Resumen
La Ley «Water Cyber Shield», presentada en agosto de 2026, propone —en caso de ser aprobada— la realización obligatoria de evaluaciones de riesgos de ciberseguridad y la notificación de incidentes para las empresas de suministro de agua de EE. UU., al tiempo que autoriza 300 millones de dólares anuales para financiar mejoras. La mayor vulnerabilidad no radica en la normativa, sino en los equipos de tecnología operativa (OT) heredados que gestionan la mayoría de los sistemas de abastecimiento de agua, los cuales carecen de visibilidad, de un acceso remoto seguro y de una ruta de respaldo en caso de fallo de la red principal. La cartera de soluciones de gestión de infraestructuras de Digi aborda estas tres carencias sin necesidad de sustituir los equipos existentes, y la documentación de cumplimiento que las empresas de servicios públicos necesitarán para las evaluaciones de la EPA, la CISA y el NIST está integrada en el flujo de trabajo desde el primer día.
Los ciberataques contra las infraestructuras hidráulicas ya no son un riesgo teórico; se están produciendo en este mismo momento. Se han producido incidentes coordinados que han afectado a los sistemas de abastecimiento de agua de las comunidades en más de una docena de estados de EE. UU., y los legisladores federales están actuando con rapidez. El
Ley de Protección Cibernética del Agua, presentada en agosto de 2026, autoriza una dotación anual de 300 millones de dólares para ayudar a las empresas de servicios públicos a financiar mejoras en materia de ciberseguridad y, de aprobarse, exigiría la realización de evaluaciones de riesgos y la notificación de incidentes en los sistemas de agua y aguas residuales de todo el país.
Este supone un auténtico punto de inflexión para el sector del agua. Sin embargo, el reto al que se enfrentan la mayoría de las empresas de servicios públicos no es una carencia normativa, sino una carencia de infraestructuras. No se puede proteger, auditar ni responder a incidentes en sistemas que no se pueden ver ni a los que no se puede acceder.
Para los miles de empresas de suministro de agua que aún utilizan equipos de tecnología operativa (OT) obsoletos, esa brecha se está reduciendo.
Un PLC de 20 o 30 años no es un equipo defectuoso solo por el hecho de ser antiguo. Sustituir equipos de tecnología operativa (OT) que funcionan correctamente no siempre es práctico ni la decisión de ingeniería más acertada. El objetivo aquí no es la sustitución, sino dotar de conectividad moderna, control de acceso y visibilidad a la infraestructura que ya gestiona tus operaciones.
La vulnerabilidad se encuentra en la capa OT
La mayoría de los ciberataques contra los sistemas de abastecimiento de agua se dirigen contra la tecnología operativa: controladores lógicos programables (PLC), unidades remotas de terminación (RTU), sistemas SCADA, controles de bombas y equipos de dosificación de productos químicos. Estos son los dispositivos que realmente gestionan el suministro de agua. La mayoría se diseñaron hace décadas sin tener en cuenta la seguridad de la red, y se comunican a través de protocolos serie que nunca se concibieron para conectarse a Internet.
Sin embargo, a medida que las redes de TI y de tecnología operativa (OT) han ido convergiendo, ahora se puede acceder a esos dispositivos desde el exterior. Sin cifrado, autenticación ni gestión centralizada, suelen constituir la vía de acceso más fácil para un atacante.
El requisito de evaluación de riesgos que establece la legislación pone de relieve cuestiones que el cambiante panorama de amenazas —y no las empresas de servicios públicos— ha convertido en una prioridad urgente. Las infraestructuras diseñadas y construidas décadas antes de que existieran los requisitos de conectividad actuales no podían prever adónde conduciría la convergencia entre las tecnologías de la información (TI) y las tecnologías operativas (TO):
- ¿Qué dispositivos hay en tu red?
- ¿Quién puede ponerse en contacto con ellos?
- ¿Qué ocurre si la red principal deja de funcionar en medio de un incidente?
Responder a esas preguntas requiere un tipo de inversión en infraestructuras diferente al que suelen plantear la mayoría de los proveedores de ciberseguridad.
