Ciberseguridad BMS y OT: proteger el sistema de control de su edificio o planta
La ciberseguridad BMS consiste en proteger los controladores, la supervisión y las comunicaciones que gobiernan la climatización, la energía y el resto de instalaciones de un edificio o una planta. En ACIPro segmentamos la red de control, montamos accesos remotos seguros, bastionamos Niagara y los controladores y revisamos sistemas existentes con un informe de vulnerabilidades y un plan de mejora.
Respuesta en menos de 24 horas laborables · Toda Extremadura y provincias limítrofes
Por qué un BMS es un objetivo
Durante años, un sistema BMS se diseñaba pensando solo en que funcionara: controladores en el cuadro, un puesto de supervisión en la sala de mantenimiento y, como mucho, un módem para entrar desde fuera. Hoy esos mismos equipos están conectados a la red del edificio y, muchas veces, a internet. La ciberseguridad OT (la de la tecnología de operación, frente a la informática de oficina) llega tarde a muchas instalaciones, y los fallos se repiten:
- Equipos expuestos a internet. Supervisiones y controladores publicados con un puerto abierto en el router para poder entrar desde casa. Son fáciles de encontrar con buscadores especializados.
- Contraseñas por defecto. El usuario y la clave de fábrica siguen activos años después de la puesta en marcha, o hay una única cuenta compartida por todo el mundo.
- Redes planas. Controladores, cámaras, ordenadores de oficina y la WiFi de invitados conviven en la misma red. Quien entra por un sitio llega a todo.
- Software sin actualizar. Versiones de supervisión y firmware que nadie ha tocado desde la entrega.
- Protocolos sin autenticación. BACnet o Modbus en su forma clásica no comprueban quién envía una orden.
Las consecuencias no son teóricas: un atacante puede parar la climatización de un quirófano, desactivar alarmas, cambiar consignas o usar el BMS como puerta de entrada a la red corporativa.
ISA/IEC 62443: el marco de referencia para ciberseguridad industrial
La serie ISA/IEC 62443 es el conjunto de normas internacionales de referencia para la seguridad de los sistemas de automatización y control industrial, y sus principios se aplican igual de bien a un BMS. No es un único documento: tiene partes para el propietario de la instalación, para el integrador que la diseña y para el fabricante de los equipos. Sus ideas básicas son sencillas:
- Zonas y conductos. La instalación se divide en zonas que agrupan equipos con necesidades de seguridad parecidas (por ejemplo, controladores de climatización, supervisión, red corporativa). Las comunicaciones entre zonas pasan solo por conductos definidos y controlados.
- Niveles de seguridad. A cada zona se le asigna un nivel de seguridad objetivo según contra quién hay que protegerla, desde un error involuntario hasta un atacante con muchos medios. Ese nivel decide qué medidas técnicas hacen falta.
- Defensa en profundidad. Ninguna medida es suficiente por sí sola; se combinan segmentación, control de accesos, bastionado, registro de eventos y procedimientos.
- Responsabilidades repartidas. La seguridad depende del producto, de cómo se integra y de cómo se opera y se mantiene.
Nosotros aplicamos estos principios en el diseño y la telegestión de cada instalación. No hace falta certificar nada para empezar: con una buena separación de zonas y unos accesos bien hechos se elimina la mayor parte del riesgo real.
Le respondemos en menos de 24 horas laborables con una primera valoración.
NIS2 y Cyber Resilience Act: qué cambia
La Directiva NIS2 (Directiva (UE) 2022/2555) amplía las obligaciones de ciberseguridad a muchos más sectores que la normativa anterior: energía, transporte, sanidad, agua, administración pública, fabricación de determinados productos y otros. Exige gestionar riesgos, notificar incidentes y vigilar la cadena de suministro, lo que incluye a los proveedores que mantienen sistemas de control.
El plazo de transposición venció el 17 de octubre de 2024. A fecha de publicación de esta página, España no ha aprobado todavía su ley de transposición: el Gobierno aprobó en enero de 2025 el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, y en julio de 2026 la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la UE por no haber notificado la transposición. Mientras tanto sigue vigente el Real Decreto-ley 12/2018. Conviene prepararse ya: las medidas técnicas que pedirá la ley son las mismas que tienen sentido hoy.
