Ciberseguridad del segmento espacial bajo el marco NIS2
La Directiva NIS2, transpuesta en los ordenamientos nacionales de los Estados miembros de la UE, establece obligaciones de seguridad de red y de los sistemas de información para operadores de sectores esenciales, entre los que se incluyen los servicios espaciales con función crítica. Para un sistema satelital, la superficie de ataque no se limita al segmento espacial en órbita, sino que comprende el segmento terreno de control y misión, los enlaces de subida y bajada, las estaciones remotas de usuario y la cadena de suministro de hardware y software embarcado. Esta visión sistémica es el punto de partida de cualquier análisis de postura de seguridad alineado con NIS2. Desde una perspectiva de defensa en profundidad, la arquitectura de seguridad de un sistema satelital debe articularse en capas funcionales independientes: autenticación y cifrado de los enlaces de telecomando y telemetría, segmentación lógica entre las redes de operación del segmento terreno y las redes corporativas, y controles de integridad sobre el software de vuelo y las actualizaciones en órbita. La segmentación de red entre el centro de control principal y los centros de respaldo contribuye a limitar la propagación lateral de un compromiso y a preservar la continuidad de operación, que NIS2 trata como requisito explícito de resiliencia para los operadores esenciales. La cadena de suministro representa uno de los vectores de riesgo más relevantes en sistemas de larga vida útil como los satelitales. Los componentes de electrónica de vuelo, el software de gestión de carga útil y las plataformas de procesado en tierra pueden incorporar dependencias de terceros con distinto nivel de madurez en ciberseguridad. NIS2 exige que los operadores evalúen y gestionen los riesgos derivados de sus proveedores, lo que en el contexto espacial implica extender los requisitos de seguridad a lo largo de todo el ciclo de vida del sistema, desde el diseño hasta la disposición final. En el plano de la gobernanza, NIS2 introduce obligaciones de notificación de incidentes significativos a las autoridades competentes en plazos definidos, así como la designación de responsabilidades de gestión de riesgos al nivel directivo de la organización. Para los operadores de infraestructura satelital, esto requiere disponer de procedimientos de detección y respuesta adaptados a las particularidades del entorno espacial, donde la latencia de los enlaces y la autonomía de la plataforma en órbita condicionan los tiempos de reacción y las capacidades de intervención remota. El enfoque regulatorio de NIS2 no prescribe controles técnicos específicos, sino que establece un marco de gestión de riesgos basado en proporcionalidad y en la adopción de medidas técnicas y organizativas adecuadas al nivel de exposición. Para los operadores de sistemas SATCOM con función esencial, esto implica integrar la ciberseguridad como disciplina de ingeniería desde las fases tempranas del diseño del sistema, y no como capa adicional aplicada sobre una arquitectura ya consolidada.
NASSAT - Network Satellite Systems