8 Min. de lectura<\/p>\n
El 29 de abril de 2026, CISA, el Departamento de Energ\u00eda de Estados Unidos y cuatro agencias m\u00e1s publicaron una recomendaci\u00f3n conjunta sobre la aplicaci\u00f3n de los principios de Zero-Trust en las tecnolog\u00edas operativas. Tres semanas despu\u00e9s, en Alemania comienzan los primeros auditor\u00edas del BSI conforme a la Ley de Implementaci\u00f3n de NIS2, que entr\u00f3 en vigor el 6 de diciembre de 2025. De este modo, los proveedores de energ\u00eda se encuentran bajo un doble estr\u00e9s. Quienes operan con una red plana, con identidades compartidas entre TI y OT, ya no son considerados como el estado de la t\u00e9cnica seg\u00fan el nuevo cat\u00e1logo de seguridad TI de la BNetzA. Volt Typhoon demostr\u00f3 el a\u00f1o pasado para qu\u00e9 se utiliza esto en la pr\u00e1ctica.<\/strong><\/p>\n Lo m\u00e1s importante en resumen<\/p>\n Relacionado:<\/span>MFA adaptativa como herramienta de Zero-Trust<\/a> \/<\/span> La aplicaci\u00f3n de NIS2 afecta a 29.500 empresas<\/a><\/p>\n La imagen siguiente condensa, a partir de varios programas de proveedores debatidos p\u00fablicamente, un procedimiento t\u00edpico, no un solo grupo empresarial. Los nombres reales se omiten deliberadamente porque faltan fuentes p\u00fablicas confiables. Quien busca una historia de proveedor acabada est\u00e1 equivocado aqu\u00ed. Quien busca el punto de partida para su propia hoja de ruta encontrar\u00e1 un enfoque realista.<\/p>\n La situaci\u00f3n inicial es la de un operador de red de distribuci\u00f3n en el rango de tres d\u00edgitos de MW, con varios subestaciones, una sala de control propia, un entorno TI centrado en Microsoft y una red ICS que ha evolucionado hist\u00f3ricamente. En 2025, la BNetzA incluy\u00f3 al proveedor en el listado KRITIS, y el estatus de NIS2 lleg\u00f3 tras la entrada en vigor de la Ley de Implementaci\u00f3n en diciembre de 2025. La presi\u00f3n de auditor\u00eda proviene, al mismo tiempo, del cat\u00e1logo de seguridad TI de la BNetzA y de la preparaci\u00f3n para la certificaci\u00f3n ISO-27019.<\/p>\n El primer resultado s\u00f3lido de una auditor\u00eda realizada durante el pre\u2011evaluaci\u00f3n interno result\u00f3 inc\u00f3modo. Hubo 41 cuentas de servicio con permisos en ambos mundos. Cinco VPN de mantenimiento que pod\u00edan acceder a segmentos de OT sin MFA. Una estructura de Active Directory que habr\u00eda permitido que un administrador de dominio comprometido llegara directamente a la sala de control. Este es precisamente el patr\u00f3n que la recomendaci\u00f3n de CISA advierte expl\u00edcitamente.<\/p>\n En lugar de dise\u00f1ar una arquitectura Zero Trust desde cero, se trabaj\u00f3 en cinco pasos priorizados. Cada uno gener\u00f3 un artefacto de auditor\u00eda que el auditor financiero puede comprender sin necesidad de explicaciones adicionales.<\/p>\n El orden no es una mera sugerencia. Quien comienza por el paso tres sin conocer previamente la situaci\u00f3n de los activos y las identidades termina segmentando sobre suposiciones. Eso no resiste ninguna situaci\u00f3n de presi\u00f3n.<\/p>\n La recomendaci\u00f3n conjunta del 29 de abril de 2026 no es solo una lectura estadounidense. Proporciona cuatro puntos que aparecer\u00e1n en todas las auditor\u00edas de las empresas del DACH. Primero, las identidades entre TI y OT no deben compartirse. Segundo, la visibilidad a nivel de activos y protocolos es indispensable para la segmentaci\u00f3n. Tercero, el principio de \u201cdenegar por defecto\u201d debe aplicarse en OT sin bloquear las operaciones. Cuarto, la respuesta ante incidentes en OT requiere manuales propios y simulacros espec\u00edficos.<\/p>\n Volt Typhoon se menciona expl\u00edcitamente en la recomendaci\u00f3n. El patr\u00f3n de comprometer credenciales de TI y lateralizar en OT se ha convertido en est\u00e1ndar. Una empresa suministradora que no separa sus identidades de OT conf\u00eda \u00fanicamente en la protecci\u00f3n de su dominio de TI. Sin embargo, esa protecci\u00f3n ha fallado en varios incidentes p\u00fablicos.<\/p>\n Tres errores aparecen con mayor frecuencia en la pr\u00e1ctica. El primero es organizativo. La seguridad OT depende de las operaciones, la seguridad IT del \u00e1rea del CIO. Sin una responsabilidad compartida, anclada en la direcci\u00f3n general, cualquier estrategia Zero-Trust se desmorona por la costura. NIS2 hace expl\u00edcitamente responsable a la direcci\u00f3n, lo que hace pol\u00edticamente insostenible la separaci\u00f3n.