Europa alerta: un ciberataque coordinado a la fotovoltaica podría desestabilizar la red y pide más controles

Tres escenarios de alto riesgo para la generación solar

El grupo de expertos presta especial atención a la posibilidad de que un fabricante introduzca deliberadamente una puerta trasera en sus equipos o programas. Este escenario se considera de alto riesgo para todos los segmentos fotovoltaicos analizados, aunque el informe precisa que no se han producido casos confirmados de este tipo en la práctica.

Una puerta trasera podría incorporarse a la plataforma central del fabricante, al firmware del inversor o incluso a su hardware. En los supuestos más sofisticados, un mecanismo de comunicación integrado en el dispositivo podría permitir mantener el acceso remoto incluso después de desconectarlo de internet. Los expertos consideran que esta posibilidad merece atención por su impacto potencial, especialmente si un actor estatal tuviera capacidad para influir en un fabricante o en sus proveedores.

La preocupación está vinculada al aumento de las tensiones geopolíticas y a la concentración de la cadena de suministro fotovoltaica. El documento destaca la dependencia europea de equipos fabricados fuera de la Unión Europea, particularmente en China, y advierte de que la ubicación de los servidores no siempre refleja dónde se encuentran las funciones más sensibles de los sistemas. Algunos fabricantes utilizan arquitecturas en las que las plataformas de monitorización están alojadas en servidores europeos, mientras que las actualizaciones del firmware, la autenticación de los dispositivos o los mecanismos de control remoto siguen gestionándose desde terceros países.

Más control sobre las comunicaciones y las actualizaciones

El informe completa estas recomendaciones con la aplicación de criterios de seguridad desde el diseño y por defecto. Entre ellos figuran evitar contraseñas predeterminadas compartidas, cerrar servicios y puertos innecesarios y garantizar la autenticación de los servicios habilitados. Asimismo, pide mejorar la protección de los sistemas que utilizan instaladores y mantenedores para acceder a los equipos y reforzar la formación de estos profesionales en la configuración segura de los inversores, la gestión de credenciales y la prevención de ataques informáticos.

La normativa europea presenta lagunas

El grupo también pide mejorar la coordinación entre las autoridades responsables de la ciberseguridad energética y las de otros sectores. Muchas instalaciones fotovoltaicas comerciales e industriales pertenecen a empresas cuya actividad principal no es la generación eléctrica, como industrias, hospitales o entidades financieras. Sus obligaciones de ciberseguridad pueden proceder de otras normas, pero sus propietarios y supervisores podrían no ser plenamente conscientes de las consecuencias que un ataque a sus instalaciones solares tendría sobre el sistema eléctrico.

La cadena de suministro, otro frente regulatorio

Los expertos consideran que las normas examinadas no bastan para abordar de manera completa el riesgo de puertas traseras introducidas deliberadamente por los fabricantes. Para cubrir esta laguna, apuntan a la propuesta de revisión de la Ley de Ciberseguridad europea, publicada por la Comisión el 20 de enero de 2026, y al proyecto de Ley de Aceleración Industrial (IAA).

La propuesta de revisión de la Ley de Ciberseguridad contempla mecanismos para identificar países que planteen riesgos para la seguridad de las cadenas de suministro tecnológicas y, sobre esa base, restringir determinados componentes procedentes de proveedores considerados de alto riesgo. Los expertos sostienen que estas medidas deberían poder extenderse también a los equipos residenciales, incluidos los sistemas fotovoltaicos enchufables, dado que su capacidad agregada podría tener relevancia para la estabilidad de la red.

El documento señala, además, que la Ley de la Industria de Cero Emisiones Netas (NZIA) ya incorpora algunos criterios de ciberseguridad para determinadas subastas renovables, aunque considera insuficientes sus mecanismos actuales para excluir a proveedores de alto riesgo. En este contexto, plantea aprovechar el futuro marco de aceleración industrial para reforzar las condiciones de las subastas renovables, la contratación pública y otras formas de apoyo público.

Mientras se desarrollan estos cambios normativos, el informe propone medidas que pueden aplicarse de forma voluntaria. Entre ellas, que los distribuidores de electricidad establezcan requisitos de seguridad para los inversores conectados a sus redes, cuando la legislación nacional lo permita, y que las administraciones impulsen campañas de concienciación dirigidas a instaladores, mantenedores y propietarios de instalaciones.

Los expertos advierten, no obstante, de que incluso la aplicación de las medidas propuestas dejaría un riesgo residual. La existencia de equipos ya instalados, las dificultades para mantener actualizada toda la base de inversores y la elevada potencia que pueden controlar fabricantes, agregadores y proveedores de servicios impiden garantizar una protección absoluta. Por ello, recomiendan incorporar los escenarios de ciberataque contra la generación fotovoltaica a las evaluaciones de riesgos del sistema eléctrico, incluidas las contempladas en la normativa de preparación frente a riesgos y en las directrices de operación del sistema. El objetivo es que los operadores puedan anticipar las consecuencias de una intrusión, limitar su impacto y reducir la posibilidad de que una alteración de la generación solar comprometa la continuidad del suministro.