La pregunta que se repite en los proyectos ferroviarios

"¿Y si dentro de un año sale la norma IEC y tenemos que rehacer todo?" Es la duda de cualquier operador o fabricante que ha invertido en CLC/TS 50701 y ve acercarse IEC 63452.

La respuesta corta: casi todo lo que una organización ya ha hecho con la TS 50701 es reutilizable. El borrador de IEC 63452 figura como revisión de la TS 50701:2023, no como una norma desde cero. No hay contradicción, hay trabajo adicional.

Eso no significa quedarse quieto. Significa saber qué parte de tu trabajo actual ya cuenta y dónde va a estar el esfuerzo nuevo.

Dónde estamos: TS 50701 publicada, IEC 63452 en borrador

  • CLC/TS 50701:2023 es la especificación técnica europea de ciberseguridad ferroviaria vigente. Su primera edición es de 2021 y se apoya en IEC 62443: vector de niveles de seguridad (SL), análisis de riesgos, requisitos de ciberseguridad, la interfaz entre seguridad funcional y ciberseguridad, el tratamiento de sistemas heredados y los métodos de aceptación del riesgo.
  • IEC 63452 es su evolución a norma internacional. El borrador (prEN IEC 63452:2025, documento 9/3232A/CDV) figura como revisión de la TS 50701:2023. Las fuentes no coinciden en la fecha: unas apuntaban a mediados de 2026 y otras ya hablan de 2027. Antes de citarla como publicada, compruébalo en el catálogo oficial de normas.
  • El alcance cubre comunicaciones, señalización y procesamiento, material rodante e instalaciones fijas.

Lo que ya puedes reutilizar

Si tu proyecto sigue la TS 50701, estas piezas son la base de IEC 63452 y no hay que rehacerlas:

  1. El modelo de zonas y conductos. La partición del sistema y los conductos entre zonas siguen la lógica de IEC 62443-3-2. Un diagrama de zonas bien hecho hoy sigue valiendo mañana.
  2. El análisis de riesgos y el SL objetivo por zona. El método de evaluación y el vector de niveles de seguridad vienen de IEC 62443. Lo que cambie será, como mucho, la forma de documentarlo.
  3. La trazabilidad de requisitos. Requisitos de ciberseguridad derivados del riesgo, asignados a componentes y verificados. Es lo que pide la TS y lo que pedirá la norma.
  4. La integración con el ciclo de vida RAMS. Encajar la ciberseguridad en las fases de EN 50126 (concepto, especificación, diseño, validación) sigue siendo el esqueleto del proceso.
  5. Las evidencias de tus proveedores. Las certificaciones IEC 62443-4-1 (desarrollo seguro) y 4-2 (requisitos de componente) son la moneda común, y ese tipo de evidencia es la que vas a pedir en los pliegos.

Dónde va a estar el trabajo nuevo

Las presentaciones públicas del equipo de proyecto en 2022 ya señalaban la evolución principal: la ciberseguridad durante la operación . Por eso se pidió más participación a los operadores ferroviarios.

En la práctica, eso desplaza el foco del proyecto de construcción al día a día:

  • Monitorización y detección en la red operativa, no solo controles de diseño.
  • Gestión de vulnerabilidades y parches con ventanas de mantenimiento reales. Un parche en un enclavamiento no se aplica igual que en un portátil.
  • Respuesta a incidentes coordinada entre operador, mantenedor y fabricante.
  • Mantenimiento del nivel de seguridad a lo largo de décadas de vida útil, incluidos los equipos heredados que no se pueden actualizar.

Por qué el calendario importa aunque la norma se retrase

La presión no depende solo de IEC 63452. NIS2 incluye a los operadores ferroviarios entre las entidades del sector transporte. Cuando la ciberseguridad pasa de requisito de negocio a requisito legal, la conversación con el consejo de administración cambia.

Esperar a la publicación para empezar es la peor estrategia: el trabajo de la TS 50701 es la entrada directa a la norma, y los pliegos ya piden evidencias IEC 62443.

Qué hacer este trimestre

Si eres operador :

  • Revisa si tu análisis de riesgos cubre la fase de operación: monitorización, parches e incidentes, no solo el diseño.
  • Pide a cada proveedor nuevo evidencias IEC 62443-4-1 y 4-2, o un plan con fechas para tenerlas.
  • Identifica los sistemas heredados y documenta sus medidas compensatorias.

Si eres fabricante o integrador :

  • Comprueba que tu proceso de desarrollo cubre IEC 62443-4-1 de forma auditable.
  • Prepara la documentación de producto (SL alcanzado, requisitos de componente, guía de bastionado) que te va a pedir el operador.
  • Define cómo vas a dar soporte de seguridad, incluidos los parches, durante la vida útil del equipo.

En los dos casos: no tires el trabajo de la TS 50701. Ordénalo, complétalo por la parte de operación y tenlo listo para cuando la norma llegue.

Fuentes