DEKRA es una organización internacional de origen alemán fundada en 1925, que se ha consolidado como uno de los principales referentes mundiales en servicios de inspección, ensayo y certificación. Nacida con el objetivo de mejorar la seguridad vial mediante la revisión de vehículos, la compañía ha evolucionado hasta convertirse en un proveedor global de soluciones integrales orientadas a garantizar la seguridad, la calidad y la sostenibilidad en múltiples sectores industriales.
Con presencia en decenas de países y miles de profesionales especializados, DEKRA ofrece servicios que abarcan desde la automoción y la industria hasta la ciberseguridad, la energía o la certificación de sistemas de gestión, posicionándose como un socio estratégico para empresas y organizaciones en la gestión de riesgos y el cumplimiento normativo.
Entrevistamos en Delta13News a Rubén Lirio Vera, su Head of Cybersecurity Services.
Usted lidera desde España la estrategia global de ciberseguridad de DEKRA, una compañía con presencia en más de 60 países. ¿Qué significa coordinar esa estrategia a nivel internacional y qué papel desempeña España dentro de la red global del grupo?
España no es sólo un punto en el mapa de DEKRA. Es uno de los centros de referencia desde donde se diseña y se coordina cómo abordamos la ciberseguridad en todo el mundo. Eso tiene mucho que ver con el talento que tenemos aquí y con la trayectoria acumulada en proyectos de evaluación con fabricantes de distintos sectores.
Coordinar a escala global significa, en la práctica, que cuando un regulador en Japón publica un nuevo requisito de seguridad para vehículos conectados, o cuando la Unión Europea ajusta su marco de certificación, tenemos que saber cómo eso afecta a lo que hacemos en Europa, en US o en Corea. Eso requiere no sólo conocer la tecnología, sino entender los marcos regulatorios de cada región y cómo encajan entre sí.
El valor diferencial de DEKRA es que no dependemos de ningún fabricante ni de ningún proveedor de tecnología. Somos un tercero independiente. Eso nos permite hablar con todos y que todos confíen en nuestras conclusiones. Es como un árbitro en un partido: su autoridad no viene de quién le paga, sino de que todos aceptan que sus decisiones son justas.
¿Cuáles son las principales tendencias tecnológicas que marcarán la ciberseguridad en los próximos tres años?
Hay tres que veo con claridad. La primera es la inteligencia artificial. No sólo como herramienta de defensa (para detectar anomalías más rápido, por ejemplo), sino como arma en manos de los atacantes. Los ataques ya no los lanza alguien sentado frente a un teclado durante horas; se automatizan, se adaptan, aprenden. Eso cambia la escala del problema.
La segunda es la expansión del perímetro de ataque que viene con IoT y los sistemas conectados. Hace diez años una empresa tenía que proteger sus servidores y sus ordenadores. Hoy también tiene que pensar en sensores industriales, en vehículos conectados a su flota, en dispositivos médicos que están en red. Cada nuevo dispositivo conectado es una puerta potencial.
La tercera es la cadena de suministro de software. Algún ataque que ha tenido lugar ha demostrado que si comprometes el software que usan miles de organizaciones puedes acceder a todas ellas de golpe. Hoy las empresas no sólo tienen que protegerse a sí mismas, sino asegurarse de que sus proveedores de software también lo hacen.
Se habla de la explosión del Internet de las Cosas (IoT) y del aumento exponencial de dispositivos conectados. ¿Hasta qué punto la seguridad de esos objetos cotidianos puede comprometer infraestructuras críticas?
Más de lo que la gente imagina. Hay un caso que lo ilustra bien: en 2021, un atacante entró en una planta potabilizadora de agua en Florida a través del sistema de control remoto que usaban los operadores para trabajar desde casa. Consiguió aumentar el nivel de hidróxido de sodio a niveles peligrosos. Lo detectaron a tiempo, pero muestra el camino.
