La mayor conectividad está transformando la forma en que el riesgo operativo se propaga entre organizaciones, proveedores e infraestructuras públicas.
En consonancia con esto, gestionar el riesgo cibernético industrial se está convirtiendo en un desafío de resiliencia con implicaciones que van mucho más allá de una sola organización.
Hay tres formas de entender y gestionar el riesgo cibernético industrial que podrían ayudar a abordar este cambio.
Los sistemas industriales —entornos como la fabricación, la energía, el transporte, la minería y otras operaciones, donde los sistemas digitales supervisan o controlan procesos físicos— se diseñaron en otro tiempo para estar aislados. Hoy están cada vez más conectados a plataformas empresariales, entornos en la nube y ecosistemas de terceros.
Esto importa porque la conectividad industrial ya no se limita a mejorar la eficiencia o modernizarse digitalmente. Ahora está transformando la forma en que el riesgo operativo se propaga entre organizaciones, proveedores e infraestructuras públicas. Lo que antes parecía un incidente técnico localizado puede convertirse ahora en una interrupción más amplia, sobre todo cuando los servicios esenciales dependen de sistemas interconectados que operan bajo restricciones compartidas.
Los incidentes cibernéticos también van ahora más allá de los límites de la empresa. Pueden interrumpir procesos físicos o servicios nacionales esenciales y provocar efectos en cadena en distintos sectores. A medida que aumenta la interconexión, gestionar el riesgo cibernético se está convirtiendo en un desafío de resiliencia con implicaciones que van mucho más allá de una sola organización.
De la exposición empresarial al riesgo sistémico
Los sistemas industriales respaldan servicios esenciales como la energía, el transporte y la fabricación. Están cada vez más interconectados, tanto en el ámbito digital como en el operativo. La tecnología de la información (TI) está convergiendo con la tecnología operativa (TO) —las herramientas que supervisan y gestionan dispositivos físicos, procesos industriales e infraestructura— en sectores clave. Esto aumenta la exposición y hace más urgente la resiliencia, según el Panorama de la ciberseguridad mundial 2026.
Así, además de proteger a organizaciones individuales, la ciberseguridad consiste cada vez más en mantener la estabilidad de los sistemas que sustentan la sociedad y la economía. Las interrupciones podrían afectar a proveedores, socios y economías nacionales. Sin embargo, mientras los entornos industriales evolucionan rápidamente, los modelos de gobernanza tardan más en adaptarse.
La responsabilidad sobre los riesgos está a menudo fragmentada entre ingeniería, operaciones, tecnología y socios externos. La rendición de cuentas suele ser compartida, pero no está claramente definida. Además, la visibilidad en los niveles directivos sigue siendo irregular, especialmente cuando la tecnología operativa está separada de las estructuras tradicionales de TI.
Esta brecha se refleja en datos recientes. Solo el 16 % de las organizaciones con entornos industriales informa a sus consejos de administración sobre problemas de seguridad de TO; el 20 % cuenta con equipos especializados en seguridad de TO y apenas el 36 % asigna la responsabilidad directa de dicha seguridad al director de seguridad de la información. Esta brecha de gobernanza tiene implicaciones sistémicas porque las interrupciones industriales pueden propagarse más allá de la empresa.
Estas cifras revelan una madurez desigual y ponen al descubierto una debilidad estructural en la forma en que muchas organizaciones siguen gobernando el riesgo cibernético industrial. Si la supervisión es limitada, la rendición de cuentas está dispersa y las dependencias operativas no se comprenden plenamente, la resiliencia puede convertirse fácilmente en una aspiración en lugar de una capacidad puesta a prueba. En entornos interconectados, una gobernanza débil no queda ordenadamente confinada a una función o a una sede.
Este desafío más amplio no se limita a la TO. Un análisis reciente de divulgaciones, destacado por el Foro de la Facultad de Derecho de Harvard y basado en una investigación de EY, concluyó que el 78 % de las empresas sigue asignando la supervisión de la ciberseguridad principalmente al comité de auditoría, pero el 73 % declara ahora cumplir un marco externo como ISO 27001. Esto supone un avance, pero también sugiere que muchos consejos siguen recurriendo a estructuras diseñadas para la supervisión general, en vez de atender a la complejidad específica del riesgo cibernético en entornos operativos interconectados.
Los organismos reguladores también hacen hincapié en la gobernanza. Las normas de divulgación de ciberseguridad de 2023 de la SEC exigen a las empresas que cotizan en bolsa informar sobre incidentes materiales y presentar divulgaciones anuales sobre la gestión del riesgo cibernético, la estrategia y la gobernanza.
