Documentación técnica SCADA y cumplimiento NIS2. Respuesta en menos de 3 segundos.

La convergencia IT/OT introduce riesgos que antes eran exclusivos del mundo de la tecnología de la información en entornos donde la disponibilidad y la seguridad física son críticas. Los principales riesgos incluyen: la exposición de sistemas SCADA y PLC a vectores de ataque propios de redes IT (ransomware, phishing, vulnerabilidades de software), la falta de segmentación adecuada entre redes OT e IT que permite el movimiento lateral de amenazas, la dificultad de aplicar parches en sistemas OT sin interrumpir la producción, la proliferación de dispositivos IoT industriales con seguridad insuficiente y la ausencia de inventarios actualizados de activos OT. NIS2 (Directiva EU 2022/2555) obliga a los operadores de infraestructuras críticas a gestionar estos riesgos con medidas técnicas y organizativas documentadas bajo pena de sanciones de hasta 10 millones de euros o el 2% del volumen de negocio global.

La Directiva NIS2 (EU 2022/2555), transpuesta en España mediante la Ley de Ciberseguridad de Redes y Sistemas de Información, impone obligaciones específicas a los operadores de servicios esenciales e importantes que utilizan sistemas SCADA o ICS. El artículo 21 exige: análisis de riesgos y políticas de seguridad de los sistemas de información (incluyendo OT), gestión de incidentes con notificación al CSIRT nacional en menos de 24 horas para incidentes significativos y 72 horas para informes completos, continuidad de negocio y gestión de crisis, seguridad de la cadena de suministro (proveedores de hardware y software OT), seguridad en la adquisición, desarrollo y mantenimiento de sistemas (incluyendo SCADA/PLC), políticas y procedimientos de criptografía, seguridad de los recursos humanos y control de acceso. El incumplimiento puede suponer sanciones de hasta 10M€ o 2% del volumen de negocio global para operadores esenciales.

NIS2 artículo 21 exige medidas de seguridad de red adecuadas al riesgo, sin prescribir una arquitectura específica. Las guías de referencia son el modelo Purdue y las recomendaciones del CCN-CERT (guía CCN-STIC 480 para entornos industriales). La segmentación recomendada establece al menos tres zonas: Zona IT (nivel corporativo, ERP, correo), Zona DMZ industrial (históricos de proceso, servidores SCADA accesibles desde IT), y Zona OT pura (PLC, DCS, RTU, HMI de campo). Entre zonas deben existir firewalls industriales o data diodes con reglas estrictas de allow-list. El acceso remoto a OT debe realizarse siempre a través de jump servers en la DMZ con autenticación multifactor. IEC 62443 es el estándar técnico de referencia para segmentación en entornos OT industriales.

El Management of Change (MOC) en entorno OT es el proceso formal de gestión de cambios en sistemas industriales (PLC, SCADA, firmware, configuraciones de red OT) que garantiza que cualquier modificación se evalúa, aprueba, documenta y verifica antes de implementarse en producción. En OT es crítico por varias razones: un cambio de configuración incorrecto puede provocar paradas de planta con costes de decenas de miles de euros por hora, puede crear vulnerabilidades de seguridad en sistemas que no se pueden parchear fácilmente, y puede invalidar validaciones de sistemas regulados (farmacia, alimentación, energía). El MOC-IT en OT debe incluir: descripción técnica del cambio, análisis de impacto en seguridad y disponibilidad, plan de rollback, aprobación del responsable de producción y de ciberseguridad OT, ventana de mantenimiento planificada, y registro documental del estado pre y post-cambio del sistema afectado.

El patch management en entornos SCADA es uno de los desafíos más complejos de la ciberseguridad OT. Los sistemas SCADA y los HMI industriales suelen ejecutar sistemas operativos sin soporte (Windows XP, Windows 7) porque el proveedor del sistema de control no ha validado versiones más nuevas. La estrategia recomendada por CCN-CERT y CISA incluye: inventario completo y actualizado de activos OT con su nivel de parcheo, clasificación de vulnerabilidades por criticidad en el contexto OT (una vulnerabilidad crítica en IT puede ser de bajo riesgo si el activo está aislado), aplicación de parches en entorno de pruebas homologado antes de producción, compensación de vulnerabilidades no parcheables con controles adicionales (segmentación, monitorización), y coordinación con el proveedor del sistema de control para actualizaciones validadas. Las ventanas de mantenimiento deben planificarse con el responsable de producción.

El backup de configuraciones PLC y SCADA es fundamental para la resiliencia operacional y un requisito explícito en NIS2 (continuidad de negocio, art. 21). Las buenas prácticas establecen: backup de los programas de PLC (ladder, FBD, SCL) y configuraciones de red industrial tras cada cambio, almacenamiento de backups en ubicación segregada física y lógicamente de la red OT (no en el propio controlador ni en la misma VLAN), verificación periódica de la integridad y restaurabilidad de los backups, documentación del procedimiento de recuperación con pasos secuenciales, tiempos estimados y responsables. Para incidentes graves (ransomware OT, fallo de hardware), el RTO (Recovery Time Objective) debe estar definido y el equipo debe haber practicado el procedimiento de restauración. Herramientas como el software de gestión de Siemens TIA Portal, Rockwell Studio 5000 o Schneider EcoStruxure permiten automatizar el versionado de programas PLC.