En resumen
El 3 de noviembre de 2026 la ACN lanzó una alerta sobre ataques a los sistemas de control y asistencia remota de la cadena de frío, con casos también en Italia.
El boletín BL01/261013/CSIRT-ITA pide comprobar ya la exposición a Internet, separar las redes de las instalaciones y proteger los accesos remotos con VPN y MFA.
Hay que verificar configuraciones y temperaturas reales de forma independiente, revisar las cuentas y gestionar los dispositivos sin soporte.
En Italia, las empresas alimentarias de distribución mayorista, producción o transformación industrial que superan la pequeña empresa son entidades NIS2 importantes: notificación en 24 horas, 72 horas y un mes.
A medio plazo hacen falta evaluación de proveedores con acceso remoto, ISO/IEC 27001 ampliada a las instalaciones y un plan de continuidad para la mercancía.
El 3 de noviembre de 2026 la Agencia Nacional de Ciberseguridad de Italia (ACN) emitió una alerta sobre la cadena alimentaria y la cadena de frío. Según la ACN, ataques informáticos contra los sistemas de control y asistencia remota de la refrigeración han afectado a operadores de varios países europeos, y en Italia ya han aparecido los primeros casos. La Agencia pide a la gran distribución, la logística alimentaria, la refrigeración industrial y las empresas de mantenimiento que apliquen las medidas urgentes indicadas en su boletín técnico.
En este artículo encontrarás lo que ha comunicado la ACN, con sus propias palabras, por qué estos sistemas son delicados, la lista de comprobación operativa para empezar ya, qué cambia si tu empresa es una entidad NIS2 y qué conviene implantar a medio plazo con ISO/IEC 27001 y la continuidad de negocio. No encontrarás nombres de empresas afectadas ni de productos: no hacen falta para actuar y, con una alerta en curso, la prudencia es obligada.
¿Qué ha comunicado la ACN sobre la cadena de frío?
La ACN ha publicado dos documentos relacionados: un comunicado de alerta del 3 de noviembre de 2026 y un boletín técnico de CSIRT Italia con medidas de verificación y mitigación. El primero explica el contexto; el segundo, qué hacer.
La alerta del 3 de noviembre
Según el comunicado, los ataques a los sistemas de la cadena de frío han afectado a operadores de varios países europeos, entre ellos Bélgica, Luxemburgo, Irlanda, Países Bajos, Letonia, Finlandia y Suecia. La Agencia recuerda también los incidentes anteriores que afectaron a cadenas de supermercados en Francia.
En Italia, la ACN indica que ha recibido una notificación de incidente NIS de una empresa de restauración colectiva y que ha detectado otro ataque, aún no notificado, contra una empresa del sector de los congelados. La Agencia ha reforzado la vigilancia del sector, ha anunciado una reunión con las federaciones sectoriales y las principales empresas de la gran distribución y ha puesto sus recursos a disposición de las empresas para mejorar su resiliencia.
El boletín técnico para los operadores
El boletín se titula "Medidas urgentes de verificación y mitigación para operadores de la distribución alimentaria y de la cadena de frío" (referencia BL01/261013/CSIRT-ITA). Se publicó el 13 de octubre de 2026 y se volvió a destacar el 3 de noviembre en su versión 1.1, tras los hechos detectados en Italia, con un nivel de gravedad alto.
Según la ACN, en los incidentes de Francia los atacantes aprovecharon equipos obsoletos, interfaces de administración expuestas directamente a Internet y autenticación débil. Así modificaron a distancia los parámetros de funcionamiento de las instalaciones, interrumpiendo la cadena de frío y causando pérdidas económicas importantes. El boletín se dirige a la gran distribución, la logística alimentaria, la refrigeración industrial y los servicios de mantenimiento asociados.
¿Por qué los sistemas de refrigeración son un objetivo tan delicado?
La cadena de frío une dos riesgos: seguridad alimentaria y continuidad operativa. Un ataque a un sistema de control no solo detiene un ordenador; puede comprometer la mercancía almacenada.
Cuando el daño es físico, no solo digital
En un incidente informático clásico el daño afecta a datos y servicios. Aquí el efecto recae sobre la temperatura de cámaras, vitrinas refrigeradas y almacenes. El boletín de la ACN lo deja claro: la evaluación de la seguridad alimentaria de los productos afectados corresponde al personal responsable, y volver a la temperatura correcta no demuestra, por sí solo, que se hayan mantenido las condiciones de conservación.
Para una empresa de la cadena, esto significa que un incidente cibernético puede convertirse en mercancía que evaluar o desechar, entregas perdidas y clientes a los que informar. Por eso la ACN pide implicar también a quien se ocupa de la calidad y la seguridad alimentaria, no solo a TI.
