Question 1

¿Afecta la NIS2 a mi empresa?

Accepted Answer

La normativa NIS2 se aplica a las empresas medianas y grandes de los sectores denominados «esenciales» (energía, agua, transporte, sanidad, alimentación e infraestructuras digitales) e «importantes» (fabricación, industria química, servicios postales y gestión de residuos). Si gestiona equipos industriales conectados en estos sectores, es probable que le afecte. Consulte la página web de la ANSSI para ver la lista completa o solicite una evaluación a nuestro equipo.

Question 2

¿Debe contar la pasarela Eziwan con la certificación CRA?

Accepted Answer

Sí. El CRA (aplicable a partir de diciembre de 2027) exige el marcado CE de ciberseguridad para cualquier producto que contenga componentes digitales, incluidos los routers y las pasarelas de IoT. Eziwan se compromete a seguir una hoja de ruta para alcanzar el pleno cumplimiento del CRA antes de la fecha límite. La pasarela ya está diseñada de acuerdo con los principios de «Secure by Design» exigidos por el reglamento.

Question 3

¿En qué consiste el «Zero Trust» aplicado a la OT?

Accepted Answer

El modelo «Zero Trust OT» significa que ningún equipo se considera de confianza por defecto, ni siquiera dentro de la red. En la práctica, con Eziwan: ningún puerto abierto hacia Internet (zero inbound port), autenticación de cada puerta de enlace mediante certificado asimétrico, acceso de los usuarios estrictamente controlado (MFA, RBAC, caducidad) y segmentación de cada sede en su propio túnel VPN.

Question 4

¿Cómo puedo documentar el cumplimiento de Eziwan para mi auditoría de NIS2?

Accepted Answer

Eziwan Cloud ofrece informes de auditoría completos: inventario de equipos, registros de acceso, eventos de red y configuraciones de VPN. Nuestro equipo puede proporcionarle un informe de conformidad técnica adaptado a los requisitos de la NIS2 y a las normas de la ANSSI. Ponte en contacto con nuestro equipo de seguridad para preparar tu auditoría.

Question 5

¿Cuál es la correspondencia entre Eziwan y la norma IEC 62443?

Accepted Answer

La arquitectura de Eziwan cumple con los requisitos de la norma IEC 62443-3-3 en el Nivel de Seguridad 2 (SL2): autenticación, cifrado, registro de auditoría, control de flujos e integridad del software. Para los clientes que deseen alcanzar el SL3, hay disponibles configuraciones reforzadas (aislamiento físico, autenticación mediante tokens de hardware).

Question 6

¿Cómo puedo implementar la segmentación de la red de TI y OT en mi fábrica?

Accepted Answer

La segmentación de la red IT/OT es la medida prioritaria recomendada por la norma IEC 62443 y la ANSSI para proteger los sistemas industriales. La arquitectura de referencia es el modelo de Purdue (ISA-95/ISA-99), que define cinco niveles: nivel 0 (campo, sensores, actuadores), nivel 1 (controladores lógicos programables [PLC], variadores), nivel 2 (supervisión SCADA, HMI), nivel 3 (MES, historización), nivel 4 (ERP, ofimática IT). La regla fundamental es que ningún flujo debe atravesar dos niveles sin pasar por una DMZ (zona desmilitarizada) con filtrado de aplicaciones. En la práctica, la segmentación IT/OT se lleva a cabo mediante un cortafuegos industrial (Fortinet FortiGate, Palo Alto PA-400, Cisco FirePower) configurado en modo de aplicación para inspeccionar los protocolos OT (Modbus, OPC-UA, EtherNet/IP). Unas VLAN dedicadas aíslan cada zona: VLAN 10 para los controladores lógicos programables (PLC), VLAN 20 para la supervisión y VLAN 30 para los accesos remotos. Con Eziwan, la segmentación es nativa: la pasarela OT inicia una conexión OpenVPN saliente hacia la nube (sin puertos entrantes), y el propio túnel VPN constituye un canal aislado conforme a la norma IEC 62443-3-2. La red OT nunca tiene acceso a la red informática corporativa: cada sede de Eziwan dispone de su propio túnel cifrado.

Question 7

¿Cómo se lleva a cabo una auditoría de ciberseguridad de los sistemas industriales OT?

