Soluciones · Industria y fabricación de maquinaria
En la fabricación de maquinaria, los requisitos suelen venir del cliente: un sistema de gestión de la calidad conforme a la ISO 9001, un cuestionario sobre seguridad de la información, una cláusula en el contrato marco. A ello se suma NIS2 para los fabricantes medianos y grandes. Sightadel lo ordena en una sola plataforma, reparte las tareas entre calidad, informática y producción y deja constancia de lo que está demostrado.
Punto de partida
Muchos fabricantes medianos tienen desde hace años un certificado ISO 9001. La gestión de la calidad está asentada, el manual al día y la auditoría de seguimiento es rutina. La seguridad de la información, en cambio, se llevó durante mucho tiempo en paralelo. El departamento de informática se ocupa del cortafuegos, las copias de seguridad y las cuentas de usuario; producción, de sus sistemas de control. Rara vez existe una visión de conjunto.
Esto está cambiando ahora desde tres frentes. Los grandes clientes, sobre todo de la industria del automóvil, exigen a sus proveedores evidencias de seguridad de la información y envían extensos cuestionarios. La ley alemana de transposición de NIS2 (NIS2UmsuCG) abarca desde diciembre de 2025 también a los fabricantes de maquinaria, componentes de vehículos y electrónica a partir de un tamaño mediano. Y con el Cyber Resilience Act (Reglamento (UE) 2024/2847) llegan obligaciones para los productos con elementos digitales, es decir, para las máquinas conectadas y su software.
La buena noticia: una empresa con una gestión de la calidad viva ya tiene la base. El control de documentos, la auditoría interna, la revisión por la dirección y las acciones correctivas funcionan con el mismo esquema para la seguridad de la información. Quien gestiona ambos en un solo sistema mantiene esos procesos una única vez.
Por qué ahora
Un OEM o un gran proveedor envía un cuestionario sobre seguridad de la información o exige una evaluación conforme a un estándar sectorial. Las respuestas deben poder demostrarse y la fecha suele estar ya fijada.
La fabricación de maquinaria, de vehículos y de electrónica pertenece a la industria manufacturera del anexo 2 de la ley alemana del BSI (BSIG). A partir de 50 empleados o de más de 10 millones de euros de volumen de negocio anual y de balance, los fabricantes son por regla general entidades importantes. De ello se derivan el registro, la gestión de riesgos y las obligaciones de notificación.
Un software malicioso paraliza los equipos de diseño o el puesto de control y la fabricación se detiene. Después, la aseguradora, los clientes y la dirección preguntan qué medidas existían y por qué la red de oficina y la de producción no estaban separadas.
En septiembre de 2026 se publicó una nueva versión de la ISO 9001. Para las empresas certificadas corre un periodo de transición. Es un buen momento para depurar la gestión de la calidad e incorporar de paso la seguridad de la información.
Las máquinas con mantenimiento remoto, aplicaciones o conexión a la nube se consideran productos con elementos digitales. El Cyber Resilience Act impone requisitos propios a sus fabricantes. Las primeras obligaciones de notificación ya están en vigor.
Compradores y bancos revisan ya también, en las empresas familiares, la seguridad de la información y los riesgos de la cadena de suministro. Un estado de evidencias ordenado evita preguntas y rebajas en el precio.
Frameworks relevantes
Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.
No es obligatoria por ley, pero en la industria suele ser requisito para los contratos marco y la homologación de proveedores. La nueva versión de 2026 mantiene la estructura habitual. Los certificados existentes siguen siendo válidos durante el periodo de transición; la adaptación se realiza en el marco de una auditoría del organismo de certificación.
Ver el framework →El certificado de seguridad de la información reconocido internacionalmente. Muchos clientes lo aceptan como evidencia o como base. Las evaluaciones sectoriales que los fabricantes de automóviles exigen a sus proveedores se basan en su contenido en la ISO 27001. Un SGSI conforme a la ISO 27001 crea una base sólida para ello, pero no sustituye a una evaluación de ese tipo.
Ver el framework →Los fabricantes de maquinaria, vehículos, componentes de vehículos, equipos eléctricos y electrónica figuran en el anexo 2 de la BSIG. A partir de un tamaño mediano se consideran entidad importante. Lo decisivo es la actividad real, no la inscripción en el registro mercantil. Los requisitos alcanzan a menudo también a los fabricantes más pequeños, porque los clientes afectados deben evaluar su cadena de suministro.
