Tu fábrica es el objetivo número uno del cibercrimen (y nadie te lo ha dicho)

Por qué tu planta de producción es el blanco perfecto

Si te dedicas a la industria en Galicia —talleres, conserveras, madera, automoción, logística— probablemente piensas que la ciberseguridad es un problema de los bancos o de las grandes tecnológicas. Error.

En 2025, INCIBE gestionó 122.223 ciberincidentes en España, un 26% más que el año anterior. Y el sector más atacado ya no es la banca: es la industria manufacturera. Según el informe Global Threat Intelligence de NTT Data (febrero 2026), España registró 605 ciberataques de alto impacto en solo seis meses. Tres al día.

¿Por qué las fábricas? Por una razón muy simple: una planta parada pierde dinero por minuto. Los atacantes lo saben. Un ransomware en un sistema de control industrial no solo cifra archivos: para la producción. Y cuando eso pasa, la presión para pagar el rescate es enorme.

El informe de Fortinet sobre el estado de la ciberseguridad OT en 2026 lo confirma: el 71% de las organizaciones detectó entre una y nueve intrusiones en sus sistemas de tecnología operativa durante el último año. En 2025 era el 47%. El aumento se debe en parte a que las empresas están mejorando su capacidad de detección, pero también a que los ataques no dejan de crecer.

La trampa de la convergencia IT/OT: antes estábamos aislados, ahora no

Las fábricas de toda la vida tenían una ventaja de seguridad involuntaria: sus sistemas de control (PLC, SCADA, robots) funcionaban en redes aisladas, sin conexión a internet. Un atacante no podía llegar a la línea de producción porque, sencillamente, no había camino.

Eso se acabó. La Industria 4.0 —conectar las máquinas con los sistemas de gestión, con la nube, con los proveedores— ha eliminado ese aislamiento. Y con él, la falsa sensación de seguridad.

Hoy, en muchas plantas industriales, la red corporativa y la red de producción comparten infraestructura. Un empleado de oficina que abre un phishing puede, sin saberlo, dar acceso a los sistemas que controlan la línea de montaje. El ataque a Aceros Olarra en septiembre de 2025, que obligó a interrumpir parte de su producción, entró exactamente por ahí: un acceso remoto mal securizado.

El problema de fondo es que los sistemas OT tienen características que los hacen especialmente difíciles de proteger:

• Protocolos industriales sin seguridad: Modbus, Profinet, DNP3 están diseñados para fiabilidad, no para seguridad. No tienen autenticación ni cifrado.
• Equipos con 10-20 años de antigüedad: muchos PLCs y controladores no reciben parches de seguridad y no soportan autenticación robusta.
• Prioridad absoluta a la disponibilidad: en IT, ante un incidente, apagas el sistema. En OT, apagar una línea de producción tiene un coste inmediato de miles de euros por hora.
• Visibilidad limitada: en muchas plantas, nadie tiene un inventario completo de todos los dispositivos conectados a la red industrial. Lo que no se ve, no se puede proteger.

Las amenazas reales que ya están afectando a fábricas españolas

No estamos hablando de ciencia ficción. Estos son los vectores de ataque que ya están paralizando plantas en España:

Ransomware industrial

Ya no es solo cifrar archivos de oficina. El ransomware moderno está diseñado específicamente para atacar sistemas OT. Según Dragos, hay 119 grupos activos de ransomware especializados en industria, un 49% más que el año anterior. Tres nuevos grupos —Sylvanite, Azurite, Pyroxen— se dedican exclusivamente a atacar instalaciones industriales. El 93% de los ataques de ransomware en fabricación intenta comprometer las copias de seguridad para asegurarse de que pagues.

Acceso remoto de proveedores sin control

Este es el vector de entrada más frecuente. Los fabricantes de maquinaria, los integradores y los técnicos de mantenimiento necesitan acceso remoto a los sistemas de control. Muchas veces lo hacen a través de VPN genéricas sin autenticación multisector, con sesiones permanentemente abiertas. Un atacante que compromete a un proveedor puede acceder a las redes de todos sus clientes industriales sin necesidad de atacarlos directamente.

