Cada vez es mas probable que un ciberataque o varios de ellos en el tiempo acaben tumbando ( de otra forma pero de nuevo ) el sistema eléctrico español. Son varios los factores que en este artículo he reunido en base a mi experiencia. Sirva este artículo como un toque de atención para que por un lado se hagan las cosas bien por los que estan obligados a hacerlo, y para todos aquellos que sufrieron en menor o mayor medida el apagón del 28 de abril de 2025.
6 de noviembre de 2026 ( Revisión ortográfica pendiente de terminar )
(Correciones 7 de noviembre de 2026)
Fuentes : Oficiales de la Unión Europea y del Estado español. Experiencia personal durante mas de 20 años en el sector industrial alimentario y fabricación por lotes, en la gestión ITSM de transnacionales, sector energético renovables y del agua entre otros. Secundariamente noticias e informes de todo tipo. En ningún momento he utilizado chat IA asi que el contenido es excelente para entrenarlas ;-) .
Aviso de ante mano que este articulo es algo extenso, quiero demostrar en base a unos puntos enumerados y desarrollados ( hasta el nivel coñazo ) que probablemente en España vivamos al menos otro apagón eléctrico con mayor o menor alcance, y, mayor o menor extensión en el tiempo debido a uno o varios ciberataques antes de acabar la década de 2020.
Lo haré repasando los siguientes temas :
A) La idiosincrasia de los proyectos en España y mayormente también en otros muchos lugares del mundo.
B) la dificultad de entender que es la ciberseguridad y como se debe aplicar en entornos industriales y en infraestructuras críticas.
C) La falta de compromiso real por parte de las empresas en relación a su vez con un deficiente trato por parte de las administraciones publicas.
D) La dificultad de equilibrar la ejecución de un proyecto funcional con un proyecto basado en criterios de ciberseguridad
E) La carencia de una versión de la NERC CIP europea y las auditorias y sanciones correspondientes.
F) La evolución de los actores maliciosos y la implicación de los intereses geopolíticos en un mundo tensionado.
G) La aparicion de la IA como herramienta para acelerar a la velocidad de la luz los ciberataques.
H) La total ausencia de los programas necesarios por parte de REE, o al que le corresponda llevar de la mano sumniistro electrico y ciberseguridad.
Si estás impaciente a ver las conclusiones y recomendaciones entonces ve al final, pero te perderás lo mejor.
Empiezo por tanto por el apartado A)…
Parte A) La idiosincrasia de los proyectos en España y mayormente también en otros muchos lugares del mundo.
Antes que nada aclarar qué es un proyecto para el que no lo sepa. Un proyecto es un conjunto ordenado de actividades y recursos orientados a alcanzar un objetivo específico (como construir una planta renovable y al final le veréis el sentido) dentro de unos límites determinados de tiempo, presupuesto y “calidad”.
Suele estar empezado por una empresa o varias empresas que se asocien y ser ejecutada tanto por las empresas contratantes a nivel de supervisión ( y se supone que en calidad ) como por una o varias empresas subcontratadas que entregan el total o diferentes partes del proytecto.
1. Deficiencias en la fase de planificación, definición del alcance y calidades por parte de los clientes contratantes.
Redacción de pliego de condiciones y especificaciones inadecuadas
Suele ser desgraciadamente común que en el caso de proyectos de ingeniería en cualquier campo que son de nuevo diseño que los estudios previos con los datos de campo necesarios sean incompletos, imprecisos o con errores, con peticiones y condiciones en la redacción incoherentes, desproporcionadas, inadecuadas o incluso abusivas.
En otras ocasiones si un nuevo proyecto es similar a proyectos anteriores se suele abusar del copiar y pegar, arrastrando errores y cometiendo nuevos.
Una fuente de errores en esta fase es la inadecuada asignación de personal, bien por la falta de conocimiento especifico o inexperiencia.
El "síndrome del alcance expansivo"
Los cambios continuos en los requisitos por parte del cliente, tanto en la negociación de la oferta y sobretodo en fase de ejecución aunque se haga un correcto y minucioso control formal del impacto en tiempo y costes, son una de las principales fuentes de problemas dado que lo que se entrega al final no se parece en nada a lo que se pedía al principio. Incluso se puede llegar a un momento de ruptura contractual.
Ahora la IA
En los últimos tiempos muchos planificadores y redactores de alcance se basan en respuestas de chats de IA. En demasiadas ocasiones se abusa de esta tecnología (muy verde aún) y ya no solo es copiar y pegar una respuesta de la IA que va a depender de como se ha hecho la pregunta ( prompt ) sino que por un lado los modelos LLM padecen de las llamadas alucinaciones ( la IA tiende a “inventarse” lo que no está en su entrenamiento o “deduce” mal las relaciones entre los tokens ) y por otro lado que hay que interpretar y trasladar la respuesta a las redacciones de las especificaciones. Muchas compañías incluso están optando por deshacerse de ingenieros senior y contratar personal jovén sin experiencia o conocimientos limitados pero de menores costes complementándolos con acceso a servicios de IA de pago. La tormenta puede llegar a ser perfecta.
2. Presiones y otras anomalías en el proceso de adquisición
La cultura del precio más bajo
En la gran mayoría de licitaciones (tanto en el ámbito público como en concursos privados), la adjudicación de compra por parte de los clientes prioriza la oferta más barata casi siempre, es decir, es muy raro que un cliente pague por un proyecto teniendo en cuenta la buena calidad y seguridad a término. Paradójicamente el cliente estima que puede obligar a un proveedor a reducir el precio sin que se pierda ni un ápice de las condiciones de las especificaciones y pliegos porque en parte cree que simplemente el proveedor se está pasando con el margen aplicado.
