El criterio técnico del Responsable de Seguretat OT, con la norma citada. Sin frenar la planta.

El CISO corporativo suele tener la responsabilidad global de ciberseguridad IT y, en muchas organizaciones, también OT en el papel. Pero el Responsable de Seguretat OT es quien conoce el proceso físico, las restricciones de disponibilidad de la planta y las ventanas de mantenimiento reales — y es quien debe traducir un requisito IEC 62443 o una obligación NIS2 a una decisión que no pare producción de forma injustificada. En organizaciones maduras, el rol reporta funcionalmente al CISO pero opera con criterio propio sobre el terreno, porque las decisiones en OT (aplicar un parche, aislar una zona, forzar un reinicio de PLC) tienen consecuencias físicas que IT no gestiona.

Ante una auditoría o inspección NIS2, el Responsable de Seguretat OT debe poder acreditar: (1) el inventario actualizado de activos OT y su clasificación por criticidad, (2) la evaluación de riesgos vigente con fecha de última revisión, (3) las medidas técnicas y organizativas implementadas proporcionadas al riesgo (art. 21 de la Directiva NIS2), (4) el registro de notificaciones de incidentes significativos con los plazos de 24h/72h/30 días cumplidos, y (5) la evidencia de gestión de la seguridad de la cadena de suministro (proveedores de PLCs, integradores, mantenimiento externo). La responsabilidad legal última recae en el órgano de dirección, pero el Responsable de Seguretat OT es quien prepara y sostiene la evidencia técnica.

La decisión no es puramente técnica: combina la severidad de la vulnerabilidad (CVSS, explotabilidad conocida en CISA ICS-CERT), la exposición real del sistema afectado (¿está segmentado?, ¿tiene acceso remoto?), y el impacto de una parada no planificada en el proceso físico. El criterio habitual es: si la vulnerabilidad es explotada activamente (KEV de CISA) y el sistema es accesible desde una zona de menor confianza, se justifica una ventana de mantenimiento de emergencia con el equipo de producción. Si el sistema está aislado en una zona segura según el modelo Purdue y no hay explotación conocida, se documenta como riesgo aceptado con controles compensatorios (monitorización reforzada, restricción de acceso) hasta la ventana planificada. Esta decisión debe quedar documentada — es una de las evidencias que pide una auditoría IEC 62443.

En un incidente que cruza IT/OT (por ejemplo, ransomware que entra por la red corporativa y se propaga hacia la DMZ industrial), el protocolo más eficaz define dos líderes con ámbitos claros: el equipo IT lidera la contención y el análisis forense en la red corporativa, mientras el Responsable de Seguretat OT lidera cualquier decisión que afecte al proceso físico — incluida la decisión de aislar la DMZ industrial o pasar sistemas a modo manual. Ningún equipo debe tomar unilateralmente una decisión que apague o degrade un sistema de control sin la validación del responsable OT, porque las consecuencias de una parada mal gestionada pueden ser peores que el propio incidente.

Los indicadores más útiles para dirección combinan madurez y exposición: porcentaje de activos OT inventariados y clasificados, Security Level alcanzado frente al objetivo por zona (modelo Purdue), número de vulnerabilidades críticas abiertas y su antigüedad media, tiempo medio de contención de incidentes OT, porcentaje de proveedores críticos con cláusula de seguridad auditada, y estado de cumplimiento NIS2 (documentación al día, simulacros de notificación realizados). El objetivo es traducir el trabajo técnico a riesgo de negocio: qué probabilidad hay de una parada de producción por causa de ciberseguridad y cómo evoluciona trimestre a trimestre.

Sí. Además de las bases de ciberseguridad, el rol requiere conocimiento de arquitecturas de control industrial (SCADA, DCS, PLC), el estándar IEC 62443 completo (no solo la parte de controles técnicos, también los requisitos de proceso para operadores de la 62443-2-1), el modelo Purdue de segmentación, y criterio de seguridad de proceso — entender por qué en OT la disponibilidad prima sobre la confidencialidad. Certificaciones como GICSP (Global Industrial Cyber Security Professional) o ISA/IEC 62443 Cybersecurity Expert son las más reconocidas para el rol. La experiencia de planta (mantenimiento, instrumentación, automatización) es tan valiosa como la experiencia pura en ciberseguridad.