¿Está el sector del transporte del Reino Unido preparado para la Ley de Ciberseguridad y Resiliencia?
¿Qué implicaciones podría tener el proyecto de ley sobre ciberseguridad y resiliencia para el sector del transporte del Reino Unido? Descubre medidas prácticas para reforzar la supervisión de los proveedores, la respuesta ante incidentes y la recuperación.
Los servicios de transporte dependen de la tecnología que hay detrás de cada trayecto. La gestión de horarios, la información a los pasajeros y las plataformas de proveedores garantizan el funcionamiento de las redes, pero las perturbaciones pueden extenderse rápidamente cuando los sistemas fallan. Laurence Kresnyak, de Getronics, analiza qué supone el proyecto de ley sobre ciberseguridad y resiliencia para los operadores de transporte del Reino Unido y por dónde deberían empezar a prepararse en la práctica.
En un artículo publicado en Transport Monthly, Laurence Kresnyak, director de desarrollo empresarial de Getronics, analiza por qué las empresas de transporte deberían reforzar su ciberresiliencia ahora mismo y por dónde deberían empezar a prepararse de forma práctica.
¿Qué implicaciones tiene el proyecto de ley para los operadores de transporte?
El proyecto de ley sobre ciberseguridad y resiliencia (redes y sistemas de información) actualizaría el actual Reglamento NIS de 2018 del Reino Unido, reforzando el marco que protege los servicios esenciales y la infraestructura digital.
Estado legislativo revisado: 23 de octubre de 2026. El proyecto de ley sigue tramitándose en el Parlamento, y la fase de informe en la Cámara de los Lores está prevista para el 26 de octubre. Sus disposiciones pueden sufrir modificaciones, y su aplicación se llevaría a cabo por fases tras la sanción real. Consulte el estado parlamentario más reciente.
El transporte ya está contemplado en el marco de la NIS, incluidas determinadas actividades relacionadas con los servicios aéreos, ferroviarios, por carretera y marítimos. Sin embargo, el hecho de operar en este sector no implica automáticamente que todas las organizaciones tengan las mismas obligaciones. Los operadores deben determinar si sus actividades entran dentro del ámbito de aplicación, cuál es su designación y cuáles son las directrices normativas pertinentes.
Las directrices de aplicación del NIS del Ministerio de Transporte constituyen un punto de partida para comprender el marco normativo vigente.
Hay dos cambios propuestos que merecen una atención especial:
- Notificación temprana de incidentes
El proyecto de ley propone una notificación inicial en un plazo de 24 horas desde que se tenga conocimiento de un incidente que cumpla los requisitos, seguida de un informe más completo en un plazo de 72 horas. Ambos plazos comienzan a contar a partir del momento en que se tiene conocimiento del incidente; el segundo no supone 72 horas adicionales tras la primera notificación.
Las propuestas también ampliarían la obligación de notificación para incluir determinados incidentes que puedan tener repercusiones significativas, incluso cuando aún no se haya producido ninguna interrupción.
La ficha informativa del Gobierno sobre la notificación de incidentes explica los cambios previstos: https://www.gov.uk/government/publications/cyber-security-and-resilience-network-and-information-systems-bill-factsheets/incident-reporting
- Mayor control de los proveedores críticos
El proyecto de ley otorgaría a los organismos reguladores la facultad de designar a determinados proveedores críticos y someterlos a requisitos de seguridad.
Esto no supondría automáticamente que todos los proveedores quedaran sujetos a una regulación directa. La designación dependería de una serie de condiciones definidas, entre las que se incluyen las posibles consecuencias de una interrupción del servicio. Para los operadores de transporte, esto refuerza la importancia de comprender qué servicios externos respaldan las operaciones esenciales. Lee la ficha informativa del Gobierno sobre proveedores críticos
Cuando una avería tecnológica se convierte en un problema de transporte
Un servicio de transporte puede verse afectado incluso cuando sus vehículos siguen en funcionamiento. La pérdida de acceso a los horarios, a la información sobre los pasajeros o a los datos necesarios para coordinar los servicios puede afectar a toda la red.
El argumento central de Laurence es que la resiliencia requiere una comprensión clara de cómo funcionan esas dependencias.
Las aplicaciones más antiguas y las plataformas en la nube más recientes suelen funcionar conjuntamente. Un sistema que pueda parecer de poca importancia puede dar soporte a varios procesos críticos, mientras que el servicio de un proveedor puede ser la base de actividades en toda la organización.
Para los operadores que gestionan entornos tecnológicos de transporte complejos, el punto de partida es comprender qué servicios son los más importantes, qué elementos los respaldan y qué ocurriría si fallara una de esas dependencias.
Seis pasos prácticos para reforzar la preparación
La preparación comienza por identificar qué es lo más importante y recopilar pruebas de que los planes funcionan. Los pasos siguientes son medidas prácticas de preparación, más que una lista de verificación de los documentos exigidos explícitamente por el proyecto de ley.
