Una fábrica puede seguir teniendo las mismas líneas de producción, las mismas máquinas y los mismos trabajadores y, sin embargo, dejar de producir porque una parte de su infraestructura digital ha dejado de responder. La creciente integración entre sistemas corporativos, plantas industriales, logística y proveedores ha ampliado el alcance de los ciberataques: una intrusión que comienza en el entorno informático puede terminar afectando a pedidos, expediciones, procesos productivos o incluso obligando a detener temporalmente una instalación.
Los incidentes registrados durante los últimos meses en Europa permiten comprobar hasta dónde puede llegar esa dependencia.
En la madrugada del 30 de junio de 2025, Hero España detectó un ciberataque externo contra sus sistemas informáticos. La compañía realizó un apagado controlado para evitar una mayor propagación, pero la incidencia terminó afectando a la operatividad de su planta de Alcantarilla, en Murcia. La propia empresa reconoció que el incidente había “limitado temporalmente la actividad productiva y logística” en España y activó planes de contingencia para reducir el impacto sobre clientes y colaboradores.
Poco más de dos meses después, el 2 de septiembre, Jaguar Land Rover se enfrentó a un escenario mucho mayor. El fabricante decidió apagar preventivamente sus sistemas globales después de detectar un incidente que, según reconocía aquel mismo día, había afectado gravemente a sus actividades productivas y comerciales.
La fabricación permaneció detenida durante cinco semanas. El reinicio comenzó de manera escalonada el 8 de octubre y la producción no recuperó sus niveles normales hasta mediados de noviembre. JLR terminaría reconociendo 196 millones de libras en costes directamente relacionados con el ciberincidente. La reacción da una idea de hasta dónde había trascendido el problema tecnológico: la compañía aceleró un mecanismo de financiación de 500 millones para facilitar liquidez a proveedores y el Gobierno británico respaldó una garantía destinada a movilizar hasta 1.500 millones de libras para sostener su cadena de suministro.
El Puerto de Vigo ofrece un tercer escenario. El 24 de marzo de 2026 detectó a primera hora de la mañana un intento de intrusión y aisló sus sistemas del exterior. La operativa física pudo mantenerse, aunque determinados procesos tuvieron que regresar temporalmente a métodos manuales. Tres días después, su presidente, Carlos Botana, agradecía expresamente el esfuerzo de servicios de inspección y transitarios, que habían tenido que “operar de forma analógica” durante la incidencia.
Tres organizaciones diferentes, tres respuestas distintas y una misma cuestión de fondo. El impacto de un ciberataque ya no puede medirse únicamente por los datos robados, los sistemas comprometidos o el rescate solicitado. En una organización industrial también se mide por aquello que deja de funcionar.
La industria, en primera línea
Las estadísticas disponibles utilizan metodologías diferentes y no deben compararse directamente entre sí, pero la señal que ofrecen es consistente.
El informe de inteligencia de ciberamenazas elaborado por NTT DATA para el primer semestre de 2026 sitúa a manufactura como el segundo sector con mayor número de ataques observados, 5.478, por detrás únicamente de la Administración pública. Más significativa que el volumen resulta su valoración del impacto: “muy alto”, debido a la dependencia entre IT y OT, la continuidad operativa y las cadenas de suministro.
IBM llega a una conclusión semejante desde su propia telemetría. Manufactura representó el 27,7% de los incidentes observados por X-Force durante 2025 y se mantuvo como el sector más atacado por quinto año consecutivo.
Verizon aporta una tercera fotografía. Su DBIR 2026 analiza 3.627 incidentes en manufactura, 2.713 con divulgación de datos confirmada. El ransomware aparece en el 61% de las brechas de su muestra y la explotación de vulnerabilidades supone el 38% de los accesos iniciales.
Y hay una dimensión específicamente industrial. El último balance de Kaspersky ICS CERT, publicado el 25 de agosto de 2026, detectó actividad maliciosa bloqueada en el 19,2% de los equipos de sistemas de control industrial incluidos en su telemetría durante el segundo trimestre. En paralelo, su revisión de incidentes públicos del periodo advierte de un incremento significativo de los ataques contra ICS orientados a provocar daños físicos.