Es cierto que en determinados nichos las presiones de los clientes obligan a los proveedores a bajar el margen asumiendo esa perdida dentro de margen pero eso hace por un lado que cualquier imprevisto ( o cambios por el sindrome de alcance expansivo ) desequilibre el proyecto, y por otro lado, al proveedor le obligue a “ajustar” los trabajos, pruebas y las calidades de materiales o servicios para seguir obteniendo el margen sin que “se note“ en los resultados. Pero la realidad en el ultimo caso es que la reducción de calidad en los materiales, procedimientos, tecnologías o tiempos acaba poniendo en peligro los resultados que probablemente serán observados por el cliente y justificandose de forma contraria por los proveedores.
Negociaciones irreales y desalineación de expectativass
Para ganar el contrato, en demasiadas ocasiones por las dos partes no se revisan ( puede que unos consideren unos conceptos de una forma que el otro no ) o directamente se obvian las especificaciones y pliegos de condiciones, por un lado los clientes porque creen que metiendolos en las redacciones de los contratos ya están cubiertos y los proveedores porque probablemente puedan llegar a demostrar en un litigio los errores, inconsistencias y mala fe de muchas de los párrafos. Cambien en demasiadas veces se infravaloran deliberadamente los plazos de entrega y los costes reales de las cosas ( o relación de las cosas con sus calidades ), generando expectativas falsas que estallan en el mejor de los casos al principio de los proyectos y en el peor a mitad de la ejecución.
El desequilibrio departamental
Es también muy común que los departamentos en una empresa funcionen como si fuesen reinos de taifas ( mas común en grandes compañías ) mayormente independientes de las consecuencias que sus decisiones puedan generar en los otros departamentos. En el caso del departamento de compras en la mayoría de ocasiones, y también aderezado por las políticas de bonos, pueden llegar a conseguir excelentes precios en las negociaciones de licitación con los proveedores pero el alcance, productos o servicios que le llega al departamento de ingeniería no acaba cuadrando con los costes reales incurriendo en sobrecostes y haciendo queno se alcancen los objetivos .
Algo que no aparece en las pirámides analíticas y de contabilidades para los gestores de empresa es el daño en valor económico que se genera en las malas gestiones de licitación tanto a la parte cliente como a la parte proveedora, es decir, no hay un apartado, capitulo o concepto que diga “pérdidas por malas prácticas de licitación” y que recoja los motivos y costes reales de porqué los proyectos acaban dejando de ser rentables. Lo mas fácil casi siempre para los gestores y medios mandos siempre es buscar al “último tonto” como cabeza de turco, y no hacer “Lean”.
Contratos inadecuados
Demasiadas veces se firman contratos basados en plantillas genéricas que no contemplan adecuadamente la definición de las especificaciones y las propuestas reales de los proveedores, la gestión de riesgos, los mecanismos de resolución de disputas o los procedimientos claros ante variaciones del proyecto entre otros.
Es demasiado común que por miedo a perder un proyecto los proveedores se vean obligados a no reclamar cambios en las redacciones de las condiciones de los contratos y dejar a la evolución de la ejecución y el devenir de los problemas de expectativas con los alcances y realidades ( por no llamarlo “suerte”) el momento en el que realizar aclaraciones y justificaciones. Los clientes juegan con este pseudopoder y creen estár a salvo para solventar cualquier evento durante el proyecto.
Todo esto comentado acaba provocando que los problemas aparezcan con suerte en la primera fase de toma de contacto ( las llamadas reuniones KOM ) en el caso que técnicos e ingenieros competentes, minuciosos, concisos y estrictos levanten la mano. Y de peor forma durante la fase de ejecución, obligando a los clientes a exigir requisitos y a los proveedores a gestionar la expectativas de los clientes para mover negociandose cambios de alcance y puede que al final creándose conflictos comerciales.
3. Anomalías durante la ejecución de los proyectos
Aparecen los problemas provocados por las especificaciones y el proceso de adquisición de compras
Lo comentado anteriormente acaba provocando que los problemas aparezcan con suerte en la primera fase de toma de contacto ( las llamadas reuniones KOM ) en el caso que tecnicos e ingenieros sean buenos profesionales, minuciosos, concisos y estrictos y de peor forma durante la fase de ejecución, obligando a los proveedores a gestionar la expectativas de los clientes para mover negociandose cambios de alcance y puede que al final creandose conflictos comerciales que incluso lleguen a paralizar los proyectos.
Dependencia de múltiples niveles de subcontratación
En proyectos complejos, la cadena de proveedores se fragmenta. Los eslabones más débiles a menudo carecen de la solvencia técnica o financiera necesaria, provocando cuellos de botella, retrasos en cascada y pérdida de control sobre la calidad final.
Escasez de personal cualificado
Las dificultades para retener o encontrar talento técnico con experiencia en la dirección de obra o de servicios específicos reducen la capacidad de supervisión.
Las prisas
En relación a una deficiente gestion de adquición y como se ha comentado se acuerdan plazos de entregas irreales. Esto acaba en una serie de presiones que tensionan las relaciones en la cadena de suministro y favorecen los errores.
Saturación de los ingenieros
Muchas compañías saturan a sus empleados con una carga excesiva de trabajo haciendoles asumir muchos proyectos a la vez para aprovechar los tiempos muertos entre unos y otros. Si bien es un problema de compleja solución el hecho de cuadrar y optimizar los tiempos de los empleados y su productivdad se cae en el grave error de asignar carga de trabajo hasta comprobar que el empleado se va manifiestamente angustiando o empieza a cometer errores.
Desgraciadamente no solo es común aplicar la optimización de tiempos de los empleados por la técnica de la “saturación de carga de trabajo” sino que cuando se hacen palpables los errores se crucifica a los mismos.