Asistencia remota y mantenedores: la puerta más utilizada
Muchas instalaciones de refrigeración las gestiona a distancia quien las instala o las mantiene. Es cómodo desde el punto de vista operativo, pero cada conexión es un punto de acceso que comprobar. El boletín cita expresamente los servicios de asistencia remota, las conexiones habilitadas por los mantenedores y los routers móviles entre los elementos que inventariar.
El problema típico no es la mala fe del proveedor. Es la conexión abierta hace años para una intervención, nunca cerrada, con credenciales por defecto y sin que nadie recuerde que existe. Un caso típico es un supermercado cuyo cuadro de control de las vitrinas frigoríficas es accesible desde Internet por comodidad del técnico.
Qué hacer ya: la lista de comprobación operativa de la ACN
La ACN recomienda iniciar de inmediato una serie de actividades. Las hemos agrupado por áreas para que puedas asignar cada una a una persona concreta hoy mismo.
Inventario y exposición a Internet
El primer paso es saber qué tienes y qué es accesible. El boletín pide inventariar controladores, sistemas SCADA, paneles de operador (HMI), pasarelas IoT y servicios de acceso remoto, e identificar todo lo que está expuesto a Internet, incluidos los routers móviles y las conexiones de los proveedores.
Sin esta lista, cualquier otra medida queda incompleta. Una hoja compartida con la instalación, el centro, quién la gestiona, cómo se accede y si es accesible desde fuera ya es un buen comienzo.
Separación de redes y accesos remotos
La ACN pide separar la red de las instalaciones (OT) de la red corporativa, de la de usuarios y de la de invitados. Las reglas del cortafuegos deben denegar todo lo que no esté expresamente permitido; según el boletín, las VLAN por sí solas no bastan. También hay que limitar las conexiones salientes y situar las consolas de administración en redes de gestión dedicadas.
Para el acceso remoto, el boletín indica VPN controladas con autenticación multifactor, jump hosts y permisos por usuario. Recomienda además desactivar HTTP y los demás protocolos sin cifrar.
Cuentas privilegiadas y credenciales
El boletín pide revisar todas las cuentas de administración, técnicas y de mantenimiento. Las que no se usen deben desactivarse, las credenciales por defecto o débiles deben cambiarse y, si se sospecha un robo de credenciales, hay que revocar las sesiones y los tokens activos.
Una cuenta compartida de "mantenimiento" que usan varios técnicos, quizá de empresas distintas, es exactamente el tipo de situación que hay que cerrar primero.
Integridad de las configuraciones y temperaturas reales
Aquí la ACN pide un control específico de la refrigeración: comparar las configuraciones actuales con las autorizadas. El boletín menciona los puntos de consigna, los programas de desescarche, los umbrales de alarma y los destinatarios de las notificaciones.
Pide también comprobar las temperaturas reales de forma independiente de la plataforma de supervisión, porque si el sistema ha sido manipulado, lo que muestra puede no ser fiable. Por último, indica analizar los registros, ampliando la búsqueda a los últimos 90 días cuando se conserven, sin retrasar las comprobaciones inmediatas.
Dispositivos sin soporte
Los equipos que el fabricante ya no actualiza deben identificarse y tratarse uno a uno. El boletín indica aplicar los parches cuando sean compatibles, retirar lo que no sea necesario y aislar lo que deba seguir en servicio, planificando su sustitución.
Para las acciones a más largo plazo, la ACN pide formalizar un plan con responsables y plazos. Es el momento en que la emergencia se convierte en gestión.
¿Cómo prepararse para recuperarse si se manipulan las instalaciones?
El boletín no se queda en la prevención: pide estar preparado para reaccionar. Las medidas de resiliencia abarcan copias de seguridad, procedimientos manuales y simulacros.
Copias de las configuraciones y prueba de restauración
La ACN pide verificar las copias de seguridad de las configuraciones y de los programas de los PLC y probar la restauración. Una copia nunca probada no te dice si la instalación volverá a funcionar como antes, ni en cuánto tiempo.
Procedimientos manuales de emergencia
El boletín indica preparar procedimientos manuales de emergencia para mantener la mercancía en frío aunque los sistemas de control no sean fiables. Quién hace qué, con qué instrumentos de medición independientes, quién decide trasladar la mercancía: son decisiones que hay que tomar antes, no durante el incidente.
Un simulacro con todas las funciones implicadas
La ACN recomienda un simulacro de respuesta a incidentes que implique a TI, instalaciones, mantenimiento, logística y seguridad alimentaria. Es la forma más rápida de descubrir que falta el teléfono del mantenedor de guardia nocturna, o que nadie sabe quién puede autorizar la desconexión de una instalación.