El problema con IoT es que muchos de estos dispositivos se diseñaron para funcionar, no para ser seguros. Un sensor de temperatura en una fábrica, una cámara de seguridad, un router doméstico: ninguno de ellos tiene la capacidad de procesamiento de un servidor empresarial. Y sin embargo están conectados a redes que, en algún punto, tocan sistemas críticos.
Lo que estamos viendo es que la infraestructura crítica (energía, agua, transporte, salud) se va digitalizando a una velocidad mayor que la que tarda el sector en establecer medidas de protección. Ahí es donde entra DEKRA: ayudamos a evaluar esos dispositivos antes de que lleguen al mercado, para que los riesgos se identifiquen en el laboratorio y no en el campo.
¿Qué papel está jugando DEKRA en la evaluación de ciberseguridad de dispositivos IoT, desde routers domésticos hasta equipamiento industrial o sanitario?
DEKRA actúa como laboratorio de pruebas y como organismo de certificación. Antes de que un dispositivo llegue al mercado, nosotros lo evaluamos: analizamos su software, buscamos vulnerabilidades conocidas, comprobamos si cumple con los estándares aplicables, como la norma ETSI EN 303 645 para IoT de consumo, o en un futuro cercano, los requisitos del Cyber Resilience Act europeo.
En el sector sanitario, por ejemplo, estamos trabajando con fabricantes de dispositivos médicos conectados (bombas de insulina, equipos de diálisis, implantes) que ahora tienen que cumplir con regulaciones específicas de ciberseguridad. Un marcapasos que se puede actualizar de forma inalámbrica es una maravilla de la medicina moderna, pero también es algo que alguien podría intentar manipular si no está bien protegido.
En industria, evaluamos sistemas de control industrial, PLCs, pasarelas de red. Y en consumo, routers, cámaras, teléfonos móviles, asistentes de voz. La metodología varía, pero el principio es el mismo: verificar de forma independiente que el dispositivo hace lo que dice que hace, y que está alineado con las regulaciones que les permiten.
En un entorno tan dinámico, ¿cómo puede una empresa anticipar amenazas que aún no existen y mantener su resiliencia?
La resiliencia no se construye intentando prever cada ataque posible. Eso es imposible. Se construye dando por hecho que en algún momento algo va a fallar, y preparándose para responder bien cuando ocurra.
Hay una expresión que me parece muy útil: assume breach. Parte de asumir que el atacante ya está dentro, o que en algún momento lo estará. Desde ahí, las preguntas cambian: ¿cuánto tarda mi equipo en detectar que algo va mal? ¿Tengo segmentada la red para que un incidente en un área no comprometa todo lo demás? ¿Puedo seguir operando mientras resuelvo el problema?
Lo que diferencia a las organizaciones que sobreviven bien a un incidente de las que no es exactamente eso: el nivel de preparación previo. Los ejercicios de simulación, tener planes de respuesta actualizados, hacer pruebas de penetración regularmente. No para estar seguros al cien por cien, que eso no existe, sino para que cuando llegue el momento, sepan qué hacer.
La ciberseguridad automotriz es uno de los campos donde DEKRA es referencia. ¿Cuáles son hoy los principales riesgos del vehículo conectado?
El coche moderno tiene entre 50 y 150 unidades de control electrónico (ECUs) y millones de líneas de código. Está conectado a internet, a infraestructuras viales, a centros de datos del fabricante… Eso multiplica los puntos de entrada potenciales para un atacante.
Los riesgos principales son varios. Uno es el acceso remoto no autorizado: si alguien puede comunicarse con las ECUs del vehículo de forma inalámbrica, puede potencialmente interferir con la dirección, los frenos o la aceleración. Otro es la manipulación de las actualizaciones de software OTA (over the air): si el canal de actualización no está bien protegido, podrían colarse en él modificaciones maliciosas.
Un ejemplo que siempre cito es el experimento de Miller y Valasek en 2015, cuando tomaron el control remoto de un Jeep en marcha a través de su sistema de infoentretenimiento. Fue un experimento controlado, pero llevó a una retirada de 1,4 millones de vehículos. Desde entonces, la industria ha avanzado mucho, pero el riesgo no ha desaparecido: ha evolucionado.