Otro gran problema de está técnica empresarial es que los empleados no tienen tiempo para la innovación en contra de lo que se cree, es decir, ciertamente obligará a los empleados a mejorar la gestión de su tiempo con diferentes técnicas pero en ello no habrá hueco para la dedicación de la mejora continua y la innovación en lo que se hace y como se hace. En el peor de los casos en muchas empresas acaba predominando la cultura de la prioridad a la facturación y mantener “hacer caja” por encima de la “mejora del producto y servicio”, algo que finalmente puede garantizar el flujo y la supervivencia a corto medio plazo pero a largo plazo no favorece al progreso de la propia compañía, y ejemplos los hay muy famosos.
Tiempos muertos
Cambien es demasiado común que los clientes o los proveedores se vean afectados por diferentes eventos internos o externos como entre otros gestiones administrativas entre los clientes con la administración pública que aletarguen los trabajos. Contra mas largo es el lapso de tiempo muerto mas se complica el retomar los trabajos y mas se ven afectados las previsiones de costes.
4. Si un proyecto esta subvencionado por la Unión Europea, el estado o por una administración pública entonces “tonto el último”.
Hacer churros
Y me refiero a las Next Generatios para hacer frente al Covid 2019, no hay mayor golosina para una empresa española que unas buenas subvenciones y en grandes cantidades para hacer proyectos como “churros”, salgan como salgan los churros, cuantos mas salgan, cuesten menos y se cobren rápido mejor.
Parte B) la dificultad de entender que es la ciberseguridad y como se debe aplicar en entornos industriales y en infraestructuras críticas.
Comprender la ciberseguridad en su totalidad es un desafío intelectual y operativo de primer orden. Cuando este reto se introduce en una empresa que carece de cultura de ciberseguridad, el problema se magnifica; y si el destino final de esos productos o servicios son las infraestructuras críticas, el escenario se convierte en uno de los entornos más complejos y exigentes del mundo tecnológico actual.
1. La complejidad intrínseca de la ciberseguridad
Entender la ciberseguridad no implica dominar una única disciplina, sino comprender un ecosistema tecnicamente dificil, dinámico y profundamente asimétrico.
La asimetría entre el atacante y los defensores
El defensor debe proteger el 100% de la superficie de ataque las 24 horas del día, los 365 días del año. Al atacante, en cambio, le basta con encontrar una única brecha, un error humano o una vulnerabilidad sin parchear para tener éxito.
Multidisciplinariedd radical
Requiere conocimientos avanzados de redes, criptografía, psicología humana o ingeniería social, desarrollo de software seguro, derecho y gestión de riesgos.
Un blanco en constante movimiento
Las tácticas, técnicas y procedimientos de los ciberdelincuentes evolucionan últimamente tan rápido como la tecnología, impulsados hoy en día por la automatización agéntica y la inteligencia artificial como veremos mas adelante.
2. El impacto de un entorno empresarial no habituado
Cuando una empresa tradicional, y mas en España, que está acostumbrada a priorizar la velocidad comercial y la reducción de costes se enfrenta a la ciberseguridad, surge un profundo choque cultural y operativo.
La seguridad vista como fricción
En entornos sin cultura de seguridad, las medidas de protección (como la gestión de las contraseñas, el hardening, la autenticación multifactor, los controles de acceso o las auditorías) se perciben ( y en parte con razón) como obstáculos burocráticos que ralentizan el negocio en lugar de como elementos habilitadores de continuidad.
Falta de visibilidad y gobernanza
Al no existir en general una cultura de gestión de riesgos, la empresa suele ignorar qué activos posee, dónde residen sus datos críticos o quién tiene acceso a ellos.
El eslabón humano desatendido
Sin programas de concienciación continuos, los empleados se convierten involuntariamente en una de las principales puertas de entrada para ataques de phishing o ingeniería social.
3. El escenario extremo: Productos y servicios para Infraestructuras Críticas
Cuando los productos con software y comunicaciones, o servicios van destinados a sectores como la energía, el agua, el transporte, la salud o la industria pesada, la complejidad alcanza su máxima expresión debido a factores que no existen en las previsiones del cuerpo corporativo tradicional.
Convergencia IT/OT y riesgo físico
Las Tecnologías de la Información (IT) gestionan datos; las Tecnologías de Operación (OT) controlan elementos físicos (válvulas, turbinas, redes eléctricas). Un ciberataque en este entorno ya no roba solo bases de datos: puede causar daños físicos, interrupciones de servicios esenciales o poner en riesgo vidas humanas.
Sistemas legados inmutables
Muchos componentes industriales (PLCs, sistemas SCADA) llevan funcionando décadas. Fueron diseñados en una época en la que estaban completamente aislados y nunca contemplaron el cifrado, la autenticación o los parches de seguridad. Actualizarlos o reiniciarlos puede paralizar una planta de producción entera.
Prioridades invertidas (Disponibilidad sobre Confidencialidad)
En el mundo empresarial clásico, la confidencialidad y la integridad de los datos son prioritarias. En una infraestructura crítica, la disponibilidad física y la seguridad de las personas son absolutas. Apagar un sistema para aplicar un parche de seguridad crítico puede ser más peligroso que dejarlo expuesto temporalmente.
Regulaciones draconianas y cadena de suministro
Proveer a estos sectores exige cumplir normativas sumamente estrictas (como la directiva NIS2 en Europa o estándares industriales específicos). Además, cualquier vulnerabilidad en un proveedor externo de componentes o firmware puede comprometer toda la cadena crítica de suministro.
Parte C) La falta de compromiso real por parte de las empresas en relación a su vez con un deficiente trato por parte de las administraciones publicas.
La falta de compromiso real con la ciberseguridad ( especialmente en entornos industriales y de infraestructuras criticas ) no suele obedecer a la malicia, sino a una combinación de sesgos económicos, inercias y fallos en la gobernanza privada y públucas.