El Reglamento de Ciberresiliencia (Cyber Resilience Act, Reglamento (UE) 2024/2847) afecta a los fabricantes de productos con elementos digitales, entre ellos controladores y software de supervisión. Desde el 11 de septiembre de 2026 deben notificar las vulnerabilidades explotadas activamente y los incidentes graves, y el resto de obligaciones se aplica a partir del 11 de diciembre de 2027. Para usted, como propietario, significa que conviene elegir equipos con soporte y actualizaciones de seguridad, y tener a alguien que las aplique.
ACIPro no es una consultora de cumplimiento ni emite certificaciones. Si su organización trabaja con un consultor de NIS2, ISO 27001 o ENS, le damos el soporte técnico en la parte OT y de control: inventario, arquitectura de red, accesos y evidencias.
Qué hacemos: cuatro servicios concretos
- Segmentación de la red de control. Separamos la red OT de la IT con VLAN y cortafuegos, definimos qué zonas existen y qué tráfico puede pasar entre ellas, y dejamos la WiFi de invitados, las cámaras y los equipos de oficina fuera de la red de los controladores. Nuestro equipo tiene formación Cisco CCNA, de modo que la parte de red la diseñamos y configuramos nosotros.
- Acceso remoto seguro. Conexión cifrada, usuarios individuales con su propia contraseña y sin puertos abiertos a internet. Cada acceso queda identificado y se puede retirar cuando un técnico o una empresa deja de trabajar en la instalación. Es el mismo esquema que usamos en nuestra telegestión de instalaciones.
- Bastionado de Niagara y controladores. Eliminamos contraseñas por defecto, creamos cuentas nominales con roles (consulta, operación, administración), instalamos certificados para las comunicaciones cifradas, desactivamos servicios que no se usan y dejamos un plan de actualizaciones. Somos partner oficial de Honeywell y trabajamos con Niagara 4 a diario.
- Revisión de seguridad de un BMS existente. Analizamos su sistema actual, sea de la marca que sea, y le entregamos un informe de vulnerabilidades con recomendaciones priorizadas.
Cuéntenos qué edificio tiene y qué le preocupa. Le decimos por dónde empezar.
Cómo es una revisión de seguridad del BMS
La revisión está pensada para no poner en riesgo una instalación que está funcionando. Seguimos siempre estos pasos:
- Inventario. Supervisiones, controladores, pasarelas, versiones de software y firmware, protocolos y accesos remotos existentes. Muchas veces es la primera vez que la propiedad tiene esta lista completa.
- Revisión de la arquitectura. Cómo está conectada la red de control, con qué otras redes comparte infraestructura y por dónde se entra desde fuera.
- Escaneo pasivo y no intrusivo. Observamos el tráfico y revisamos configuraciones sin lanzar pruebas agresivas contra controladores en producción, que pueden bloquearse ante un escaneo mal hecho.
- Informe priorizado. Cada hallazgo con su riesgo, su causa y la medida recomendada, ordenados por urgencia y coste. Primero lo que se arregla en una mañana, como cuentas por defecto o puertos abiertos.
- Plan de mejora. Propuesta de segmentación, accesos y actualizaciones por fases, que se puede ejecutar con nosotros o con su mantenedor.
Si la revisión destapa un sistema sin soporte ni actualizaciones posibles, le explicamos las opciones, incluida una migración a Niagara que aproveche el cableado y los equipos de campo.
Sectores donde la seguridad del control es crítica
- Hospitales y centros sanitarios. Climatización de quirófanos, presiones de salas, gases y producción de frío y calor. Un paro tiene consecuencias clínicas. Más en BMS para hospitales.
- Industria. Instalaciones auxiliares, salas limpias, frío industrial y energía, donde el BMS convive con la automatización de proceso.
- Administraciones públicas. Edificios repartidos y telegestionados desde un único puesto, a menudo con accesos heredados de varios mantenedores. Lo tratamos en servicios para administraciones públicas.
- Infraestructuras. Bombeos, depuradoras e instalaciones remotas con comunicaciones por móvil o radio, muchas veces sin vigilancia presencial.
