Ni tan aislada ni tan segura: los tres mitos de la ciberseguridad en las plantas renovables y lo que exige cada país

Carlos Ramírez, de ATA Cybersecurity, la línea de ATA Renewables dedicada a proteger activos renovables, tiene una colección de frases. La ha ido reuniendo en sus visitas a fotovoltaicas, parques eólicos y subestaciones, y el 20 de octubre, en una formación para el equipo, la redujo a tres: estamos aislados de Internet, tenemos un cortafuegos y nunca nos ha pasado nada. Se dicen con tranquilidad y, según Ramírez, ninguna equivale a estar seguro: al atacante le basta con una entrada.

La buena noticia es que cada frase, una vez desmontada, señala qué revisar primero. Y la regulación, que hasta hace poco era cosa de abogados, ya pone plazos.

Aislada, pero con módem

La primera frase es la más cómoda y la más fácil de comprobar. El 6 de octubre, una empresa neerlandesa de análisis y el centro nacional de ciberseguridad de Países Bajos (NCSC-NL) presentaron un recuento de sistemas de parques eólicos y solares que no deberían ser accesibles desde Internet y lo eran: 8.547 en 35 países de Europa y su entorno. Es un mínimo, porque solo cuentan los que pudieron atribuir a un parque concreto. Unos 2.766, el 35 % de los casos solares, estaban en España. En 181 instalaciones, los investigadores calcularon que la exposición habría permitido el control operativo completo.

Los equipos de una planta moderna son inteligentes, explica Ramírez, y «el hecho de ser inteligentes quiere decir que hay una pata que puede estar conectada a Internet». Esa pata puede ser el router 4G que instaló el mantenedor, la tarjeta de datos de un aerogenerador o el portal web del sistema de monitorización. La red tampoco es la única vía: el SCADA es hoy una aplicación con su propio código, y el técnico del fabricante que llega a actualizar un controlador con un USB puede traer, sin saberlo, otra puerta.

El tiempo juega en contra. Una planta opera veinte años o más y buena parte de sus equipos no se renueva en ese plazo, así que conviven sistemas operativos sin soporte con protocolos industriales diseñados cuando nadie esperaba visitas. Cuanto más vieja es la tecnología, recordó Ramírez, más fácil resulta atacarla.

El cortafuegos era la puerta

La segunda frase tiene un contraejemplo reciente. El 29 de diciembre de 2025, al menos 30 parques eólicos y fotovoltaicos de Polonia sufrieron un ataque destructivo. Según el informe de CERT Polska, en cada instalación afectada un mismo equipo hacía de VPN y de cortafuegos, con la interfaz VPN expuesta a Internet y sin autenticación multifactor. Ya dentro, explica la agencia estadounidense CISA, los atacantes usaron credenciales por defecto para llegar a las pantallas de control y a las unidades remotas, cuyo firmware dañaron. La producción siguió, pero se perdieron la comunicación y el control remoto entre los parques y la distribuidora.

El cortafuegos, en otras palabras, fue la entrada. Y ni siquiera hace falta atacarlo, advierte Ramírez: «mandándoos un phishing, me paso todos los firewalls de la empresa». Por eso sostiene que hoy el perímetro lo marca la identidad: quién entra, con qué credenciales y con qué permisos. El informe polaco añade que en el sector es habitual repetir las mismas contraseñas en varias instalaciones, y Ramírez sigue encontrando en las plantas usuarios y contraseñas apuntados en un pósit y pantallas de control con la clave de fábrica.

Conviene, además, tener claro qué se protege. En una oficina, lo primero es la confidencialidad de la información; en una planta, que siga funcionando. Ramírez lo ilustra con el apagón del 28 de abril de 2025, en el que el informe oficial no halló evidencia de un ciberataque como causa: él, en casa, pensaba en su correo; sus compañeros en las plantas, en «la disponibilidad de la planta, que la planta no se parase, que la planta volviese a producir». A quien quiera hacer daño le basta, en el ejemplo deliberadamente sencillo que puso Ramírez, con falsear la lectura de un sensor de luz: «le digo que es de noche y ya no genera nada la planta».

Nunca, hasta ahora

La tercera frase es la que más se repite, y la historia reciente la contradice. En febrero de 2022, el ciberataque contra una red de satélites al inicio de la invasión de Ucrania dejó sin supervisión ni control remoto a 5.800 aerogeneradores de un mismo fabricante, unos 11 GW en Europa central. Dos meses después, un ataque llevó a una empresa alemana de mantenimiento eólico a cortar como precaución, durante uno o dos días, la monitorización remota de unos 2.000 aerogeneradores. En 2024, unos 800 equipos de monitorización solar en Japón, con un fallo conocido y sin parchear, acabaron al servicio de fraudes bancarios. Y en abril de 2025, alguien tomó el panel web de una pequeña presa noruega que abastece a una piscifactoría y dejó una válvula abierta unas cuatro horas.

En los casos eléctricos, las turbinas siguieron girando y los paneles, produciendo. En casi todos se perdieron la visibilidad y el control, que es justo lo que obliga a reaccionar a ciegas. Que no conste ningún incidente puede querer decir que no ha ocurrido o que nadie lo ha visto. Y la segunda posibilidad ya tiene consecuencias legales, porque las normas obligan a avisar en cuestión de horas.

La misma planta, otra ley

Aquí entra la geografía. Una misma fotovoltaica, con los mismos inversores y el mismo SCADA, tiene obligaciones muy distintas según el lado de la frontera en que esté.