Ver el framework →Se aplica a toda empresa, aunque el foco esté en los datos técnicos. Los datos del personal, los contactos de clientes, el control de acceso y la videovigilancia en la planta son los temas típicos. Las medidas técnicas se demuestran con las mismas evidencias que en el SGSI.
Ver el framework →Para fabricantes con clientes o matriz en EE. UU., un lenguaje extendido para presentar el grado de madurez en ciberseguridad. No es un certificado, pero sí un marco útil para informar a la dirección.
Ver el framework →Orden recomendado
Primero comprueba si su empresa entra en NIS2 por actividad y tamaño. En paralelo recopila lo que exigen contractualmente sus clientes más importantes. De ahí se deduce qué objetivo va primero y para cuándo.
Sedes, plantas, redes de producción, diseño, ventas y servicio técnico: ¿qué entra en el alcance del SGSI? Si ya existe un sistema de gestión de la calidad, adopta el contexto, las partes interesadas y el mapa de procesos y añade la perspectiva de la seguridad de la información.
Servidores, puestos de trabajo y servicios en la nube los conoce informática. Los sistemas de control, los equipos de mando, los accesos de mantenimiento remoto y los sistemas antiguos sin actualizaciones a menudo solo los conoce producción. Ambas listas van juntas; de lo contrario, la mayor superficie de ataque queda sin evaluar.
Se responden los controles y se aportan evidencias. Los puntos abiertos se convierten en medidas con plazo y responsables. Los bloques típicos son la segmentación de redes, el mantenimiento remoto, las pruebas de restauración y la evaluación de los proveedores.
La auditoría interna y la revisión por la dirección las organiza junto con la gestión de la calidad. Con NIS2, además, la dirección aprueba con fecha la implantación de las medidas, la supervisa y recibe formación.
La auditoría de certificación la realiza un organismo acreditado de su elección. Después, las auditorías de seguimiento, las formaciones y las pruebas se desarrollan como ciclos periódicos, para que la situación siga siendo correcta en el próximo cuestionario de un cliente.
Enfoque
Tres temas distinguen la fabricación de maquinaria de otros sectores. Merecen desde el principio un lugar propio en el sistema.
Los sistemas de control y los equipos de mando funcionan a menudo durante muchos años, algunos con sistemas operativos sin soporte del fabricante. Sustituirlos rara vez es posible de inmediato. Un SGSI no exige entonces una compra nueva, sino una evaluación consciente: segmentación de redes, accesos restringidos, excepciones documentadas con justificación y fecha de caducidad.
Muchas instalaciones se mantienen a distancia, por el servicio técnico propio o por el proveedor de un componente. ¿Quién puede acceder y cuándo? ¿Cómo se autoriza y se registra el acceso? Estas preguntas figuran en casi todos los cuestionarios de clientes y en las medidas de NIS2.
Usted evalúa a sus propios proveedores, por ejemplo de software, servicios en la nube, componentes electrónicos y fabricación por encargo. Al mismo tiempo, sus clientes le evalúan a usted. Un registro de proveedores actualizado y un Trust Center responden a ambas partes con los mismos datos.
El Reglamento (UE) 2024/2847 afecta a los fabricantes de productos con elementos digitales. Desde el 11 de septiembre de 2026 se aplican obligaciones de notificación de vulnerabilidades explotadas activamente y de incidentes graves; la mayoría de las demás obligaciones, a partir del 11 de diciembre de 2027. Sightadel no incluye un módulo propio para ello. Pero los requisitos pueden reflejarse como framework propio, y mucho de lo hecho en el SGSI sirve también ahí, por ejemplo la gestión de vulnerabilidades y los canales de notificación.
Cómo ayuda Sightadel
ISO 9001, ISO 27001 y NIS2 se trabajan control a control. Donde los requisitos coinciden, por ejemplo en el control de documentos, la auditoría interna y la revisión por la dirección, una evidencia vale para varios frameworks.
Más información →Las brechas se convierten en tareas con plazo y responsables. Calidad, informática y producción ven su parte. Los proveedores de servicios externos, por ejemplo quien atiende las redes de producción, colaboran directamente como Contributor.
