La Comisión Nacional de los Mercados y la Competencia (CNMC) ha aprobado dos metodologías para evaluar los riesgos de ciberseguridad y clasificar los ciberataques en el sector eléctrico, con criterios comunes para el sistema eléctrico europeo y los flujos transfronterizos de electricidad. Las medidas permitirán valorar la gravedad y el impacto de los incidentes y servirán de base para identificar a las entidades de impacto alto y crítico sujetas a obligaciones específicas.
Las metodologías se enmarcan en el código de red europeo de ciberseguridad sobre flujos transfronterizos, tramitado en el expediente DCOOR/DE/002/25. Este marco establece requisitos dirigidos a reforzar la ciberseguridad del sistema eléctrico y la cooperación entre los Estados miembros ante los riesgos asociados a los ciberataques.
El desarrollo normativo procede del Reglamento Delegado (UE) 2024/1366 de la Comisión, de 11 de marzo de 2024, que completa el Reglamento (UE) 2019/943 del Parlamento Europeo y del Consejo mediante el establecimiento de un código de red sobre normas sectoriales específicas para los aspectos relativos a la ciberseguridad de los flujos transfronterizos de electricidad.
Metodologías europeas para evaluar riesgos
La Red Europea de Gestores de Redes de Transporte de Electricidad (ENTSO-E), en colaboración con la Entidad Europea de Operadores de Redes de Distribución (DSO Entity), ha elaborado las propuestas de metodologías. Estas propuestas han pasado por un proceso de consulta y cooperación entre las autoridades competentes de los Estados miembros.
En España, la CNMC actúa como autoridad competente por defecto para la aplicación del código de red de ciberseguridad, dado que todavía no se ha designado la autoridad conforme a lo previsto en dicho código. En ese papel, el organismo ha aprobado la metodología de evaluación de riesgos y la metodología de clasificación de ciberataques.
La metodología de evaluación de riesgos establece la base para los análisis de ciberseguridad previstos a escala nacional, regional y de la Unión Europea. Su objetivo es identificar amenazas y valorar sus posibles consecuencias sobre la seguridad operativa del sistema eléctrico y sobre los intercambios transfronterizos de electricidad.
Clasificación de ciberataques y notificación
La segunda metodología aprobada permite clasificar los ciberataques de forma armonizada en función de su gravedad e impacto. También facilita determinar qué incidentes deben ser objeto de notificación, con el fin de mejorar la coordinación entre los agentes del sector eléctrico y las autoridades competentes.
La evaluación de riesgos a escala de la Unión Europea permitirá establecer índices y umbrales para identificar, entre las empresas que operan en el sistema eléctrico español, cuáles deben considerarse entidades de impacto alto y crítico en el ámbito del código de red. Entre ellas pueden figurar el operador del sistema, el operador del mercado, el transportista, las distribuidoras, los productores, los comercializadores y los agregadores.
Estas entidades serán designadas por las autoridades competentes y deberán cumplir distintas obligaciones en los plazos y condiciones fijados por el código de red, según su clasificación. Entre esas obligaciones figuran la evaluación de sus riesgos, la aplicación de controles, la implantación de un sistema de gestión de la ciberseguridad, el intercambio de información y la preparación y gestión de crisis de ciberseguridad.
Las metodologías avanzan en la coordinación europea en un sistema eléctrico cada vez más digitalizado e interconectado, en el que las amenazas pueden tener efectos transnacionales. El marco busca reforzar la resiliencia del sistema, la seguridad del suministro y la capacidad de prevención, detección y respuesta frente a ciberataques.