de resiliencia: documento que recoge las medidas adoptadas, los responsables y los procedimientos de respuesta. Debe revisarse periódicamente y tras cada incidente significativo.
  • Verificación de antecedentes: las entidades pueden solicitar a las autoridades que verifiquen los antecedentes de personas que ocupen funciones sensibles o que accedan a zonas criticas.
  • Notificación de incidentes: los incidentes que perturben significativamente la prestación del servicio esencial deben notificarse a la autoridad competente nacional tan pronto como sea posible y en un plazo máximo de 24 horas para la alerta inicial.

Entidades criticas de especial importancia europea

CER introduce una figura nueva: las entidades criticas de especial importancia para la UE. Son entidades que prestan servicios esenciales a seis o mas Estados miembros. La Comisión Europea puede solicitar una inspección coordinada de estas entidades y facilitarles asesoramiento especializado. Se trata de operadores de infraestructura transeuropea cuya perturbación tendría impacto a escala continental.

CER frente a NIS2 -- diferencias clave

Ámbito NIS2 regula la ciberseguridad de redes y sistemas de información. CER regula la resiliencia física de la infraestructura y la continuidad del servicio ante cualquier tipo de perturbación. Amenazas cubiertas NIS2: ciberataques, fallos de TI. CER: terrorismo, sabotaje, catástrofes naturales, accidentes, emergencias de salud pública, amenazas híbridas (combinación de físico y ciber). Identificación de obligados NIS2: las entidades se autoevalúan por sector y tamaño. CER: el Estado identifica activamente a cada entidad crítica mediante la evaluación nacional de riesgos. Numero de entidades NIS2 afecta a miles de empresas medianas y grandes en múltiples sectores. CER afecta a un número mucho menor de operadores de infraestructura verdaderamente crítica identificados por el Estado. Supervisión NIS2: autoridades de ciberseguridad nacionales. CER: autoridades sectoriales especificas (energía, transporte, agua) coordinadas a nivel europeo por la Comisión.

Impacto en entornos OT

Para los profesionales de ciberseguridad industrial, CER introduce la perspectiva de que los sistemas OT no solo deben resistir ciberataques sino perturbaciones de cualquier tipo. Esto significa que los planes de respuesta a incidentes y continuidad del negocio deben contemplar escenarios no digitales: corte de suministro eléctrico a la planta, acceso físico no autorizado a la sala de control, inundación del cuadro de PLCs o sabotaje de sensores críticos.

Convergencia IT/OT/Físico: CER + NIS2 juntas obligan por primera vez a los operadores de infraestructuras criticas a gestionar de forma coordinada la seguridad digital y la resiliencia física. Los equipos de ciberseguridad OT y los de seguridad física (protección de instalaciones) deben trabajar con un marco común de evaluación de riesgos.
Referencias
Directiva (UE) 2022/2557 -- texto completo en EUR-Lex ENISA -- Directiva CER INCIBE -- Instituto Nacional de Ciberseguridad
Evento Pamplona - Baluarte
19 octubre 2026 - Semana Navarra de la Ciberseguridad

"La ciberseguridad no es cosa de magia... ¿o sí?" - Jorge Luengo en la Semana Navarra de la Ciberseguridad 2026

Jorge Luengo, referente en ciberseguridad y divulgación tecnológica en España, protagonizó una de las ponencias más esperadas de la Semana Navarra de la Ciberseguridad 2026. Con entrada gratuita y en el Auditorio Baluarte de Pamplona, la charla combinó demostraciones prácticas con reflexión sobre la percepción social de la ciberseguridad.

Evento Jorge Luengo Navarra Divulgación
Semana Navarra de la Ciberseguridad 2026 - Baluarte, Pamplona

Jorge Luengo en Pamplona - La ciberseguridad no es cosa de magia

El evento

La Semana Navarra de la Ciberseguridad 2026 reunió en Pamplona a profesionales, investigadores y publico en general en torno a la ciberseguridad. Organizada con el apoyo del Gobierno de Navarra y el Navarra Cybersecurity Center (NavCC), la semana incluyo ponencias, talleres y actividades de concienciación con entrada libre y gratuita.

La sesión de Jorge Luengo, celebrada el 19 de octubre de 2026 en el Auditorio Baluarte de Pamplona, fue uno de los actos centrales de la semana. Luengo es conocido por su capacidad para acercar la ciberseguridad al publico no técnico sin sacrificar el rigor.

Jorge Luengo

Jorge Luengo es consultor de ciberseguridad, conferenciante y divulgador tecnológico. Ha trabajado como perito judicial informático y es autor de varios libros sobre hacking ético e inteligencia en fuentes abiertas (OSINT). Es uno de los divulgadores de ciberseguridad mas seguidos en España en redes sociales y plataformas de formación online.

Su enfoque mezcla demostraciones técnicas en directo, que a menudo parecen actos de magia al publico no iniciado con mensajes de concienciación accesibles para cualquier perfil. El título de su ponencia en Pamplona, "La ciberseguridad no es cosa de magia... ¿o si?", resume bien ese doble registro.

Navarra Cybersecurity Center (NavCC)

El NavCC es el hub de ciberseguridad de Navarra, impulsado por el Gobierno de Navarra, INCIBE y Nasertic con fondos del Plan de Recuperación europeo. Su objetivo es reforzar el ecosistema de ciberseguridad regional: formación, capacitación empresarial, I+D y coordinación entre sector publico y privado.

Web oficial www.navcc.es Sede Pamplona, Navarra Coordinador Juan Ramon Aramendia Muñeta
Referencias
NavCC - Navarra Cybersecurity Center Auditorio Baluarte de Pamplona