Una planta solar tiene más puntos de entrada que una subestación convencional: inversores, dataloggers, la nube del fabricante, el controlador de planta (PPC), el SCADA, los trackers y las cámaras. Se protege por capas: inventario de lo que está conectado, zonas separadas con firewall, una sola ruta controlada para el acceso remoto de fabricantes y mantenedores, cuentas individuales sin contraseñas de fábrica, firmware gestionado y registros revisados. En Colombia, las plantas de 20 MW o más son activos críticos de la Guía de Ciberseguridad del CNO.
Por qué una planta solar es distinta
Una subestación tiene relés, controladores de bahía, un gateway y un enlace al centro de control. Una planta solar tiene todo eso en su subestación de conexión y, además, cientos o miles de equipos programables repartidos por el campo: inversores, dataloggers o controladores de inversores, el controlador de planta (PPC), el SCADA, la estación meteorológica, los controladores de trackers, las cámaras y, cada vez más, un sistema de baterías. Muchos de esos equipos vienen preparados para hablar con la nube de su fabricante.
Esa conectividad es útil: permite al fabricante dar soporte, al mantenedor diagnosticar sin viajar y al propietario ver la producción desde cualquier lugar. Pero cada conexión es también una ruta de entrada, y la planta es parte del sistema eléctrico: el PPC recibe consignas del operador y el inversor decide cuánta potencia inyecta.
Lo que han documentado fuentes técnicas
El riesgo no es teórico ni sensacionalista, y está documentado en fuentes técnicas recientes:
- SolarPower Europe, la asociación europea del sector, publicó el 29 de abril de 2025 un análisis de riesgo encargado a DNV. Evaluó 14 áreas de riesgo (3 críticas, 6 altas y 5 medias) y concluyó que comprometer de forma dirigida 3 GW de generación podría tener implicaciones significativas para la red europea. Señaló como fuentes de riesgo los mandos directos a los inversores y las actualizaciones, y consideró más seguras las plantas a gran escala por estar operadas por empresas con experiencia y sujetas a regulación.
- Forescout, empresa de seguridad, publicó en marzo de 2025 una investigación con 46 vulnerabilidades nuevas en equipos y plataformas en la nube de tres fabricantes de inversores, que según el informe ya fueron corregidas.
- NIST, en su informe NIST IR 8498 de diciembre de 2024, probó cinco inversores pequeños contra las siete pautas básicas que propone: ninguno ofrecía autenticación de varios factores, solo uno registraba eventos de seguridad y solo uno permitía respaldar y restaurar su configuración. Su alcance es residencial y comercial liviano, pero advierte que si un fabricante comparte software entre líneas de producto, una debilidad hallada en un inversor pequeño puede servir contra inversores comerciales más grandes.
Ninguna de estas fuentes justifica el alarmismo. Lo que muestran es que el inversor y su ecosistema de nube merecen el mismo cuidado que un relé de protección.
Dónde están las interfaces
| Equipo | Con quién se comunica | Qué se puede hacer desde fuera |
|---|---|---|
| Inversor | Datalogger, PPC, a veces la nube directamente | Leer datos, cambiar parámetros o limitar potencia, según el modelo |
| Datalogger o controlador de inversores | Inversores, SCADA, nube del fabricante | Reenviar consignas, actualizar firmware de los inversores |
| PPC | Medidor del punto de conexión, inversores, SCADA, centro de control | Cambiar consignas de potencia activa y reactiva de toda la planta |
| SCADA de planta | Todos los anteriores, red corporativa | Mandos, alarmas, históricos |
| Trackers, estación meteorológica, cámaras | Red de campo, a veces la nube | Posición de las mesas, datos de irradiancia, video |
| Relés y gateway de la subestación | Bus de estación, centro de control | Ajustes y mandos de protección |
Los detalles de la red física (fibra, anillos, switches) están en comunicaciones de una planta solar, y el papel del PPC en el controlador de planta. La seguridad de ese controlador y del SCADA se trata en ciberseguridad del PPC y del SCADA de planta, y la del sistema de baterías en ciberseguridad de un BESS.
Controles por capa
- Inventario. Qué equipos hay, con qué firmware y a qué se conectan
- Zonas y conductos. Control, subestación, campo, vigilancia y DMZ separadas con firewall
- Acceso remoto. Una sola ruta para fabricantes y mantenedores, autenticada y registrada
- Equipos endurecidos. Sin contraseñas de fábrica, servicios sin uso cerrados, registros activos
- Operación. Firmware gestionado, respaldos y revisión de registros
Inventario. No se protege lo que no se conoce. El primer entregable es la lista de equipos programables con su modelo, firmware, dirección y conexiones, incluidas las salidas a internet que nadie documentó (un módem celular en un datalogger, por ejemplo).
Zonas y conductos. La serie IEC 62443 propone agrupar los equipos por necesidad de seguridad y controlar el tráfico entre grupos. En una planta, una partición razonable separa la red de control (inversores, PPC, protecciones), la subestación, la vigilancia por cámaras, la oficina y una DMZ por la que sale todo lo que va al exterior. El concepto está en IEC 62443 en subestaciones y el equipo que lo materializa en router y firewall industrial.
Acceso remoto. La conexión del fabricante y del mantenedor llega a un punto único en la DMZ, con autenticación de varios factores y sesiones autorizadas para cada tarea. Es la misma arquitectura de acceso remoto seguro a subestaciones. Cómo se ordena la entrada de los fabricantes está en acceso remoto de fabricantes a inversores, y lo que exigen otros países en acceso remoto a plantas solares: reglas en el mundo.
