La planta ya está en la nube, aunque nadie lo haya decidido
Esta serie está formada por tres entregas semanales que tratan sobre el cloud industrial y la continuidad operativa. En la primera entrega abordaremos el contexto.
Ninguna dirección industrial firmó un día la decisión de trasladar su planta a la nube y, sin embargo, si hoy se interrumpieran los servicios externos de los que dependen sus sistemas de monitorización, trazabilidad o soporte, buena parte de las fábricas españolas notaría el efecto en cuestión de horas. Esta primera entrega describe cómo se formó esa dependencia y qué mecanismos pueden detener una línea sin que nadie llegue a tocar la maquinaria.
Una migración que ocurrió sin proyecto de migración
La adopción del cloud en la industria no siguió el patrón de los sistemas corporativos, donde suele haber un proyecto, un comité y un análisis de riesgos asociado. Lo que hubo fue una acumulación de decisiones pequeñas y razonables tomadas a lo largo de varios años.
El proveedor del sistema de monitorización pasó a ofrecer su plataforma como servicio, el fabricante de la línea de envasado condicionó la garantía a un acceso remoto permanente y el historiador de proceso encontró en la nube la capacidad de almacenamiento que la sala de servidores nunca tuvo. Cada decisión, valorada por separado, era correcta, pero el resultado agregado es que la operación diaria depende de una constelación de servicios externos que nadie eligió como conjunto y que en muchos casos tampoco ha inventariado como conjunto.
Esa evolución ha traído capacidades reales, porque el mantenimiento predictivo, la trazabilidad extremo a extremo o la optimización energética serían inviables a la escala actual sin infraestructura cloud.
La cuestión que plantea esta serie es distinta, ya que esas capacidades han venido acompañadas de dependencias que influyen en la disponibilidad de la planta y que rara vez reciben el mismo tratamiento de gestión de riesgos que un activo físico crítico.
El punto ciego del análisis de riesgo operacional
Los marcos de análisis de riesgo industrial se construyeron mirando hacia dentro del perímetro y evalúan la máquina, el autómata, la red de control y el suministro eléctrico, mientras que los servicios externos viven en el contrato que gestiona compras, medidos en porcentajes de disponibilidad, y no en el mapa de riesgos que gestiona operaciones, medido en horas de parada y en producto que no sale.
Esa separación se traslada a los ejercicios de continuidad, cuyo guion habitual cubre el incendio, el fallo eléctrico y el ransomware sobre los sistemas propios sin llegar a contemplar la caída de un servicio ajeno con la planta funcionando con normalidad.
Tres mecanismos con el mismo resultado
- El PRIMERO es el fallo del proveedor sin que medie ataque alguno. El 20 de octubre de 2025, una incidencia en la resolución de nombres dentro de uno de los grandes proveedores de infraestructura cloud se propagó en cascada a más de un centenar de sus servicios y arrastró durante horas a organizaciones de todo el mundo que no guardaban relación entre sí, desde entidades financieras hasta plataformas logísticas. INCIBE recogió el episodio en su bitácora de seguridad. No hubo atacante, sino una dependencia que funcionó como estaba diseñada y que, por esa misma razón, falló para todos a la vez.
- El SEGUNDO es el compromiso del proveedor como vía de entrada. En julio de 2021, el ataque a la plataforma de gestión remota Kaseya se propagó aguas abajo hasta alcanzar, según las estimaciones publicadas, a unas mil quinientas organizaciones que nunca fueron el objetivo directo, y una cadena de supermercados sueca cerró centenares de tiendas porque sus terminales de cobro dependían de un proveedor que dependía a su vez del software comprometido.
- El TERCERO es la pérdida de un tercero operativo. En marzo de 2022, Toyota suspendió durante una jornada la producción de sus catorce plantas en Japón porque el atacado fue Kojima Industries, un proveedor cuya conexión digital con el sistema de aprovisionamiento obligó a una desconexión preventiva. Jaguar Land Rover llevó ese patrón a mayor escala en el otoño de 2025, con varias semanas de parada y un impacto que el Cyber Monitoring Centre británico situó en el entorno de los 1.900 millones de libras, buena parte soportada por las más de cinco mil organizaciones afectadas aguas abajo.
España no queda al margen. INCIBE gestionó 122.223 incidentes durante 2025, un veintiséis por ciento más que el año anterior, y los informes de ransomware del primer semestre de 2026 mantienen a la manufactura entre los sectores más atacados del mundo. En casi todos los casos documentados el daño no se detuvo en el perímetro de la víctima, se propagó por sus dependencias.
Un riesgo sin propietario
Si la dependencia es tan real, cabe preguntarse por qué sigue sin gestionarse, y la explicación se encuentra en el reparto de responsabilidades. El equipo de OT mira hacia el proceso y sus sistemas de control, el de IT hacia los sistemas corporativos y compras hacia el precio y el acuerdo de nivel de servicio, de manera que esta dependencia cruza los tres territorios sin pertenecer del todo a ninguno y cada área asume, razonablemente, que la vigila otra. Sin un propietario asignado, ese riesgo no llega a revisarse hasta que se materializa.
La segunda entrega examinará qué cubre realmente la responsabilidad compartida cuando la planta se para, qué implica la concentración de proveedores y qué preguntas de soberanía debería poder responder una dirección antes de firmar la próxima renovación.