Diseño de la arquitectura de seguridad
La arquitectura de conectividad y gestión es tan importante como el hardware. En los entornos de tecnología operativa (OT), los principios clave son: la segmentación de la red para aislar la OT de la TI y de Internet; el acceso remoto controlado mediante autenticación multifactorial (MFA) y permisos basados en roles, en lugar de túneles VPN abiertos; la minimización de la exposición directa a Internet de los dispositivos de campo; la autenticación en cada capa de acceso; y el mantenimiento de una ruta de gestión independiente que no dependa de la disponibilidad de la red principal. Los productos aquí descritos son herramientas para aplicar dichos principios, no sustitutos de las decisiones arquitectónicas.
La visibilidad comienza en la capa de serie
La mayor parte del equipo de campo de las empresas de suministro de agua se comunica a través de interfaces serie. Los caudalímetros, los sensores de presión, los analizadores químicos, las unidades remotas de terminal (RTU) y los PLC más antiguos utilizan los protocolos RS-232 o RS-485. Esto no supone un problema en sí mismo, pero se convierte en uno cuando esos dispositivos se conectan a redes IP sin los controles de acceso adecuados, o se gestionan a través de ordenadores y adaptadores locales improvisados que nadie supervisa ni actualiza.
La familia Digi Connect EZ permite gestionar estos dispositivos de forma centralizada, cifrada y autenticada sin necesidad de sustituir ningún equipo ni de volver a tender el cableado. Los operadores supervisan, configuran y resuelven los problemas de los dispositivos conectados en serie desde un único portal, con control de acceso basado en roles, conexiones cifradas y actualizaciones automáticas de firmware en toda una flota distribuida. Sin necesidad de sustituir equipos ni de volver a tender el cableado existente. Simplemente, una visibilidad y un control que antes no tenías.
Para las empresas de servicios públicos que gestionan decenas o cientos de instalaciones remotas, la visibilidad centralizada no es una simple comodidad. Es la base indispensable para garantizar el cumplimiento normativo. Más información.
Acceso fuera de banda: la capa de respuesta ante incidentes que necesitas antes de que se produzca el incidente
La mayoría de los equipos de seguridad de las empresas de suministro de agua cuentan con planes de respuesta ante incidentes y de recuperación; a algunas les obliga a ello la legislación federal. El problema no radica en la planificación, sino en mantener una vía independiente de acceso a los activos remotos cuando es precisamente la red principal la que no está disponible. Si el problema está en la red, no se puede utilizar esta para diagnosticar o solucionar el problema.
La mayoría de las instalaciones de campo de las empresas de suministro de agua no son centros de datos. Una estación elevadora no tiene un rack. La gestión fuera de banda a nivel de campo requiere equipos que se adapten realmente al entorno.
Digi Connect EZ ya está en el perímetro. Es el dispositivo que conecta la consola serie del PLC, el controlador de la bomba o la RTU. Al añadir un módem celular CORE, ese mismo dispositivo proporciona una ruta celular independiente a la que se puede acceder a través de Digi Remote Manager o a través de su propia red privada, totalmente independiente de la conexión Ethernet principal. Cuando el enlace principal se interrumpe, Digi Connect EZ ya está conectado al equipo al que necesita acceder, por lo que no solo obtiene acceso a la red fuera de banda, sino que también dispone de acceso directo a la consola serie CLI del propio dispositivo de campo a través de la red móvil. Puede evaluar, diagnosticar y enviar comandos sin necesidad de enviar a un técnico.
Digi SureLink automatiza la conmutación por error. Cuando se interrumpe el enlace principal, SureLink pasa automáticamente a la red móvil. Cuando se restablece la conexión Ethernet, se vuelve al enlace original. La gestión y la supervisión continúan durante la interrupción sin necesidad de intervención manual. Esa es la resiliencia operativa que estos emplazamientos pueden implementar realmente.
Para instalaciones centrales o de agregación, como una planta de tratamiento, una sala de operaciones de red o un centro regional, el Digi Connect IT 16/48 es la solución ideal: un servidor de consola montado en rack con 16 o 48 puertos serie para gestionar los equipos de TI y TO concentrados en esas ubicaciones.
Para las empresas de servicios públicos que ahora deben cumplir con la obligación de notificar los incidentes, la rapidez de respuesta es doblemente importante: tanto desde el punto de vista operativo como en la documentación. Cuanto antes se pueda detectar y contener un incidente, mejor será la documentación que se pueda presentar a los organismos reguladores cuando lo soliciten.
Menos desplazamientos de emergencia de los camiones. Respuesta más rápida. Mejor documentación. Eso es lo que ofrece la gestión OOB. Más información.
