El estudio internacional CAM (Connected Car Innovation 2026) describe los vehículos modernos como sistemas permanentemente conectados en red que pueden generar y transmitir información de forma continua a través de cámaras, sensores y datos de localización. Simultáneamente, las actualizaciones inalámbricas OTA permiten a los fabricantes la actualización remota del software y, por consiguiente, la modificación posterior de las funciones.
Las nuevas puertas para hackers y ciberdelincuentes.
En los entornos donde se dispone de un mayor número de interfaces para comunicaciones móviles, WLAN o servicios en la nube, se presentan nuevas oportunidades potenciales para los hackers y delincuentes. La CAM deduce de esto que, con el creciente control por software de los vehículos, la ciberseguridad ya no es solo un problema informático, sino que afecta directamente a la seguridad del vehículo y al manejo de los datos del mismo.
Además, cualquier persona que desarrolle software, implemente actualizaciones y procese datos puede, en teoría, no solo acceder a los datos, sino también intervenir en sistemas relevantes para la operación y la seguridad. La CAM vincula explícitamente este debate con la transición hacia vehículos definidos por software, en los que la inteligencia artificial (IA), las arquitecturas de software uniformes y las actualizaciones regulares están adquiriendo una relevancia significativa.
El caso de Noruega muestra un problema de datos.
La capacidad de la conectividad para llegar a áreas de seguridad en tiempo récord se ilustra con un incidente ocurrido en Noruega, que se aborda en la presentación de la CAM. Durante el ejercicio militar «Hovedstad» de septiembre, según la información proporcionada por CAM, se observaron movimientos de personal militar cuando se utilizaron vehículos de alquiler, así como los códigos de seguridad introducidos en las puertas de los barracones.
Entre otros aspectos relevantes, se ha informado que los vehículos de la marca Changan Deepal se han visto afectados. Es importante destacar que CAM no menciona explícitamente ninguna indicación de un skimming dirigido. Sin embargo, el caso expuesto evidencia que la integración de la tecnología de sensores, las opciones de entrada en el vehículo y la posible transmisión de datos puede acarrear riesgos no deseados, incluso sin un uso probado de forma indebida.
La cuestión fundamental que se plantea la CAM es la siguiente: ¿En qué medida se generan los datos, dónde se procesan y quién puede acceder a ellos, tanto desde un punto de vista técnico como legal? Desde la perspectiva de la Comisión de las Comunidades Europeas, esta cuestión resulta de particular relevancia para los estados miembros cuyo marco legal puede imponer a las empresas la obligación de cooperar con los organismos gubernamentales.
Normas claras y verificables para los vehículos conectados.
En este contexto, la CAM solicita «normas claras y verificables» para los vehículos conectados. Se mencionan flujos de datos transparentes, almacenamiento de datos en Europa y pruebas independientes de software y actualizaciones. Por tanto, el estudio propone un régimen de regulación y pruebas que no dependa de los casos individuales, sino que actúe como estándar para los coches conectados y las actualizaciones OTA. Stefan Brätzel, director de CAM, advierte que el vehículo conectado en red se considera un «centro de datos móvil» con una conexión permanente al servidor. Por lo tanto, si el acceso a los datos y al software no está suficientemente asegurado, podría utilizarse como una posible pasarela.
Prohibición escalonadas en EE. UU. para el año modelo 2027.
En enero de 2025, el Departamento de Comercio de EE. UU. El Bureau of Industry and Security (BIS) ha implementado una normativa que regula la importación y comercialización de ciertas tecnologías de vehículos conectados, restringiéndolas en caso de que exista una conexión significativa con China o Rusia. La autoridad ha fundamentado esta medida en riesgos potenciales para la seguridad nacional, tales como la posibilidad de transferencia forzada de datos o acceso remoto no autorizado.
La norma del BIS establece prohibiciones escalonadas. A partir del año modelo 2027, se prohibirá la venta de ciertos vehículos conectados si los fabricantes están bajo control chino o ruso o si se utiliza «software cubierto» de estos países. En lo que respecta a los componentes de hardware en la división de Sistemas de Conectividad de Vehículos, BIS menciona el año modelo 2030 como la próxima etapa, mientras que para los componentes sin referencia de año modelo, la fecha límite es el 1 de enero de 2029. De acuerdo con lo establecido por el BIS, la norma en cuestión entró en vigor el 17 de marzo de 2025.
Lo que ya se aplica en Europa.
En el contexto del mercado europeo, cabe señalar que la ciberseguridad constituye un aspecto de suma relevancia, ya que se encuentra intrínsecamente vinculada al proceso de aprobación de tipos. En la Unión Europea, los fabricantes se encuentran obligados a cumplir con los requisitos de ciberseguridad para nuevos tipos de vehículos a partir de julio de 2022, de acuerdo con las normas pertinentes establecidas por la UNECE (WP.29). A partir de julio de 2024, esta medida también será aplicable a todos los vehículos recién vendidos en la Unión Europea, de acuerdo con los proveedores de servicios de pruebas.
Estas normas WP.29 incluyen la ONU R155 con un Sistema de Gestión de Ciberseguridad (CSMS) y la ONU R156 con un Sistema de Gestión de Actualizaciones de Software (SUMS). En la práctica, no se trata únicamente de pruebas individuales, sino de procesos y pruebas a lo largo de todo el ciclo de vida, incluyendo la detección y respuesta a incidentes, así como actualizaciones seguras de software y una base legal para las actualizaciones OTA.
En resumen, este nuevo estudio subraya la dimensión política, puesto que la carrera de coches conectados se decide en función de la arquitectura de software y las actualizaciones OTA. Al mismo tiempo, se ejerce una mayor presión para hacer transparentes las cadenas de datos y las actualizaciones, y asegurarlas de manera verificable de forma independiente. En el contexto de las alianzas y los ecosistemas, en los que actores como Huawei HIMA también desempeñan un papel relevante, la cuestión del acceso, las cadenas de suministro y la regulación se están convirtiendo en el núcleo del debate sobre los vehículos conectados en Europa.
Escrito por José Miguel Fernández Gómez.