Verificación y adecuación de la ciberseguridad de redes de radio y sistemas de monitorización, conforme a ISA/IEC 62443-3-3 SL2 y a la directiva NIS2.

La directiva NIS2 (UE 2022/2555) se aplica a las organizaciones, no a los equipos individuales: identifica a los sujetos obligados en función del sector y del tamaño, y cada Estado la transpone mediante una norma nacional propia. Si la organización está entre esos sujetos, la red de radio y los sistemas de monitorización que sostienen el servicio deben protegerse junto con el resto de la infraestructura informática. Determinar si la obligación existe corresponde a la propia organización: nosotros intervenimos en las medidas técnicas de la parte de la instalación que ejecutamos y mantenemos.

Sí, porque una red realmente aislada es poco frecuente. En las inspecciones en sitio encontramos casi siempre un acceso remoto abierto para un proveedor, un enlace hacia la red informática de las oficinas o hacia otra sede, o bien los soportes extraíbles y los portátiles con los que los técnicos intervienen sobre los equipos. En cualquier caso, el aislamiento no resuelve los defectos que encontramos con más frecuencia: credenciales predeterminadas del fabricante todavía activas, una única cuenta compartida entre todos los técnicos y configuraciones de las que nadie conserva una copia.

No siempre. Cuando un equipo no admite la autenticación multifactor o solo expone protocolos de gestión sin cifrar, el riesgo se reduce actuando sobre el resto de la instalación: separación de la red en la que se encuentra el equipo, acceso permitido únicamente desde puestos identificados, desactivación de los servicios no utilizados y recogida centralizada de los eventos. Casi todas estas intervenciones se ejecutan con la instalación en servicio; las que exigen un reinicio se acuerdan dentro de una ventana operativa. Cuando ni siquiera estas medidas bastan, el informe indica la desviación residual y las razones por las que conviene programar la sustitución, de modo que el cliente pueda incluirla en el plan de inversiones en lugar de afrontarla como un imprevisto.

No existe un plazo fijo: la evaluación debe repetirse cuando cambia la instalación. Un nuevo enlace hacia el exterior, un proveedor que recibe un acceso remoto, la sustitución de equipos o la incorporación de un emplazamiento modifican el cuadro detectado anteriormente y dejan obsoleto el informe en esos puntos. Si hay un contrato de mantenimiento en vigor, la revisión periódica de las cuentas, de las versiones de firmware y de las copias de seguridad puede acordarse dentro de ese contrato.