Acción | Qué hacer y qué pruebas hay que recabar |
|---|---|
Identificar los servicios críticos y sus dependencias | Identificar los sistemas, los datos, la infraestructura y los proveedores que dan soporte a los servicios de transporte importantes. Mantener actualizado un mapa de dependencias en el que se indiquen los responsables, incluidos los servicios compartidos cuyo fallo podría afectar a varias operaciones. |
Evaluar los riesgos en toda la empresa | Reúna a los equipos operativos, tecnológicos, de seguridad y empresariales para evaluar posibles situaciones de interrupción del servicio. Registre los posibles efectos sobre la prestación del servicio, los pasajeros y la seguridad, junto con los controles existentes y las deficiencias pendientes de resolver. |
Modernizar allí donde un fallo tendría mayores consecuencias | Prioriza las deficiencias en función de su impacto operativo. Elabora un plan de mejora con responsables y prioridades bien definidos, recurriendo a mejoras específicas allí donde puedan reducir el riesgo sin necesidad de una sustitución total. |
Medidas de recuperación de pruebas | Establecer períodos de interrupción aceptables y prioridades de recuperación. Realizar simulacros de los planes, registrar los tiempos de recuperación reales y hacer un seguimiento de los problemas detectados. Confirmar que la recuperación técnica restablece el servicio que necesita la empresa. |
Revisar los proveedores clave | Documenta los contactos en caso de incidente, los procedimientos de notificación, las responsabilidades en materia de recuperación y las dependencias externas. Analiza cómo responderían conjuntamente el operador y el proveedor, y comprueba las hipótesis importantes siempre que sea posible. |
Asignar responsabilidades y supervisar los avances | Asigna a cada deficiencia un responsable concreto, una medida acordada y una fecha de revisión. Mantén informados a los responsables de la toma de decisiones sobre los riesgos pendientes, las conclusiones de los ejercicios y los cambios en los servicios o proveedores críticos. |
Un enfoque estructurado de la continuidad de los servicios informáticos vincula la planificación de la recuperación con las prioridades operativas. Una gestión clara de la ciberseguridad contribuye a garantizar que los resultados se traduzcan en decisiones y en medidas con responsabilidad clara.
Cuando proceda, el Marco de Evaluación Cibernética del NCSC puede ayudar a estructurar la evaluación y la mejora. Los operadores deben seguir el marco y las expectativas pertinentes a su actividad de transporte y a su organismo regulador, en lugar de dar por sentado que una misma evaluación se aplica de forma idéntica a todos los modos de transporte.
¿Podrían vuestros equipos cumplir con los plazos de presentación propuestos?
Para notificar con antelación se necesita algo más que una plantilla de notificación. Los equipos deben identificar un incidente, evaluar su gravedad, recabar información y saber quién puede autorizar la comunicación.
Los operadores pueden empezar preguntando:
- ¿Quién decide si un incidente cumple los criterios de notificación?
- ¿Pueden los equipos operativos y los proveedores compartir rápidamente la información necesaria?
- ¿Hemos practicado juntos los procedimientos de escalado, comunicación y recuperación?
Estas medidas deberían funcionar fuera del horario habitual de oficina y cuando las personas clave no estén disponibles.
Un ejercicio puede poner de manifiesto que el principal obstáculo es un traspaso de responsabilidades poco claro, una lista de contactos desactualizada o la incertidumbre sobre quién puede tomar una decisión. Subsanar esas carencias forma parte de la creación de una respuesta fiable.
Experiencia en el apoyo a operaciones de transporte críticas
La colaboración de Getronics con un operador aeroportuario del Reino Unido pone de manifiesto la amplitud de los servicios tecnológicos que sustentan un entorno de transporte que funciona de forma ininterrumpida.
La colaboración se remonta a hace más de 12 años e incluye asistencia técnica las 24 horas del día, ingeniería de campo, gestión de infraestructuras, servicios en la nube pública y servicios de seguridad.
El estudio de caso sobre el operador aeroportuario del Reino Unido ofrece un ejemplo de prestación integrada de servicios en un complejo sistema de transporte. Muestra la experiencia operativa, más que la certificación con arreglo al futuro proyecto de ley.
Empieza por los servicios que deben seguir funcionando
Será necesario revisar de forma continua los requisitos definitivos del proyecto de ley y las fechas de aplicación. Los operadores ya pueden avanzar en este sentido comprendiendo las interdependencias, poniendo en práctica los planes de recuperación y aclarando las responsabilidades.
Un buen punto de partida es preguntarse lo siguiente: si mañana dejara de estar disponible un sistema o proveedor importante, ¿sabrían nuestros equipos qué hay que proteger, qué hay que restaurar y quién debe actuar?
Lee el artículo de Laurence en Transport Monthly para conocer su punto de vista sobre cómo preparar al sector.
Sobre el autor
Laurence Kresnyak
Director de Desarrollo Empresarial
Laurence Kresnyak es director de desarrollo empresarial en Getronics, donde dirige las ventas de nuevos negocios en el Reino Unido y el equipo del sector de viajes y transporte. Con más de 20 años de experiencia, colabora con los responsables empresariales en materia de externalización de TI, servicios gestionados y modernización tecnológica, alineando las decisiones tecnológicas con las prioridades operativas y los resultados empresariales.
www.linkedin.com/in/laurence-kresnyak-028471
