ZIUR pone el foco en la ciberseguridad de la cadena de suministro industrial
ZIUR ha celebrado un webinar sobre la seguridad en la cadena de suministro del producto industrial, en colaboración con Govertis-Telefónica Tech, en el marco de las acciones que el centro desarrolla para facilitar a las empresas industriales su adaptación al Cyber Resilience Act (CRA).
La sesión ha abordado los riesgos asociados a la externalización de servicios y a la dependencia de proveedores, así como las medidas que las organizaciones pueden adoptar para identificarlos, evaluarlos y gestionarlos de forma adecuada a lo largo del ciclo de vida de sus productos.
Los expertos de Govertis-Telefónica Tech Ekaitz García Lizarza y José Antonio Sánchez Durán han analizado el impacto del CRA sobre la cadena de suministro y las responsabilidades que introduce para las empresas. Durante el webinar, han presentado los principales ataques que pueden producirse a través de proveedores y han compartido criterios para su selección y homologación, incluyendo aspectos relacionados con hardware, firmware, chips, software y servicios de terceros.
Otro de los ámbitos abordados ha sido la gestión de la Software Bill of Materials (SBOM) y de las vulnerabilidades de componentes y proveedores. En este sentido, la sesión ha puesto el foco en la necesidad de supervisar estos elementos durante todo su ciclo de vida y disponer de evidencias que permitan garantizar la seguridad y el cumplimiento de las nuevas exigencias regulatorias.
El webinar también ha tratado aspectos relacionados con la continuidad de negocio, como la identificación de alternativas de suministro y la preparación ante posibles incidentes que puedan comprometer a un proveedor. Asimismo, se han analizado cuestiones vinculadas a la evaluación de conformidad, la documentación técnica y el marcado CE previstos en el CRA.
La parte práctica de la sesión ha incluido el análisis de riesgos asociados a proveedores, integradores, componentes, software, firmware, librerías y servicios externos, así como un caso de compromiso a través de un proveedor. Este ejercicio ha permitido abordar las medidas de prevención, detección y respuesta, y las responsabilidades de los diferentes actores a lo largo del ciclo de vida del producto.
Acompañamiento a las empresas ante el CRA
Esta actividad se integra en el Programa de Aceleración ZIUR, una iniciativa estratégica orientada a acompañar a las empresas industriales de Gipuzkoa en su adaptación al nuevo marco europeo de ciberseguridad.
El Cyber Resilience Act establece nuevos requisitos de ciberseguridad para los productos con elementos digitales que se comercializan en la Unión Europea y supone un cambio relevante para las empresas que diseñan, desarrollan y comercializan este tipo de productos. En este contexto, ZIUR está desarrollando diferentes acciones de sensibilización, formación y acompañamiento para facilitar a las empresas la comprensión y aplicación de las nuevas obligaciones.
Entre los primeros hitos del reglamento se encuentra la obligación de disponer de mecanismos para la notificación de vulnerabilidades, que entró en aplicación el 11 de septiembre de 2026. El cumplimiento de estas nuevas obligaciones requiere que las empresas revisen sus procesos y capacidades en ámbitos como la gestión de vulnerabilidades, la cadena de suministro y la seguridad de sus productos.
Con iniciativas como este webinar, ZIUR continúa proporcionando a las empresas conocimiento y herramientas prácticas para avanzar en su adaptación al CRA y reforzar la ciberseguridad de sus productos y cadenas de suministro.