La inspección pide ciberseguridad según TRBS 1115 Parte 1: ¿qué aplica para nosotros en Alemania?

Lo primero que van a mirar son los módulos de mantenimiento remoto. ¿La VPN o el módem celular con el que se conecta el fabricante de la máquina para el mantenimiento accede directamente a la red de seguridad del equipo? Si la red de la oficina corporativa y la línea de producción (OT) están en la misma VLAN, sepárenlas de inmediato física o lógicamente.

En nuestra taller de moldes de 18 máquinas en Baviera recibimos una advertencia similar. Le pagamos 4.200 EUR a un consultor externo y en dos días nos preparó el esquema de red y el análisis de riesgos. El auditor solo miró el informe donde constaba que la llave de acceso remoto se mantiene apagada y que la parada de emergencia no se puede anular por software, y cerró el expediente.

No paguen 6.500 EUR de golpe. Escriban a los fabricantes de sus máquinas y pidan la arquitectura de seguridad y la declaración de riesgos cibernéticos del expediente de conformidad CE para cada modelo. Pueden empezar adjuntando la ficha técnica del fabricante a su evaluación de riesgos actual.

Últimamente los inspectores escriben TRBS 1115 en cada informe como si fuera una plantilla. Si los relés de seguridad de sus máquinas tienen un cableado de contacto seco clásico y no se pueden anular mediante PLC por vía cibernética, pueden impugnar indicando que el sistema queda fuera de alcance.

Las normas TRBS tienen carácter de estándar técnico, pero generan un efecto de presunción (Vermutungswirkung) de conformidad según el artículo 3 de la BetrSichV. Cuando documenta que ha tomado medidas acordes a esta norma, se considera que ha cumplido con su responsabilidad legal; de lo contrario, en un eventual accidente laboral podría surgir responsabilidad por culpa.

Hay tres carpetas concretas que el inspector querrá ver sobre la mesa: 1) Matriz de gestión de contraseñas y prueba de que se cambiaron las de fábrica, 2) Tickets de servicio temporales abiertos para el acceso remoto de los fabricantes de la maquinaria, 3) Registro de mantenimiento que incluya controles cibernéticos al menos una vez al año.

en nuestro taller le pusimos tapones de silicona a los puertos usb detras de las pantallas cnc y prohibimos q la gente cargue el movil pero el inspector vio eso y entendio q nos lo tomamos en serio, ni pregunto mucho detalle.

no se asusten, no esperan una ciberseguridad a nivel bancario. el objetivo es evitar que un ransomware haga que la máquina supere sus límites de RPM y le tire una pieza al operador encima. una vez que entiendes la lógica, reunir los documentos te toma un par de días.

yo pasé por esto déjenme contarlo... si la verificación en dos pasos está activa una contraseña robada no sirve de nada por sí sola.

la respuesta vaíra mucho según el sector, no hay una regla general.

Han surgido tres opiniones distintas, todas se complementan. No confíes en una sola medida; ve capa por capa.

Corrijanme si me equivoco.

Yo no me apresuraría. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Antes de decidir, mirad qué datos tenéis en la mano. También me gustaría saber si alguien lo hace de otra manera.

Buen trabajo. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Espero que le sea útil.

estoy de acuerdo. en fin que todo el munod haga algo no significa que sea lo correcto.

eso es todo disculpa si me he extendido demasiado.

Me pasó lo mismo.

La discusión se ha dispersado, voy a ordenarla. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Por supuesto, cambia si tu situación es diferente.

Estoy de acuerdo.

Lo que se dice aquí es exactamente lo que nos pasó. Intentar hacerlo solo es la vía más cara.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Yo también tengo curiosidad.