Si su instalación necesita además renovar la red, el cableado o la WiFi, lo resolvemos en el mismo proyecto con nuestro servicio de redes, WiFi, CCTV y fibra óptica.
Llámenos o escríbanos por WhatsApp al +34 634 456 471 y lo vemos con usted.
Seguridad que no estorba al mantenimiento
Una medida de seguridad que impide trabajar acaba desactivada. Por eso diseñamos cada cambio con el mantenedor delante: accesos que funcionan desde el móvil, roles que dejan a cada uno hacer su trabajo, copias de seguridad de la programación y un procedimiento claro para dar y quitar permisos. Lo dejamos todo documentado y, si hace falta, formamos al personal de mantenimiento y a los usuarios.
Trabajamos en Cáceres, en toda Extremadura y en provincias limítrofes, y buena parte de la revisión y del seguimiento posterior se puede hacer en remoto, por un canal seguro, una vez montado.
Preguntas frecuentes
¿Qué es la ciberseguridad BMS?
Es el conjunto de medidas que protegen el sistema de gestión de un edificio frente a accesos no autorizados y manipulaciones: separación de la red de control, accesos remotos cifrados con usuarios individuales, eliminación de contraseñas por defecto, actualizaciones y registro de quién hace qué. Su objetivo es que la instalación siga funcionando y nadie ajeno pueda cambiarla.
¿Qué diferencia hay entre ciberseguridad OT e IT?
La seguridad IT protege sobre todo la información de oficina. La ciberseguridad OT protege equipos que actúan sobre el mundo físico, como climatizadores, bombas o calderas, donde lo primero es que no se paren. Por eso en OT no se escanea de forma agresiva, las actualizaciones se planifican con cuidado y la disponibilidad pesa tanto como la confidencialidad.
¿Mi empresa está obligada por NIS2?
Depende del sector y del tamaño de su organización. A fecha de hoy España no ha aprobado su ley de transposición y sigue vigente el Real Decreto-ley 12/2018, así que conviene revisarlo con su asesor jurídico o consultor. Lo que sí podemos asegurar es que las medidas técnicas sobre el sistema de control serán necesarias en cualquier caso.
¿Hacéis consultoría de ISO 27001, ENS o NIS2?
No. ACIPro no es consultora de cumplimiento ni certifica sistemas de gestión. Lo que hacemos es dar soporte técnico al consultor de su organización en la parte OT y de control: inventario de equipos, arquitectura de red, accesos remotos, bastionado y evidencias de las medidas aplicadas.
¿Una revisión de seguridad puede parar mi instalación?
No debería. Trabajamos con inventario, revisión de configuraciones y escaneo pasivo y no intrusivo, sin pruebas agresivas contra controladores en producción. Cualquier cambio posterior, como modificar la red o actualizar firmware, se planifica con usted y se hace en una ventana acordada, con copia de seguridad previa.
¿Es seguro acceder a la instalación desde el móvil?
Sí, si se hace bien: conexión cifrada, usuario propio para cada persona, sin puertos abiertos en el router y con permisos ajustados a lo que cada uno necesita. Lo inseguro es lo habitual en instalaciones antiguas: un puerto publicado en internet y una única contraseña compartida.
¿Revisáis sistemas de otras marcas?
Sí. La revisión de seguridad y la segmentación de red se pueden hacer sobre cualquier BMS. Trabajamos a diario con Niagara 4 y equipos Honeywell, contamos con técnicos certificados en EcoStruxure Building Operation de Schneider Electric e integramos Siemens Desigo, además de otros fabricantes.
Llámenos o escríbanos por WhatsApp al +34 634 456 471 y lo vemos con usted.
También le puede interesar
- Redes, WiFi, CCTV y fibra óptica para edificios e industria
- Telegestión de instalaciones en Cáceres, Badajoz y toda Extremadura
- Sistema BMS para hospitales: climatización controlada y documentada
- Migración de Honeywell CARE, Eagle y Excel 5000 a Niagara 4
Referencias y fabricantes
¿Tiene un sistema de control que nadie sabe mantener?
Revisamos su instalación y le decimos qué se puede aprovechar, qué conviene sustituir y cuánto puede ahorrar.