La Comisión Nacional de los Mercados y la Competencia (CNMC) examinará los riesgos de ciberseguridad de las eléctricas españolas y la dependencia que mantienen de sus proveedores tecnológicos. El regulador analizará desde los programas informáticos y los equipos electrónicos hasta las redes de comunicaciones y los servicios en la nube, con especial atención a los suministradores críticos. Todo ello en un contexto marcado por la escalada de conflictos geopolíticos y la búsqueda de una mayor soberanía estratégica en Europa.
Así se desprende de las nuevas metodologías aprobadas por el organismo que preside Juan José Ganuza que permitirán evaluar esos riesgos y clasificar los ciberataques, en aplicación del código europeo de ciberseguridad para los flujos transfronterizos de electricidad.
Lo hace para cumplir con el reglamento de la Unión Europea aprobado en 2024 para reforzar estructuras energéticas críticas tras la invasión de Rusia a Ucrania.
El objetivo es detectar vulnerabilidades y dependencias que puedan facilitar un ciberataque o provocar interrupciones en diferentes compañías y comprometer el funcionamiento del sistema eléctrico, desde los programas informáticos y los equipos electrónicos hasta las redes de comunicaciones y los servicios en la nube.
Se trata de una nueva vigilancia que afectará a todos los agentes del sector eléctrico, desde el operador del sistema (Red Eléctrica), las distribuidoras (Iberdrola, Endesa, Naturgy, EDP), productoras o comercializadoras. Todas las entidades clasificadas como de impacto alto o crítico deberán formar parte de la evaluación nacional.
La normativa establece criterios comunes para identificar los procesos cuya actividad resulta especialmente relevante para la seguridad del suministro y se enmarca en el endurecimiento de la estrategia europea para proteger sus infraestructuras críticas en un contexto de creciente tensión geopolítica.
La invasión rusa de Ucrania, los sabotajes contra instalaciones energéticas y los ciberataques sufridos por la red eléctrica ucraniana han elevado la preocupación de Bruselas por la seguridad de unos servicios esenciales cada vez más digitalizados e interconectados.
En marzo de 2024, la Comisión Europea aprobó el Reglamento Delegado 2024/1366, que establece un código de red específico para la ciberseguridad del sector eléctrico.
La norma busca evitar que las vulnerabilidades de un operador o de sus proveedores puedan poner en peligro la estabilidad de las redes interconectadas y afectar a los intercambios de energía entre países.
La digitalización de las instalaciones, la gestión remota de los equipos y la creciente conexión entre los distintos agentes del sistema han ampliado los posibles puntos de entrada de un ataque.
La CNMC vigilará la dependencia de proveedores tecnológicos
En el caso del sector eléctrico, el análisis de la CNMC alcanzará a distintos elementos de la infraestructura digital que utilizan las compañías. La metodología europea contempla programas informáticos de terceros, equipos electrónicos, redes de comunicaciones y plataformas en la nube.
Entre los escenarios que deberán evaluarse figuran la introducción de vulnerabilidades o puertas traseras (backdoors) en el software o el hardware durante su desarrollo y fabricación, los ataques que aprovechan los accesos remotos concedidos a empresas externas y los fallos que se encuentren en distintos clientes que comparten una misma infraestructura en la nube.
La metodología también obliga a examinar la dependencia de un proveedor único, tanto desde la perspectiva de cada entidad como para el conjunto del país. Es por ello que la CNMC analizará las listas de suministradores críticos de productos, servicios y procesos tecnológicos que faciliten las compañías.
Según el reglamento europeo, las eléctricas y demás agentes afectados por la nueva normativa deberán identificar y comunicar sus proveedores tecnológicos críticos en los procesos de mayor impacto y dar parte al regulador, tanto del riesgo como de las medidas de seguridad implantadas.
La preocupación no se limita a que un fabricante pueda sufrir un ataque, sino también al hecho de que varias empresas utilicen la misma tecnología o dependan del mismo suministrador para funciones esenciales. Si ese proveedor deja de operar o sus sistemas quedan comprometidos, el impacto podría extenderse simultáneamente a distintos operadores.
Además, esta nuevo sistema de vigilancia llega en un contexto marcado por la presión de Bruselas para que sus Estados miembro se desprendan de proveedores considerados de riesgo, especialmente los asiáticos, con presencia no sólo en telecomunicaciones sino también en energía.
En España, el gigante asiático Huawei cuenta con presencia en proyectos solares de empresas a las que ha suministrado componentes o acuerdos para suministrar baterías. Cabe destacar que el sector fotovoltaico tiene una fuerte dependencia de tecnología china actualmente.
Un ciberataque de 1.000 megavatios pondría en riesgo el suministro en España
Con toda la información recabada de las eléctricas, la CNMC tendrá que reflejar la visión del riesgo a escala nacional en el sector energético y recopilar estadísticas de los ciberataques y amenazas registrados durante los tres años anteriores.
La evaluación tendrá en cuenta, además, las consecuencias que podría alcanzar un ataque sobre la operación del sistema, responsabilidad de Red Eléctrica, en el foco desde el apagón del 28 de abril de 2025.
Entre los indicadores figuran la pérdida de carga —la electricidad que deja de suministrarse—, la reducción de generación, las desviaciones de frecuencia, los problemas de tensión y la pérdida de capacidad para recuperar el funcionamiento de la red tras un apagón.
La CNMC contará también con una escala común de cinco niveles para clasificar los ciberataques: bajo, medio, importante, alto y crítico. La evaluación tendrá en cuenta la causa del incidente, el impacto potencial sobre los activos y procesos afectados y la gravedad de las acciones que haya conseguido ejecutar el atacante.
En España, la CNMC considera que un ciberataque puede tener un impacto alto si pone en riesgo el suministro de 1.000 megavatios o la generación de esa misma potencia. Si las consecuencias pueden alcanzar los 3.000 megavatios, el impacto se considera crítico.
