Te avisan de una auditoría con tres semanas de margen: cómo octoplant convierte el trabajo diario en la prueba que te piden

Primer día después de vacaciones. Entre los ciento veinte correos sin leer hay uno que te acelera el pulso: auditoría en tres semanas. Un cliente quiere ver cómo gestionáis el software de sus líneas. Eso significa que alguien va a pasarse quince días recopilando pantallazos… O tal vez no. octoplant registra por su cuenta cada copia, cada versión y cada cambio, con su fecha y su autor. En una planta industrial, la tranquilidad se llama octoplant.

Trabajáis bien, pero eso no consta en ninguna parte

En la mayoría de plantas industriales, el problema de una auditoría nunca está en el fondo. Las copias se hacen, los cambios se revisan y el equipo sabe perfectamente por qué cada máquina está como está.

Lo que falta es el rastro.

Un auditor trabaja con evidencias: fechas, registros, responsables, versiones aprobadas… Vuestro criterio técnico no entra en la conversación hasta que hay un documento que lo respalde.

Y cuando ese documento hay que fabricarlo con tres semanas de margen, aparece siempre la misma escena: un ingeniero rescatando correos de hace ocho meses, capturas de pantalla pegadas en un Word, una hoja de cálculo que alguien dejó a medias en primavera…

Eso tiene dos costes. El obvio es el tiempo de una persona cualificada dedicada dos semanas a recopilar en lugar de a producir.

El otro es que una evidencia reconstruida a posteriori es una evidencia débil: se apoya en la memoria, tiene huecos… y el auditor los encuentra.

Y ahora quien responde es la dirección

Durante años, la documentación de la operativa OT fue un asunto interno del departamento técnico. La directiva NIS2 cambia el marco. Sitúa la responsabilidad sobre los órganos de dirección de las entidades esenciales e importantes, fija plazos de notificación de incidentes muy cortos –alerta temprana en 24 horas, notificación en 72 y un informe final en un mes– y contempla sanciones de hasta 10 millones de euros.

En España la transposición sigue en tramitación. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en Consejo de Ministros en enero de 2025 y todavía no se ha publicado en el BOE, con la Comisión Europea reclamando el retraso desde 2025. Cuando por fin se publique, la exigencia de evidencias no parece que vaya a llegar poco a poco sino todo lo contrario.

Mientras tanto, la mayoría de plantas ya recibe esa presión por otras vías, y casi siempre antes que la del regulador:

• El fabricante de automoción que te audita como proveedor y quiere trazabilidad de la línea que le sirve.
• El cliente farmacéutico que trabaja bajo GxP y traslada sus requisitos aguas arriba.
• La certificadora que ya no se conforma con una política escrita.
• El departamento de compras que ha metido la ciberseguridad de su cadena de suministro en el cuestionario de homologación.

En esta serie ya vimos cómo detectar las vulnerabilidades conocidas de los dispositivos OT. Detectarlas es la mitad del trabajo. La otra mitad es poder demostrar, doce meses después, qué hiciste con cada una.

octoplant: trazabilidad completa y documentación automática de tu planta

Recordemos que octoplant es una plataforma empresarial de gestión de versiones, copias de seguridad y visibilidad de sistemas de automatización industrial. En lo que afecta a la documentación y la auditoría:

• Guarda cada versión de cada programa –PLC, HMI, SCADA, robot, variador…– con su fecha, su autor y el dispositivo al que pertenece, y conserva el histórico completo.
• Registra cada copia de seguridad automática: cuándo se hizo, sobre qué equipo y si se completó correctamente.
• Compara lo que está corriendo en el dispositivo con la versión guardada y deja constancia de cualquier diferencia.
• Documenta los procesos de validación y liberación, con qué versión se aprobó, quién la aprobó y cuándo pasó a producción.
• Reúne todo eso en informes por sede, por tipo de dispositivo o por periodo, preconfigurados o definidos por ti, exportables y conectables con tus herramientas de gestión.
•  Cubre la trazabilidad y la documentación automática que exigen marcos como NIS2, NIST, FDA o GxP.

Es importante tener claro que octoplant no automatiza esa descarga, el volcado del programa a la máquina lo sigue haciendo tu equipo con la herramienta del fabricante, sea TIA Portal, RSLogix o la que corresponda.

