El Acuerdo 1960 del Consejo Nacional de Operación, expedido el 3 de abril de 2025, actualizó la Guía de Ciberseguridad que deben aplicar los agentes generadores, transmisores y distribuidores y el operador del SIN. Cambió el enfoque de cumplimiento normativo por uno basado en riesgos, definió en sus anexos los criterios de activos críticos y la lista de cumplimiento, incluidos los requisitos de las plantas menores, y fijó plazos de 6, 12, 24 y 36 meses. Sustituye el Acuerdo 1502 de 2021.
Qué es el Acuerdo 1960
El Consejo Nacional de Operación (CNO) aprobó con el Acuerdo 1960, expedido el 3 de abril de 2025, la actualización de su Guía de Ciberseguridad y la modificación de algunos plazos. Rige desde su expedición y sustituye el Acuerdo 1502 de 2021.
La guía tiene historia. El CNO la adoptó con el Acuerdo 788 de 2015, tomando como base las normas NERC CIP v4, y la fue reemplazando con los Acuerdos 1241 de 2019, 1347 de 2020, 1463 de 2021 y 1502 de 2021. El cambio de fondo de la versión de 2025 lo recomendó el Comité de Ciberseguridad en su reunión del 11 de marzo de 2025: pasar de un enfoque de cumplimiento normativo a uno basado en riesgos, para que cada agente adapte sus controles a su perfil de riesgo y concentre las inversiones en los activos con mayor impacto en la operación del SIN.
Esta guía resume el texto oficial; no es una interpretación jurídica. Las obligaciones de cada empresa se definen con su área jurídica y con el acuerdo completo.
A quién aplica
La guía aplica al operador del sistema y a los generadores, transportadores y distribuidores que tengan activos que cumplan los criterios del Anexo 2. Ese anexo considera activos críticos, entre otros:
- Cada grupo de unidades de generación en una misma planta con capacidad efectiva neta de 20 MW o más.
- Los recursos de potencia reactiva (excepto generadores) desde el nivel IV hasta el STN.
- Todas las subestaciones de nivel de tensión IV y superior, con sus bahías, y los FACTS instalados en ellas.
- Los esquemas especiales de protección, como los suplementarios, y cada sistema de desconexión automática de carga por baja tensión o baja frecuencia.
- Los centros de control y de respaldo del operador del sistema, generadores, transmisores y distribuidores.
- Los activos que soportan las interconexiones internacionales y cualquier otro que la entidad estime adecuado incluir.
Sobre esa lista, cada entidad identifica sus ciberactivos críticos: los dispositivos esenciales para operar un activo crítico que usan un protocolo enrutable o de comunicación. Los generadores con plantas menores, que la guía define como las de más de 5 MW y menos de 20 MW con referencia a la Resolución CREG 086 de 1996, tienen sus requisitos mínimos señalados numeral por numeral en el Anexo 3.
