El país quiere que la ciberseguridad sea tomada muy en serio; de hecho, lo que han anunciado va más allá de una recomendación o de un plan a largo plazo, sino de una propuesta regulatoria concreta que ya está en marcha y que busca convertir la protección digital de los automóviles en un requisito tan básico como el de los elementos de seguridad -airbags, ABS…- o las normas de emisiones.
El Ministerio de Transporte indio ha puesto sobre la mesa un borrador que obligará a fabricantes y proveedores a cumplir estándares estrictos de seguridad informática, en un momento en el que, como todo el mundo ya sabe, los modelos modernos funcionan como ordenadores conectados sobre ruedas.
La iniciativa parte de una preocupación que está yendo a más y que es todo un desafío: los vehículos actuales integran decenas de unidades electrónicas de control -las conocidas ECU-, sistemas de asistencia avanzada, conectividad permanente y actualizaciones de software que llegan vía remota, con la ayuda de una conexión a Internet.
Todo ello abre la puerta a ataques a distancia capaces de manipular funciones vitales, desde la dirección hasta el sistema de frenado. India, que ya es uno de los mercados automovilísticos más grandes del mundo, ha decidido que la única forma de evitar un incidente grave es imponer reglas claras y obligatorias. Por eso ha propuesto que todos los vehículos de categorías M, N y T -es decir, de pasajeros, mercancías y remolques… y por tanto, prácticamente todos- cumplan con el llamado ‘estándar AIS‑189’, una norma nacional que define cómo debe gestionarse la ciberseguridad durante todo el ciclo de vida del vehículo.
AIS‑189 no es un documento técnico aislado, sino un marco completo que exige a los fabricantes crear un sistema de gestión de ciberseguridad -el llamado CSMS-, realizar análisis de amenazas específicos para cada modelo y garantizar que las actualizaciones de software no puedan ser manipuladas.
En la práctica, esto significa que un vehículo no solo debe ser seguro cuando sale de fábrica, sino que debe mantenerse protegido durante años mediante parches, monitorización y pruebas de penetración periódicas. Es un enfoque ‘sospechosamente’ parecido al que ya aplica la Unión Europea con las normativas UNECE/R155 y R156, y que China también ha adoptado recientemente.
El calendario propuesto por India es ambicioso… por los plazos que propone. Los vehículos con un nivel 3 o superior de conducción autónoma deberán cumplir las nuevas reglas a partir de este mismo mes de octubre de 2026 si son modelos nuevos, y desde abril de 2027 si ya estaban en producción. Más adelante, la obligación se extenderá a todos los vehículos con capacidad de recibir actualizaciones OTA -Over The Air o remotas-, que deberán ser plenamente compatibles con los requisitos de seguridad antes de octubre de 2029. La idea es que ningún vehículo conectado circule sin un sistema de defensa digital que se considere robusto.
Lógicamente, estas medidas tendrán implicaciones profundas para la industria. Los proveedores de componentes electrónicos, desde los fabricantes de módulos de comunicación hasta los desarrolladores de paneles digitales, deberán rediseñar hardware y firmware para cumplir con las nuevas exigencias -y hacerlo en poco tiempo-. Esto incluye integrar elementos seguros -como módulos criptográficos- y garantizar que cada actualización esté autenticada y registrada.
