La entrada en vigor de la Ley Europea de Ciberresiliencia (CRA, por sus siglas en inglés) marcará un antes y un después en la seguridad de los productos conectados. En un contexto de creciente digitalización de edificios y sistemas de control de accesos, la ciberseguridad se ha convertido en un factor clave para fabricantes, integradores y usuarios. Petr Kosek, experto en ciberseguridad de 2N, analiza en esta entrevista para CASADOMO los retos que plantea la nueva normativa europea, las principales amenazas que afectan a los edificios inteligentes y las tendencias que marcarán la evolución del mercado de los interfonos IP y las soluciones de control de accesos.
CASADOMO: Como empresa especializada en interfonos IP y soluciones de control de accesos, y en un contexto en el que la ciberseguridad está cada vez más a la orden del día, ¿qué valoración hacéis desde 2N de la Ley Europea de Ciberresiliencia? ¿Qué impacto consideráis que tendrá esta normativa en fabricantes e integradores?
Petr Kosek: En 2N, como fabricante de software y hardware, vemos la CRA de forma muy positiva y acogemos favorablemente la introducción de los principios de ciberseguridad que establece. Sin duda, es un paso en la dirección correcta por parte de la Comisión Europea para fijar unos estándares mínimos de seguridad para todos los denominados ‘productos con elementos digitales’ en la Unión Europea. ¿Qué significará esto en la práctica para todos nosotros? Básicamente, cualquier producto electrónico vendido en la UE, fabricado en la UE o importado a la UE tendrá que cumplir unos requisitos de ciberseguridad bastante estrictos.
El objetivo es proteger mejor a los consumidores, organizaciones y empresas europeas frente al uso de productos inseguros o incluso perjudiciales.
Ya hoy esto está afectando a todos los fabricantes, que necesitan comenzar a preparar a sus equipos de producto y desarrollo para cumplir con la CRA, ya que para muchos puede ser un proceso largo y complejo. Del mismo modo, animaría a los integradores a implicarse activamente con distribuidores y fabricantes y preguntar cómo se garantiza el cumplimiento de la CRA en sus carteras de productos, en lugar de dar por válidos simplemente los documentos en PDF.
CASADOMO: La digitalización de los edificios y la creciente conectividad de los sistemas de control de accesos han ampliado la superficie de ataque. ¿Cuáles son actualmente las principales amenazas de ciberseguridad que afectan a los edificios inteligentes? ¿Qué consecuencias puede tener el riesgo cibernético en los sistemas de control de accesos utilizados en edificios y otros entornos?
Petr Kosek: Las empresas que diseñan y mantienen sistemas para edificios inteligentes deberían tratarlos como cualquier otra infraestructura de TI y seguir las mejores prácticas de ciberseguridad ya consolidadas. Y esto no requiere necesariamente hardware costoso ni medidas complejas, sino una aplicación constante de principios fundamentales. Permíteme destacar tres ejemplos básicos pero esenciales que siempre deberían tenerse en cuenta.
Las credenciales débiles o compartidas entre múltiples productos o sistemas siguen siendo uno de los riesgos más comunes. Una sola contraseña comprometida puede derivar en un incidente a gran escala.
La segmentación de redes es fundamental. Sistemas como climatización (HVAC), videovigilancia, control de accesos, redes de residentes o wifi para invitados deberían estar separados (por ejemplo, mediante VLAN dedicadas) para limitar el impacto de una posible brecha.
Las actualizaciones y la aplicación de parches son esenciales. Los dispositivos que funcionan con software obsoleto son como una bomba de relojería y, con el tiempo, las vulnerabilidades sin corregir (incluidas las de bibliotecas de terceros) pueden convertirse en la chispa que desencadene el problema.
Por ello, los sistemas de control de accesos deben considerarse prioritarios no solo desde el punto de vista de la seguridad física, como ha sido tradicionalmente, sino también desde la perspectiva de la seguridad informática. A todos nos gustan las ventajas de controlar nuestros hogares desde una pantalla táctil o mediante aplicaciones móviles. Sin embargo, debemos seguir apostando por soluciones innovadoras de socios y fabricantes de confianza que se tomen la ciberseguridad en serio.