¿Cómo cambia la seguridad cuando el automóvil deja de ser un producto mecánico para convertirse en una plataforma digital sobre ruedas?
Cambia radicalmente la forma de pensar el problema. Antes, la seguridad del vehículo se evaluaba en el momento de la homologación y punto. Ahora, un coche puede recibir 20 actualizaciones de software a lo largo de su vida útil. Cada actualización puede introducir nuevas funcionalidades, pero también nuevas vulnerabilidades.
Eso significa que la seguridad ya no es un estado que se alcanza, sino un proceso continuo. El fabricante tiene que mantener vigilancia activa sobre su flota, gestionar las vulnerabilidades que se descubren y tener capacidad de reaccionar rápido. Es lo que se llama VSOC, Vehicle Security Operations Center.
También cambia quién es responsable. En un coche mecánico tradicional, el fabricante controlaba prácticamente todo. En un coche conectado hay software de decenas de proveedores distintos. Si hay un fallo de seguridad, ¿de quién es la responsabilidad? Las normativas actuales, como UNECE R155, obligan al fabricante a responder de toda la cadena. Eso les obliga a exigir más a sus proveedores, y ahí DEKRA juega un papel importante ayudando a verificar esa cadena.
¿Qué impacto están teniendo las normativas UNECE R155 y R156 sobre gestión de riesgos cibernéticos y actualizaciones de software en el sector automoción?
Han sido un punto de inflexión. Desde julio de 2024, cualquier vehículo nuevo que se homologue en Europa, Japón, Corea o varios países más tiene que cumplir con R155 (que exige un sistema de gestión de ciberseguridad) y con R156 (que regula las actualizaciones de software OTA). No es opcional.
El impacto práctico es que los fabricantes han tenido que crear estructuras internas nuevas. Un CSMS (Cybersecurity Management System) no es sólo un documento; es un sistema de procesos que cubre cómo se diseña la seguridad desde el principio, cómo se gestiona durante el ciclo de vida del vehículo y cómo se responde cuando se detecta un incidente.
DEKRA es uno de los organismos técnicos acreditados para auditar y certificar esos sistemas. Lo que hacemos es verificar que el fabricante no solo dice que cumple, sino que puede demostrarlo. Llevamos años haciendo esas evaluaciones con fabricantes en Europa, Asia y América. Esa experiencia acumulada en miles de evaluaciones es lo que nos hace referencia: no es teoría, es práctica.
¿Cree que el futuro del coche autónomo depende más de la ciberseguridad que de los avances en conducción asistida?
Depende de ambas, pero la ciberseguridad es el requisito que más se subestima. Tenemos coches que técnicamente ya son capaces de conducir solos en muchos escenarios. El problema no es sólo que funcionen bien en condiciones normales; es que no fallen catastróficamente cuando alguien intenta atacarlos.
Piénsalo así: si un coche autónomo toma decisiones de vida o muerte, como frenar, girar o ceder el paso, y alguien puede interferir en esas decisiones de forma remota, el nivel de exigencia en seguridad tiene que ser comparable al de la aviación o la medicina. No podemos aceptar niveles de riesgo que toleraríamos en una app de móvil.
La confianza del usuario es el cuello de botella. La tecnología puede estar lista, pero si el público no confía en que esos sistemas sean seguros, la adopción no va a llegar. Y esa confianza no se gana sólo con marketing: se gana con certificaciones independientes, con transparencia, con demostrar que alguien externo ha verificado que el sistema funciona como dice.
Usted ha defendido en varios foros la necesidad de certificar la confianza digital. ¿Por qué considera que la certificación es el eslabón crítico en la cadena de la ciberseguridad?
Porque sin verificación independiente, todo lo demás son palabras. Un fabricante puede afirmar que su producto es seguro. Un proveedor puede presentar sus propias auditorías internas. Pero cuando hay interés económico en juego, la objetividad tiene un techo.