Por último, el boletín pide comunicar con rapidez las anomalías a la ACN a través de los canales de CSIRT Italia. Precisa que los plazos indicados son objetivos operativos recomendados y no sustituyen las obligaciones de notificación aplicables.
¿Qué cambia si tu empresa es una entidad NIS2?
Si estás dentro del ámbito de NIS2, las medidas del boletín se vinculan a obligaciones ya vigentes: medidas de seguridad y notificación de incidentes. Pero antes hay que comprobar si estás incluido.
Quién entra en el sector alimentario en Italia
El Decreto Legislativo 138/2024, que transpone en Italia la Directiva NIS2, incluye la producción, transformación y distribución de alimentos entre los otros sectores críticos (Anexo II). Según las FAQ de la ACN, abarca a las empresas alimentarias que realizan distribución mayorista, producción industrial o transformación industrial, establecidas en Italia y por encima de los umbrales de pequeña empresa; se consideran entidades importantes.
Si tu empresa tiene otro papel en la cadena, como transporte, servicios o mantenimiento, comprueba tu situación en las FAQ de la ACN sobre sectores y tipos de entidad. En cualquier caso, la alerta afecta a todos los operadores del frío, sean o no entidades NIS2. Si operas en España, la referencia es la normativa española de transposición de NIS2.
Notificación de incidentes: los plazos en Italia
Para las entidades NIS2, los incidentes significativos deben notificarse a CSIRT Italia según el artículo 25 del Decreto Legislativo 138/2024. Un incidente es significativo si ha causado o puede causar una perturbación operativa grave o pérdidas económicas, o repercusiones considerables en otras personas.
Fase | Plazo | Contenido esencial |
|---|---|---|
Alerta temprana | En 24 horas desde que se tiene conocimiento | Si es posible, si el incidente puede deberse a actos ilícitos o malintencionados o tener impacto transfronterizo |
Notificación | En 72 horas desde que se tiene conocimiento | Actualización, evaluación inicial de gravedad e impacto, indicadores de compromiso si están disponibles |
Informe final | En un mes desde la notificación | Descripción, causa probable, medidas de mitigación, posible impacto transfronterizo |
Una manipulación de las temperaturas que comprometa la mercancía puede constituir un incidente significativo: debe valorarse caso por caso, según los criterios del decreto. Por eso conviene tener criterios y responsables ya definidos, como explicamos en la guía sobre las primeras 72 horas tras una brecha de datos.
Las medidas de seguridad exigidas
El artículo 24 del decreto enumera los elementos mínimos de las medidas. Varios coinciden con lo que pide la ACN para la cadena de frío: continuidad operativa con copias de seguridad, recuperación y gestión de crisis (letra c), seguridad de la cadena de suministro (letra d), control de accesos y gestión de activos (letra i), autenticación multifactor (letra l).
El artículo 23 encarga a los órganos de dirección aprobar las medidas y supervisar su aplicación. En la práctica, revisar los sistemas de refrigeración no es solo un asunto técnico: es una decisión de la dirección. Para el cuadro completo de obligaciones, lee nuestra guía sobre ISO 27001 y NIS2.
¿Cómo gestionar a los proveedores con acceso remoto?
La gestión de proveedores es donde muchas empresas están más expuestas. El boletín de la ACN pide revisar todas las conexiones de asistencia remota y limitar el acceso de los proveedores solo a los recursos y periodos autorizados, registrando la actividad y revocando los permisos.
Qué preguntar al mantenedor
Para cada proveedor con acceso a las instalaciones necesitas respuestas claras: cómo se conecta, con qué credenciales, quiénes están autorizados, si el acceso está siempre abierto o se activa bajo petición y dónde se guardan los registros. Si el contrato no dice nada, es el momento de poner las reglas por escrito.
Para las entidades NIS2, el artículo 24, apartado 3, exige tener en cuenta las vulnerabilidades específicas de cada proveedor y la calidad de sus prácticas de seguridad. Aunque no haya obligación, es de sentido común.
Evaluar a los proveedores de forma estructurada
Un enfoque estable pasa por una evaluación periódica de los proveedores críticos, con criterios, evidencias y una revisión cada vez que algo cambia. Las normas ISO ya lo prevén: encontrarás el método en la guía sobre la evaluación de proveedores ISO. El mantenedor de las instalaciones frigoríficas debe tratarse como un proveedor que tiene en sus manos una parte de tu continuidad operativa.
Qué hacer a medio plazo: ISO 27001 y continuidad de negocio
Las comprobaciones urgentes cierran las brechas más evidentes. Para que no se vuelvan a abrir hace falta un sistema que las mantenga en el tiempo: inventario actualizado, accesos revisados, proveedores evaluados, planes probados.