Phishing dirigido a personal de planta

El phishing sigue siendo el método de entrada más efectivo, presente en el 76% de los incidentes OT registrados. Y la IA ha perfeccionado el engaño: los correos ya no tienen faltas de ortografía ni errores de formato. Un operario de producción que recibe un email falso de "soporte técnico" y hace clic puede abrir la puerta a todo el sistema de control.

OT en la sombra

Dispositivos que proveedores, instaladores o el propio equipo de mantenimiento añaden a la red sin documentar. Sensores WiFi, pasarelas IoT, paneles de control conectados sin pasar por IT. No aparecen en ningún inventario. No reciben actualizaciones. Son puertas abiertas que nadie sabe que existen.

NIS2 y la Ley de Entidades Críticas: lo que cambia para tu empresa

Hasta ahora, la ciberseguridad en las pymes industriales era voluntaria. En 2026, eso está cambiando por dos vías:

NIS2. La Directiva europea de ciberseguridad clasifica a las empresas manufactureras de sectores como maquinaria, vehículos, productos químicos, alimentación y dispositivos médicos como entidades esenciales o importantes. Si superas 50 empleados o 10 millones de facturación, te aplica. Y las obligaciones son concretas: gestión de riesgos, notificación de incidentes en 24 horas, responsabilidad directa de la dirección.

Ley de Protección y Resiliencia de Entidades Críticas. Aprobada por el Consejo de Ministros en marzo de 2026, refuerza las obligaciones para sectores críticos. Manufactura, energía y logística están en el centro. La ley no solo exige medidas técnicas: también establece que la dirección de la empresa responde personalmente si no se implementan.

¿Y si tu pyme es pequeña y no te aplica directamente? Que no te aplique NIS2 no significa que estés a salvo. Tus clientes grandes sí están obligados, y te van a pedir que cumplas ciertos estándares de seguridad como condición para seguir trabajando juntos. Esto ya está pasando en automoción y alimentación.

Plan de 5 pasos para proteger tu planta (sin parar la producción)

Después de leer los datos de arriba, igual piensas que proteger una planta industrial es cosa de ingenieros con presupuestos millonarios. No es así. Esto es lo que puedes hacer, ordenado de más urgente a más estratégico:

Paso 1: Haz un inventario de tus activos OT

No puedes proteger lo que no sabes que existe. Identifica todos los dispositivos conectados a tu red industrial: PLCs, HMIs, servidores, switches, accesos remotos de proveedores. Existen herramientas de escaneo pasivo que no interrumpen la producción. Este paso te cuesta básicamente el tiempo de dedicarle una semana.

Paso 2: Segmenta la red IT de la OT

La red de oficina y la red de producción deben estar separadas por un firewall con reglas estrictas. Nada de "de cualquiera a cualquiera". Cada flujo de datos entre IT y OT debe estar autorizado explícitamente. Si un ataque llega por email a la oficina, no debe poder alcanzar los PLCs de la planta.

Paso 3: Controla el acceso remoto

Este es el vector de entrada más explotado y el más fácil de cerrar. Exige que todos los accesos remotos de proveedores pasen por un punto centralizado con autenticación multifactor. Sesiones activadas bajo solicitud, no VPN permanentemente abierta. Documenta cada sesión con marca de tiempo y acciones realizadas.

Paso 4: Monitoriza la red OT

Las SIEM estándar de IT no entienden protocolos industriales. Necesitas una solución de monitorización específica para OT (Claroty, Dragos, Nozomi Networks) que detecte anomalías en el tráfico de Modbus, Profinet o DNP3 sin interrumpir la producción. El coste para una pyme puede ser de 15.000-20.000 €/año. Compáralo con los 50.000-350.000 € de coste medio de un ataque.