La certificación por un tercero acreditado es lo que cierra ese círculo. Es el mecanismo que permite que un comprador, sea una empresa, un gobierno o un consumidor, pueda confiar en que lo que le venden cumple con lo que dice cumplir. Es exactamente lo que hace DEKRA: no fabricamos nada, no vendemos ninguna tecnología; somos el árbitro que verifica.
Un ejemplo concreto: cuando un hospital compra un dispositivo médico conectado, no tiene capacidad para hacer un análisis de seguridad profundo por sí mismo. Confía en que alguien lo ha hecho. Esa es la función de la certificación. Y en la medida en que el mundo digital se mete cada vez más en infraestructuras críticas, esa función se vuelve más importante, no menos.
¿Cómo se está armonizando la estandarización entre organismos como ETSI, ISO o la propia UE? ¿Hay riesgo de duplicidades regulatorias o fragmentación?
Hay trabajo real de coordinación, pero también tensiones. ISO, IEC, ETSI, NIST, ENISA… cada uno tiene su ámbito y su historia. El riesgo de fragmentación existe, y lo estamos viendo en áreas como la IA o en cómo distintas regiones interpretan los requisitos de privacidad.
Dicho esto, hay avances. El Cyber Resilience Act europeo está diseñado para alinearse en lo posible con estándares internacionales existentes. La norma ISO/SAE 21434 para automoción es un ejemplo de colaboración transatlántica que ha funcionado. No es perfecto, pero la tendencia es hacia más convergencia.
El verdadero riesgo no está tanto en las duplicidades técnicas como en los tiempos. La tecnología avanza más rápido que la regulación. Para cuando un estándar está publicado y adoptado, el entorno ha cambiado. Por eso es importante que los organismos de certificación como DEKRA estén en las mesas en las que se discuten esos estándares antes de que se publiquen.
¿Podemos hablar de un lenguaje común global en materia de ciberseguridad o seguiremos con marcos dispares entre Estados Unidos, Europa y Asia?
Hoy por hoy, no existe un lenguaje único. Estados Unidos tiene NIST, Europa tiene ENISA y el esquema ENS, China tiene su propio marco de clasificación de incidentes, Japón sigue en parte el modelo de METI. Son diferencias reales.
Pero hay más convergencia de lo que parece en la superficie. Los principios fundamentales (gestión de riesgos, seguridad por diseño, respuesta a incidentes) son compartidos. Las diferencias están más en los mecanismos de implementación y en quién tiene autoridad para certificar qué.
Lo que sí veo es que el mercado está empujando hacia la armonización. Un fabricante de automóviles que vende en Europa, Estados Unidos y Japón no puede permitirse tener tres programas de ciberseguridad completamente distintos. La economía de escala empuja a que los estándares converjan, aunque los reguladores no siempre se muevan a la misma velocidad.
¿Qué papel debería desempeñar España en ese debate internacional sobre normalización y certificación de la seguridad digital?
España tiene más capacidad de influencia de la que suele ejercer. Tenemos talento técnico de primer nivel, centros de investigación sólidos, empresas en sectores clave como energía, telecomunicaciones o defensa. El CCN (Centro Criptológico Nacional) tiene un reconocimiento real en Europa.
Lo que falta es presencia más activa en los foros en los que se toman las decisiones. En los grupos de trabajo de ETSI, en los comités de ISO, en las discusiones sobre implementación del Cyber Resilience Act. Estar en esas mesas no es sólo una cuestión de influencia política; es una forma de proteger los intereses de la industria española.
DEKRA desde España participa activamente en esos foros. Y uno de los objetivos es precisamente que esa participación se traduzca en estándares que sean aplicables y razonables para el tipo de empresas que tenemos en nuestro tejido industrial.
¿Cómo pueden las pymes adaptarse a un entorno tan regulado y tecnológicamente complejo sin quedar fuera del mercado?
Con realismo y con apoyo externo. Una pyme no puede construir un equipo de ciberseguridad de veinte personas. Pero sí puede hacer bien las cosas básicas: gestionar correctamente los accesos, mantener el software actualizado, tener copias de seguridad funcionales y saber a quién llamar si algo va mal.