Telemetría a nivel de campo: saber qué está pasando antes de que se convierta en una crisis
Para instalaciones centrales o de agregación, como una planta de tratamiento, una sala de operaciones de red o un centro regional, el Digi Connect IT 16/48 es la solución ideal: un servidor de consola montado en rack con 16 o 48 puertos serie para gestionar los equipos de TI y TO concentrados en dichas ubicaciones.
El énfasis que pone la ley en las evaluaciones de riesgos refleja una verdad fundamental: no se puede gestionar lo que no se puede medir. Los equipos como las estaciones de bombeo, las estaciones elevadoras, los nodos de distribución remotos y los depósitos de almacenamiento suelen estar desatendidos, por lo que las anomalías pueden pasar desapercibidas durante horas o días.
El Digi Connect Sensor XRT-M es una unidad de telemetría remota resistente y alimentada por batería, diseñada precisamente para este tipo de entornos. Se conecta a sensores de presión, caudalímetros, instrumentos de análisis de la calidad del agua y otros dispositivos de campo a través de interfaces analógicas (4-20 mA, 0-10 V), digitales y Modbus, y transmite los datos a través de redes móviles LTE-M/NB-IoT , directamente a los paneles de control de Digi Axess o a tu plataforma SCADA existente mediante MQTT.
La duración de la batería es de aproximadamente cinco años, con dos lecturas y transmisiones al día. La carcasa NEMA, con clasificación IP68, permite su instalación tanto en exteriores como bajo tierra. La configuración se realiza en menos de 10 minutos. Y, dado que funciona a través de la red móvil en lugar de tu red OT, obtienes un nivel de visibilidad que no depende del buen funcionamiento de dicha red, que es precisamente lo que importa cuando surge algún problema.
Gestión del ciclo de vida y documentación sobre cumplimiento normativo
He aquí un reto al que no se le presta la atención que merece: la documentación. Las evaluaciones de riesgos requieren conocer el estado actual de cada dispositivo de tu red. Es importante que el firmware esté actualizado. Los registros de acceso son importantes. Los registros de incidentes de seguridad son importantes. Y cuando una autoridad reguladora te lo solicite, debes facilitar esa información rápidamente.
Digi Remote Manager (DRM) es la plataforma de gestión basada en la nube que integra todo esto. DRM te permite automatizar las actualizaciones de firmware tanto en dispositivos individuales como en flotas completas, generar informes detallados sobre el estado y la conectividad de los dispositivos, crear alertas en tiempo real para condiciones específicas y mantener un registro auditable de cada cambio de configuración y cada evento de acceso.
DRM opera en un entorno en la nube de nivel comercial que cumple con las normas SOC 1, SOC 2 y SOC 3, y es compatible con los marcos del NIST, la norma ISO 27002 y la HIPAA. Para las empresas de servicios públicos que operan en entornos aislados físicamente o altamente regulados, Digi On-Prem Manager ofrece las mismas funcionalidades alojadas íntegramente en su propia infraestructura; en otras palabras, ningún dato sale de su red.
Digi LifeCycle Assurance (LCA) aporta un nivel adicional. LCA ofrece asistencia especializada continua, acceso 24 horas al día, 7 días a la semana al equipo técnico de Digi y una gestión proactiva de los dispositivos en toda tu infraestructura conectada. Todos los dispositivos Digi incluyen una garantía de hardware de 5 años; LCA es una suscripción independiente que, además de esa base, añade asistencia gestionada y una respuesta más rápida.
La pila de infraestructura digital para empresas de suministro de agua
Los productos de Digi Infrastructure Management no son un conjunto de herramientas independientes. Están diseñados para funcionar conjuntamente como una arquitectura unificada de gestión de la tecnología operativa (OT).
| Capa |
Producto |
Qué ofrece |
| Telemetría de campo |
Sensor Digi Connect XRT-M |
Monitorización de la presión, el caudal y la calidad del agua mediante conexión móvil en emplazamientos remotos |
| Integración de sistemas serie/SCADA |
Digi Connect EZ 8/16/32 |
Gestión centralizada y cifrada de dispositivos serie heredados |
| Acceso fuera de banda — instalaciones sobre el terreno |
Digi Connect EZ (con módem celular CORE) |
Conexión móvil independiente + acceso directo a la consola serie de los dispositivos de campo; conmutación automática ante fallos de SureLink |
| Acceso fuera de banda: emplazamientos centrales/de agregación |
Digi Connect IT 16/48 |
Servidor de consola montado en rack para plantas de tratamiento, salas de operaciones de red y centros regionales |
| Gestión centralizada |
Digi Remote Manager |
Ciclo de vida del firmware, control de acceso, registros de auditoría, alertas en tiempo real |
| Garantía continua |
Digi LifeCycle Assurance |
Asistencia técnica especializada las 24 horas del día, los 7 días de la semana, gestión proactiva y seguridad actualizada |
Tu equipo de operaciones trabaja desde un único lugar, no desde cinco. Eso es importante cuando gestionas docenas de sedes remotas y necesitas actuar con rapidez.