Paso 5: Prepara un plan de respuesta a incidentes OT

Un plan de respuesta de IT no sirve cuando la línea de producción está parada. La respuesta a incidentes en OT tiene prioridades distintas: seguridad de la producción antes que seguridad de los datos. Define quién autoriza la parada de emergencia, cómo continuar manualmente la producción y cómo restaurar los sistemas de control desde copias de seguridad limpias. Y prueba el plan al menos una vez al año.

¿Cuánto deberías invertir en proteger tu planta?

No hay una cifra mágica, pero hay una regla general aceptada en el sector: entre el 5% y el 10% del presupuesto de IT/OT debería ir a ciberseguridad. Para una pyme industrial con 5 empleados en oficina y 20 en planta, estamos hablando de entre 3.000 y 15.000 €/año dependiendo del nivel de digitalización.

Pero la forma más útil de pensar en esto no es cuánto gastar, sino cuánto arriesgas si no lo haces:

La cuenta es sencilla. Un solo ataque puede costarte más que toda la protección de los próximos cinco años. Y el dato que más me preocupa: solo el 57% de las empresas que pagan un rescate recupera sus datos. El resto pierde el dinero y la información.

Preguntas frecuentes

¿Qué es la ciberseguridad industrial (OT)?

La ciberseguridad industrial o seguridad OT (Operational Technology) protege los sistemas que controlan procesos físicos en fábricas y plantas: PLCs, SCADAs, robots, sensores y redes de producción. No es lo mismo que la seguridad IT de oficina porque aquí la prioridad es que la producción no se pare. Un antivirus tradicional no sirve para proteger un PLC.

¿NIS2 me afecta si tengo una pyme industrial con 30 empleados?

Depende de lo que fabriques. Si fabricas productos incluidos en los anexos de NIS2 (maquinaria, vehículos, productos químicos, alimentación), el umbral es 50 empleados o 10 millones de facturación para ser considerado entidad importante. Por debajo de eso, no te aplica directamente. Pero tus clientes grandes sí están obligados, y te pueden exigir cumplir estándares de seguridad para seguir siendo proveedor. Esto ya es práctica habitual en automoción y alimentación en Galicia.

¿Cuánto cuesta un ciberataque a una pyme industrial?

Entre 50.000 € y 350.000 € de media, según datos del INCIBE y Sophos. Esto incluye rescate (50.000-200.000 €), parada de producción (5.000-50.000 €/día) y recuperación técnica (20.000-100.000 €). Si hay datos personales de clientes, se añaden sanciones RGPD de hasta 20 millones de euros o el 4% de la facturación. Y hay un coste que no se suele calcular: el tiempo de dirección dedicado a gestionar la crisis.

¿Puedo proteger mi planta sin parar la producción?

Sí. La segmentación de redes, la monitorización pasiva (escanea sin interrumpir) y la gestión de accesos remotos se implementan sin afectar a la producción. El parcheo de sistemas se planifica en ventanas de mantenimiento programadas. No hay excusa para no empezar: el paso 1 (inventario) no requiere parar nada.

¿Qué es IEC 62443 y por qué debería importarme?

Es el estándar internacional de ciberseguridad para sistemas de automatización y control industrial. No es obligatorio en España, pero cada vez más fabricantes grandes —especialmente en automoción, energía y defensa— lo exigen a sus proveedores. Si tu empresa aspira a proveer a estos sectores, la certificación puede ser un requisito para entrar como proveedor.

¿Qué hago si creo que ya me han atacado?

No reinicies equipos ni borres logs. Aísla los sistemas afectados de la red, contacta con INCIBE (teléfono 017) y conserva toda la evidencia digital. Si hay datos personales comprometidos, tienes 72 horas para notificar a la AEPD. La respuesta rápida y ordenada marca la diferencia entre una recuperación controlada y una crisis que se come meses de trabajo.