Jaguar Land Rover perdió £196 millones y detuvo su producción cinco semanas por un ciberataque a su cadena de suministro. Qué exige ISO 28000:2022 a los fabricantes no solo a navieras y transportistas y cómo se integra con ISO 27001.
En septiembre de 2025, un ciberataque paralizó durante cinco semanas la producción de Jaguar Land Rover. Las pérdidas superaron las 196 millones de libras, y el impacto se extendió tan profundo hacia la cadena de proveedores que el gobierno británico tuvo que movilizar garantías por 1.500 millones de libras para sostenerlos mientras la planta seguía parada. Seis meses después, en marzo de 2026, la empresa alemana ZEGO Textilveredelungszentrum sufrió una interrupción de seis semanas que precipitó directamente su insolvencia.
En junio de 2025, un ciberataque había interrumpido ya la operación de la planta de Hero España en Alcantarilla, Murcia. Y en marzo de 2026, un incidente en el Puerto de Vigo obligó a las autoridades portuarias a operar con «métodos analógicos» mientras contenían el ataque.
Ninguno de estos casos es una empresa de transporte ni una naviera. Son fabricantes. Y el patrón detrás de todos ellos es el mismo: la interrupción no llegó por la puerta principal de la planta, sino a través de un proveedor, un integrador de sistemas o un portal de acceso externo conectado a la operación.
Las cifras confirman que no son casos aislados. Según NTT DATA, la manufactura fue el segundo sector más atacado durante el primer semestre de 2026, con 5.478 ataques registrados y un impacto calificado como «muy alto». IBM reportó que el 27,7% de los incidentes de seguridad de 2025 afectaron al sector manufacturero. Verizon encontró que terceros están implicados en el 61% de las brechas de seguridad, y que el ransomware está presente en un 61% de los casos. Kaspersky, por su parte, detectó actividad maliciosa bloqueada en el 19,2% de los equipos de sistemas de control industrial (ICS) analizados.
Cuando se habla de seguridad de la cadena de suministro, la conversación en América Latina y en buena parte de la industria sigue centrada casi exclusivamente en navieras, puertos y transportistas el robo físico de contenedores y camiones. Es un riesgo real y ya lo hemos cubierto. Pero los casos de Jaguar Land Rover, ZEGO, Hero España y el Puerto de Vigo muestran algo distinto: el fabricante mismo, no solo el operador logístico, es hoy uno de los eslabones más atacados y menos preparados de la cadena. Y es exactamente ese eslabón el que ISO 28000:2022 («Security and resilience — Security management systems — Requirements») obliga a gestionar como sistema.
Por qué la manufactura, y no solo la logística
La razón es estructural, no casual. Una planta de manufactura moderna depende de una red que combina sistemas de tecnología de la información (IT) y de tecnología operacional (OT) los que controlan directamente máquinas, líneas de ensamblaje y procesos físicos, con accesos abiertos a proveedores, integradores de sistemas y fabricantes de equipos que necesitan conectarse para mantenimiento, actualizaciones o soporte remoto. Cada uno de esos accesos es una puerta que la propia empresa no siempre controla ni audita. Cuando un atacante compromete a un proveedor pequeño con seguridad débil, no roba solo datos: puede llegar hasta el sistema que controla la línea de producción y detenerla por completo, con un costo que se mide en semanas de parada, no en horas.
Esto es justamente lo que separa a la manufactura de la logística pura en términos de riesgo: un retraso de carga en un puerto se mide en días de demora; una planta detenida se mide en producción perdida, contratos incumplidos con clientes propios, y —como muestra el caso de ZEGO en la viabilidad misma del negocio.
Qué exige ISO 28000:2022 a un fabricante
La norma comparte la Estructura de Alto Nivel (Anexo SL) con ISO 9001 e ISO 27001, lo que facilita integrarla dentro de un sistema de gestión ya existente en lugar de construirla desde cero. Aplicada a una planta de manufactura, exige:
Evaluación de riesgo de toda la cadena extendida, no solo del proveedor directo (Tier 1). La mayoría de las empresas evalúa el riesgo de su proveedor inmediato, pero no tiene visibilidad de quién le provee a ese proveedor el Tier 2 y el Tier 3, que es precisamente donde suelen originarse los ataques que después escalan hacia arriba, como en el caso de Jaguar Land Rover.
Controles operacionales que integran seguridad física y ciberseguridad. Sistemas de rastreo de carga, control de acceso físico a planta y portales de proveedores deben evaluarse como un solo perímetro de riesgo, no como sistemas separados gestionados por áreas distintas de la organización.
Cláusulas de seguridad exigibles a proveedores e integradores, con evaluación de desempeño y derecho a auditar no un contrato de suministro firmado hace años que nunca contempló requisitos de seguridad porque en su momento no parecían necesarios.
Planes de continuidad probados mediante simulacros reales, no solo documentados en un procedimiento. La diferencia entre una empresa que resiste un ataque en días y una que tarda semanas o no resiste, como ZEGO suele estar precisamente ahí: si el plan se ejecutó alguna vez antes del incidente o si existía solo en papel.
Gobernanza y responsabilidad desde la dirección ejecutiva, con recursos asignados y conciencia real del riesgo de cadena de suministro al nivel donde se toman las decisiones de inversión no delegado exclusivamente al área de sistemas o de compras.
Los cinco focos de auditoría ISO 28000 para 2026
La comunidad de auditores especializados en la norma (The Auditor / QMII) identifica cinco áreas que están concentrando la atención en las auditorías de este año, y las cinco aplican de forma directa a un fabricante:
- Evaluaciones de riesgo dinámicas, no estáticas. Las auditorías anteriores encontraron cumplimiento del proceso en el papel, pero sin evidencia de que la evaluación de riesgo se actualizara con inteligencia de amenazas real y vigente.
- Visibilidad integral de proveedores, incluyendo auditorías a proveedores de nivel 2 y 3 la seguridad debe ser demostrable, no asumida por la sola existencia de un contrato.
- Integración entre ISO 28000 e ISO/IEC 27001, abordando como un solo riesgo los sistemas de rastreo, los controles de acceso y los portales de proveedores.
- Pruebas y simulacros reales. Un plan de continuidad documentado pesa cada vez menos en una auditoría si no hay evidencia de que se ha ejecutado en un ejercicio con escenarios realistas.
- Gobernanza y responsabilidad directiva, con escrutinio explícito sobre el compromiso de la alta dirección y la asignación de recursos frente al riesgo de cadena de suministro.
Qué hacer ahora
Primero, mapear la cadena de proveedores más allá del Tier 1: identificar qué proveedores de nivel 2 y 3 tienen acceso directo o indirecto a sistemas OT o a información crítica de producción. Segundo, revisar si los controles de ciberseguridad y de seguridad física de planta se evalúan como un solo riesgo o si siguen gestionándose en silos separados entre TI y seguridad patrimonial. Tercero, incorporar cláusulas de seguridad exigibles no solo cláusulas de calidad o de plazo de entrega en los contratos con proveedores e integradores de sistemas, con derecho a auditar. Cuarto, ejecutar al menos un simulacro real de interrupción por ciberataque o falla de proveedor crítico, y documentar los resultados como evidencia de capacidad real, no de intención.
¿Tu planta de manufactura conoce el riesgo de seguridad de sus proveedores de nivel 2 y 3, o solo audita al proveedor directo? En Profile Empresarial te ayudamos a hacer el diagnóstico frente a ISO 28000:2022 y a evaluar su integración con tu sistema ISO 27001 o ISO 9001 ya existente.
Agenda tu diagnóstico con nuestro equipo.