A partir del 20 de enero de 2027 el nuevo Reglamento de Máquinas pide algo que hasta ahora nadie pedía: que la máquina esté protegida frente a manipulaciones, también las que llegan por un cable de red. Cada vez me preguntan más qué significa esto para un robot de segunda mano. Aquí va mi respuesta, con dibujos, porque con dibujos se entiende mejor.
Lo que cambia en 2027, en dos minutos
El Reglamento (UE) 2023/1230 sustituye a la vieja Directiva de Máquinas 2006/42/CE y es obligatorio desde el 20 de enero de 2027. En su anexo III, punto 1.1.9, aparece por primera vez la «protección contra la corrupción». Dicho en cristiano: nadie, ni por error ni a propósito, debe poder alterar el software o los datos de los que depende la seguridad de la máquina. Y la máquina tiene que dejar rastro de quién ha tocado qué.
Para bajar esto a tierra se está terminando la norma EN 50742. El borrador salió a consulta pública en enero de 2026 y se espera publicada para noviembre. Un detalle que tranquiliza a mucha gente: no se aplica a las máquinas puestas en servicio antes de su publicación.
¿Y un robot usado? Si ya estaba en el mercado europeo y lo revisamos sin cambiar su uso ni su nivel de riesgo, no aparece ninguna obligación nueva. Otra cosa es la modificación sustancial, y ojo, porque el reglamento ya dice claramente que también cuenta la que se hace por software. La parte legal, artículo por artículo, la tenemos explicada en la guía de ciberseguridad 2027 de Robotic Welding Cells. Aquí quiero hablar de lo práctico: la red.
Un robot no es un ordenador de oficina
Un controlador KUKA KRC2 lleva dentro un PC con Windows XP Embedded para la pantalla y un sistema en tiempo real, VxWorks, para mover los ejes. Microsoft dejó de actualizar esos Windows hace años. FANUC, ABB o Yaskawa usan otros sistemas, pero la idea es la misma: estos robots se diseñaron pensando en la seguridad física, con vallas, setas de emergencia y barreras. No en los hackers. Se pensaron para trabajar aislados.
Y no es teoría. En 2017 Trend Micro y el Politécnico de Milán, donde estudié, buscaron robots industriales visibles desde internet. Encontraron más de 83.000. Más de 5.100 no pedían ni usuario ni contraseña.
Mi regla es sencilla. Un robot no se conecta a internet. Nunca directamente. Como mucho, a la red interna de la célula, donde habla con su PLC.
Las tres redes
Piensa en tres círculos, uno dentro del otro. Fuera está internet. Dentro, la red de la fábrica: los PCs de la oficina, el ERP, el wifi, los móviles de todo el mundo. Y en el centro, la red de la célula: robot, PLC, equipo de soldadura, pantalla y seguridades.
La línea roja es lo que nunca debería existir: un camino directo de internet al robot. Pasa más de lo que parece. Un router 4G puesto para «ver el robot desde casa», un programa de control remoto instalado en el PC del controlador, un cable que alguien conectó a la red de la oficina para pasar programas más rápido.
¿Dónde va el firewall?
Es una duda que me he planteado yo también. En un robot no puedes instalar un antivirus ni un firewall: los sistemas son propietarios y el fabricante no lo permite. Lo bueno es que no hace falta, porque el firewall no va en el robot.
Tampoco va entre el robot y el PLC. Ese enlace es el bus de campo (Profinet, EtherNet/IP, DeviceNet…), trabaja en tiempo real y meter un aparato en medio solo trae retardos y averías raras. El firewall va en la frontera entre la célula entera y la red de la planta.
Hay equipos industriales hechos justo para esto. Algunos se instalan sin cambiar ni una dirección IP de las máquinas que ya tienes (lo llaman modo «stealth»). Para robots de cierta edad es la solución más limpia.
Tres maneras de conectar una célula
No hay una respuesta única. Depende de lo que necesites de verdad, no de lo que suena moderno.