Equipos endurecidos. Cambiar las credenciales de fábrica, crear cuentas por rol, desactivar los servicios e interfaces que no se usan (incluido el wifi de mantenimiento del inversor si no hace falta) y activar los registros. Son pautas que NIST IR 8498 recomienda para inversores y que IEEE 1686 pide a los IED.
Operación. Actualizar firmware con un procedimiento, respaldar la configuración aprobada y revisar los registros. Para plantas grandes, un sistema de detección de intrusos en la red de control da visibilidad de lo que ningún equipo reporta por sí mismo.
Qué exige la regulación en Colombia
La Guía de Ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025, aplica a los generadores con activos que cumplen los criterios de su Anexo 2. Uno de ellos es que cada grupo de unidades de generación de una planta tenga capacidad efectiva neta de 20 MW o más. Las plantas menores, que la guía define como las de más de 5 MW y menos de 20 MW, tienen sus requisitos mínimos señalados numeral por numeral en el Anexo 3.
Para el acceso remoto, la guía pide doble factor de autenticación, monitoreo, cifrado, control de la autorización y un sistema intermedio fuera del perímetro de seguridad lógica. Los generadores nuevos tienen 12 meses desde su registro ante el ASIC para cumplir. El reporte de incidentes cibernéticos sigue el Acuerdo CNO 2188 de 2026, que sustituyó al 2088 y fija el procedimiento y el formato de reporte.
El marco regional, con Chile y NERC CIP, está en regulación de ciberseguridad eléctrica en Latinoamérica. Para generación distribuida, la referencia técnica es IEEE 1547.3, y el mapa de normas para subestaciones y plantas está en ciberseguridad de subestaciones y plantas.
Errores frecuentes
- Dataloggers con módem celular propio, fuera de la red de la planta, que nadie incluyó en el inventario.
- La misma contraseña de instalador en todos los inversores, años después de la puesta en servicio.
- Cámaras y trackers en la misma red que el PPC, sin firewall entre ellas.
- Contratos de suministro sin cláusulas de acceso remoto: no dicen quién del fabricante entra, desde dónde, ni qué puede cambiar.
- Firmware actualizado por la nube sin aviso, que cambia parámetros de red aprobados por el operador.
Le ayudamos a proteger su planta
En Tiza Group configuramos de forma segura los gateways, switches, firewalls y el acceso remoto del sistema de control y del SCADA de plantas solares, y ordenamos el acceso de los fabricantes de inversores para que entren por un camino controlado, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. Los relés de la subestación de conexión los configuramos también a distancia con la configuración remota de relés, en sesiones que usted autoriza y quedan registradas. Escríbanos con la arquitectura de su planta.
Guías relacionadas
- Comunicaciones de una planta solar
- Controlador de planta solar (PPC): qué es y qué controla
- Acceso remoto seguro a relés y subestaciones
- IEC 62443 en subestaciones: zonas, conductos y niveles SL
- Detección de intrusos (IDS) en redes de subestación
- Ciberseguridad de subestaciones y plantas: normas y mapa
- Acceso remoto de fabricantes a inversores solares
- Firmware de inversores: actualizaciones seguras
- NIST IR 8498: ciberseguridad de inversores inteligentes
- IEEE 1547.3: ciberseguridad de generación distribuida
- Acceso remoto a plantas solares: reglas en el mundo
- Ciberseguridad del PPC y del SCADA de una planta solar
- Ciberseguridad de un BESS: BMS, PCS y EMS
- Acuerdo CNO 1960: guía de ciberseguridad del SIN
Referencias
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, actualización de la Guía de Ciberseguridad; Anexo 2, criterios de activos críticos; Anexo 3, lista de cumplimiento periódico.
- Consejo Nacional de Operación, Acuerdo 2188 de 2026, procedimiento y formato de reporte de incidentes cibernéticos.
- SolarPower Europe y DNV, Solutions for PV Cyber Risks to Grid Stability, 29 de abril de 2025.
- Forescout Vedere Labs, SUN:DOWN, marzo de 2025.
- NIST IR 8498, Cybersecurity for Smart Inverters: Guidelines for Residential and Light Commercial Solar Energy Systems, diciembre de 2024.
- Serie IEC 62443, Security for industrial automation and control systems.
Preguntas frecuentes
¿La guía de ciberseguridad del CNO aplica a una planta solar?
Sí, según su tamaño. El Anexo 2 del Acuerdo CNO 1960 de 2025 considera activo crítico cada grupo de unidades de generación de una planta con capacidad efectiva neta de 20 MW o más, y las plantas menores (más de 5 y menos de 20 MW) tienen requisitos mínimos señalados en el Anexo 3. La obligación es del agente generador.
¿Cuál es el riesgo más particular de una planta solar frente a una subestación?
La conexión permanente de inversores y dataloggers con la nube del fabricante. Desde allí se pueden leer datos y, según el equipo, cambiar parámetros o la potencia. Si esa ruta no pasa por la red controlada de la planta, el propietario no sabe quién entra ni qué cambia.
¿Hay que desconectar la planta de la nube del fabricante?
No necesariamente. La garantía y el soporte suelen depender de ella. Lo que conviene es que la conexión salga por un punto controlado de la planta, que se sepa qué puede hacer el fabricante desde allí, que quede registrada y que el contrato lo regule.