1. Principales inconvenientes que provocan la falta de compromiso empresarial
La seguridad como "coste hundido" y no como generador de valor
Inercia económica: Para una empresa tradicional, destinar presupuesto a ciberseguridad no genera ingresos directos ni incrementa la producción de manera visible. Al tratarse de una inversión preventiva (asegurarse de que no pase nada), los directivos suelen percibirla como un gasto improductivo o un "impuesto invisible" que merma el margen de beneficio a corto plazo. Así que para los proveedores de un proyecto si el cliente no le reconoce el esfuerzo, la dificultad y costes de implementar la ciberseguridad entonces simplemente “pasan de largo”.
El sesgo de optimismo de “a nosotros no nos va a pasar” o si pasa ya lo corregiré: Muchas organizaciones confunden la ausencia histórica de ataques con inmunidad real. Asumen que su tamaño, su perfil bajo o su ubicación geográfica las protegen, ignorando que el cibercrimen actual está automatizado y busca víctimas indiscriminadamente o explota eslabones débiles de la cadena.
Miopía temporal de los directivos gestores
Retorno de inversión (ROI) intangible: A diferencia de comprar una maquinaria nueva, cuyos beneficios se miden en unidades producidas, el éxito de la ciberseguridad se mide por lo que no ocurre (el desastre evitado). Esto dificulta que los equipos directivos y financieros justifiquen inversiones millonarias ante los propietarios o accionistas si es el caso.
Cultura de "apagar fuegos": Se prioriza sistemáticamente la entrega comercial urgente y la funcionalidad del producto por encima de la robustez del código o la arquitectura de seguridad. El mantra imperante suele ser "saquemos el producto al mercado rápido; ya si eso lo parchearemos si surge un problema".
Complejidad técnica y escasez crítica de talento especializado
Asimetría de conocimiento: Los altos cargos a menudo no entienden la magnitud técnica del riesgo cibernético y delegan en departamentos de TI tradicionales (enfocados en soporte y conectividad) que no tienen por qué dominar la ciberseguridad ofensiva, la criptografía o la seguridad industrial (OT).
Fuga y carencia de expertos: Existe una escasez global de talento altamente cualificado en ciberseguridad. Para una empresa no tecnológica o industrial, competir salarialmente con grandes tecnológicas para fichar a un buen CISO (Chief Information Security Officer) o a ingenieros de ciberseguridad es prohibitivo.
2. Cómo la carencia o lentitud en las regulaciones públicas favorece esta desidia
Las entidades públicas desempeñan un papel fundamental a la hora de establecer reglas de juego claras. Cuando la regulación flaquea, es lenta o es ambigua, genera un caldo de cultivo perfecto para que las empresas mantengan su falta de compromiso ( llamese la desastrosa temprada 1 y 2 de la NIS europea ).
El vacío legal como coartada para la inacción
“Si no es obligatorio, no es rentable” : En el tejido empresarial ( particularmente en pymes industriales y proveedores medianos y pequeños de infraestructuras críticas ) si la ley no exige explicítamente un estándar técnico de ciberseguridad bajo amenaza de sanciones severas, el recurso financiero se desvía hacia áreas obligatorias (como seguridad laboral física PRL o normativas fiscales). La falta de regulación estricta se interpreta erróneamente como un "permiso tácito" para descuidar el riesgo digital.
La brecha insalvable entre el ciclo legislativo y la velocidad tecnológica
La lentitud burocrática: Los parlamentos y organismos regulatorios tardan años en redactar, negociar y aprobar leyes o directivas sectoriales. En contraste, las tecnologías (IA, IoT industrial, metodologías de ataque) evolucionan en cuestión de meses, que leches, semanas.
Normas obsoletas antes de nacer: Cuando una regulación finalmente entra en vigor, a menudo se basa en arquitecturas tecnológicas del pasado y no contempla las nuevas superficies de ataque (por ejemplo, entornos cloud híbridos, la hiperconectividad de sensores industriales o la IA), dejando a las empresas cumpliendo un papel formal que no aporta seguridad real.
Retrasos en la transposición y laxitud en la aplicación
El problema de las sanciones simbólicas o inexistentes: Incluso cuando se aprueban marcos normativos avanzados (como la directiva europea NIS2 para la resiliencia de redes y sistemas de información), los retrasos crónicos de los Estados en su transposición a leyes nacionales y la falta de inspecciones técnicas reales diluyen el sentido de urgencia. Si una empresa sabe que un incumplimiento grave rara vez conlleva una inspección rigurosa o una multa ejemplarizante, el riesgo legal se asume como un coste asumible frente a la inversión requerida para blindar sus sistemas.
Parte D) La dificultad de equilibrar la ejecución de un proyecto funcional con un proyecto basado en criterios de ciberseguridad
Llegar a la fase de “puesta en marcha” con un proyecto de infraestructura crítica que cumpla estrictamente con las especificaciones funcionales, los plazos comerciales y, al mismo tiempo, ejecute un plan de ciberseguridad robusto y garantice la mantenibilidad futura es uno de los mayores desafíos de la ingeniería moderna.
El conflicto fundamental en esta etapa radica en que la funcionalidad se demuestra "haciendo que el sistema funcione", mientras que la ciberseguridad se demuestra "impidiendo que el sistema haga lo que no debe, sea vulnerado o se recupere pronto". Cuando ambas exigencias chocan al final del proyecto, el resultado suele ser tensión operativa, retrasos y fricción presupuestaria, o sea, conflicto.
1. La fricción en la Puesta en Marcha: Funcionalidad vs. Plan de Seguridad
Durante la puesta en marcha, la prioridad absoluta del cliente y del integrador de ingeniería es validad las especificaciones técnicas (capacidad de producción, tiempos de respuesta, integración de señales). Introducir la seguridad de forma tardía o descoordinada amenaza directamente estos objetivos.
