Tras el gran apagón del pasado 28 de abril, el Gobierno va a ampliar el alcance de las normativas de ciberseguridad del sistema eléctrico nacional para incluir expresamente a los pequeños y medianos desarrolladores de energía renovable. Así se desprende del informe elaborado por el comité de análisis de dicha crisis, que plantea medidas urgentes para reforzar la seguridad digital en un sector cada vez más fragmentado y tecnológicamente interdependiente.
El informe destaca que, si bien las amenazas digitales afectan transversalmente a todos los sectores, las entidades de menor tamaño presentan mayores vulnerabilidades debido a una menor madurez en ciberseguridad y a recursos limitados. En el caso del sector eléctrico, esto se traduce en una especial exposición debido a la gran cantidad de operadores pequeños, como centros de control y plantas de generación, que forman parte crítica del sistema.
En este contexto, el Ejecutivo ha decidido aplicar los criterios de la Directiva (UE) 2022/2555 (conocida como NIS 2), que permite a los Estados miembros incluir bajo su marco de ciberseguridad a empresas pequeñas cuando la evaluación de riesgos así lo aconseje. Esta directiva, junto con la CER (Critical Entities Resilience), cuyo proceso de transposición se acelerará, establece un nuevo estándar europeo para la protección digital de infraestructuras esenciales.
Más allá de los grandes operadores
Hasta ahora, las políticas de ciberseguridad se habían centrado sobre todo en operadores críticos y servicios esenciales. Sin embargo, la crisis de abril demostró que una brecha en una infraestructura de menor tamaño puede desencadenar efectos en cadena. Por ello, el Ejecutivo considera prioritario integrar a los pequeños desarrolladores renovables en la estrategia nacional de ciberresiliencia.
La iniciativa se alinea con lo establecido por la Directiva (UE) 2022/2555, conocida como NIS 2, que permite a los Estados miembros extender las obligaciones de ciberseguridad a entidades de menor tamaño si se considera que su actividad conlleva riesgos significativos para el ecosistema digital nacional. El Ejecutivo, por tanto, se plantea declarar a determinados desarrolladores renovables como entidades esenciales a efectos de su inclusión en los futuros planes de ciberprotección.
Refuerzo
Entre las prioridades inmediatas del Gobierno está acelerar la transposición de las directivas NIS 2 y CER al ordenamiento jurídico español, así como la aplicación del Reglamento Delegado (UE) 2024/1366, que impone obligaciones concretas a las infraestructuras eléctricas críticas para proteger el intercambio de electricidad entre países europeos. Este reglamento fija un plazo de 24 meses para que las entidades afectadas implanten sistemas de gestión de ciberseguridad compatibles con normas como la ISO 27001 o IEC 62443.
Además, las autoridades recomiendan a los operadores —sean grandes o pequeños— adoptar medidas avanzadas como autenticación multifactor, segmentación de redes IT/OT, uso de firewalls industriales, sistemas SIEM de monitoreo en tiempo real, y planes de continuidad de negocio y respuesta a incidentes.
El Instituto Nacional de Ciberseguridad (INCIBE), a través de su unidad CERT, jugará un papel central en este proceso. Desde la atención de incidentes hasta la realización de ciberejercicios y campañas de concienciación, INCIBE ofrece soporte técnico, formación y asesoramiento gratuito y confidencial a las entidades energéticas, incluyendo aquellas que hasta ahora no estaban bajo supervisión directa.
Controles básicos a la respuesta rápida
Asimismo, el Gobierno busca fomentar la participación de las empresas del sector en iniciativas público-privadas de intercambio de inteligencia sobre amenazas, como los ISACs (Information Sharing and Analysis Centers), para fortalecer la resiliencia colectiva ante ciberataques.
También se promoverán ciberejercicios (como el CyberEx España) para entrenar la capacidad de respuesta ante ciberincidentes reales, evaluaciones de ciberresiliencia, y el uso de tecnologías avanzadas como inteligencia artificial para la detección de amenazas. Se hará hincapié en la concienciación y formación continua de los empleados, incluyendo simulacros de phishing y buenas prácticas en sistemas de operación industrial (OT).
Anto
18/06/2025