<\/p>\n El segundo error es t\u00e9cnico. Las VPN de mantenimiento para fabricantes de equipos se tratan como un caso especial y, por tanto, se excluyen de la microsegmentaci\u00f3n. Precisamente esto se menciona como vector inicial en varios incidentes p\u00fablicos del sector energ\u00e9tico de los \u00faltimos dos a\u00f1os. Quien permita aqu\u00ed una excepci\u00f3n generalizada, socava su propio concepto.<\/p>\n El tercer error es procesal. El plazo de 24 horas para la notificaci\u00f3n inicial de NIS2 rara vez se ensaya. En la realidad, significa que un servicio de guardia debe poder emitir la notificaci\u00f3n autorizada sin despertar al consejo de administraci\u00f3n. Sin simulacros de notificaci\u00f3n y sin una cadena de escalado documentada, el plazo no se cumplir\u00e1 en caso de emergencia.<\/p>\n El proveedor del caso descrito arriba abord\u00f3 exactamente estos tres puntos antes de desplegar el programa t\u00e9cnico. Tres meses antes de la primera auditor\u00eda del BSI. Ese es el periodo pragm\u00e1tico en el que los puntos pendientes pueden cerrarse realmente. Quien empiece en junio, solo tendr\u00e1 diapositivas en septiembre.<\/p>\n Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n La Ley de Implementaci\u00f3n de NIS2 entr\u00f3 en vigor el 6 de diciembre de 2025, el plazo de registro est\u00e1 en curso. La supervisi\u00f3n del BSI est\u00e1 en fase operativa desde mayo de 2026, y se esperan las primeras auditor\u00edas a proveedores de energ\u00eda cr\u00edticos (KRITIS) para el verano de 2026. Quien no pueda documentar las medidas de gesti\u00f3n de riesgos seg\u00fan el art\u00edculo 21 de NIS2, tiene aqu\u00ed un problema.<\/p>\n<\/details>\n Los entornos OT tienen requisitos estrictos de disponibilidad y latencia, protocolos heredados sin cifrado y dispositivos que no admiten parches. Una l\u00f3gica IT, basada en la verificaci\u00f3n continua en cada solicitud, no es f\u00e1cilmente aplicable en un sistema de control. Por ello, la recomendaci\u00f3n de la CISA del 29 de abril de 2026 formula una interpretaci\u00f3n propia para OT: la segmentaci\u00f3n, los l\u00edmites de identidad y la visibilidad de activos son previos, la verificaci\u00f3n continua se implementa de forma escalonada.<\/p>\n<\/details>\n La ISO 27019 es la extensi\u00f3n espec\u00edfica para el sector energ\u00e9tico de la ISO 27001. Cubre controles espec\u00edficos de OT que el cat\u00e1logo puro de ISO 27001 no aborda. En el cat\u00e1logo de seguridad IT de la BNetzA se exige la certificaci\u00f3n seg\u00fan ISO 27001 m\u00e1s 27019. La gesti\u00f3n de riesgos de NIS2 y los requisitos de ISO 27019 se solapan, por lo que las auditor\u00edas pueden combinarse si la documentaci\u00f3n es correcta.<\/p>\n<\/details>\n S\u00ed, con identidades propias, temporales y detecci\u00f3n en la ruta. Las excepciones generales para fabricantes de equipos ya no son justificables seg\u00fan la recomendaci\u00f3n de la CISA y la pr\u00e1ctica de auditor\u00eda. La asignaci\u00f3n Just-in-Time de accesos, combinada con grabaci\u00f3n de sesiones, sustituye al t\u00fanel Site-to-Site permanente.<\/p>\n<\/details>\n La Ley Marco KRITIS aborda la resiliencia f\u00edsica, el sabotaje y las amenazas h\u00edbridas; NIS2, la seguridad IT. Ambas v\u00edas discurren en paralelo, con registros separados. Los proveedores deben estar registrados adicionalmente ante el BBK antes del 17 de julio de 2026. Operativamente, conviene estructurar las notificaciones de incidentes, ejercicios y planes de emergencia de modo que una notificaci\u00f3n atienda la v\u00eda competente correspondiente, sin duplicar esfuerzos.<\/p>\n<\/details>\n M\u00e1s del grupo editorial MBF Media<\/p>\n\n
C\u00f3mo un proveedor de energ\u00eda de la regi\u00f3n de DACH empieza con Zero-Trust en 2026<\/h2>\n
Cinco pasos que realmente han respaldado el programa<\/h2>\n
Qu\u00e9 significa la recomendaci\u00f3n de la CISA para las empresas suministradoras del DACH<\/h2>\n
D\u00f3nde siguen fallando los proveedores en 2026<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfCu\u00e1ndo comienza la primera auditor\u00eda del BSI tras la Ley de Implementaci\u00f3n de NIS2?<\/strong><\/summary>\n
\u00bfQu\u00e9 diferencia al Zero-Trust en OT del Zero-Trust en IT?<\/strong><\/summary>\n
\u00bfQu\u00e9 papel juega la ISO 27019 en la pr\u00e1ctica de auditor\u00eda de NIS2?<\/strong><\/summary>\n
\u00bfDeben integrarse completamente las VPN de mantenimiento en la microsegmentaci\u00f3n?<\/strong><\/summary>\n
\u00bfC\u00f3mo se atiende al BBK bajo la Ley Marco KRITIS junto al BSI?<\/strong><\/summary>\n
Consejos de lectura de la redacci\u00f3n<\/h3>\n
\n