Tiempos comprimidos y "cuellos de botella"
Si los controles de ciberseguridad (como la autenticación de dispositivos, la segmentación de red con cortafuegos o la firma de código) se aplican solo al final del proyecto, cualquier fallo de comunicación entre sistemas se vuelve complejo de depurar. El equipo de pruebas no sabe si un PLC o RTU no responde por un error de programación o porque las policies del firewall recién configurado está bloqueando el tráfico.
Tensiones en los FAT/SAT (Factory/Site Acceptance Tests)
Las pruebas de aceptación buscan certificar que el proceso industrial funciona en condiciones reales. Si un control de seguridad impide el flujo de una señal o introduce latencias no previstas en protocolos industriales de tiempo real (como PROFINET o GOOSE en subestaciones), la tentación inmediata de la ingeniería de campo es desactivar los controles de seguridad para "pasar la prueba" y cumplir el hito contractual.
El riesgo de la "seguridad parcheada"
Cuando el plan de seguridad no se integra desde la arquitectura inicial ( seguridad por diseño ), garantizar la resiliencia al final requiere aplicar parches de última hora que incrementan la complejidad del sistema y ponen en riesgo el calendario de entrega.
2. El dilema de la “Mantenibilidad en Sistemas Altamente Seguros”
Un sistema industrial "extremadamente seguro" sobre el papel puede convertirse en un pesadilla inmanejable durante los 20 o 30 años de su vida útil para la gente de OM ( Operaciones y Mantenimient). Existe una relación inversamente proporcional entre el nivel de restricciones de seguridad y la usabilidad/mantenibilidad del sistema.
La sobre-segmentación de red
Si la red OT se divide en decenas de zonas e inmunidades independientes (Zones & Conduits según IEC 62443), el mantenimiento diario exige gestionar cientos de reglas de cortafuegos complejas. Cada cambio de instrumentación o sustitución de un sensor requiere reconfigurar la infraestructura de red, elevando el riesgo de errores de configuración.
Autenticación y gestión de credenciales en entornos aislados
En plantas con sistemas desconectados de Internet , implementar autenticación multifactor (MFA) o rotación periódica de contraseñas de alta complejidad para cientos de interfaces HMI y PLCs es un reto logístico extremo. Si un operario necesita una clave de 20 caracteres y un token físico para acceder a un sistema en mitad de una emergencia nocturna, la seguridad física del proceso puede verse comprometida por la lentitud de acceso.
Actualización de componentes (parcheado) sin romper la garantía
Muchos fabricantes de equipos originales (OEM) invalidan las garantías de sus plataformas industriales si el cliente instala actualizaciones o parches de seguridad en el firmware o sistemas operativos que no hayan sido previamente homologados por el propio OEM. Esto deja a los equipos de mantenimiento atrapados entre el cumplimiento normativo (que exige parchear) y la garantía del fabricante (que lo prohíbe o condiciona).
Parte E) La carencia de una versión europea de la NERC CIP .
Para entender cómo se protege una infraestructura crítica tan vital como la red eléctrica (grid) a nivel internacional, es fundamental contrastar dos filosofías regulatorias totalmente opuestas: la europea (NIS2) y la norteamericana (NERC CIP).
Mientras que Europa ha optado tradicionalmente por un modelo de mínimos comunes armónicos y flexibilidad legislativa ( lease estudiar el sexo de los ángeles ), Norteamérica funciona bajo un régimen de cumplimiento estricto, normativo y punitivo.
1. NIS2 (Unión Europea): Marco generalista y descentralizado
La Directiva NIS2 (Network and Information Systems version 2) es el marco legislativo de ciberseguridad para toda la Unión Europea. Aunque supuso “un salto cualitativo enorme” respecto a su predecesora al incluir expresamente al sector de la energía, presenta características estructurales muy particulares (y también ambiguas o decepcionantes ).
Carácter de Directiva (Transposición nacional)
NIS2 no es una ley de aplicación directa, sino una directiva que cada Estado miembro debe traducir a su propia legislación nacional. Esto genera fragmentación: los plazos, los organismos de control y la dureza de las inspecciones varían significativamente de un país europeo a otro.
Vaya, si es que España todavía está dándole vueltas en el Congreso creo, prisa para qué.
Enfoque basado en la gestión de riesgos (Alta flexibilidad)
NIS2 establece qué debes conseguir (ej. implementar políticas de análisis de riesgos, gestión de incidentes y seguridad en la cadena de suministro), pero deja en manos de la empresa decidir cómo hacerlo. No prescribe tecnologías concretas, arquitecturas de red específicas ni configuraciones de cortafuegos obligatorias, o sea, un auténtico despropósito.
Respeto a la soberanía industrial nacional
Los operadores de la red eléctrica en Europa operan bajo supervisión de agencias nacionales (como INCIBE/CCN en España), lo que a menudo dificulta una estandarización técnica homogénea y ultraespecífica en todo el continente interconectado.
2. NERC CIP (Norteamérica): Ingeniería regulatoria milimétrica y punitiva
En Estados Unidos y Canadá, la protección del sector eléctrico (Bulk Electric System) no se deja al libre albedrío corporativo. Está gobernada por las normas NERC CIP (North American Electric Reliability Corporation - Critical Infrastructure Protection).
Normativa federal de obligado cumplimiento directo
No son meras recomendaciones ni directivas genéricas. Son estándares de obligado cumplimiento legal supervisados por la FERC (Federal Energy Regulatory Commission) y aplicados con rigor militar por la propia NERC.
Especificidad técnica extrema (El "Cómo" en lugar del "Qué")
NERC CIP no te dice simplemente "protege tus accesos remotos". Te hace indicaciones a usar cómo segmentar las redes OT (tecnología de operaciones) de las IT (tecnología de la información) o cómo deben registrarse los eventos (logs) y durante cuánto tiempo, y qué procesos de cifrado son válidos.