ISO/IEC 27001 como estructura
Un sistema de gestión de seguridad de la información ISO/IEC 27001 cubre precisamente estas áreas: análisis de riesgos, gestión de activos, control de accesos, relación con proveedores, gestión de incidentes y continuidad. Incluir en el alcance también las instalaciones y las redes OT, no solo la informática de oficina, es la decisión que marca la diferencia para quien trabaja con el frío.
Si empiezas desde cero, las medidas mínimas de ciberseguridad para pymes son la base: autenticación multifactor, cuentas nominativas, copias probadas, actualizaciones.
Continuidad de negocio para la mercancía, no solo para los servidores
Un plan de continuidad de negocio para una empresa de la cadena de frío debe responder a una pregunta concreta: qué hacemos con la mercancía si durante unas horas no podemos fiarnos de los sistemas. Los procedimientos manuales, los contactos de emergencia y los criterios de evaluación de los productos que pide la ACN encajan ahí.
La guía sobre el plan de continuidad de negocio para pymes explica cómo plantearlo; la norma ISO 22301 es la referencia si quieres estructurarlo en un sistema certificable.
Cómo te ayuda Complaion con la NIS2 y la seguridad de la información
Complaion acompaña a las empresas en la adecuación a la NIS2 y en las certificaciones que la respaldan. Un Lead Auditor dedicado parte de tu situación: comprueba si eres sujeto NIS2, qué tienes ya y qué falta, y te propone el camino más adecuado entre adecuación a la NIS2, certificación ISO 27001 e ISO 22301 para la continuidad del negocio.
La plataforma recoge las evidencias, gestiona políticas y procedimientos, mantiene el calendario de revisiones y obligaciones y te prepara para la auditoría. El Lead Auditor también realiza la auditoría interna, para que sepas si las medidas funcionan antes de una verificación externa. En la parte técnica puedes añadir un test de penetración y, para los datos personales, el DPO externalizado.
Más de 1.000 clientes ya han elegido Complaion. Si quieres saber por dónde empezar, contáctanos.
Preguntas frecuentes sobre la alerta de la ACN para la cadena de frío
¿Qué ha pedido la ACN a las empresas de la cadena de frío?
La ACN ha pedido comprobar con urgencia si los sistemas de control y asistencia remota de la refrigeración están expuestos a Internet y, si es necesario, aislarlos de las redes corporativas. Recomienda accesos remotos mediante VPN con autenticación multifactor, la revisión de las cuentas privilegiadas y la actualización o sustitución de los dispositivos sin soporte. El boletín técnico añade comprobaciones de configuración, copias de seguridad, procedimientos de emergencia y simulacros.
¿A quién se dirige la alerta?
El boletín se dirige a la gran distribución, la logística alimentaria, la refrigeración industrial y los servicios de mantenimiento asociados. No afecta solo a las entidades NIS2: se dirige a todos los operadores que gestionan o mantienen instalaciones de la cadena de frío.
¿Mi empresa alimentaria está sujeta a NIS2?
Depende de la actividad y del tamaño. Según las FAQ de la ACN, en Italia entran las empresas alimentarias que realizan distribución mayorista, producción industrial o transformación industrial y superan los umbrales de pequeña empresa; son entidades importantes. Si tienes otro papel en la cadena, o si operas en otro país, comprueba tu situación en la normativa nacional aplicable o con un apoyo cualificado.
Si se manipula una instalación, ¿tengo que notificarlo?
Si eres una entidad NIS2 en Italia y el incidente es significativo, debes notificarlo a CSIRT Italia: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes. El boletín de la ACN invita en todo caso a todos a comunicar con rapidez las anomalías a través de los canales de CSIRT Italia. Sus indicaciones no sustituyen las obligaciones de notificación aplicables.
Si la temperatura vuelve a la normalidad, ¿la mercancía está a salvo?
No necesariamente. Según la ACN, recuperar la temperatura no demuestra por sí solo que se hayan mantenido las condiciones de conservación. La evaluación de la seguridad alimentaria de los productos afectados corresponde al personal responsable.
¿Qué debo preguntar a los mantenedores de las instalaciones?
Pregunta cómo se conectan, con qué credenciales, quién está autorizado y dónde se guardan los registros. La ACN recomienda limitar el acceso de los proveedores a los recursos y periodos autorizados, registrando la actividad y revocando los permisos que ya no sean necesarios. Pon estas reglas por escrito en el contrato.
¿Basta ISO 27001 para cumplir NIS2?
En Italia, la certificación ISO/IEC 27001 no supone una presunción de conformidad con NIS2. Sin embargo, es una estructura muy útil: el análisis de riesgos y la gestión de activos, accesos, proveedores e incidentes cubren gran parte de lo exigido. Conviene usarla como base y comprobar la cobertura frente a las especificaciones de la ACN.