La ciberseguridad es ahora una cuestión tanto de seguridad como de gobernanza, además de un asunto de transparencia del mercado.
Un problema de resiliencia
El riesgo cibernético industrial plantea dificultades, no solo por el aumento de las amenazas, sino también porque los entornos operativos están sujetos a limitaciones inherentes. Los largos ciclos de vida de los activos, la visibilidad limitada, el acceso integrado de terceros y las condiciones en las que la seguridad es crítica dificultan la reparación rápida frente a los entornos de TI habituales. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos señala en sus directrices conjuntas sobre TO que las decisiones empresariales pueden afectar a la ciberseguridad de la TO, y que adoptar una perspectiva de seguridad de TO mejora tanto la seguridad como la continuidad del negocio.
Esto transforma el desafío: deja de ser una cuestión de controles para convertirse en una cuestión sistémica. A gran escala, la resiliencia depende menos de las salvaguardas en sedes individuales y más de la capacidad de la organización para tomar decisiones coherentes en entornos distribuidos con distintos niveles de madurez, dependencias y restricciones. Esto pone de manifiesto la gran importancia de la gobernanza en lo que respecta al riesgo cibernético industrial.
En ese sentido, la resiliencia no consiste solo en la capacidad de recuperar la tecnología. Consiste en preservar la calidad de las decisiones, las prioridades de continuidad y la confianza operativa mientras los sistemas están degradados. Esta distinción es especialmente importante en entornos industriales, donde restablecer un sistema y recuperar la confianza en que un proceso opera de forma segura no siempre son lo mismo.
Esto ayuda a explicar por qué los consejos de administración siguen teniendo dificultades. Harvard Business Review señala que, aunque los consejos de administración prestan más atención a la ciberseguridad, a menudo carecen de los conocimientos necesarios, tratan la IA por separado de la seguridad o equiparan el cumplimiento con la resiliencia. En entornos industriales, estas debilidades pueden escalar rápidamente, pasando de la exposición cibernética a la interrupción operativa.
Fortalecer la resiliencia ante el riesgo cibernético industrial
Si se trata de un desafío de gobernanza, la respuesta no puede limitarse a añadir más controles. Hace falta cambiar la forma de entender y gobernar el riesgo cibernético industrial de tres maneras:
1. Pasar de una responsabilidad fragmentada a una gobernanza explícita que cruce fronteras
En muchos entornos industriales, la rendición de cuentas se distribuye entre funciones que no siempre comparten las mismas prioridades ni la misma lógica de decisión. A medida que los sistemas se interconectan más, las organizaciones necesitan modelos de gobernanza que definan cómo se comparte la responsabilidad, cómo se resuelven las disyuntivas y cómo se toman decisiones cuando una interrupción afecta tanto a las operaciones como a la resiliencia.
2. Pasar de una supervisión centrada en los controles a una basada en escenarios de riesgo
En entornos industriales interconectados, la resiliencia depende menos de que existan salvaguardas individuales y más de que los directivos comprendan cómo podría propagarse una interrupción entre activos, servicios, proveedores y sectores. Esto exige ir más allá de las revisiones estáticas de controles y avanzar hacia una gobernanza basada en escenarios que refleje la interdependencia y las condiciones operativas reales.
3. Convertir la confianza interna en una garantía independiente
En situaciones en las que una interrupción podría tener efectos operativos, económicos o sociales, la autoevaluación no basta. Las organizaciones necesitan mecanismos que pongan a prueba si la gobernanza se mantiene bajo presión, si la coordinación funciona en entornos distribuidos y si las hipótesis sobre la resiliencia siguen siendo válidas a medida que evolucionan los sistemas. Esto podría incluir auditorías de terceros y evaluaciones externas que proporcionen a los consejos una validación objetiva y una visión más profunda de la eficacia de las estrategias de resiliencia.
La evolución de la gobernanza del riesgo cibernético industrial
Estos cambios no sustituyen los controles técnicos; los sitúan en el contexto adecuado. En los sistemas industriales, la resiliencia a gran escala depende cada vez más de la calidad de la gobernanza que rodea a la tecnología, y no solo de la tecnología.
Por tanto, el desafío para los líderes empresariales va más allá de la ciberseguridad en sentido estricto. Los modelos de gobernanza, los mecanismos de garantía y las estructuras de rendición de cuentas deben evolucionar con suficiente rapidez para ajustarse a la realidad de las operaciones interconectadas.
En los sistemas industriales, la resiliencia estará cada vez más definida por la capacidad de las organizaciones para gobernar la complejidad antes de que una interrupción las ponga a prueba.
