Texto redactado en euskara y traducido automáticamente por Elia y sin posterior revisión. VER ORIGINAL

Seguridad desde el principio, no a última hora

Cada vez es más difícil separar nuestra vida cotidiana de los sistemas digitales. Una caldera que te calentará la casa esta noche, un monitor de hospital o un taller que produce tu propia comida: todos trabajan a través de software y dispositivos conectados. Y lo mismo ocurre con nuestras infraestructuras críticas, desde la energía y el agua hasta el transporte. Por ello, la seguridad digital no es un problema informático: forma parte del funcionamiento de nuestra economía, nuestros servicios y nuestra sociedad.

Se dice que una cadena es tan sólida como su eslabón más débil. También lo es en el mundo digital: un solo sensor, dispositivo, componente de software o proveedor indefenso puede convertirse en una puerta de entrada para un sistema completo. El riesgo no solo proviene de los delincuentes: las infraestructuras digitales también forman parte de conflictos híbridos entre estados. El ataque que detiene un sistema de este tipo no genera un “problema informático”; genera un problema de negocios, de servicios y social.

«La seguridad digital no es un problema informático: forma parte del funcionamiento de nuestra economía, nuestros servicios y nuestra sociedad»

En este contexto, la Ciberresilience Act europea supone un importante cambio de rumbo. A partir del 11 de septiembre, los fabricantes deberán comunicar vulnerabilidades e incidencias graves explotadas activamente; y a partir de finales de 2027, los productos que contengan elementos digitales, como sensores, dispositivos conectados, equipos industriales, software o sus componentes, deberán cumplir requisitos de ciberseguridad más estrictos para su comercialización.

La idea es simple, pero profunda: la seguridad no se puede pegar al producto al final. Debe tenerse en cuenta desde el diseño, en el desarrollo y durante todo el ciclo de vida. No basta con proteger el sistema al final; la seguridad debe integrarse en los productos y componentes desde el principio. Y ahí está el verdadero cambio cultural: la ciberseguridad no es responsabilidad exclusiva del departamento informático. El ingeniero mecánico, electrónico o de automatización que diseña el producto también debe asumir esta responsabilidad, al igual que tiene en cuenta la calidad o fiabilidad.

«¿Su producto cumple con la normativa Ciberresilience Act?»

Este camino, por supuesto, tiene costo: requiere recursos, tiempo y conocimiento, y su valor a menudo no se ve hasta que algo falla. Pero lo que ahorra en esto no solo reduce un gasto, ya que aumenta el riesgo de quedarse un día sin línea de producción. Cada vez más evidente, la ciberseguridad no es una mera medida de protección, sino la condición para que un producto industrial compita en el mercado y gane la confianza de sus clientes. Una empresa que exporta una máquina herramienta escuchará cada vez con más frecuencia la pregunta: “¿y su producto cumple con la normativa Cyberresilience Act?”. Si no cumple, lo que está en juego no es el mero cumplimiento de la normativa, sino la obtención del contrato.

En Euskadi tenemos una base sólida para ello: centros tecnológicos especializados en ciberseguridad y una masa crítica de más de 90 investigadores. Pero tener capacidad no es suficiente. El reto es incorporar este conocimiento en productos, máquinas, procesos y servicios desde el principio.

Y ahí viene la pregunta, que nos concierne a todos: ¿hasta cuándo vamos a actuar como si la seguridad digital fuera “cosa de informáticos”? ¿Hasta que el eslabón más débil detiene todo el sistema?