Infraestructura crítica y ciber: lecciones aprendidas en 2026.

Los primeros cien días de 2026 han dejado sobre la mesa una conclusión incómoda: la ciberseguridad de las infraestructuras críticas sigue siendo frágil. Ataques a redes de abastecimiento de agua en la UE, incidentes en empresas de transporte y el primer ciberataque que provoca una parada real en una térmica española nos obligan a preguntarnos: ¿qué hemos aprendido? ¿Por qué, después de NIS1, de ENS y de tanto marco normativo, seguimos fallando en lo básico?

Lo que ha pasado: incidentes que han marcado 2026

Agua: un ataque a una depuradora en Castilla y León causó desbordamiento de cloro durante 12 horas. El operador no detectó la intrusión porque los sistemas SCADA no estaban segmentados de la red corporativa. El acceso se produjo a través de un ordenador de oficina infectado. La multa provisional de NIS2 supera los 800.000 €.

Energía: una térmica de ciclo combinado en Andalucía sufrió un ransomware que cifró las consolas de control de la turbina. Por suerte, el operador pudo parar la planta manualmente, pero la recuperación llevó cinco días. El ataque entró por una VPN sin autenticación multifactor.

Transporte: una naviera con rutas a Canarias vio bloqueados sus sistemas de gestión de carga durante 72 horas. El equipo de TI no tenía visibilidad sobre los PLC de los puertos. La cadena de suministro se resintió durante semanas.

Y en todos estos casos se repite un patrón: fallos en la segmentación, ausencia de monitorización continua y dependencia de proveedores cloud extranjeros que no permiten una respuesta rápida.

Los tres fallos sistémicos que seguimos arrastrando

Tras analizar una docena de incidentes en clientes de TYBSI y reportes del CCN-CERT, identificamos tres carencias universales:

• Fallo #1: Segmentación IT/OT deficiente. Más del 60 % de los operadores críticos mantienen redes planas donde un ordenador de facturación puede alcanzar un PLC. La excusa es la “dificultad operativa”. El resultado es desastroso.
• Fallo #2: Ausencia de monitorización activa. La mayoría confía en logs pasivos y alarmas genéricas. Nadie vigila de verdad la red OT en tiempo real. Un agente de IA como GÁLVEZ cuesta menos de 500 €/mes y podría haber evitado los tres incidentes.
• Fallo #3: Dependencia tecnológica exterior. Sistemas SCADA en la nube de AWS o Azure, backups alojados fuera de la UE, y contratos que permiten la CLOUD Act. Cuando ocurre un incidente, los datos forenses pueden estar en manos de un juez estadounidense antes de que tu equipo los analice.

Lecciones para operadores críticos y reguladores

2026 ha servido para confirmar lo que muchos expertos llevaban años advirtiendo. Las lecciones más importantes:

1. No basta con tener un plan de respuesta. Hay que simularlo cada seis meses con escenarios realistas. Los operadores que sí lo hicieron reaccionaron en minutos; los que no, tardaron días.
2. La segmentación no es opcional. Un firewall industrial cuesta 2.000 €. Separar redes OT de IT debería ser el requisito mínimo de cualquier inspección NIS2.
3. La monitorización continua exige automatización. Ningún equipo humano puede vigilar miles de eventos por segundo. Un SOC gestionado con IA es más barato y eficaz.
4. La soberanía digital protege. Los operadores que alojaban sus sistemas de supervisión en el CPD Muralla de Zamora no sufrieron interrupciones por órdenes judiciales extranjeras ni por cortes de nube externa.

El papel de la IA en la defensa de infraestructuras críticas

Los agentes de inteligencia artificial de TOWINIA ya están desplegados en plantas industriales y redes de distribución. Su valor no es futurista: es práctico.

• LEZO documenta automáticamente el estado de cumplimiento NIS2 y ENS, generando evidencias para auditorías.
• GÁLVEZ monitoriza el tráfico OT, aprende el comportamiento normal de cada PLC y alerta en tiempo real de cualquier anomalía (latencia, comandos inusuales, escalada de privilegios).
• DESCAMISADOS (EMPECINADO, ESPOZ, AGUSTINA) ejecuta threat hunting activo sobre la red, buscando IoCs que ningún antivirus clásico detecta.

Todo ello ejecutándose on‑premise o en el datacenter soberano de Zamora, sin dependencia de la nube pública.

Casos reales de éxito (con nombres anonimizados)

• Operador de agua (Castilla y León): instalaron el agente GÁLVEZ en modo solo supervisión. En dos semanas detectó tráfico anómalo desde una estación remota que resultó ser un dispositivo IoT comprometido. Lo aislaron antes de que alcanzara el SCADA.
• Cooperativa eléctrica (norte de España): tras un ataque de phishing al personal, la IA detectó movimientos laterales hacia la red de medición. Automáticamente revocó credenciales y notificó al SOC. El incidente se contuvo en 11 minutos.
• Aeropuerto regional: utilizan una instancia local de Towin Box para analizar logs de pasarelas de control de acceso. Ahora correlacionan eventos físicos y lógicos, y pueden detectar intentos de intrusión en zonas restringidas.

¿Qué puede hacer tu empresa hoy?

No necesitas esperar una auditoría NIS2 para empezar. Estas acciones tienen coste reducido y efecto inmediato:

1. Segmenta tu red OT. Compra un firewall industrial (marca española como Hispasec o extranjera con garantías).
2. Instala monitorización pasiva. Nuestro agente GÁLVEZ se instala en modo lectura, no interfiere con los procesos críticos y empieza a detectar anomalías en días.
3. Revisa tus contratos con proveedores cloud. Si almacenas datos de control en AWS, Azure o Google, exige una declaración de no sujeción a la CLOUD Act. Si no te la dan, migra.
4. Simula un incidente. Corta el suministro eléctrico de un PLC simulado y mide cuánto tarda tu equipo en reaccionar. Lo más probable es que te sorprendas.

El horizonte: resiliencia, no solo cumplimiento

NIS2 exige controles, pero la verdadera meta es la resiliencia operacional: la capacidad de mantener el servicio aunque ocurra un incidente. Eso pasa por redundancia, monitorización predictiva y equipos autónomos. Los agentes de IA no son un extra, son la única forma de escalar la vigilancia a todos los nodos de la infraestructura.

En TYBSI hemos demostrado que se puede proteger una depuradora, un parque eólico o una red de telecomunicaciones sin ceder soberanía. Zamora es la prueba. Si gestionas infraestructura crítica, hablemos.