La CNMC auditará los proveedores tecnológicos de las eléctricas para evitar que un ciberataque te deje sin luz. El regulador ha aprobado las metodologías que permitirán evaluar esos riesgos y clasificar los incidentes.
No es un asunto menor. De lo que se trata es de saber de quién depende el sistema eléctrico cuando el software, los equipos o la nube fallan. Y en esa cadena entran desde Red Eléctrica hasta tu comercializadora.
Conviene revisarlo.
Qué ha aprobado la CNMC y qué significa en la práctica
la CNMC, el supervisor que también vigila el sector energético, ha fijado la metodología para medir el riesgo de ciberseguridad de las compañías eléctricas y la dependencia que mantienen de sus suministradores tecnológicos. El marco se aplica en cumplimiento del código europeo de ciberseguridad para los flujos transfronterizos de electricidad.
El análisis alcanza cuatro frentes: software de terceros, equipos electrónicos, redes de comunicaciones, y plataformas en la nube.
Los escenarios que se van a examinar son concretos: puertas traseras (accesos ocultos introducidos en el programa o el equipo durante su fabricación), ataques que aprovechan los accesos remotos cedidos a empresas externas y fallos que se propagan entre clientes que comparten una misma infraestructura en la nube.
La seguridad del suministro ya no se decide solo en la central eléctrica: también en el proveedor de software que nadie mira.
Además, se vigila la dependencia de un proveedor único, tanto para cada empresa como para el conjunto del país. El regulador quiere detectar dependencias que puedan tumbar el sistema y, por eso, las compañías tendrán que entregar sus listas de suministradores críticos de productos, servicios y procesos tecnológicos.
¿A quién afecta y qué tendrán que declarar las eléctricas?
El radio de acción es amplio: el operador del sistema (Red Eléctrica), las distribuidoras —Iberdrola, Endesa, Naturgy y EDP—, las productoras y las comercializadoras. Todas las entidades de impacto alto o crítico entran en la evaluación nacional.
Las eléctricas deberán identificar y comunicar sus proveedores tecnológicos críticos en los procesos de mayor impacto, y dar parte al regulador tanto del riesgo como de las medidas de seguridad implantadas.
El riesgo no se limita a que un fabricante sufra un ataque. Si varias empresas usan la misma tecnología o dependen del mismo suministrador para funciones esenciales, un fallo puede extenderse a la vez a distintos operadores. No hace falta un ataque dirigido a tu compañía: basta con que caiga el proveedor que comparten todas.
Ahí está el nudo.
Con toda esa información, la CNMC tendrá que reflejar la visión del riesgo a escala nacional del sector energético. Es decir: no se examina empresa por empresa y en compartimentos estancos, sino el mapa completo de dependencias del país.
De Ucrania al apagón de 2025: qué derecho te protege
El origen del marco es el Reglamento Delegado (UE) 2024/1366, aprobado por la Comisión Europea en marzo de 2024 para reforzar las infraestructuras energéticas críticas tras la invasión rusa de Ucrania. Los sabotajes a instalaciones energéticas y los ciberataques a la red ucraniana elevaron la preocupación de Bruselas por unos servicios esenciales cada vez más digitalizados.
Bruselas presiona además para reducir la dependencia de proveedores considerados de riesgo, con atención especial a los fabricantes asiáticos, un debate que también afecta al sector fotovoltaico español.
La CNMC recopilará estadísticas de los ciberataques y amenazas registrados en los tres años anteriores y clasificará los incidentes en cinco niveles: bajo, medio, importante, alto y crítico. El umbral es concreto: un ataque que ponga en riesgo 1.000 megavatios es de impacto alto y, si alcanza los 3.000 megavatios, crítico. El megavatio (MW) es la unidad con la que se mide la potencia eléctrica.
También se evaluarán las consecuencias sobre la operación del sistema, responsabilidad de Red Eléctrica, que quedó en el foco tras el apagón del 28 de abril de 2025. Entre los indicadores figuran la pérdida de carga (la electricidad que deja de suministrarse), la reducción de generación, las desviaciones de frecuencia y la capacidad de recuperar la red tras un apagón.
El foco de la medida no es el precio de la luz, sino la continuidad del suministro. Un incidente grave se traduciría en cortes que afectarían a hogares y empresas, y ahí es donde el consumidor nota el riesgo.
¿Y a ti qué te toca? En la práctica, nada que tramitar. La protección llega por vía regulatoria: el objetivo es que el suministro no se caiga por un fallo ajeno.
Eso sí, si sufres un corte, puedes reclamar ante tu comercializadora o una oficina de consumo o acudir a la Junta Arbitral si no hay acuerdo. Para dudas sobre el sector, el organismo que resuelve es la CNMC; para orientación general, la OCU y Facua atienden consultas.
🛒 La ficha de consumo
- ⚠️ Problema: La CNMC somete a las eléctricas a una evaluación de ciberseguridad de sus proveedores tecnológicos críticos.
- 💸 Posibles consecuencias: Un fallo o un ataque podría interrumpir el suministro y afectar a hogares y empresas conectadas a la red.
- ✅ Consejos para solucionarlo: Ante un corte, reclama a tu comercializadora y acude a una oficina municipal de consumo o a la Junta Arbitral.
- 🏁 Resultado final: Más control sobre la cadena tecnológica y menos riesgo de apagones por ciberataques, según la CNMC.