Un camino práctico hacia el futuro
Las disposiciones federales y los ciclos de financiación generan urgencia, pero también ofrecen una oportunidad real. La autorización anual de 300 millones de dólares prevista en la Ley «Water Cyber Shield» para los Fondos Rotatorios Estatales significa que las empresas de servicios públicos que actúen ahora estarán en mejor posición para acceder a subvenciones y préstamos destinados precisamente a este tipo de mejoras de infraestructura.
No es necesario realizar una renovación completa de la infraestructura para empezar. Incorpora tus dispositivos OT conectados en serie a una gestión centralizada. Establece una vía de acceso independiente fuera de banda. Implementa telemetría de campo en tus instalaciones remotas de mayor riesgo. Esa combinación resuelve las tres carencias que los reguladores y los auditores de la CISA detectan con mayor frecuencia: falta de visibilidad, falta de acceso remoto seguro y falta de capacidad de respuesta ante incidentes cuando falla la red principal.
Digi lleva décadas desarrollando soluciones de gestión de infraestructuras para empresas de servicios públicos, proveedores de energía y operadores de infraestructuras críticas, combinando hardware de calidad industrial con una plataforma de gestión líder en el sector. Además, la documentación de cumplimiento que tu equipo necesitará para las evaluaciones de la EPA, la CISA y el NIST está integrada en el flujo de trabajo, y no se añade a posteriori.
Preguntas frecuentes sobre la Ley de Protección Cibernética del Agua y la gestión de infraestructuras
¿Qué exige la Ley de Protección Cibernética del Agua a las empresas de suministro de agua?
Tal y como se ha presentado, el proyecto de ley exigiría la realización de evaluaciones de riesgos de ciberseguridad para los grandes sistemas de abastecimiento de agua y amplía la obligación de notificar incidentes a las instalaciones de propiedad estatal y local. Asimismo, autoriza una dotación anual de 300 millones de dólares a través de los Fondos Rotatorios Estatales para el Agua Potable y el Agua Limpia, con el fin de ayudar a las empresas de servicios públicos a financiar mejoras en materia de seguridad. Se espera que los requisitos se ajusten a los marcos normativos de la EPA, la CISA y el NIST. Importante: Confirma el estado actual del proyecto de ley antes de hacer referencia a plazos de cumplimiento específicos.
Mi empresa de servicios públicos utiliza equipos serie antiguos. ¿Tengo que sustituirlos para cumplir con los nuevos requisitos de seguridad?
No, y esa es una distinción importante. Los dispositivos serie tradicionales, como los PLC, las RTU y los caudalímetros, no necesitan ser sustituidos. La gama Digi Connect EZ permite gestionar los equipos serie existentes de forma centralizada, cifrada y autenticada a través de tu red IP, sin necesidad de volver a conectar los cables serie existentes ni alterar el cableado de campo ya instalado. De este modo, modernizas tu nivel de seguridad al tiempo que proteges la inversión realizada en tus equipos actuales.
¿Por qué es importante la gestión fuera de banda (OOB) para la respuesta ante incidentes?
La gestión fuera de banda te ofrece una vía separada e independiente para acceder a los equipos críticos de infraestructura cuando tu red principal no está disponible —que es precisamente cuando fallan los canales habituales—. En instalaciones sobre el terreno, como estaciones elevadoras y estaciones de bombeo, el Digi Connect EZ con un módem celular CORE proporciona esa vía independiente: el dispositivo ya está conectado a la consola serie de tu PLC o RTU, por lo que el acceso a través de la red celular permite a tu equipo enviar comandos, no solo realizar un ping a la red. SureLink gestiona la conmutación por error de forma automática. En las instalaciones centrales o de agregación, el Digi Connect IT 16/48 proporciona acceso mediante un servidor de consola montado en rack para los equipos de TI y TO que se concentran allí.