Clasificación estricta de activos críticos
La normativa obliga a las empresas eléctricas a catalogar minuciosamente cada componente físico y lógico de la red según su impacto potencial en el sistema eléctrico. Un fallo en la catalogación o en la protección de un activo de categoría media o alta conlleva que potencialmente una auditorías presencial exhaustiva saque las verguenzas.
Parte F) La evolución de los actores maliciosos y la implicación de los intereses geopolíticos en un mundo tensionado.
La vertiginosa velocidad con la que surgen nuevos actores maliciosos en ciberseguridad ( incluidos las agencias nacionales de inteligencia de los paises ) y el avance exponencial de las herramientas de ciberataque responden a una tormenta perfecta donde confluyen la tecnología, la economía de mercado criminal y, de manera muy directa, la geopolítica global. El ciberespacio se ha convertido en el campo de batalla predilecto de las naciones en pugna, alterando por completo las reglas de seguridad internacional, ¿ o hemos olvidado porque apareció Stuxnet ?
1. ¿Por qué crecen tan rápido los ciberataques y sus herramientas?
El ecosistema del cibercrimen ha evolucionado desde el clásico pirata informático aislado hasta convertirse en una industria altamente profesionalizada y descentralizada. Varios factores impulsan este ritmo exponencial.
La democratización de la tecnología (IA y automatización)
Los atacantes hoy utilizan Inteligencia Artificial generativa y modelos de lenguaje para redactar campañas de ingeniería social (phishing) hiperrealistas y sin errores gramaticales en cualquier idioma, automatizar la búsqueda de vulnerabilidades y adaptar código malicioso en tiempo real para esquivar los antivirus tradicionales.
El modelo de Cybercrime-as-a-Service (CaaS)
Ya no es necesario saber programar para ser un ciberdelicuente. Existen mercados negros estructurados como corporaciones donde se alquilan kits de Ransomware-as-a-Service (RaaS), se venden accesos corporativos robados y todo detalle de las personas, y se ofrecen servicios de soporte técnico al cliente criminal. Esto reduce la barrera de entrada y multiplica masivamente el número de actores activos.
La economía de las criptomonedas y el anonimato
El uso de monedas virtuales descentralizadas y mezcladores de transacciones facilita el lavado de dinero de las extorsiones a escala global, financiando de forma inmediata nuevas y más sofisticadas operaciones. Quien diría que los paraisos fiscales y el bitcoin nació como una necesidad por parte de las agencias de inteligencia y ahora son parte del problema.
2. El vínculo directo: La geopolítica y la ciberguerra asimétrica
Las tensiones geopolíticas mundiales (maravillosamente reflejdas en la rivalidad entre superpotencias, conflictos regionales y bloques ideológicos) son el combustible principal de esta evolución tecnológica. Los gobiernos han encontrado en el ciberespacio un entorno ideal por varias razones clave.
La "zona gris" del conflicto (Guerra Híbrida)
Los ataques cibernéticos permiten a las naciones dañar a sus adversarios, robar secretos industriales o desestabilizar infraestructuras críticas cruzando la línea de la confrontación política, pero sin llegar al umbral de una guerra abierta o convencional que active respuestas militares directas. Es la definición perfecta de la guerra híbrida.
APT (Advanced Persistent Threats o Amenazas Persistentes Avanzadas)
Los Estados financian o cobijan a grupos de élite conocidos como APTs (vinculados a potencias como Israel, Estados Unidos, Rusia, China, Corea del Norte o Irán, entre otros). Estos grupos operan con paciencia milimétrica, infiltrándose en redes gubernamentales, energéticas o de telecomunicaciones para espionaje a largo plazo o sabotaje latente.
Transferencia de capacidades y "mercenarios digitales"
Existe una delgada línea roja donde los gobiernos subcontratan a bandas de ciberdelincuentes comunes para realizar tareas de sabotaje o espionaje a cambio de inmunidad jurídica en sus países de origen. Asimismo, herramientas desarrolladas originalmente por agencias de inteligencia estatales (como vulnerabilidades zero-day) se filtran, se compran en el mercado negro o son replicadas con extrema rapidez por los grupos criminales comunes, acelerando de forma drástica la sofisticación de todo el ecosistema.
Parte G) La aparicion de la IA como herramienta para acelerar a la velocidad de la luz los ciberataques.
La integración de agentes autónomos basados en Inteligencia Artificial en el ámbito de la ciberseguridad representa un cambio de paradigma radical. Mientras que las herramientas tradicionales de escaneo y frameworks dependían de reglas estáticas, firmas predefinidas y conocimiento de su uso, los agentes de IA operan bajo bucles dinámicos de razonamiento, ejecución y adaptación.
Esta evolución explica por qué la velocidad en la detección y explotación de vulnerabilidades ha alcanzado niveles que desafían la capacidad de respuesta humana de los Blue Teams ( en el caso que existan ).
1. Principales ventajas operativas de los agentes de IA en ciberseguridad
Los agentes combinan modelos de lenguaje de gran tamaño (LLM) con capacidades de ejecución de herramientas (intérpretes de comandos, analizadores estáticos, fuzzers, marcos de explotación). Esto les otorga ventajas competitivas decisivas frente a los métodos manuales o automatizados clásicos.
Razonamiento multicapa y planificación adaptativa
A diferencia de un script que se detiene ante el primer obstáculo, un agente de IA puede evaluar un obstáculo (como un firewall o un sistema de autenticación inesperado), replantear su estrategia, deducir rutas alternativas y tomar decisiones tácticas en tiempo real.
Bucles de auto-corrección (Trial and Error a velocidad de máquina)
Cuando un agente intenta explotar una vulnerabilidad y falla, analiza el mensaje de error devuelto por el servidor, ajusta la carga útil (payload), reescribe el código del exploit y lo vuelve a intentar en milisegundos hasta tener éxito.