Los tres anexos
| Anexo | Contenido |
|---|---|
| Anexo 1 | La Guía de Ciberseguridad: glosario, ámbito, cumplimiento y los requisitos por capítulo |
| Anexo 2 | Criterios de activos críticos |
| Anexo 3 | Lista de cumplimiento periódico (hoja de cálculo): evidencia por numeral, período de revisión y aplicabilidad a plantas menores |
Qué pide la guía
El Anexo 1 ordena los requisitos en capítulos. Los que más trabajo técnico generan en una subestación o una planta son estos:
| Capítulo | Lo que exige, en síntesis |
|---|---|
| 4. Activos críticos | Identificar, documentar e inventariar activos y ciberactivos críticos; el inventario debe identificar cada ciberactivo de forma única en la red y el activo al que pertenece |
| 5. Gobierno y personal | Política aprobada, responsable de ciberseguridad notificado al CNO, evaluación de riesgos del personal, entrenamiento, verificación anual de cuentas y privilegios, y revocación de accesos (bloqueo en 24 horas tras una terminación laboral, revocación en 30 días) |
| 6. Perímetro | Perímetros de seguridad lógica, listas de acceso revisadas cada seis meses, monitoreo de accesos 24/7, solo los puertos y servicios necesarios, conexiones temporales controladas y un sistema de control intermedio para el acceso remoto |
| 7. Seguridad de ciberactivos | Control de cambios y de configuraciones, prevención de malware, evaluación de vulnerabilidades como máximo cada dos años y antes de poner en producción un ciberactivo nuevo, control de equipos transitorios y medios extraíbles, parches y monitoreo de eventos |
| 8 y 9. Recuperación e incidentes | Planes de recuperación y de respuesta a incidentes revisados y probados al menos una vez al año, respaldos verificados |
| 10. Seguridad física | Perímetro físico de «seis paredes» para los ciberactivos críticos, control de visitantes y protección del cableado de comunicación |
| 11. Cadena de suministro | Gestión del riesgo de los proveedores y contratistas que suministran o acceden a ciberactivos críticos, y su plan anual de entrenamiento |
| 12. Gestión de riesgos | Evaluación de riesgos, plan de tratamiento con cronograma y responsables, y revisión al menos cada 12 meses |
Dos reglas atraviesan todo el texto. Todo ciberactivo crítico nuevo debe incorporar desde el principio los controles de la guía. Y en los existentes, si un control no es técnicamente factible, se documenta y se compensa con otros controles y con monitoreo.
Para el acceso remoto, la guía exige que toda conexión remota tenga mecanismos de doble factor de autenticación, monitoreo, cifrado y control de la autorización, y que pase por un sistema intermedio ubicado fuera del perímetro de seguridad lógica. La arquitectura que cumple esa idea está en acceso remoto seguro a relés y subestaciones.
Plazos
Los plazos se cuentan desde la expedición, el 3 de abril de 2025:
| Plazo | Fecha | Qué se debe tener |
|---|---|---|
| 6 meses | 3 de octubre de 2025 | Actualización y notificación del responsable de ciberseguridad |
| 12 meses | 3 de abril de 2026 | La mayoría de procedimientos y evidencias: accesos, listas de acceso, monitoreo, línea base de los puntos de acceso al perímetro, conexiones temporales, vulnerabilidades, parches, medios extraíbles, recuperación, respaldos, respuesta a incidentes, seguridad física, cadena de suministro, mapa de riesgos y plan de tratamiento |
| 24 meses | 3 de abril de 2027 | Evidencia de la revisión periódica del sistema de control intermedio y de los controles para identificar y monitorear eventos |
| 36 meses | 3 de abril de 2028 | Certificación de proveedores y contratistas sobre la evaluación de riesgos de su personal |
Los agentes generadores, transmisores y distribuidores nuevos tienen 12 meses contados desde su registro como agentes del mercado ante el ASIC.
- Acuerdo 1960 vigente
- Responsable notificado al CNO. Dentro de los seis meses y cada vez que cambie
- Activos y ciberactivos críticos. Criterios del Anexo 2 e inventario
- Procedimientos y controles. Capítulos 5 a 12 de la guía
- Evidencias. Según la lista de cumplimiento del Anexo 3
- Auditoría. Cada dos años
- Documentación conservada tres años
Reporte de incidentes
El reporte de incidentes cibernéticos tiene su propio acuerdo. El vigente es el Acuerdo CNO 2188 de 2026, expedido el 2 de julio de 2026, que sustituye el Acuerdo 2088 de 2026 y aprueba el procedimiento y el formato de reporte, la guía de suscripción a la plataforma de intercambio de información MISP, la guía de reporte por correo electrónico seguro y un acuerdo de confidencialidad. Los destinatarios y los tiempos de reporte están en sus anexos, que conviene leer completos.