El riesgo, por tanto, no procede necesariamente de que un atacante consiga manipular directamente una máquina o un PLC. En una fábrica digitalizada existen suficientes interdependencias para que la pérdida de sistemas corporativos, aplicaciones de planificación, comunicaciones, logística o trazabilidad pueda terminar repercutiendo sobre la producción.
Josep Bardallo, CISO de Grupo Argal, lo sintetizaba recientemente desde una compañía que opera cinco fábricas y nueve centros logísticos: “La ciberseguridad industrial no va solo de firewalls, sino de fiabilidad operativa”.
Para Bardallo, una intrusión en alimentación puede alcanzar desde la disponibilidad de los sistemas hasta la trazabilidad o la cadena de suministro. Por eso, explica, el objetivo no consiste solamente en proteger información, sino en preservar la capacidad de producir y garantizar la calidad del producto.
El perímetro ya no termina en la fábrica
Existe además otro cambio que complica esa protección: cada vez resulta más difícil establecer dónde termina realmente una organización industrial.
Proveedores de mantenimiento, integradores, plataformas cloud, aplicaciones SaaS, fabricantes de equipos, software incorporado a máquinas o conexiones remotas forman parte de una infraestructura que ya no coincide con los muros de una planta.
El informe de NTT DATA describe precisamente una confianza digital distribuida entre usuarios y terceros, donde proveedores y accesos legítimos pueden convertirse en vías de entrada con menor ruido técnico.
Los números de Verizon llevan ese fenómeno mucho más lejos: los terceros aparecen implicados en el 61% de las brechas de manufactura analizadas en su informe de 2026.
INCIBE ha dedicado este mismo año un estudio específico a una pieza aparentemente mucho más técnica, los SBOM o inventarios de componentes de software, pero detrás aparece el mismo problema. Una instalación industrial puede depender de bibliotecas, aplicaciones, PLC, sensores y dispositivos cuyo origen y dependencias no siempre resultan sencillos de identificar. El organismo advierte de que los ataques contra proveedores de componentes y fabricantes de hardware se duplicaron en 2025 y señala la cadena de suministro como vía para llegar a clientes finales de mayor tamaño y protección.
En las plantas, esa relación con el proveedor tiene además particularidades propias. Nieves Gutiérrez, responsable de ciberseguridad OT en Europa de Campofrío Food Group, advertía al hablar del acceso de fabricantes e integradores que “no es igual conectarse a un PLC que a un ordenador”. La compañía trabaja precisamente sobre mecanismos para controlar esos accesos y sobre la convergencia entre las necesidades de producción y las exigencias de seguridad.
La misma Gutiérrez define su función en Campofrío desde una lógica que trasciende el departamento tecnológico: garantizar que las plantas funcionen de manera eficiente y segura y que la incorporación de nuevas tecnologías no interrumpa la producción.
De impedir el ataque a saber recuperarse
La consecuencia de todo ello está provocando un cambio significativo en la forma de entender la ciberseguridad.
Durante años, buena parte del discurso se concentró en construir defensas capaces de impedir el acceso. Esa protección continúa siendo imprescindible, pero comienza a convivir con otra pregunta: ¿qué ocurre si, pese a todo, el atacante entra?
Accenture preguntó por ello a responsables empresariales en su estudio Redefining Cyber Resilience, publicado en junio. El 87% considera la disrupción cibernética una realidad operativa recurrente, mientras que el 72% cree que evitar absolutamente cualquier interrupción ya no es una expectativa realista dada la complejidad actual de los ecosistemas tecnológicos.
El cambio no consiste en asumir el ataque con resignación. Consiste en preparar de antemano qué procesos son críticos, qué dependencias tienen, qué funciones pueden mantenerse degradadas, qué debe recuperarse primero y cuánto tiempo puede soportar el negocio sin cada una de ellas.
La fotografía española apunta a una carencia precisamente en ese punto. Deloitte señala en su estudio sobre el estado de la ciberseguridad en España 2026 que, aunque la continuidad del negocio lidera las preocupaciones de la Dirección, solo una minoría de organizaciones ha probado de forma efectiva sus planes ante una caída total y medido el tiempo real necesario para recuperar la actividad. En otras, ese tiempo todavía se estima sin haberlo ensayado.