A. Célula aislada
No sale ningún cable. Los programas se cargan desde el teach pendant o por USB. Para muchos talleres que sueldan piezas es más que suficiente. Bloquea los USB que no uses y cierra el armario con llave.
B. Detrás de un firewall
Para sacar datos de producción o mandar programas desde la oficina. El firewall solo deja pasar lo imprescindible, por ejemplo del PLC al servidor de datos, y nada en sentido contrario.
C. Acceso remoto controlado
Si un integrador tiene que entrar desde fuera: siempre por VPN y a través del firewall de la célula, con un interruptor de llave en el armario que activa tu personal solo cuando toca, y con registro de quién se conectó.
Lo que no vale en ningún caso: un router 4G enchufado directamente al controlador, o un programa de escritorio remoto en el PC del robot. Es exactamente lo que buscan los que escanean internet.
Lo que hacemos en Eurobots, y lo que no
No hacemos teleasistencia. No tenemos ninguna conexión abierta hacia los robots que vendemos y no entramos en tu máquina desde Bilbao. Si alguien te ofrece mantenimiento remoto, pide que sea como en la opción C.
Lo que haces con la célula en tu planta, lo decides tú. Si la conectas a tu red o a internet, nosotros no lo sabemos ni lo podemos saber. Por eso lo dejamos por escrito, aquí y en la documentación de entrega: el robot no está pensado para ir a internet. Su sitio es la red interna de la célula.
Las contraseñas. Durante un tiempo pensé en enviar todos los robots con una misma contraseña para que el cliente la cambiara. Lo descarté. Si la clave es igual para todos, basta con que se filtre una vez para que valga en todas las máquinas. Las normas de ciberseguridad lo dicen claro: nada de contraseñas por defecto iguales para todos los equipos. Así que lo hacemos así:
Contraseña única
Cada robot sale con su propia contraseña, distinta de las demás y de la de fábrica.
Entrega por separado
Va en el acta de entrega, no pegada en el armario ni en el mismo correo que la factura.
El cliente la cambia
En la puesta en marcha el responsable de la planta pone la suya. Nosotros ya no la sabemos.
Usuarios por persona
Operario, programador y mantenimiento, cada uno con su nivel. Nada de clave compartida.
Tu lista antes de encender la célula
- Decide qué opción necesitas de verdad: A, B o C. Si dudas, empieza por la A.
- Cambia el primer día la contraseña que te entregamos.
- Crea un usuario por persona, cada uno con el nivel justo para su trabajo.
- Bloquea los puertos USB que no uses y cierra el armario con llave.
- Haz una copia de seguridad del controlador, guárdala fuera de la célula y anota la versión del software. El reglamento pide poder identificarla en cualquier momento.
- Si un técnico externo se conecta, que sea por VPN, con llave local y que quede apuntado.
- Si tu empresa entra en la directiva NIS2 (medianas y grandes empresas de sectores como alimentación, química o fabricación), habla con tu responsable de informática. Lo más probable es que te pida justo esto.
Preguntas que me hacen
¿Podré seguir comprando robots usados después de 2027?
Sí. Un robot que ya estaba en el mercado europeo mantiene su marcado CE original, y una revisión que no cambia su uso ni su riesgo no lo convierte en una máquina nueva.
Mi célula no está conectada a nada. ¿Necesito un firewall?
No. Una célula aislada ya cumple la idea básica: no tiene puertas hacia fuera. Lo importante es que siga así y que nadie le añada un cable «solo un momento».
¿Me configuráis vosotros el firewall?
No es nuestro trabajo, y en tu red debe mandar tu gente. Si no tienes a nadie, te pongo en contacto con integradores de confianza que lo hacen a diario.
Fuentes: EU-OSHA, Reglamento (UE) 2023/1230 · Noerr, modificación sustancial · IBF, estado de prEN 50742 · Trend Micro, Rogue Robots (2017) · CSO Online, datos del estudio · Microsoft, KR C2 sobre Windows Embedded · TÜV SÜD, contraseñas por defecto
