ES-ISAC Industria Química

El ES-ISAC Químico ha compartido con las entidades que lo integran el primer Boletín Trimestral de Ciberseguridad, correspondiente al segundo trimestre de 2026.
Su puesta en marcha representa uno de los principales hitos del plan de trabajo del presente ejercicio y marca el nacimiento de un nuevo servicio diseñado para acercar a las entidades miembro una visión compartida de información de interés para el sector de la industria química.

LOS PRINCIPALES CONTENIDOS DEL TRIMESTRE, REUNIDOS EN UN ÚNICO BOLETÍN

Este boletín se enmarca dentro del servicio de información y contenidos relacionados con la ciberseguridad del sector, recogido en el Anexo II de los Términos de Referencia suscritos por las entidades del ES-ISAC Químico. 
Esta nueva publicación reúne información de interés para el sector, proporcionando una visión consolidada de la actividad desarrollada durante el periodo. El boletín recoge datos e indicadores de ciberseguridad con un alcance trimestral, así como otros contenidos relevantes relacionados por ejemplo con la propia actividad del ES-ISAC Químico.

MÁS CONOCIMIENTO, MÁS COLABORACIÓN, MÁS RESILIENCIA

La Directiva NIS2 sitúa el intercambio de información y la cooperación entre organizaciones de un mismo sector como elementos esenciales para elevar el nivel de ciberseguridad y resiliencia de las entidades esenciales e importantes.
En este contexto, el nuevo Boletín Trimestral de Ciberseguridad supone un paso más en el compromiso del ES-ISAC Químico con la generación de inteligencia compartida y el fortalecimiento de la comunidad. Su objetivo es facilitar el acceso a información estratégica, favorecer el intercambio de conocimiento entre las entidades miembro y contribuir a una mejor comprensión de los riesgos que afectan al sector.

CONCLUSIÓN

Con este nuevo servicio, el ES-ISAC Químico continúa ampliando el catálogo de iniciativas puestas a disposición de sus entidades miembro y refuerza su papel como espacio de colaboración, intercambio de información y generación de conocimiento para impulsar la ciberresiliencia de la industria química.
El ES-ISAC Químico se constituyó el 22 de julio de 2025 como colaboración público-privada impulsada por AECQ, FEIQUE e INCIBE. La compartición periódica de este boletín trimestral  es uno de los objetivos comprometidos con las entidades miembro.

El ES-ISAC Industria Química ha identificado, en su Informe de Situación de Ciberseguridad 2025, un catálogo de fichas técnicas sobre los principales marcos y estándares de ciberseguridad aplicables al sector. Debido a la importancia de que todos los actores implicados en este sector estén familiarizados con esta temática, extraemos aquí un resumen de los nueve principales estándares. Ninguno de ellos cubre por sí solo toda la superficie de riesgo de una instalación química; la clave está en combinarlos de forma complementaria.

MARCOS HORIZONTALES RECOMENDADOS

• ISO/IEC 27001:2022 + ISO/IEC 27002:2022 constituyen la base estructural del programa de ciberseguridad. La certificación ISO 27001 es la evidencia objetiva de madurez reconocida. Para instalaciones químicas, el alcance del SGSI puede incluir explícitamente los sistemas OT (DCS, PLCs, SCADA)  y los Sistemas Instrumentados de Seguridad (SIS).

• ISA/IEC 62443 es el estándar de ciberseguridad OT de referencia en la industria química a nivel global. Su modelo de zonas de seguridad y conductos es directamente aplicable a la arquitectura de red de las plantas de proceso, y sus niveles de seguridad (SL 1 a 4) permiten priorizar inversiones según el riesgo de cada zona. Es importante entender cuáles de sus series son de aplicación más inmediata para el responsable de ciberseguridad de una planta química y cómo coordinar su implementación con IEC 61511.

• NIST Cybersecurity Framework 2.0 organiza la gestión del riesgo en seis funciones (Govern, Identify, Protect, Detect, Respond y Recover). Es accesible para organizaciones en fases iniciales de madurez.

• CIS Controls v8 ofrece un catálogo priorizado adaptable a cualquier tamaño de instalación, desde pequeñas plantas de formulación hasta grandes complejos petroquímicos. El informe destaca los controles de mayor impacto en entornos industriales químicos y el uso de los CIS Benchmarks como herramienta de bastionado de alta eficacia para servidores SCADA.