En la Unión Europea, el punto de partida común es la directiva NIS2. Incluye la electricidad entre los sectores de alta criticidad y va mucho más allá de los productores: alcanza también a comercializadoras, distribuidoras, transportistas, operadores del mercado, agregadores, almacenamiento y puntos de recarga, por lo general a partir de empresa mediana. Exige gestionar el riesgo y avisar de un incidente significativo en tres tiempos: alerta temprana en 24 horas, notificación en 72 y un informe final al mes. Para las entidades esenciales, el techo de las multas es de al menos 10 millones de euros o el 2 % de la facturación mundial, la cifra que sea mayor.

Lo que cambia de un país a otro es el calendario. Los Estados tenían hasta el 17 de octubre de 2024 para trasponerla. Italia llegó con un día de margen: su decreto se aplica desde el 16, la agencia nacional (ACN) comunicó en abril de 2025 a las empresas registradas si eran esenciales o importantes, y el plazo para las medidas básicas de seguridad vence en octubre de 2026. Ramírez describe el modelo italiano como una cuenta atrás: en cuanto la agencia te manda los requisitos, «ya vas a contrarreloj», y puede pedirte en cualquier momento que le expliques cómo los cumples. Alemania tiene su ley en vigor desde el 6 de diciembre de 2025; Polonia y Portugal, desde el 3 de abril de 2026.

España va por detrás. El 8 de julio de 2026, la Comisión Europea llevó ante el Tribunal de Justicia de la UE a España, Francia, Irlanda y Países Bajos por no haber notificado la trasposición completa. Países Bajos la tiene en vigor desde el 15 de agosto; los otros tres seguían pendientes a mediados de octubre. El anteproyecto español de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025, aún no ha llegado a las Cortes. El retraso da tiempo, pero poco: la ley se aplicará también a las plantas que ya operan, y lo habitual, según Ramírez, es un periodo de adaptación de un año o año y medio en el que se puede responder con una hoja de ruta.

El Reglamento de Ciberresiliencia (CRA), en cambio, no espera a ningún parlamento: se aplica directamente en toda la UE y recae sobre los fabricantes de productos con elementos digitales, como inversores, controladores o sistemas de baterías. Desde el 11 de septiembre de 2026 deben avisar en 24 horas de las vulnerabilidades explotadas activamente y de los incidentes graves que afecten a sus productos, también a los que ya están en el mercado; el resto de obligaciones llega el 11 de diciembre de 2027. Para el propietario, el CRA se traduce en una cláusula de compras: un ingeniero de ATA Renewables cifró en siete, como mínimo, los grandes suministradores de equipos de una fotovoltaica, siete puertas cuya seguridad conviene exigir por contrato.

En Latinoamérica el mapa es más irregular y, en algún punto, más estricto que el europeo. Chile incluye la generación eléctrica entre los servicios esenciales y le da tres horas para la primera alerta, la octava parte del plazo de la NIS2; su Coordinador Eléctrico Nacional aplica desde 2020 un estándar basado en el norteamericano NERC-CIP. Brasil exige una política de ciberseguridad a los agentes del sector eléctrico desde 2022, y Colombia avanza con acuerdos de su Consejo Nacional de Operación. Ecuador publicó su ley en mayo de 2026, con multas de hasta el 1,5 % de la facturación y 24 meses de adaptación; República Dominicana tiene un reglamento para el subsector eléctrico desde 2025, y Uruguay obliga a avisar en 24 horas, aunque sin multas. En el otro extremo, México solo tiene una política para la administración pública federal y Argentina se queda en las definiciones de infraestructura crítica.

Ramírez advierte contra leer la falta de norma como tranquilidad: en un país sin regulación específica, «eso no quiere decir que no te puedan hackear la planta». Para un grupo con activos a ambos lados del océano hay, además, un riesgo menos evidente: una planta mal configurada en un país sin exigencias puede servir para saltar a la red corporativa y, desde ella, a las plantas europeas.

Seguridad de serie

De ahí sale la oportunidad. Lo más barato es diseñar la seguridad desde el principio y elegir equipos, protocolos y arquitectura de red pensando en ella antes de construir, cuando exigir una certificación a un proveedor cuesta una línea en el contrato. En las plantas que ya operan, el orden es el contrario: primero, un inventario de lo que hay y de cómo se comunica; después, medidas por fases que no paren la producción, empezando por las más rápidas. Cambiar las claves de fábrica, retirar los pósits, segmentar la red y sustituir las VPN permanentes de los proveedores por accesos con autenticación multifactor, limitados en el tiempo y registrados no obliga a rehacer la planta.

A los grupos con cartera internacional, la diversidad normativa también les juega a favor. Ramírez ha visto a grandes operadores aplicar el mínimo europeo en todas sus plantas aunque fuera de Europa no se lo pidan, por pura economía: veinte cortafuegos comprados de una vez salen más baratos por unidad que dos, y con las mismas soluciones en todas partes basta un solo centro de operaciones de seguridad para vigilarlas.

Por encima de las multas queda lo que ningún reglamento cuantifica. Una parada cuesta ingresos y reputación, pero en una planta también hay personas trabajando junto a equipos eléctricos. «Para mí el impacto principal siempre son las personas», dijo Ramírez.

Las tres frases del principio se dicen sin haber mirado. Mirar primero es la mejor forma de que la tercera siga siendo verdad.