¿Cómo ayuda « Digi Remote Manager » con la documentación de cumplimiento normativo?
Digi Remote Manager mantiene un registro auditable de los cambios de configuración, el historial de actualizaciones de firmware, los eventos de acceso y el estado de los dispositivos en toda tu infraestructura conectada. Es compatible con los marcos normativos del NIST, la norma ISO 27002 y la HIPAA, y opera en un entorno en la nube que cumple con los estándares SOC 1, SOC 2 y SOC 3. Para las empresas de servicios públicos que no pueden enviar datos fuera de su propia red, Digi On-Prem Manager ofrece las mismas capacidades alojadas íntegramente dentro de tu infraestructura privada.
¿Cuál es la diferencia entre la garantía de hardware de 5 años de Digi y el programa Digi LifeCycle Assurance?
Se trata de dos ofertas independientes. La garantía de hardware de 5 años cubre el dispositivo físico y se incluye con todos los productos Digi sin coste adicional. Digi LifeCycle Assurance (LCA) es una suscripción independiente que, además de la garantía de hardware, ofrece asistencia técnica especializada las 24 horas del día, los 7 días de la semana, gestión proactiva de los dispositivos y respuesta acelerada. LCA resulta especialmente útil para empresas de servicios públicos con personal interno de TI/TO limitado o con requisitos estrictos de disponibilidad.
¿Se puede conectar el sensor Digi Connect XRT-M a mi plataforma SCADA actual?
Sí. El sensor Digi Connect XRT-M es compatible con MQTT nativo, por lo que puede publicar datos directamente en cualquier broker compatible con MQTT o plataforma SCADA. También es compatible con los protocolos Modbus RTU y ASCII, y se conecta a hasta cuatro sensores simultáneamente a través de interfaces analógicas (4-20 mA, 0-10 V) y digitales. Los datos se envían a Digi Axess para su visualización en los paneles de control integrados y la generación de alertas, o bien a su sistema SCADA o empresarial ya existente; no se requiere ningún software intermedio.
¿En cuánto tiempo se puede instalar el Digi Connect Sensor XRT-M en una estación de bombeo remota o en una instalación sobre el terreno?
La configuración del Digi Connect Sensor XRT-M lleva menos de 10 minutos. El dispositivo se entrega con configuraciones preinstaladas y se configura a través de la aplicación móvil Digi Axess (iOS y Android). La carcasa NEMA con clasificación IP68 permite su instalación en exteriores y bajo tierra, y la batería doble de 12 Ah ofrece aproximadamente cinco años de funcionamiento con dos lecturas y transmisiones al día. No se requiere ninguna infraestructura de alimentación externa en los emplazamientos remotos.
¿Existen ayudas federales para sufragar el coste de las mejoras de seguridad en el OT?
La Ley «Water Cyber Shield», tal y como se ha presentado, autorizaría la asignación de 300 millones de dólares anuales a través de los fondos rotatorios estatales, destinados específicamente a ayudar a las empresas de servicios públicos a financiar mejoras en materia de ciberseguridad. Siga de cerca la evolución del proyecto de ley y consulte con los administradores de los fondos rotatorios de su estado sobre los requisitos de elegibilidad. Digi puede proporcionar documentación sobre las especificaciones de los productos, las certificaciones de seguridad y las capacidades de gestión para respaldar las solicitudes de subvenciones y financiación.
¿Qué ofrece Digi Axess además de la recopilación básica de datos?
Digi Axess es la plataforma de supervisión operativa diseñada para los dispositivos de campo de Digi. Ofrece paneles de control configurables, alertas de umbrales en tiempo real, revisión de datos históricos y configuración remota de dispositivos, todo ello accesible a través de un navegador web o una aplicación móvil. Para las empresas de suministro de agua, esto significa que los operadores de una sede central pueden supervisar estaciones de bombeo, estaciones elevadoras y puntos de distribución remotos desde una única pantalla sin necesidad de desarrollar una integración SCADA a medida. Cuando las autoridades reguladoras solicitan documentación sobre anomalías o medidas de respuesta, el historial de eventos de Axess proporciona un registro de auditoría listo para su uso.
¿Estás listo para evaluar tu infraestructura de OT según los nuevos requisitos federales? Habla hoy mismo con un especialista en infraestructura de Digi.