Javier Galindo, CISO de Moeve, describía en julio una evolución prácticamente idéntica desde una de las principales compañías energéticas e industriales españolas. “Ya no solo es suficiente con erigir una muralla para proteger y quedarnos tranquilos”, señalaba.
Moeve está realizando simulaciones de incidentes destinadas no solo a detener una intrusión, sino a recuperar entornos y procesos críticos de negocio completos. La compañía trabaja además en la integración de las dimensiones IT y OT dentro de su estrategia de seguridad.
El Puerto de Vigo muestra en pequeña escala lo que significa disponer de una capacidad alternativa. Sus sistemas informáticos permanecieron aislados durante días, pero determinados trámites pudieron seguir realizándose manualmente. No es una solución concebible para todas las operaciones ni para cualquier volumen industrial, pero sí representa uno de los principios de la resiliencia: conocer qué actividad puede mantenerse incluso cuando la infraestructura habitual no está disponible.
Cuando el coste no es el rescate
Jaguar Land Rover enseña la otra cara de esa ecuación. El fabricante no solo tuvo que restaurar aplicaciones. Debía reactivar plantas de motores y baterías, estampación, carrocería, pintura y centros logísticos, volver a alimentar una red internacional de producción y, al mismo tiempo, evitar que sus proveedores sufriesen problemas de liquidez durante la interrupción. La recuperación tuvo que organizarse de forma escalonada.
El episodio no es excepcional por su naturaleza, aunque sí por su dimensión. En julio de 2025, un ciberataque dejó completamente parada la fábrica francesa de Wibaie en Cholet, fabricante de ventanas y puertas. Alrededor de 600 trabajadores quedaron temporalmente sin actividad.
Y existe un escalón todavía más extremo. La alemana ZEGO Textilveredelungszentrum sufrió un ataque el 29 de marzo de 2026 que mantuvo su producción fuera de servicio durante casi seis semanas. Meses después solicitó la apertura de un procedimiento de insolvencia. Su director gerente vinculó expresamente la decisión a la carga económica provocada por aquella interrupción, aunque la actividad continuó durante el proceso de reestructuración.
Es un caso especialmente significativo para la empresa industrial mediana. El impacto de permanecer seis semanas sin producir puede ser radicalmente diferente para una multinacional con acceso a miles de millones de euros de financiación que para una compañía con mucha menos capacidad financiera.
El propio análisis de NTT DATA insiste en esta diferencia entre el rescate y el coste real: la disrupción operativa, la recuperación de sistemas, las obligaciones legales y regulatorias y el daño reputacional pueden acabar pesando más que la cantidad reclamada por los atacantes.
Ahí es donde el ciberriesgo entra directamente en la cuenta de resultados.
Una conversación que llega al comité de dirección
La evolución empieza a reflejarse también en quién participa en estas decisiones. En España, el 76% de los CISO analizados por Deloitte reporta ya a un miembro del CxO, frente al 53% del año anterior. Entre las organizaciones consideradas más maduras, la proporción alcanza el 89%.
No resulta extraño. Cuando un incidente puede afectar a producción, entregas, proveedores, tesorería, reputación o seguridad de las operaciones, la conversación deja de poder circunscribirse al departamento de sistemas.
La fábrica conectada aporta productividad, flexibilidad, automatización y una capacidad de gestión difícilmente imaginable hace unos años. Pero también ha unido mundos que antes estaban más separados. IT, OT, logística, proveedores y negocio forman cada vez más parte de una misma infraestructura.
La cuestión, por tanto, no es elegir entre digitalización y seguridad ni asumir como inevitable que una fábrica vaya a detenerse. Es entender que la capacidad de una empresa para resistir un ciberataque empieza mucho antes de que este ocurra y termina mucho después de haber conseguido expulsar al atacante. Porque cuando lo digital sostiene la producción, recuperar un servidor no significa necesariamente haber recuperado el negocio.