El trabajo de octoplant empieza justo después. Compara el dispositivo con la versión guardada y deja registrada la diferencia con su fecha, aunque el cambio lo haya hecho un integrador externo un sábado por la tarde y no se lo haya contado a nadie.

Tres momentos en los que alguien te pide pruebas

• “Demuéstrame que la línea que me fabrica corre la versión que validamos juntos”

Es la pregunta del cliente industrial exigente, y con carpetas de red la respuesta honesta tarda días.

octoplant compara al momento lo que hay en el dispositivo con la versión aprobada y muestra el histórico de cambios desde entonces. Es la misma trazabilidad que da el control de versiones, puesta ahora al servicio de un tercero que pregunta.

Lo que ganas: contestar en la propia reunión, con el registro en pantalla, en lugar de pedir dos días y volver con un documento que hay que creerse.

• “Enséñame el registro de cambios de los últimos doce meses en tus sistemas OT”

Es la pregunta de la auditoría de ciberseguridad, la que llega con NIS2 e IEC 62443 debajo del brazo.

Hace falta un histórico continuo, filtrable por periodo, por dispositivo y por persona. octoplant lo tiene porque lo ha ido escribiendo desde el primer día, e incluye también la prueba de que las copias existen y de que recuperar un equipo funciona de verdad.

Lo que ganas: un histórico que arranca el día en que se instaló el equipo y no el día en que llegó el aviso de auditoría.

• “¿Estamos mejor que hace un año?”

Esta la hace el comité de dirección, y es la más difícil de responder con un Excel. 

Con informes comparables entre periodos y entre plantas, la conversación cambia de tono: cuántos equipos están protegidos, cuántos cambios quedaron registrados, dónde se concentra el riesgo y qué sede va por detrás. Si tu grupo tiene varias fábricas, esa lectura se apoya en la gestión multi-site.

Lo que ganas: defender el presupuesto del año que viene con una serie de datos propia, y no con la sensación de que hace falta invertir.

El expediente sale de lo que ya está en marcha

Lo interesante de la documentación automática es que no obliga a montar nada nuevo encima. Se alimenta de funciones que la planta ya está usando para otra cosa.

• El inventario vivo de dispositivos es la lista sobre la que el auditor va a preguntar. Sin ella, la auditoría empieza discutiendo qué hay en la nave.
• Las copias de seguridad automáticas prueban además dos cosas que siempre se piden: que existen y cuándo se hizo la última.
• El historial de versiones responde a la pregunta del cambio no autorizado sin que nadie tenga que acordarse de nada.
• Y el equipo de mantenimiento no interrumpe su trabajo para documentar, que es la razón por la que la documentación manual siempre acaba desactualizada.

Cada una de esas funciones resuelve un problema operativo por su cuenta. Juntas dejan, además, un rastro continuo que vale para quien pregunte: el cliente, la certificadora, el regulador o tu propio consejo.

Haz la prueba antes de que te la haga otro

Hay una forma sencilla de saber en qué situación estás y no requiere instalar nada. Elige tres preguntas que te haría un auditor mañana, pásaselas a tu equipo y cronometra cuánto tardan en responderlas con documentos.

En Grupo Elektra somos Gold Partner de octoplant, y el área de Digital Industry acompaña ese ejercicio sobre tu propia planta, sin que implique arrancar un proyecto:

• Un simulacro de auditoría con tres preguntas reales de tu sector, cronometrado.
• Una revisión de qué evidencias ya tienes guardadas de forma fiable y cuáles se reconstruyen a mano cada vez.
• Una propuesta de por dónde empezar a registrar, priorizando los equipos y los procesos por los que van a preguntarte primero.

De ahí sale una foto honesta, en una mañana, y la decisión sigue siendo tuya. La diferencia se nota el día que llega el correo con tres semanas de margen y la respuesta ya no arranca de cero.

Si quieres saber cuánto tardarías hoy en demostrarlo, lo vemos juntos sobre tu planta. ¡Hablemos!

Puedes conocer más sobre la plataforma en la web oficial de octoplant. 

Pregunta en tu punto de venta