Por Felicita Sandoval, CEO de Sentient Perspectives (SENP-X) Ciberseguridad, IA y Tecnologías Emergentes en Aviación
- Los reguladores de la aviación a nivel global están reforzando las exigencias de ciberseguridad a medida que los sistemas digitales y la inteligencia artificial se integran cada vez más en las operaciones.
- Nuevas directrices de autoridades internacionales y europeas indican un cambio desde las buenas prácticas hacia requisitos de ciberseguridad exigibles.
- Incluso las organizaciones de aviación fuera de Europa pueden verse afectadas a través del acceso al espacio aéreo, alianzas y cadenas de suministro digitales.
A medida que la aviación continúa su proceso de digitalización, la ciberseguridad ya no se considera únicamente un tema tecnológico. Cada vez más, se aborda como una cuestión de continuidad operacional, seguridad y confianza regulatoria.
Durante el último año, autoridades de aviación globales y regionales han dado pasos para formalizar las expectativas de ciberseguridad para aerolíneas, aeropuertos, fabricantes y proveedores de servicios. Estos avances reflejan una creciente preocupación por amenazas cibernéticas avanzadas dirigidas a la infraestructura aeronáutica y por la interconexión cada vez mayor entre sistemas de información, tecnología operacional y automatización.
El rol de las autoridades internacionales de aviación
La Organización de Aviación Civil Internacional (OACI) es un organismo de las Naciones Unidas responsable de establecer normas y prácticas recomendadas a nivel mundial para la aviación civil. Si bien la OACI no impone regulaciones de forma directa, su orientación influye de manera significativa en cómo las autoridades nacionales y regionales estructuran sus propias normas.
A comienzos de 2025, la OACI actualizó su estrategia de ciberseguridad, poniendo un mayor énfasis en la evaluación de riesgos, la preparación ante incidentes y la protección de la infraestructura aeronáutica. Esta estrategia refleja el reconocimiento de que los incidentes cibernéticos pueden interrumpir operaciones a gran escala, incluso sin afectar directamente los sistemas de las aeronaves.
El enfoque de la OACI envía una señal clara a nivel global: la ciberseguridad ya se considera un componente central de la seguridad y la resiliencia en la aviación, y no una mejora técnica opcional.
El avance de Europa hacia normas de ciberseguridad exigibles
Sobre la base de la orientación de la OACI, la Agencia de Seguridad Aérea de la Unión Europea (EASA) ha introducido requisitos de ciberseguridad de carácter obligatorio a través de su normativa Part-IS. EASA es el organismo responsable de la supervisión de la seguridad aérea dentro de la Unión Europea.
Part-IS, que entra en vigor en 2026, exige que las organizaciones de aviación implementen medidas de ciberseguridad para los sistemas de información que respaldan las actividades aeronáuticas. Estas normas se centran en gobernanza, responsabilidades, conocimiento de amenazas y gestión segura de los activos digitales, incluidos aquellos proporcionados por terceros.
A diferencia de las orientaciones de alto nivel, Part-IS establece expectativas formales que las organizaciones de aviación deberán demostrar durante procesos de supervisión y auditorías.
Por qué esto importa más allá de Europa
Aunque Part-IS aplica directamente dentro de la Unión Europea, su impacto va más allá de los operadores con base en la UE. Muchas aerolíneas, aeropuertos y proveedores de servicios fuera de Europa interactúan con el mercado europeo a través de:
- Uso del espacio aéreo y aeropuertos de la UE
- Alianzas con aerolíneas o proveedores con base en Europa
- Plataformas digitales compartidas e intercambios de datos
- Cadenas de suministro globales integradas
Como resultado, las exigencias de ciberseguridad establecidas en Europa suelen influir en requisitos contractuales, estándares operacionales y evaluaciones de socios en todo el ecosistema aeronáutico.
Amenazas avanzadas que impulsan la urgencia regulatoria
El endurecimiento de las exigencias de ciberseguridad responde a cambios en el panorama de amenazas. Los sistemas aeronáuticos están cada vez más expuestos a riesgos cibernéticos avanzados, como ransomware, compromisos en la cadena de suministro y ataques habilitados por inteligencia artificial.
A medida que los sistemas digitales y operacionales convergen, las interrupciones ya no se limitan a redes internas. Pueden afectar itinerarios de vuelo, operaciones aeroportuarias y la coordinación entre múltiples actores, amplificando el impacto operacional.
Un recordatorio reciente del riesgo operacional
En 2025, un incidente cibernético que afectó a un importante aeropuerto europeo provocó retrasos generalizados e interrupciones operativas. Si bien no se comprometieron sistemas de aeronaves, el evento demostró cómo los problemas cibernéticos dirigidos a sistemas en tierra y de soporte pueden generar efectos en cascada en las operaciones aeronáuticas.
Incidentes como este refuerzan la razón por la cual los reguladores están pasando de orientaciones consultivas a expectativas de ciberseguridad más estructuradas.
Qué se espera que tengan implementado las organizaciones de aviación
El foco regulatorio se está centrando cada vez más en la gobernanza, más que en herramientas técnicas específicas. Se espera que las organizaciones de aviación comprendan sus entornos digitales y gestionen el riesgo cibernético de manera estructurada.
Entre las principales expectativas se incluyen una visibilidad clara de los activos, controles basados en riesgo, procesos definidos de respuesta a incidentes y responsabilidades claras en la toma de decisiones relacionadas con ciberseguridad. Cuando la automatización o la inteligencia artificial apoyan decisiones operativas, la supervisión humana sigue siendo un requisito fundamental.
En qué deberían enfocarse las organizaciones de aviación
La orientación regulatoria de la OACI y EASA apunta a un conjunto coherente de expectativas para la gestión del riesgo cibernético en entornos aeronáuticos. La preparación tiene menos que ver con nuevas herramientas y más con gobernanza y visibilidad.
Las áreas clave de enfoque incluyen:
- Visibilidad clara de los sistemas digitales y operacionales, incluidos los servicios de terceros
- Priorización basada en riesgo de los sistemas que afectan la seguridad y las operaciones
- Procesos definidos de respuesta a incidentes, alineados con la toma de decisiones operativas
- Supervisión de proveedores y de la cadena de suministro para sistemas gestionados externamente
- Responsabilidad humana sobre decisiones automatizadas o apoyadas por IA
Estas prácticas se alinean estrechamente con los marcos existentes de seguridad y gestión de calidad en aviación, lo que permite integrar la ciberseguridad dentro de la gobernanza operacional ya establecida.
La ciberseguridad como un tema de resiliencia operacional
La dirección es clara. La OACI está estableciendo expectativas globales, EASA las está haciendo exigibles a nivel regional y es probable que otras autoridades sigan caminos similares.
Para las organizaciones de aviación, la preparación en ciberseguridad se está convirtiendo en parte de la resiliencia operacional. Aquellas que se alineen tempranamente con estas expectativas emergentes estarán mejor posicionadas para mantener la continuidad, la confianza regulatoria y la credibilidad en operaciones globales.
En una industria construida sobre la confiabilidad, la ciberseguridad ya no se trata solo de prevenir brechas, sino de sostener la capacidad de operar.
En SENP-X, nuestra misión es guiar a las organizaciones aeroespaciales a través de un proceso de modernización claro, seguro y confiable, asegurando que la digitalización se convierta en una ventaja estratégica y no en un riesgo para la continuidad del negocio. Para orientación estratégica o para explorar nuevas capacidades para tu equipo, visita nuestro sitio web en SENP-X.