Tribuna Libre
Esto no existe
El Senado nos dijo en 2018 que no se podía hackear una gasolinera. Ocho años después, alguien ha calentado las neveras de media Francia. Seguimos escribiendo la misma columna.
Sevilla, un sábado de marzo de 2018. Se corre la voz y la gente se acerca a una gasolinera low cost con los bidones vacíos. Alguien ha tocado el sistema y la máquina reparte combustible gratis. Nadie dispara una alarma: lo que la máquina no sabe es que no debería estar haciendo eso. La policía abre diligencias y aquello pasa a ser una anécdota de barrio.
Una semana antes, en el Senado, un senador había preguntado al Gobierno por un informe en el que denunciábamos que 189 gasolineras españolas tenían las válvulas de sus tanques accesibles desde internet. Yo era uno de los peritos que firmaba aquel informe. Solo una gasolinera pedía contraseña. La respuesta oficial llegó en septiembre y cabía en una línea: desde el punto de vista de la seguridad industrial, "no existe la posibilidad de manipulación telemática de los tanques de combustibles". No existe. Y lo escriben con dos puntos y punto final, como quien da por cerrado un expediente.
Me acordé de aquello el domingo 11 de octubre, mientras leía que en cientos de supermercados franceses las neveras habían amanecido a cincuenta grados y, en Normandía, a ochenta. Nadie había roto un cristal. Alguien, desde su casa, había activado el desescarche de unos controladores de refrigeración cuyos fallos se publicaron en 2025. Las tiendas se despertaron con el camembert derretido, los croissants congelados agrios y los rociadores empapando el género. En el país que convirtió la comida en patrimonio, media docena de cadenas tirando toneladas a la basura por un capricho ajeno.
Esto no existe es una frase barata. Ahorra presupuesto, ahorra reuniones y ahorra el bochorno de admitir que uno no sabe qué tiene enchufado. Tiene un único defecto, y es grave, no quiere reconocer la realidad.
Porque el problema no es que la ciberseguridad sea un asunto técnico que no entendemos. El problema es que seguimos pensando que lo digital es un departamento, cuando lleva años siendo el negocio entero. La báscula, la cámara frigorífica, la caldera, el surtidor, la máquina de tabaco y la cerradura de la entrada son ordenadores. Una empresa que vende queso es, en la práctica, una empresa informática que además vende queso. El día que la informática se para, lo que se para es la venta. Lo demás son conferencias.
Y aquí entra la pieza nueva del juego, que es la NIS2. La directiva europea obliga a reforzar la seguridad de todo lo que mueve a Europa: la energía, el transporte, el agua, la salud, la comida, la industria. Se habla mucho de sus multas, hasta diez millones o el 2% de la facturación mundial, y los artículos de los despachos las repiten como si fueran la noticia. No lo son.
Lo serio está en otros dos artículos. El 20 dice que el consejo de administración aprueba y supervisa las medidas, y que puede responder por los incumplimientos. El 32 permite apartar temporalmente de sus funciones al máximo responsable de una entidad esencial que no cumpla. En cristiano: si tu empresa es esencial y la pifia, al que echan es a ti, no al informático de guardia. Y hay una tercera consecuencia que no sale en ninguna gaceta y que llegará antes que cualquier inspector. La norma obliga a esas empresas a controlar a sus proveedores. Si vendes, transportas, mantienes o programas algo para una de ellas, las exigencias te llegarán por contrato, por cuestionario y por auditoría. Quien no las supere no cobrará una multa. Simplemente dejará de ser proveedor.
España, mientras tanto, sigue sin transponer la directiva. El plazo terminó el 17 de octubre de 2024, y en julio de este año Bruselas nos llevó al Tribunal de Justicia de la UE. Vamos tarde porque siempre vamos tarde, con esa mezcla de siesta y de "ya se verá" que es nuestra marca registrada. Pero los atacantes no esperan al BOE, y los clientes europeos tampoco.
No pido épica. Pido saber qué tenemos conectado, cambiar las contraseñas que vienen de fábrica, aplicar los parches que ya existen y que el consejo pregunte por todo ello con la misma insistencia con la que pregunta por las ventas. Y, sobre todo, que la próxima vez que un técnico incómodo levante la mano para avisar, la respuesta no vuelva a ser la frase barata.
En 2018 nos dijeron que aquello no existía. Dentro de ocho años me gustaría no tener que reescribir esta columna cambiando "neveras" por lo que toque. Porque esto existe. Siempre existió.
