NIS2 y ciberseguridad OT en la industria

La ciberseguridad OT industrial ha dejado de ser un asunto de informática para convertirse en una obligación legal. Con la directiva NIS2, miles de plantas en España y la UE deben proteger sus redes de control —PLC, SCADA, líneas de producción— con el mismo rigor que sus datos. Esta guía explica, sin humo, a quién aplica, qué exige y por dónde empezar.

1 Qué es NIS2 y por qué afecta a la industria

La directiva NIS2 (Directiva UE 2022/2555, Network and Information Security 2) es la norma europea que eleva el nivel mínimo de ciberseguridad en los sectores considerados críticos. Sustituye y amplía a la antigua NIS de 2016: multiplica los sectores cubiertos, endurece las obligaciones y, sobre todo, mete de lleno a la industria en el perímetro regulado.

La novedad para una planta es que ya no basta con proteger los ordenadores de oficina. NIS2 obliga a evaluar y proteger también las redes y sistemas de información que sostienen el proceso productivo: el SCADA que supervisa la planta, los PLC que mueven la línea, los HMI, los variadores y la red industrial que los conecta. Es decir, el mundo OT (Operational Technology, tecnología de operación).

2 A quién aplica: entidades esenciales e importantes

NIS2 clasifica a las organizaciones obligadas en dos categorías, con distinto régimen de supervisión y sanción:

Como regla general, NIS2 aplica si tu organización opera en uno de los sectores cubiertos y tiene 50 o más empleados o factura más de 10 millones de euros al año. Muchas fábricas y plantas de procesos entran como entidad importante, aunque no se vean a sí mismas como «infraestructura crítica».

3 Estado de la transposición en España

El plazo europeo para transponer NIS2 a la legislación nacional venció el 17 de octubre de 2024. España no llegó a tiempo —la Comisión Europea le envió un dictamen motivado en mayo de 2025— y la está incorporando de forma escalonada:

• Una parte se transpuso mediante el Real Decreto-ley 7/2025.
• El grueso llegará con la Ley de Coordinación y Gobernanza de la Ciberseguridad, aún en tramitación parlamentaria.
• Se espera plena aplicación e inspecciones a lo largo de 2026, con miles de empresas españolas dentro del ámbito.

El mensaje práctico es claro: que la ley nacional aún se esté cerrando no es excusa para esperar. Las obligaciones de fondo ya están en la directiva y la adaptación técnica de una planta lleva meses: quien empiece ahora llegará a tiempo. Para el detalle oficial puedes consultar al INCIBE, organismo de referencia en ciberseguridad en España.

4 Obligaciones clave que debes cumplir

NIS2 no es una checklist de productos, sino un conjunto de obligaciones de gestión. Estas son las que más impactan a una planta industrial:

El incumplimiento se paga: hasta 10 millones de euros o el 2 % de la facturación global para entidades esenciales, y hasta 7 millones o el 1,4 % para las importantes. Más relevante aún: la responsabilidad recae sobre la dirección, no solo sobre el departamento de sistemas.

5 IT vs OT: por qué la seguridad industrial es distinta

El error más caro es aplicar a la planta las recetas de la informática de oficina. IT y OT tienen prioridades opuestas, y eso lo cambia todo:

Por eso no se puede «copiar y pegar» el modelo de IT sobre la fábrica. Un antivirus pesado puede tumbar un HMI y reiniciar un equipo para actualizarlo puede parar una línea entera. La seguridad OT necesita un enfoque propio que entienda el proceso —el mismo conocimiento con el que se diseña un sistema SCADA o se compara un SCADA frente a un HMI.

6 Buenas prácticas de seguridad OT (y dónde encaja IEC 62443)

Cumplir NIS2 en la planta se traduce en medidas técnicas concretas. El estándar de referencia es la IEC 62443, la norma internacional de ciberseguridad para sistemas de automatización y control industrial (IACS): mientras NIS2 fija el qué (obligaciones legales), IEC 62443 aporta el cómo técnico con su modelo de zonas y conductos. Estas son las prácticas con más impacto:

El modelo Purdue ordena la red en niveles —del campo (sensores y actuadores) a la gestión (ERP)— y ayuda a decidir qué se comunica con qué. IEC 62443 lo refina con zonas (grupos de activos con el mismo nivel de seguridad) y conductos (las comunicaciones controladas entre ellas). Combinar ambos es hoy la base de cualquier arquitectura OT defendible, y enlaza de forma natural con prácticas como el mantenimiento predictivo, que también vive en esa red industrial.

Preguntas frecuentes