La CNMC aprueba las metodologías para evaluar riesgos de ciberseguridad en el sector eléctrico

La Comisión Nacional de los Mercados y la Competencia (CNMC) ha aprobado las metodologías de evaluación de riesgos y clasificación de ciberataques en el sector eléctrico.

En concreto, esta decisión da cumplimiento a lo establecido en el Reglamento Delegado (UE) 2024/1366 de la Comisión Europea, que fija el código de red sectorial para proteger los intercambios eléctricos transfronterizos de posibles ciberamenazas.

Las metodologías aprobadas han sido desarrolladas por los Gestores de Redes de Transporte (GRT) -entre los que se encuentra Red Eléctrica de España (REE)- con la asistencia de Entsoe-E y en cooperación con la entidad de gestores de redes de distribución (EU DSO Entity).

La ciberseguridad del sector eléctrico

Así, se establecen criterios comunes para identificar, analizar y evaluar los riesgos de ciberseguridad y clasificar los ciberataques según su gravedad e impacto. Estas metodologías se establecen en el marco del código de red europeo de ciberseguridad sobre flujos transfronterizos.

Estas propuestas han sido objeto de un proceso de consulta y cooperación entre las autoridades competentes de los Estados miembros. En el caso de España, la CNMC es la autoridad competente por defecto, ya que aún no se ha producido la designación de la autoridad conforme a lo previsto por el código de red, informó el regulador.

De esta manera, tras el proceso anterior en el ámbito europeo, la CNMC ha aprobado, en su rol de autoridad competente para la aplicación del código de red de ciberseguridad, las metodologías de evaluación de riesgos y la de clasificación de ciberataques.

Índices y umbrales

De esta forma, la evaluación de riesgos a escala de la Unión Europea permitirá, entre otros, establecer los índices y umbrales que se usarán para identificar, entre las empresas que actúan en el sistema eléctrico español (tales como el operador del sistema, operador del mercado, transportista, distribuidoras, productores, comercializadores, agregadores, etc.), a aquellas que son consideradas como entidades de impacto alto y crítico en el ámbito del código de red.

Estas entidades serán designadas por las autoridades competentes y deberán cumplir, en los plazos y términos establecidos por el código de red, diferentes obligaciones en función de su clasificación. Entre otras, evaluar sus riesgos, aplicar controles y establecer un sistema de gestión de la ciberseguridad, así como cumplir obligaciones de intercambio de información y de preparación y gestión de crisis de ciberseguridad.

Las metodologías suponen un avance para la ciberseguridad del sistema eléctrico europeo, cada vez más digitalizado e interconectado, donde las amenazas pueden tener consecuencias transnacionales, y sientan las bases para mejorar la resiliencia del sistema, la seguridad del suministro, la prevención y la detección y respuesta ante los ciberataques.