Se estima que para el año 2025, la cantidad de vehículos conectados en todo el mundo alcance la impresionante cifra de 400 millones de unidades, y se prevé que este número aumente en un 114% en la década siguiente. Sin embargo, este acelerado crecimiento también resalta la preocupación por la seguridad de los vehículos inteligentes. La ciberseguridad se ha convertido en un tema de gran relevancia en diversos sectores, y la industria automotriz no es la excepción. En este contexto, ha entrado en vigor la normativa WP.29, diseñada para fortalecer la seguridad en el ámbito de los vehículos conectados. A continuación, te presentamos las claves de esta importante regulación.
La normativa WP.29, que forma parte del Foro Mundial para la Armonización de la Reglamentación sobre Vehículos de la Comisión Económica de las Naciones Unidas para Europa (UNECE), está en el centro de atención en la búsqueda de coches más seguros frente a amenazas cibernéticas. En su base, WP.29 exige que todos los fabricantes de automóviles integren un Sistema de Gestión de Ciberseguridad (CSMS, por sus siglas en inglés) en sus vehículos, además de implementar un sistema de actualización de software para mantener la seguridad y funcionalidad de los automóviles conectados.
Sin embargo, la parte que está generando más discusión y preocupación es la implementación del sistema de gestión de ciberseguridad. Esto significa que todos los vehículos deben recibir una certificación que garantice que son seguros ante la posibilidad de que ciberdelincuentes intenten explotar vulnerabilidades en su software, sensores o servicios conectados.
A pesar de que la Unión Europea ya aplica esta normativa en los vehículos homologados desde julio de 2022, entrará en pleno vigor el 1 de julio de 2024. A partir de esa fecha, los vehículos que no cumplan con los estándares de ciberseguridad establecidos no podrán ser comercializados en el mercado europeo.
Esta situación ha llevado a algunas marcas, como Porsche, a tomar la decisión de retirar ciertos modelos del mercado europeo, como el Macan, debido a la dificultad de actualizarlos para cumplir con los requisitos de ciberseguridad. No obstante, en otros mercados internacionales donde no aplique la normativa WP.29, como el Reino Unido, estos vehículos seguirán disponibles.
La normativa WP.29 se aplica a diversas categorías de vehículos en la Unión Europea, incluyendo autobuses, autocaravanas, turismos, camiones, furgonetas, caravanas y remolques con unidad de control electrónico. Además, se incluyen cuatriciclos o quads con y sin cabina, pero solo aquellos que cuenten con sistemas de conducción automatizada de nivel 3 o superior.
7 amenazas que la normativa quiere prevenir
Esta normativa establece una serie de requisitos y estándares que los fabricantes de automóviles deben cumplir para garantizar la ciberseguridad de sus vehículos. Estos requisitos se centran en prevenir diversas amenazas de ciberseguridad que podrían comprometer la integridad y la privacidad de los conductores y pasajeros. Estas son algunas de las amenazas que la normativa WP.29 busca prevenir:
- Robo o filtración de datos desde los servidores o redes internas del fabricante: Los fabricantes deben implementar medidas de seguridad para proteger los datos almacenados en sus sistemas contra el acceso no autorizado.
- Evitar instalar software malicioso: Se deben implementar sistemas de seguridad que eviten el poder instalar software malicioso a través de los canales de comunicación del vehículo con el exterior, como las actualizaciones de software.
- Instalación inadvertida de virus: La normativa busca prevenir la instalación de virus en los vehículos, ya sea de forma involuntaria por parte de los propietarios o con la intermediación de piratas informáticos.
- Traspaso de información personal en la venta del vehículo: La información personal del propietario original no debe transferirse de manera no autorizada al nuevo propietario en el caso de la venta del vehículo.
- Seguridad en las actualizaciones de software: Se exige que las actualizaciones de software no se vean comprometidas por amenazas informáticas, garantizando la integridad y la autenticidad de las actualizaciones.
- Manipulación remota de sensores y funciones: Se busca evitar la manipulación de sensores y funciones del vehículo de forma remota, lo que podría poner en riesgo la seguridad de los ocupantes.
- Intromisión en los sistemas de información: La normativa WP.29 también se enfoca en evitar la intromisión en los sistemas que muestran información al conductor, como la velocidad, indicaciones de navegación y el kilometraje real.
Certificado de cumplimiento
Para que un vehículo sea certificado como ciberseguro según la normativa WP.29, los fabricantes deben solicitar una evaluación por parte de una entidad autorizada. Durante esta evaluación, se verifica que el vehículo cumple con los 70 requisitos de ciberseguridad establecidos en la normativa y que se presenta toda la documentación requerida.
La certificación tiene una vigencia de tres años, y los fabricantes deben volver a certificar los vehículos o solicitar la extensión del certificado una vez que se cumpla este período. Cualquier modificación en el sistema de gestión de ciberseguridad de los vehículos antes de los tres años requerirá una recertificación.
