Requisitos KRITIS ampliados por la directiva NIS-2
La transposición de la directiva NIS-2 al derecho nacional ha ampliado drásticamente el círculo de organizaciones afectadas. Mientras que durante mucho tiempo el concepto de infraestructura crítica se asociaba a grandes centrales eléctricas, proveedores de agua centrales o nudos del transporte ferroviario, esa visión quedó obsoleta en 2026. Con las últimas adaptaciones de la ley del BSI, hoy también las empresas medianas de los sectores del transporte, la logística, la sanidad y la gestión de residuos, así como los organismos y oficinas públicas, quedan sujetas a las estrictas obligaciones de notificación y requisitos de seguridad.
Quien ignore los nuevos estándares no solo se arriesga a interrupciones operativas fatales, sino también a importantes riesgos de responsabilidad personal y a sanciones. La vulnerabilidad no se limita a los elementos digitales de una infraestructura, como demostraron los ataques mecánicos al suministro eléctrico en Berlín en septiembre de 2025.
La conectividad crea nuevas superficies de ataque
La automatización de edificios moderna está hoy conectada casi sin excepción. Ya sea por wifi, radio o sistemas de bus por cable: cada puerta automatizada, cada ventana inteligente y cada instalación de evacuación de humo y calor es un punto final potencial de una red. Con ello, cada uno de estos sistemas se convierte en una posible puerta de entrada para ciberataques si la protección no se corresponde con el estado actual de la técnica.
Especialmente problemática es la frontera entre la seguridad informática y la física. Un ejemplo clásico de la práctica ilustra el riesgo: si una puerta automática presenta una avería durante el funcionamiento, en el ajetreo diario suele bloquearse mecánicamente por comodidad o desconocimiento, se «mantiene abierta». En un contexto KRITIS esto no es una nimiedad, sino una brecha de seguridad que anula la separación física que debería garantizar la protección frente al acceso no autorizado.
Seguridad física y digital como unidad
La integridad de una instalación KRITIS depende de la protección física de la envolvente exterior y de las interfaces internas entre las zonas KRITIS sensibles y las zonas de acceso público. Una conformidad KRITIS real exige, por tanto, un cambio de mentalidad: la protección digital y la fiabilidad mecánica deben planificarse y explotarse como una unidad indisociable.
Enfoques de planificación integrados para la conformidad KRITIS
Los nuevos requisitos legales desplazan enormemente las prioridades de la planificación. Hoy se observa un aumento de los llamados conflictos funcionales. Las barreras de seguridad elevadas y los controles de acceso restrictivos chocan inevitablemente, en puertas y otros elementos de la envolvente exterior, con el deseo de máxima comodidad de uso, plena accesibilidad y el menor esfuerzo de mantenimiento posible.
Para evitar costosas correcciones posteriores o incluso replanificaciones completas, los responsables de obra y de edificios deben buscar el diálogo con los expertos antes que nunca. Un enfoque de planificación integrado no contempla el edificio como la suma de oficios individuales, sino como un sistema global.
Retos en la modernización de edificios existentes
Especialmente exigente es la modernización de lo existente. Muchos edificios relevantes para KRITIS cuentan con sistemas de crecimiento histórico que a menudo funcionan como soluciones aisladas. La pregunta acuciante es: ¿cómo pueden actualizarse los componentes obsoletos conforme a KRITIS sin tener que sustituir toda la infraestructura?
Un inventario riguroso es el primer paso para identificar interfaces que resulten viables de cara al futuro tanto en términos de seguridad como funcionales. El objetivo debe ser encontrar una solución que cumpla las estrictas necesidades de protección sin paralizar el funcionamiento del edificio con una complejidad excesiva.
Estándares técnicos para una interoperabilidad segura
Una palanca técnica decisiva para implantar soluciones conformes a KRITIS es la interoperabilidad. Las soluciones automatizadas de puertas y ventanas deben afrontar hoy simultáneamente tareas complejas: hay que cumplir las exigencias de protección contra incendios, garantizar en todo momento las vías de evacuación y rescate y preservar la accesibilidad. Al mismo tiempo, el sistema debe estar plenamente integrado en el control superior del edificio para proporcionar mensajes de estado en tiempo real.
Los expertos apuestan de forma consecuente por estándares de comunicación abiertos y seguros para garantizar la transparencia y la seguridad necesarias. Actualmente, OPC UA constituye la base para un intercambio de datos seguro e independiente de la plataforma. De cara al futuro y a los crecientes requisitos de seguridad de red, BACnetSC (Secure Connect) también desempeñará un papel central.
El cifrado como requisito básico
Estos estándares permiten no solo controlar las funciones de seguridad, sino comunicarlas cifradas y supervisarlas sin lagunas. En una arquitectura conforme a KRITIS, este cifrado a nivel de protocolo es un requisito básico para impedir ataques de intermediario contra la tecnología del edificio.
Recomendaciones prácticas para una automatización de edificios conforme a KRITIS
De los nuevos requisitos se derivan recomendaciones concretas para su aplicación práctica:
- Integración temprana de expertos en seguridad en la fase de planificación
- Consideración del edificio como sistema global en lugar de oficios aislados
- Inventario riguroso antes de las medidas de modernización
- Uso de estándares de comunicación abiertos y seguros
- Implantación de cifrado integral a nivel de protocolo
- Revisión y adaptación periódicas de las medidas de seguridad
Especialmente en los sistemas de control de accesos hay que velar por que las medidas de seguridad mecánicas no queden anuladas por soluciones improvisadas de la operativa diaria. Las averías deben subsanarse de forma sistemática en lugar de establecer apaños improvisados.
Perspectivas: la seguridad como tarea permanente
La conformidad KRITIS no es un proyecto puntual, sino una tarea permanente en el ciclo de vida de un edificio. Ante un panorama de amenazas en constante cambio y una legislación dinámica, la planificación previsora es el único camino hacia la resiliencia.
La integración de la seguridad informática y la seguridad física del edificio será aún más importante en el futuro. Las empresas que hoy invierten en soluciones preparadas para el futuro pueden aprovechar la seguridad como ventaja competitiva en lugar de vivirla como un obstáculo. Con los socios adecuados y una automatización de edificios inteligentemente conectada, la seguridad se convierte en garante de un funcionamiento estable y viable.
La ampliación de los requisitos KRITIS deja claro que la protección de las infraestructuras críticas empieza ya en la envolvente del edificio y exige un cambio de mentalidad en toda la fase de planificación y explotación de los inmuebles.
