/ Noviembre-Diciembre 2026 66 Opinión Durante años, la ciberseguridad era cosa del departamento de sistemas y la seguridad física del director de seguridad. Esa frontera ya no existe. Un lector de tarjetas, una unidad de control de accesos o una cámara IP son hoy equipos conectados a una red y, como tales, pueden convertirse en vía de entrada de un ataque. La guía La gestión de la ciberseguridad de los sistemas de seguridad física. Recomendaciones y casos de uso, publicada en 2024 por el Foro Nacional de Ciberseguridad, lo resume con precisión: cuando estos sistemas carecen de medidas de ciberseguridad adecuadas quedan expuestos a las ciberamenazas y pueden comprometer otros activos de la organización. El riesgo circula en ambas direcciones. Un acceso físico indebido a un centro de datos o a una toma de red puede comprometer los sistemas de información; y un ataque informático contra el sistema de seguridad puede abrir puertas, cegar cámaras o silenciar alarmas. La cuestión ya no es solo cómo proteger la seguridad física frente a las amenazas cibernéticas, sino cómo demostrar que esa protección es adecuada y eficaz. Marco regulatorio La Directiva NIS2, publicada el 27 de diciembre de 2022 y cuya fecha límite de transposición venció el 17 de octubre de 2024, exige a las entidades esenciales e importantes un enfoque frente a todos los peligros. Este enfoque debe proteger los sistemas de redes y de información y su entorno físico e incluye, entre las medidas mínimas, la seguridad de la cadena de suministro, la criptografía y las políticas de control de acceso. España sigue pendiente de completar su incorporación al ordenamiento nacional, pero sus exigencias ya condicionan las decisiones de seguridad, contratación y selección de proveedores. La Directiva CER, publicada también el 27 de diciembre de 2022, desplaza el foco desde la mera protección de infraestructuras hacia la continuidad de los servicios esenciales. En España, el Proyecto de Ley de Protección y Resiliencia de las Entidades Críticas fue publicado en el Boletín Oficial de las Cortes Generales el 27 de marzo de este año. Su texto exige que el plan de resiliencia contemple una protección física adecuada y menciona expresamente los instrumentos y procedimientos de vigilancia, los equipos de detección y los controles de acceso. El pasado mes de julio, unas orientaciones no vinculantes de la Comisión Europea sobre la aplicación del artículo 13.5 de la Directiva CER concretaron las medidas técnicas, de seguridad y organizativas que pueden adoptar las entidades críticas. Entre sus recomendaciones figuran las zonas de seguridad estratificadas, los lectores de tarjetas, la biometría, la gestión centralizada de credenciales, su revocación oportuna, el principio de mínimo privilegio y el control de visitantes. No constituyen un catálogo cerrado de obligaciones, pero sí anticipan el nivel de madurez que reguladores y auditores pueden esperar. Seguridad física y ciberseguridad: la certificación como garantía verificable Ignacio Rojo Director de la Unidad de Negocio de Seguridad de Dorlet La seguridad física forma parte del núcleo de la estrategia de seguridad, cuya confianza debe poder medirse, verificarse y demostrarse
RkJQdWJsaXNoZXIy MTI4MzQz