Más información →Proveedores de software, servicios en la nube, fabricantes por encargo y socios de mantenimiento remoto se gestionan con criticidad, cuestionario y evidencias con fecha de validez. Los certificados caducados saltan a la vista antes de que el cliente pregunte por ellos.
Más información →Sus clientes ven certificados, políticas aprobadas y medidas de seguridad en una página propia. Con ello, muchas preguntas de los cuestionarios de proveedores quedan respondidas antes de que se formulen.
Más información →Catálogos de requisitos específicos de clientes, normas internas de planta o los requisitos del Cyber Resilience Act los refleja como framework propio, también importándolos desde Excel o Word.
Más información →Sightadel comprueba la superficie de ataque visible desde fuera de sus dominios, por ejemplo el sitio web, el servidor de correo y el portal de clientes. Lo que ve cualquier atacante lo ve usted primero.
Más información →Vista desde fuera
Los cuestionarios de los OEM preguntan cada vez más por los escaneos de vulnerabilidades y la gestión de los hallazgos. Junto con veyrisk revisamos sus sistemas accesibles desde fuera, por ejemplo los accesos de mantenimiento remoto, la VPN y los portales de clientes. Los resultados los guarda como evidencia en Sightadel y responde con ellos a las preguntas correspondientes del cuestionario.
Fabricantes medianos con mantenimiento remoto, portales de clientes u obligaciones NIS2
Para separar la red de oficina y la de producción ofrecemos además cortafuegos de hardware de Valar. Lo que encaja lo aclaramos en una breve conversación.
Solicitar consultoríaEsfuerzo y duración
Los intervalos son valores de experiencia, no un compromiso. Lo que más influye es el número de sedes, el estado de las redes de producción y cuánto tiempo pueden dedicar informática y producción además del trabajo diario.
Qué licencia contrata · normalmente Professional
Una pyme típica gestiona ISO 9001 e ISO 27001 juntas en la edición Professional. Incluye diez usuarios, 25 proveedores y tres frameworks propios, suficiente para calidad, informática, producción y un catálogo de cliente. ISO 9001 e ISO 27001 se quedan en el precio de lista. Si añade NIS2 cuando lo necesite, tiene un descuento permanente.
Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
No. Sightadel no realiza evaluaciones sectoriales de la industria del automóvil ni prepara específicamente para ellas. Pero un SGSI conforme a la ISO 27001 cubre muchos de los temas que esas evaluaciones examinan y crea así una buena base. Qué revisión exige su cliente en concreto lo aclara directamente con él.
No. Ambas normas comparten la estructura básica. Contexto, liderazgo, control de documentos, auditoría interna, revisión por la dirección y mejora los gestiona de forma conjunta. En Sightadel, una evidencia está vinculada a ambos frameworks. Lo nuevo es sobre todo el análisis de riesgos de seguridad de la información y las medidas del anexo A.
Si fabrica maquinaria, vehículos, componentes de vehículos, equipos eléctricos o electrónica y tiene al menos 50 empleados o más de 10 millones de euros de volumen de negocio anual y de balance, hay muchos indicios de que sí. Sería entonces una entidad importante. En grupos empresariales y con varias actividades, la cuestión se vuelve detallada. La calificación definitiva es una cuestión jurídica para su asesoría.
Documentándolo con honestidad. Ningún marco exige sustituir de inmediato instalaciones que funcionan. Se espera que conozca, evalúe y limite el riesgo, por ejemplo mediante segmentación de redes y accesos restringidos. En Sightadel deja constancia de esas excepciones con justificación, responsable y fecha de caducidad.
Su certificado sigue siendo válido durante el periodo de transición. La adaptación la comprueba su organismo de certificación, normalmente junto con una auditoría de seguimiento o de recertificación. Las fechas exactas las acuerda con él. Conviene no esperar al último año, porque entonces la capacidad de auditoría escasea.
No, por ahora no. Puede crear los requisitos como framework propio y trabajar con controles, responsables y evidencias como con cualquier otro marco. Si sus productos entran en el ámbito del Reglamento y de qué manera lo aclara con su asesoría jurídica.
Sí. Sightadel tiene seis roles. El personal de producción o un proveedor de servicios para las redes de producción trabajan como Contributor en sus tareas, la dirección observa como Viewer y su auditor recibe un rol propio: lee, comenta y, tras su aprobación, edita, pero nunca elimina nada. El registro de actividad muestra quién hizo qué y cuándo.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