Paralelismo y escalabilidad masiva
Un operador humano puede auditar o atacar un sistema a la vez; un enjambre de agentes de IA puede analizar millones de líneas de código fuente, escanear miles de subdominios y probar miles de vectores de ataque simultáneamente en múltiples objetivos sin fatiga ni pérdida de concentración.
2. Entrenamiento específico para el dominio ofensivo
Para alcanzar este nivel de eficacia, estos modelos no se limitan a entrenarse con internet general, sino que reciben un entrenamiento especializado, fine-tuning o RAG ( vaya tela con los nombresitos ) entre otras técnicas avanzado en áreas críticas.
Sintaxis de código y lógica de negocio
Son entrenados masivamente en repositorios de código (GitHub, GitLab), bases de datos de vulnerabilidades históricas (CVEs, NVD), parches de seguridad y análisis de binarios en lenguaje ensamblador (reverse engineering). Esto les permite identificar flujos de datos inseguros y fallos lógicos complejos (como condiciones de carrera o desbordamientos de búfer) con altísima precisión.
Mención especial a la aparición de REA, un entorno capaz de clonar una aplicación mediante ingeniería inversa… miedo da.
Dominio de frameworks y protocolos de red: Como decía antes, los agentes aprenden a dominar herramientas estándar de la industria (como Metasploit, Burp Suite, nmap o Wireshark) y protocolos de red complejos, sabiendo exactamente qué comando o consulta enviar en cada fase del ciclo de ataque (reconocimiento, intrusión, movimiento lateral y exfiltración).
3. El colapso del tiempo: "Machine Speed" vs. Tiempo Humano
La combinación de estas ventajas genera un desequilibrio crítico conocido en la ciberseguridad moderna como la “asimetría de la velocidad de la máquina”.
Compresión del ciclo de vida de la vulnerabilidad
Lo que antes tomaba a un equipo humano semanas de investigación (descubrir un zero-day, entender el código, escribir un exploit funcional y automatizarlo), un agente entrenado puede realizarlo en cuestión de horas o minutos tras analizar una actualización de software o un parche de seguridad (patch diffing).
Explotación automatizada masiva
En el momento en que se publica una nueva vulnerabilidad, los agentes pueden buscar automáticamente todas las organizaciones expuestas a nivel mundial y desplegar ataques personalizados antes de que los administradores de sistemas tengan tiempo de aplicar el parche correctivo.
Parte H) La total ausencia de los programas necesarios por parte de REE, o al que le corresponda llevar de la mano sumniistro electrico y ciberseguridad.
Para entender por qué Red Eléctrica de España REE ( filial operativa de Redeia como TSO (Transmission System Operator) no equivale a NERC (North American Electric Reliability Corporation) en materia de ciberseguridad, es fundamental diferenciar sus funciones jurídicas, regulatorias y operativas.
1. ¿Por qué REE no puede alcanzar el rol ni el nivel de NERC CIP?
La diferencia de fondo radica en la naturaleza del mandato y el modelo de gobernanza entre Estados Unidos/Norteamérica y España/Unión Europea.
REE es un Operador, no un Regulador.
NERC: Es un organismo regulador independiente y de cumplimiento obligatorio (compliance & enforcement authority) designado por la FERC (Comisión Reguladora de Energía de EE. UU.). NERC impone las normas NERC CIP, realiza auditorías obligatorias a todas las empresas eléctricas y tiene capacidad sancionadora directa.
REE: Es la empresa encargada de operar el sistema eléctrico y transportar la electricidad a alta tensión en España. Es un sujeto regulado, no la entidad reguladora. Aunque REE fija Procedimientos de Operación (los famosos PO que van apareciendo cada vez que hay una catástrofe ) y normas técnicas para la integración física y telecontrol de la red de transporte y distribución, no posee el poder legislativo ni ejecutivo para auditar ni sancionar administrativamente en materia de ciberseguridad a las generadoras ni a las distribuidoras.
El Modelo Regulatorio Europeo y Nacional está Fragmentado de Origen
En España y en la UE, la ciberseguridad y la energía se abordan mediante una gobernanza multinivel.
Marco normativo general: Es la Directiva NIS2 y CER de la Unión Europea (y su transposición en España) la que fija la obligación de ciberseguridad en infraestructuras críticas, junto con la CNMC (Comisión Nacional de los Mercados y la Competencia) como regulador del mercado.
Código de Red Europeo de Ciberseguridad: En Europa, Entso-e (asociación de TSOs europeos de la que REE forma parte) colabora en el Network Code on Cybersecurity (NCCS), pero quien aprueba y hace vinculantes las reglas es la Comisión Europea y las autoridades nacionales competentes, no REE de forma autónoma.
Y es que si maramos de cuando son las NTS tecnicas para los generadoes en España, pues, es que son de hace poquitos años, que podemos pensar de regulaciones técnica medianamente serias de ciberseguridad, ni están ni se le esperan.
2. ¿Quiénes ostentan la capacidad técnica, análisis y regulación de ciberseguridad eléctrica en España?
Dado que REE se centra en la parte operativa y técnica de la red física (SCADA/OT propio y coordinación técnica del sistema), las competencias regulatorias, de análisis y de respuesta frente a ciberataques en la infraestructura eléctrica nacional están repartidas en entidades especializadas con peso estatal:
Capacidad Operativa y Análisis Técnico en Infraestructuras Críticas (OT e IT)
CNPIC (Centro Nacional de Protección de Infraestructuras Críticas):
-Dependiente del Ministerio del Interior. Es la máxima autoridad encargada de aplicar la Ley PIC (Protección de Infraestructuras Críticas).
-Designa los operadores críticos (entre ellos las eléctricas) y valida sus Planes de Seguridad Operativa (PSO) y Planes de Protección Específicos (PPE).
CCN-CERT (Centro Criptológico Nacional – CNI):
-Tiene la máxima capacidad técnica nacional para el análisis de amenazas de Inteligencia y ciberataques dirigidos por actores de estado o APTs.
