Diseño sistemas de control industrial y su defensa. Lo he hecho para centrales eléctricas, una instalación de gas, subestaciones eléctricas y unidades cibernéticas de gobiernos, en Israel, Turquía, Ghana, Singapur y Japón. Esta página explica qué normas se aplican a los operadores en España y dónde ayuda un ingeniero OT externo.

Qué normas se aplican

Ley 8/2011 de protección de infraestructuras críticas

La Ley 8/2011 y su reglamento, el Real Decreto 704/2011, regulan a los operadores críticos designados por la Secretaría de Estado de Seguridad, con el CNPIC como órgano de referencia. Cada operador crítico elabora un Plan de Seguridad del Operador y, para cada infraestructura crítica, un Plan de Protección Específico, y nombra un responsable de seguridad y enlace. Estos planes abarcan la seguridad física y la lógica, y en una central, una red de agua o una planta industrial la parte lógica es en buena medida la red de control.

NIS2 en España

La directiva NIS2 amplía el alcance a entidades esenciales e importantes de muchos sectores, con medidas de gestión de riesgos, notificación de incidentes y responsabilidad directa de los órganos de dirección. En España, el Consejo de Ministros aprobó en enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad para transponerla, y su tramitación sigue pendiente. Mientras tanto sigue vigente el Real Decreto-ley 12/2018, que transpuso la primera directiva NIS. El texto final puede cambiar; las exigencias de fondo de la directiva ya se conocen y pueden prepararse desde ahora.

Esquema Nacional de Seguridad

El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, se aplica al sector público y a los proveedores que le prestan servicios, con categorías básica, media y alta. Afecta, por tanto, a los operadores de titularidad pública y a las empresas que prestan servicios a la Administración.

INCIBE-CERT, IEC 62443 y NIST SP 800-82

INCIBE-CERT es el equipo de respuesta de referencia para el sector privado, incluidos los operadores críticos, y publica avisos de seguridad sobre sistemas de control industrial y guías de ciberseguridad industrial. Las normas dicen qué hay que lograr. ISA/IEC 62443 y NIST SP 800-82 dicen cómo: zonas y conductos, niveles de seguridad y requisitos para fabricantes e integradores. Trabajo con estos marcos en todos los sectores, regulados o no.

Qué aportan los cuatro servicios

Análisis de riesgos El inventario con el que empiezan un Plan de Protección Específico, la categorización ENS y la gestión de riesgos NIS2: cada controlador, estación, switch, firewall y diodo, los puntos de entrada, los escenarios de ataque y un informe que la autoridad y los auditores pueden leer.
Arquitectura de ciberseguridad OT Separación IT/OT, zonas y conductos según IEC 62443, accesos remotos controlados para los proveedores y monitorización pasiva dentro de la red de control.
Diseño de sistemas de control Instalaciones nuevas y modernizaciones con los requisitos de seguridad ya en el pliego y en los contratos con proveedores, en lugar de añadirlos después.
Consultoría empresarial Para los órganos de dirección que responden de las medidas: prioridades, presupuesto y una adopción controlada de la IA junto a los datos de operación.

Para los equipos de operación está el curso de seguridad ICS, en versiones de una, dos y tres semanas, con laboratorios de ataque y defensa sobre controladores reales.

Pruebas sobre el terreno

Centrales eléctricas de ICL, 2017 y 2018. Un mapa completo de los sistemas de control, activos, subsistemas, switches, estaciones, servidores, firewalls y diodos; el resultado se presentó al regulador. Análisis de riesgos
EnerjiSA, Turquía, 2017: centrales hidroeléctricas. Un análisis de riesgos tras ciberataques contra las plantas, con el mapa de la red de control, las vulnerabilidades y el origen de los ataques.
Delek, 2016. Un análisis de riesgos de la instalación de gas.
Nueve subestaciones, Ghana, 2018. GRAPHENE, detección pasiva de intrusiones, supervisa las redes de control de las subestaciones.
SPARTA. Un módulo de protección para el servidor HMI, patentado en Estados Unidos con el número 11,621,972 B2.
Formación para gobiernos. Un curso de seguridad ICS de tres semanas para el Ministerio del Interior de Singapur y de dos semanas para las unidades de ciberpolicía de Japón. El curso

Estos proyectos se realizaron en Israel, Turquía, Ghana, Singapur y Japón. El método es el que piden también las normas españolas: primero el inventario, después la segmentación, la monitorización y un plan para el día del incidente.

Una primera llamada

La primera llamada es gratuita y dura media hora. Cuénteme el sector, si es operador crítico, entidad NIS2 o está sujeto al ENS, y aproximadamente cuántos emplazamientos y controladores tiene. El inventario se hace en planta; el análisis, el diseño y las revisiones pueden hacerse a distancia. Israel va una hora por delante de la España peninsular casi todo el año.

Concertar una primera llamada

O escriba a mail@ilanshaya.com.

Ciberseguridad OT para operadores críticos