De lo contrario, podríamos acabar con un sistema que abra puertas de forma inesperada, de manera similar a un incidente que afectó a otra marca de interfonos y control de accesos a finales de 2025.
CASADOMO: La Ley de Ciberresiliencia entró en vigor en diciembre de 2024, y sus principales obligaciones se aplicarán a partir de diciembre de 2027. ¿Cómo afectarán las nuevas normas europeas que están por llegar a las empresas de sistemas de control de accesos? ¿Cómo crees que cambiarán la forma en que los fabricantes gestionan la seguridad de sus productos?
Petr Kosek: La CRA afecta sin duda a todas las empresas del sector del control de accesos. Introduce un conjunto claro de requisitos que impactan, por ejemplo, en cada lector de acceso, controlador de puertas (junto con el software y firmware que ejecutan), software de gestión y muchos otros elementos.
Y la CRA no se queda ahí. La principal novedad que aporta, desde mi punto de vista, es un énfasis mucho mayor en los requisitos de ciberseguridad durante el diseño, desarrollo y producción de los productos.
Respecto a la segunda pregunta, me gustaría creer que todos los fabricantes responsables seguirán los requisitos de la CRA e implementarán sus principios de forma integral, no solo para lograr el cumplimiento normativo, sino para hacer que sus productos sean realmente más seguros y resilientes frente a amenazas cibernéticas.
Me gusta especialmente una reflexión de la directora de Ciberseguridad y Confianza de la Comisión Europea, Christiane Kirketerp de Viron, quien afirmó: “No queremos que afronten la CRA como un simple ejercicio de marcar casillas. Queremos que se centren en la ciberseguridad real. Si hacen eso bien, el cumplimiento llegará de forma natural”.
CASADOMO: En la actualidad, ¿cuáles son las principales carencias que se observan en la industria de los sistemas de control de accesos en materia de ciberseguridad? ¿Qué principales recomendaciones ofrecéis desde 2N al sector?
Petr Kosek: El control de accesos ha adoptado tradicionalmente un enfoque bastante conservador respecto a la incorporación de nuevas tecnologías, manteniendo una fuerte orientación hacia la seguridad y la fiabilidad. Sin embargo, como cualquier otro sistema, no puede permanecer aislado y debe evolucionar al ritmo del progreso tecnológico.
Con el tiempo, este enfoque ha dado lugar al uso de protocolos y tecnologías heredadas con poca o ninguna seguridad, generando debilidades que afectan tanto a la seguridad física como a la ciberseguridad de los sistemas de control de accesos.
Incluso hoy seguimos encontrando muchas empresas que utilizan tecnologías como Wiegand, que transmite datos sensibles completamente sin cifrar, o tarjetas de proximidad de baja frecuencia (125 kHz) y otras tecnologías RFID fácilmente clonables. Son ejemplos claros de cómo la comodidad o la compatibilidad con sistemas heredados se han priorizado en ocasiones por encima de la seguridad.
Otra deficiencia habitual, señalada frecuentemente en estudios del sector, es la mala gestión de credenciales, especialmente el uso continuado de contraseñas predeterminadas o débiles en sistemas con acceso remoto habilitado. Esto permite que un atacante potencial pueda controlar a distancia cerraduras electrónicas o sistemas de gestión de ascensores.
Aunque establecer contraseñas robustas y únicas durante la instalación, junto con actualizaciones periódicas durante el mantenimiento, parece una práctica básica de higiene en ciberseguridad, lamentablemente sigue siendo una cuestión que a menudo se pasa por alto.
Al mismo tiempo, el control de accesos está experimentando una transformación profunda. Lo que históricamente pertenecía al ámbito de la seguridad física forma ahora cada vez más parte de los entornos de TI corporativos. Los sistemas de control de accesos, antes aislados del mundo IP y de las tecnologías de la información, funcionan hoy sobre redes IP, se integran con servicios en la nube, aplicaciones móviles y APIs.
Aunque esto aporta importantes ventajas en términos de flexibilidad y facilidad de uso, también introduce nuevos riesgos y desafíos si los sistemas no están correctamente diseñados, configurados y mantenidos.
CASADOMO: En el ámbito del control de accesos y la interfonía IP, ¿qué medidas consideras imprescindibles para garantizar que un sistema sea seguro desde el diseño? Desde 2N, ¿qué prácticas habéis desarrollado ya o tenéis previsto llevar a cabo?