MARCOS SECTORIALES ESPECÍFICOS PARA LA INDUSTRIA QUÍMICA

• IEC 61511:2016 regula el ciclo de vida completo de los Sistemas Instrumentados de Seguridad e incorpora desde su segunda edición la obligación explícita de evaluar la seguridad ciber del SIS. En la industria química, donde el SIS es la última barrera ante accidentes graves, esta integración entre ciberseguridad y seguridad funcional no es opcional. El ataque TRITON/TRISIS (2017) es el caso de referencia que el informe analiza para ilustrar las consecuencias de no abordarla. Las implicaciones prácticas para las Auditorías de Seguridad Funcional se desarrollan en detalle en el documento.
• IEC 61508 establece los requisitos que deben cumplir los fabricantes de componentes SIS. Su relevancia para un trabajador del sector no es directa, sino a través de la cadena de suministro: determina qué exigir a los proveedores de equipos de seguridad, incluyendo el Secure Development Lifecycle. El informe explica cómo coordinar la evaluación SIL y la evaluación de ciberseguridad de un componente, dos dimensiones que no son equivalentes.
• Responsible Care Security Code del American Chemistry Council es el marco de seguridad más adoptado en la industria química global, obligatorio para miembros de la ACC y aplicado por filiales de multinacionales como requisito corporativo. Integra seguridad física y cibernética e incluye requisitos sobre la cadena de suministro. El informe detalla su relación con el Chem-ISAC y su utilidad como punto de referencia para empresas no miembro de la ACC.
• CISA Chemical Sector-Specific Goals (SSGs) y ChemLock son prácticas de ciberseguridad publicadas específicamente para el sector químico a nivel global. El programa ChemLock ofrece evaluaciones in situ y ejercicios de simulación de ciberataque para instalaciones con sustancias peligrosas. 
• CISA Recommended Practices ICS y Chemical NIST CSF Guidance constituyen una colección de guías técnicas completas para la protección de sistemas ICS/SCADA en industria de proceso, incluyendo la herramienta gratuita CSET para autoevaluaciones. 

CONCLUSIÓN

La pregunta relevante para un responsable de ciberseguridad  de una empresa del sector no es solo cuáles son los estándares que existen, sino cuál aplicar primero, cómo combinarlos y qué nivel de implementación es realista para cada tipo de instalación química. 
 

El ES-ISAC Industria Química ha distribuido entre sus entidades miembro el Informe de Situación de Ciberseguridad 2025, el análisis anual de inteligencia sectorial que consolida lo más relevante del ejercicio en materia de vulnerabilidades, incidentes, actores de amenaza, buenas prácticas y tendencias para la industria química.

QUÉ ENCONTRARÁN LAS ENTIDADES MIEMBRO EN EL INFORME

VULNERABILIDADES EN TECNOLOGÍAS DEL SECTOR

El informe identifica y analiza en profundidad vulnerabilidades críticas en productos con presencia real en entornos industriales químicos: controladores lógicos, sistemas de supervisión, plataformas HMI y soluciones de gestión de instalaciones. Más allá de la puntuación CVSS, el análisis aplica una metodología de priorización que combina la probabilidad de explotación activa con la presencia confirmada del producto en el sector, permitiendo a los equipos técnicos concentrar sus recursos donde el riesgo es operativamente relevante, y no únicamente teórico.
Los datos del ejercicio 2025 justifican por sí solos la atención a esta sección.

CIBERINCIDENTES EN EL SECTOR QUÍMICO GLOBAL

Se documentan incidentes reales que han afectado durante 2025 a organizaciones del sector en distintas geografías: desde fabricantes de gases industriales hasta empresas de química fina y especialidades. El análisis detalla vectores de entrada, impacto operativo, datos comprometidos y, cuando la información disponible lo permite, la atribución al actor responsable y su patrón de actuación.
Para cualquier responsable de seguridad de una empresa química, esta sección aporta algo que la inteligencia de amenazas de carácter horizontal no puede ofrecer: conocimiento directo de lo que está ocurriendo en organizaciones que operan con tecnologías y procesos equiparables a los propios.

ACTORES DE AMENAZA CON IMPACTO EN EL SECTOR

2025 ha confirmado que la industria química no es un objetivo secundario para los actores de amenaza más avanzados. El informe caracteriza grupos de cibercrimen organizado con historial documentado de ataques al sector y actores APT con motivación estatal cuya actividad sobre entornos OT ha registrado una escalada significativa durante el año. Para cada actor se analiza su capacidad técnica, sus objetivos habituales y las tácticas, técnicas y procedimientos documentados.
Disponer de este conocimiento de forma anticipada es el punto de partida de cualquier estrategia de ciberdefensa proactiva.

BUENAS PRÁCTICAS Y CUMPLIMIENTO NORMATIVO

La industria química combina una superficie de ataque IT/OT especialmente compleja, con Sistemas Instrumentados de Seguridad (SIS) cuyo compromiso puede tener consecuencias físicas directas, con un marco normativo en rápida evolución: NIS2, Cyber Resilience Act, ENS y la futura Ley de Coordinación y Gobernanza de la Ciberseguridad, entre otros. El informe traduce ese marco regulatorio en medidas concretas y priorizadas adaptadas al entorno específico de una instalación química.

TENDENCIAS EN CIBERSEGURIDAD INDUSTRIAL

El panorama OT/ICS en 2025 ha consolidado líneas de evolución que el informe analiza con detalle: la transición de los actores APT desde el reconocimiento pasivo hacia la manipulación activa de procesos industriales, el uso creciente de inteligencia artificial como herramienta ofensiva, y la progresiva exposición de dispositivos industriales a redes públicas. Anticipar la dirección de la amenaza es tan determinante para la postura de seguridad como gestionar la exposición presente.

POR QUÉ ESTE INFORME ES DIFERENTE

Existe abundante producción de inteligencia de amenazas de carácter general. Lo que el ES-ISAC Químico ofrece es de distinta naturaleza: información específica para las tecnologías, los procesos y el perfil de riesgo de la industria química española. Cada vulnerabilidad, cada incidente y cada actor de amenaza incluido en el informe ha sido evaluado en función de su relevancia para el sector. La información que no supera ese criterio de pertinencia sectorial no forma parte del documento.
El ES-ISAC Industria Química se constituyó el 22 de julio de 2025 como colaboración público-privada impulsada por INCIBE, FEIQUE y AECQ. Este informe de situación es uno de los entregables comprometidos con las entidades miembro.