Accepted Answer

Una auditoría de ciberseguridad de sistemas OT se diferencia fundamentalmente de una auditoría informática convencional por la necesidad de no interrumpir la producción. La metodología estándar sigue cuatro fases. Fase 1 — Cartografía pasiva (2-3 días): identificación de los equipos presentes en la red OT sin inyectar tráfico activo. Las herramientas utilizadas son Nmap en modo pasivo (escucha únicamente del tráfico existente), Claroty, Nozomi Networks Guardian o Dragos Platform, que analizan el tráfico de red capturado a través del puerto SPAN. Esta fase genera un inventario completo: controladores lógicos programables (PLC), interfaces hombre-máquina (HMI), estaciones de trabajo de ingeniería y conmutadores industriales, con sus respectivas versiones de firmware. Fase 2 — Análisis de vulnerabilidades (3-5 días): cruce del inventario con las bases de datos CVE (NVD, ICS-CERT) para identificar las CVE activas en sus equipos. Ejemplos típicos: Siemens SINEMA (CVE-2022-43767, puntuación CVSS 9,8), Schneider EcoStruxure (CVE-2023-37196), Rockwell ControlLogix (CVE-2022-1159). Fase 3 — Pruebas de intrusión controladas (opcional, fuera de producción): pruebas de penetración durante un periodo de mantenimiento programado para verificar la explotabilidad real de las CVE identificadas. Fase 4 — Informe y hoja de ruta (5-10 días): entrega final con la gravedad CVSS, mapeo de flujos, recomendaciones priorizadas y plan de corrección para 12 meses. La duración total de una auditoría completa de OT es de entre 4 y 8 semanas, dependiendo del alcance (número de emplazamientos, número de controladores lógicos programables). El coste oscila entre 15 000 y 80 000 €, según la complejidad.

Question 8

¿Qué controladores lógicos programables (PLC) son los más vulnerables a los ciberataques en la actualidad?

Accepted Answer

Los controladores lógicos programables (PLC) presentan importantes vulnerabilidades estructurales, ya que se diseñaron en una época en la que la conectividad no era una prioridad. Las tres gamas más afectadas en 2024-2025 son las siguientes. Siemens S7-1500: la CVE-2022-43767 (puntuación CVSS 9,8) permite la ejecución remota de código a través del servidor web integrado en las versiones de firmware anteriores a la V2.9.4. La vulnerabilidad CVE-2023-46280 afecta a las comunicaciones OPC-UA. Schneider Electric Modicon M340: la vulnerabilidad CVE-2022-45788 (CVSS 9,8) permite una denegación de servicio a través del puerto Modbus TCP 502 sin autenticación. Las versiones de firmware anteriores a la V3.60 de Unity Pro también se ven afectadas por vulnerabilidades de escalada de privilegios. Rockwell Automation ControlLogix: las vulnerabilidades CVE-2023-3595 y CVE-2023-3596 (CVSS 9,8), reveladas en julio de 2023, permiten la modificación no autorizada de los programas ladder desde la red. Estas CVE se han aprovechado en ataques dirigidos contra la infraestructura crítica estadounidense. El proceso de actualización del firmware recomendado para todos estos controladores es: (1) consultar los boletines del PSIRT (Equipo de Respuesta a Incidentes de Seguridad de Productos) de cada fabricante, (2) probar el firmware en un entorno de simulación antes de su implementación en producción, (3) realizar la implementación durante una ventana de mantenimiento programada con un plan de reversión, (4) verificar la integridad del firmware descargado (hash SHA-256 publicado por el fabricante). Eziwan está suscrito a los boletines PSIRT de Siemens, Schneider y Rockwell para alertar a sus clientes afectados en las 24 horas siguientes a la publicación de un CVE crítico.

Cumplimiento normativo en materia de ciberseguridad
industrial integrada

Lo que cada normativa
os exige

6 capas de seguridad
OT de confianza cero

Puerto de entrada cero

Cifrado de extremo a extremo

Autenticación fuerte

RBAC y control de acceso

Segregación OT/IT

Firmware seguro y OTA

Eziwan abarca los requisitos fundamentales

Certificada. Documentada.
Auditable.

Preguntas frecuentes

¿Listo para preparar tu cumplimiento normativo?
¿Ciberseguridad industrial?

Requisitos de seguridad	CRA	NIS2	IEC 62443	ANSSI
Autenticación fuerte (MFA)
Cifrado en tránsito (TLS 1.3)
Cifrado en reposo (AES-256)		—
Cero puertos de entrada (Zero Trust)
RBAC granular	—
Registros de auditoría inmutables
Firmware firmado (OTA)		—		—
Gestión de vulnerabilidades (CVE)		—	—	—
Segregación OT/IT	—
Continuidad (conmutación automática entre dos tarjetas SIM)	—		—
Alojamiento web independiente en Francia	—	—	—
Documentación técnica completa

Cumplimiento normativo en materia de ciberseguridadindustrial integrada

Lo que cada normativaos exige

6 capas de seguridadOT de confianza cero