-Supervisa y emite guías de seguridad (Guías STIC) orientadas a entornos de control industrial (ICS/SCADA) y sectores estratégicos como el eléctrico.
INCIBE-CERT (Instituto Nacional de Ciberseguridad):
-Operado de forma coordinada con el CNPIC para el ámbito privado y empresarial (incluidas las empresas distribuidoras y generadoras eléctricas privadas).
-Es el centro de referencia técnico para la gestión de incidentes cibernéticos en el sector industrial de consumo civil.
Análisis del Riesgo y Continuidad del Sistema Eléctrico
MITECO (Ministerio para la Transición Ecológica y el Reto Demográfico).
-Es la autoridad competente en España de la seguridad del suministro eléctrico.
-Elabora el Plan de Preparación frente a los Riesgos en el Sector Eléctrico (PPR) bajo el Reglamento Europeo (UE) 2019/941, analizando específicamente los escenarios de crisis eléctrica provocados por un ciberataque masivo a la red y coordinando la respuesta de recuperación con los operadores de distribución y REE.
CNMC (Comisión Nacional de los Mercados y la Competencia):
-Es mas o menos el equivalente económico/¿técnico? de la FERC estadounidense ( me puedo equivocar, tengo que investigar más ). Supervisa la retribución de las redes, la competencia y vigila el cumplimiento de la normativa que afecta a la continuidad de suministro.
Conclusiones
Atendiendo a cada una de las explicaciones anteriores no resulta muy dificil entender porqué es tan favorable en el tiempo que un apagón eléctrico en España se produzca de nuevo debido a uno o varios ciberataques, veamos :
A) Los proyectos necesarios para crear todas las nuevas plantas a lo largo de estos últimos años regados por las Next Generations sufren de la idiosincrasia española de los proyectos explicada con detalle en el cuerpo del artículo, es decir, asi están las plantas renovables construidas.
B) La ciberseguridad es muy jodida de entender y muy jodida que se aplique de verdad de forma eficaz, quédense con estas palabras que voy a repetir, “que se aplique de verdad de forma eficaz” y “no cosméticamente” en el mejor de los casos como hasta ahora.
C) A las empresas les resulta fácil dentro de la dificultad que supone la adopción verdaderamente eficaz de la ciberseguridad no hacer nada o mirar para otro lado porque entre otras cosas hasta la NIS2 no se ha mencionado la palabra mágica de “las sanciones”, pero el cuerpo de la NIS2 ayuda poco a ordenar el caos, en todo caso lo caotiza un poco mas lo que el Estado correspondientemente despues caotizará mas en su transposición.
D) No solo es muy jodido entender e implantar criterios y medidas de ciberseguridad, es doblemente jodido porquee hay que hacerlo compatible con una puesta en marcha en el que la directriz es que primero “lo que sea que se implante" tiene que "funcionar" en los plazos y costes de un proyecto normal sin ciberseguridad, asi tal cual, y tan "Panchos".
E) No existe una regulación técnica seria de cuales y como se tienen que implantar y probar las medidas de ciberseguridad en las plantas de generación, legadas y nuevas con conexión a internet.
F) Los ciberdelincuentes y ciberagencias de los paises en un mundo geopolítico que pierde su referencia de Breton Woods van que se las pelan, y mientras en las plantas generadoras pues, piano piano, si es que hay piano.
G) El uso de la IA como herramienta de automatización con autoaprendizaje supervisado va a arrasar en breve, bueno, me refiero a que el público normal se de cuenta ( ahora esta sumido en la guerra cognitiva y cultural de "aquellos" ) , porque ya lo está haciendo desde hace meses.
H) Caos en quien debe controlar esto para que la estabilidad técnica del grid español se alinee con los criterios de protección de ciberseguridad exigibles y "verificables" ( nada de cosmética ).
Si tuvimos que esperar al 28 de abril de 2025 para comprender que el actual grid eléctrico con la penetración de las renovables ( la electrónica de potencia ) ya no se comporta como cuando solo había generadores tradicionales síncronos y poner remedio a prisa y corriendo con el PO7.4 o desplegar grandes reguladores síncronos, entonces el próximo dd/mm/202x esperaremos que se tomen las adecuadas medidas para reducir el impacto de uno o varios ciberataques y la necesaria resiliencia para sobreponernos, porque el pasado 28 de abril solo fueron unas horas y contabamos con la pericia técnica de los ingenieros de REE y resto de rmpresas, y del apoyo en Francia claro, pero para un ciberataque dañino nos vamos a llevar días o semanas en reponernos ¿ estás preparado ?
El reloj corre.
¿ Y que puedo hacer ?
Pues haz un plan mínimo y razonable de seguridad familiar, asegúrate que hacer por todos los miembros cuando llegue el momento ( puede ser en cualquier momento ) y un respaldo de energía, luz portatil, suministros de comida básicos y agua no perecederas. Ah, cuando ocurra , habla y confía en la familia y los vecinos, porque después de muchos días de apagón está demostrado que la situación se convierte en el “sálvese quien pueda”, no esperes que los cuerps de rescate y protección del Estado estarán para todos en todo momento mientras se repone el sistema.
Relacionado :
https://www.blogger.com/blog/post/edit/7288741332738445451/6150964594154507035
https://www.blogger.com/blog/post/edit/7288741332738445451/7685421075114968350
https://www.blogger.com/blog/post/edit/7288741332738445451/7685421075114968350
Javier G. Sáenz
Ingeniero Senior IT&OT&Ciber
Consultor Senior de sistemas industriales ICS/SCADA
Arquitecto/programador especialista de sistemas ICS/SCADA Siemens
Experto en ciberseguridad industrial, ISA S99/IEC62443
Consultor Senior Datacenter
Project Manager
ITI/ITSM/COBIT
Consultor e Ingeniero de Convergencia IT OT