Lo que viene: la regulación de la CREG
La Resolución 40333 de 2026 del Ministerio de Minas y Energía, publicada en el Diario Oficial 53.566, ordenó en su artículo 7 a la CREG regular en un plazo no mayor a 24 meses la seguridad informática del STN y del STR: coordinación de los agentes, responsabilidades y remuneración de inversiones en modernización tecnológica. La reglamentación deberá incluir auditorías y evaluaciones periódicas de vulnerabilidad, capacitación continua y las funciones de un CSIRT específico para el sector eléctrico, alineada con estándares internacionales como los de NERC e IEC.
Cómo se traduce en la subestación
Detrás de cada evidencia hay un trabajo técnico: el inventario de relés, controladores, switches y gateways con su firmware; la línea base de puertos y servicios de los puntos de acceso; cuentas individuales en los IED en lugar de una contraseña compartida; un acceso remoto que pasa por el sistema intermedio; respaldos de ajustes que coinciden con lo cargado. Las normas técnicas que ayudan a hacerlo bien son IEC 62443 para zonas y conductos, IEC 62351 para los protocolos e IEEE 1686 para las capacidades de cada IED. Para saber qué le falta a una instalación existente, el punto de partida es una evaluación de brechas frente a la guía, y el mapa completo de normas y controles está en ciberseguridad de subestaciones y plantas.
Configuramos sus equipos para cumplir
En Tiza Group configuramos cuentas, roles, puertos, servicios y registros de relés, controladores, gateways y switches dentro de nuestro servicio de ciberseguridad de subestaciones y plantas, y trabajamos sobre los relés con la configuración remota de relés, con sesiones que usted autoriza, cifradas y registradas, que encajan en el procedimiento de conexiones temporales de su empresa. Escríbanos y cuéntenos qué equipos tiene.
Guías relacionadas
- Ciberseguridad eléctrica: NERC CIP y Latinoamérica
- ¿Es segura la configuración remota de relés?
- Acceso remoto seguro a relés y subestaciones
- IEC 62443 en subestaciones: zonas, conductos y niveles SL
- Ciberseguridad de subestaciones y plantas: normas y mapa
- NERC CIP: qué exige y qué se puede tomar en Colombia
- Evaluación de brechas de ciberseguridad OT ante el CNO
- Parches y firmware en relés e IED: cómo gestionarlos
Referencias
- Consejo Nacional de Operación, Acuerdo 1960 de 2025 (3 de abril de 2025), por el cual se aprueba la actualización de la Guía de Ciberseguridad y se modifican algunos plazos; Anexo 1, Guía de Ciberseguridad; Anexo 2, Criterios de activos críticos; Anexo 3, Lista de cumplimiento periódico.
- Consejo Nacional de Operación, Acuerdo 788 de 2015, por el cual se aprueba la Guía de Ciberseguridad.
- Consejo Nacional de Operación, Acuerdo 2188 de 2026, por el cual se actualiza el procedimiento y formato de reporte de incidentes cibernéticos y la guía de suscripción al MISP.
- Ministerio de Minas y Energía, Resolución 40333 de 2026 (23 de julio de 2026), Diario Oficial 53.566.
- CREG, Resolución 086 de 1996, definición de generación con plantas menores.
Preguntas frecuentes
¿Qué plazo tiene un agente nuevo para cumplir el Acuerdo 1960?
Doce meses contados desde la fecha de su registro como agente del mercado ante el ASIC, según el parágrafo del artículo de plazos del acuerdo. Aplica a generadores, transmisores y distribuidores nuevos.
¿Qué pasa si un relé antiguo no permite aplicar un control de la guía?
La guía pide documentar que el control no es técnicamente factible e implementar controles compensatorios y de monitoreo que reduzcan el riesgo, e incluir el equipo en el plan de modernización si aplica. La falta de capacidad del equipo no exime del requisito.
¿Cada cuánto se audita el cumplimiento de la guía?
Cada entidad responsable debe tener un programa de auditoría que verifique los requisitos de la guía, con una auditoría cada dos años, y conservar la documentación de soporte del cumplimiento por lo menos tres años calendario.