Petr Kosek: La expresión ‘secure by design’ se ha convertido en cierta medida en una palabra de moda vacía para muchos fabricantes, no solo en el ámbito de los interfonos IP y el control de accesos. La pregunta clave es: ¿qué fundamentos sustentan realmente esa afirmación?
Una base sólida para cualquier fabricante con departamento de I+D es la implantación de un ciclo de vida de desarrollo de software seguro (SSDLC). Se trata de un conjunto definido de políticas, principios y procedimientos aplicados en todas las fases del desarrollo de productos, desde el diseño hasta la implementación, las pruebas y el mantenimiento.
Desde hace varios años, en 2N utilizamos un marco interno de nuestra empresa matriz, Axis, denominado ASDM (Axis Secure Development Lifecycle), que proporciona precisamente este enfoque estructurado para el desarrollo seguro.
¿Y qué considero esencial? Un enfoque preventivo durante el desarrollo, con un cambio de mentalidad basado en el principio denominado ‘shift left’. Esto garantiza que la seguridad se integre desde la fase de diseño y no se añada posteriormente como una solución reactiva a un producto ya terminado.
Este enfoque es especialmente importante en el control de accesos y los interfonos IP, donde la seguridad debe formar parte de la arquitectura del sistema desde el primer momento.
El modelo ASDM también contribuye a crear una sólida cultura de ‘seguridad desde el diseño’ mediante la formación continua de los empleados y la incorporación de la responsabilidad directamente en los equipos de desarrollo. Al mismo tiempo, las comprobaciones automáticas de seguridad integradas en los procesos de desarrollo garantizan que la seguridad no ralentice el trabajo de los desarrolladores, sino que les ayude a identificar problemas de forma temprana, eficiente y sin burocracia innecesaria.
CASADOMO: A nivel general, ¿cuál es la radiografía actual del mercado del control de accesos en Europa y España, y qué tendencias se prevén para los próximos cinco años? Desde 2N, ¿qué objetivos y estrategias tenéis previstos para seguir consolidando vuestra posición en el mercado de intercomunicadores IP?
Petr Kosek: Lo que vemos claramente en toda Europa, y España no es una excepción, es que los promotores residenciales y gestores inmobiliarios están dejando de ensamblar productos individuales de múltiples proveedores. En su lugar, buscan soluciones completas e integradas de un único fabricante. Es lo que denominamos enfoque ‘one-stop-shop’ y constituye el núcleo de la estrategia de 2N.
¿Qué significa esto en la práctica? Que un promotor puede acudir a 2N y obtener todo lo necesario para su proyecto: desde interfonos IP y lectores de acceso hasta unidades de respuesta e incluso manillas electrónicas, todo de un único proveedor y sobre una misma plataforma.
Esto aporta tres ventajas principales. En primer lugar, reduce significativamente los costes. En lugar de negociar con cinco proveedores diferentes, gestionar cinco contratos distintos y cinco canales de soporte, se trabaja con un único socio.
En segundo lugar, y esto suele infravalorarse, reduce drásticamente el riesgo de integración. Cuando se combinan productos de varios fabricantes, siempre existe el riesgo de incompatibilidades, conflictos de firmware y vacíos de responsabilidad cuando surge un problema. Con una solución de un único proveedor, todo está diseñado y probado para funcionar conjuntamente desde el principio.
Y, en tercer lugar, simplifica la experiencia para el usuario final, es decir, los residentes y propietarios de viviendas. Disponen de una sola aplicación, una única interfaz y una misma lógica para todo, desde abrir una puerta hasta comunicarse con visitantes o gestionar permisos de acceso. Ese nivel de simplicidad y comodidad es lo que esperan los usuarios actuales, especialmente en el segmento residencial.
Durante los próximos cinco años esperamos que esta tendencia se acelere. El mercado tenderá a concentrarse en fabricantes capaces de ofrecer no solo un producto aislado, sino un ecosistema completo. En 2N ya estamos en ese punto y seguiremos ampliando nuestra cartera para garantizar que promotores e integradores encuentren todo lo que necesitan bajo un mismo techo.