El error más común en pymes no es no tener las últimas herramientas; es no haber pensado en ciberseguridad como un riesgo de negocio. Cuando una empresa pequeña pierde acceso a sus sistemas durante tres días por un ransomware, el impacto puede ser devastador. Ese riesgo es tan real como el riesgo de incendio o de impago de un cliente.
En cuanto a la regulación, hay que distinguir. No toda la regulación aplica igual a todos. El Cyber Resilience Act, por ejemplo, tiene diferentes niveles de exigencia según el tipo de producto. Y muchas normativas contemplan períodos de adaptación. El consejo es no esperar al último momento y buscar asesoramiento especializado pronto, porque cambiar las cosas a última hora siempre sale más caro.
¿Existe suficiente cultura de ciberseguridad entre los usuarios y las empresas? ¿Cómo puede el sector educativo contribuir a mejorarla?
No. Todavía no. Y es algo que me preocupa más que muchas vulnerabilidades técnicas, porque el factor humano sigue siendo el vector de ataque más explotado. El phishing funciona no porque sea técnicamente sofisticado, sino porque las personas hacen clic en cosas que no deberían.
El sector educativo tiene que incorporar la ciberseguridad de la misma forma que incorporó la educación vial. No como algo que sólo estudian los que se especializan en informática, sino como competencia básica. Saber identificar un correo sospechoso, entender qué significa dar permisos a una aplicación, saber cómo proteger una cuenta: eso debería enseñarse en la escuela.
En el ámbito empresarial, la formación continua es clave. Y no me refiero sólo a charlas anuales de cumplimiento. Me refiero a simulaciones de phishing, a entrenamientos prácticos, a hacer que la seguridad sea algo que la gente vive en su día a día laboral, no algo que firma en un formulario una vez al año.
¿Qué responsabilidad tienen los fabricantes de tecnología y los proveedores de software en la protección del consumidor digital?
Una responsabilidad enorme, y que hasta hace poco no estaba suficientemente reconocida en términos legales. Durante muchos años, el modelo era: lanzamos el producto, si tiene fallos, el usuario asume el riesgo. Eso está cambiando.
El Cyber Resilience Act en Europa es un ejemplo de ese cambio. Establece que los fabricantes son responsables de la seguridad de sus productos durante todo su ciclo de vida. Si descubres una vulnerabilidad tienes que comunicarla, que proporcionar un parche en un plazo razonable. No puedes simplemente decir que el soporte de ese producto terminó y desentenderte.
El símil que me gusta usar es el de la seguridad en los coches. Nadie aceptaría que un fabricante vendiera un coche sin cinturón de seguridad y dijera que es responsabilidad del conductor protegerse. En el mundo digital deberíamos tener el mismo nivel de exigencia. La seguridad tiene que ser la configuración por defecto, no una opción extra.
Desde su visión global, ¿qué sectores están hoy más expuestos a ataques o brechas de seguridad?
El sector salud es el que más me preocupa en este momento. Los hospitales tienen sistemas críticos, datos muy sensibles y, en muchos casos, infraestructuras de TI con décadas de antigüedad que no fueron diseñadas para estar conectadas. Y al mismo tiempo, una brecha en un hospital no es sólo económica: puede costar vidas. Hay estudios que relacionan interrupciones prolongadas de sistemas hospitalarios con aumentos en la mortalidad.
Energía e infraestructuras críticas también están en el punto de mira. La digitalización de redes eléctricas, de sistemas de distribución de agua, de plantas de tratamiento ha aumentado su eficiencia, pero también su superficie de ataque. Y los actores que atacan estos sectores no siempre son grupos criminales: a veces son estados.
El tercer sector que mencionaría es el de la cadena de suministro industrial. No los grandes fabricantes, que suelen tener recursos, sino los proveedores medianos y pequeños que les suministran componentes o software. Son a menudo la puerta de entrada hacia objetivos mayores. Fortalecer ese eslabón es uno de los grandes retos de los próximos años.
