La ciberseguridad de una subestación o de una planta de generación protege los equipos programables que miden, protegen y controlan la instalación: relés, controladores, gateways, switches, relojes, servidores e inversores. En Colombia la exige a los agentes del SIN la Guía de Ciberseguridad del CNO (Acuerdo 1960 de 2025), y la Resolución 40333 de 2026 del Ministerio de Minas y Energía ordenó a la CREG regularla. Las normas técnicas se reparten el trabajo: IEC 62443 para el sistema y los roles, IEC 62351 para los protocolos e IEEE 1686 para cada IED.
Qué se protege
Una subestación o una planta de generación tiene decenas de equipos programables conectados en red: relés de protección, controladores de bahía, gateways hacia el centro de control, switches, relojes, servidores de ingeniería, medidores y, en las plantas solares, inversores, dataloggers y el controlador de planta (PPC). Cada uno puede abrir un interruptor, cambiar una consigna o dejar sin protección un circuito si alguien entra sin autorización.
La Guía de Ciberseguridad del CNO llama ciberactivo a todo dispositivo electrónico programable y a los elementos de las redes de comunicaciones, incluidos el hardware, el software y los datos, y ciberactivo crítico al que es necesario para la operación confiable de un activo crítico y usa un protocolo enrutable o de comunicación. Sus considerandos recuerdan que la integración de la tecnología operativa (OT) con la de la información (IT), la nube y los dispositivos IoT aumenta la superficie de ataque. No se trata de un riesgo teórico: el mismo anexo cita los apagones de Ucrania producidos por ciberataques.
Quién lo exige en Colombia
| Instrumento | Qué establece |
|---|---|
| Acuerdo CNO 1960 de 2025 | Actualiza la Guía de Ciberseguridad para los agentes generadores, transmisores, distribuidores y el operador del SIN; cambia a un enfoque basado en riesgos y fija plazos de 6, 12, 24 y 36 meses desde el 3 de abril de 2025. Sustituye el Acuerdo 1502 de 2021. |
| Acuerdo CNO 2188 de 2026 | Actualiza el procedimiento y el formato de reporte de incidentes cibernéticos y la guía de suscripción a la plataforma MISP. Sustituye el Acuerdo 2088 de 2026. |
| Resolución MME 40333 de 2026, artículo 7 | Ordena a la CREG regular la seguridad informática del STN y del STR en un plazo no mayor a 24 meses, con auditorías y evaluaciones periódicas de vulnerabilidad, capacitación continua y un equipo de respuesta a incidentes (CSIRT) específico del sector eléctrico, alineada con estándares como NERC e IEC. |
El alcance de la guía del CNO se define por activos críticos. Su Anexo 2 incluye, entre otros, cada grupo de unidades de generación en una misma planta con capacidad efectiva neta de 20 MW o más, todas las subestaciones de nivel de tensión IV y superior con sus bahías, los esquemas especiales de protección, los sistemas de deslastre automático de carga por baja tensión o baja frecuencia y los centros de control. Las plantas menores, que la guía define como las de más de 5 MW y menos de 20 MW, tienen sus requisitos mínimos en el Anexo 3. Cómo se compara este marco con el de otros países está en ciberseguridad eléctrica: NERC CIP y Latinoamérica.
Qué norma técnica sirve para qué
La regulación dice qué lograr; las normas técnicas dicen cómo. Cada una cubre una pieza distinta:
| Norma | Qué cubre | A quién le sirve |
|---|---|---|
| IEC 62443 | Seguridad del sistema de automatización y control: zonas y conductos, niveles de seguridad, programa del propietario (2-1), requisitos para proveedores de servicios (2-4), evaluación de riesgos (3-2), requisitos del sistema (3-3) y de los productos (4-1, 4-2) | Propietario, integrador y fabricante, cada uno con su parte |
| IEC 62351 | Seguridad de los protocolos del sector: TLS para MMS, IEC 104 y DNP3, autenticación de GOOSE y valores muestreados, control de acceso por roles, gestión de claves | Ingeniería de comunicaciones e IED |
| IEEE 1686 | Capacidades de ciberseguridad que debe traer un IED: acceso, configuración, firmware, auditoría y alarmas | Especificación y compra de relés y controladores |
| NERC CIP | Normas obligatorias en Norteamérica, base de la guía del CNO | Referencia para requisitos y pliegos |
La propia guía del CNO declara que se elaboró tomando como referente principal las normas NERC CIP, y deja a cada agente usar los marcos que prefiera (ISO, IEC, IEEE, NIST, ENISA u otros) para sus procedimientos, siempre que cumpla los requisitos.
Controles por capa
Los controles se entienden mejor por capas, desde el borde de la red hasta el ajuste de cada relé:
- Red. La instalación se divide en zonas (proceso, protección y control, estación, DMZ, corporativa) unidas por conductos donde un router y firewall industrial solo deja pasar los flujos documentados. La guía del CNO pide identificar perímetros de seguridad lógica y habilitar en sus puntos de acceso solo los puertos y servicios necesarios para la operación normal y de emergencia.
- Acceso remoto. Toda conexión remota debe tener doble factor de autenticación, monitoreo, cifrado y control de la autorización, y pasar por un sistema de control intermedio ubicado fuera del perímetro. La arquitectura está en acceso remoto seguro a relés y subestaciones.
- IED. Cuentas por persona, roles con permisos limitados, contraseñas de fábrica cambiadas, puertos y servicios innecesarios deshabilitados y registro de eventos. Vea niveles de acceso y contraseñas de relés y el endurecimiento de relés, switches e IED.
- Protocolos. TLS hacia el centro de control y autenticación de los mensajes GOOSE y de valores muestreados según IEC 62351, donde los equipos lo soportan.
- Configuración y firmware. Una sola versión válida de los ajustes y del SCD, respaldada y con control de cambios, como explica la gestión de configuración de IED y SCD, y un procedimiento de parches y firmware.
- Monitoreo. Registros de acceso y eventos centralizados y, donde se justifique, detección de intrusos que compara el tráfico con su línea base. La supervisión de la red y de los IED según IEC 62351-7 define qué datos de estado deben llegar al centro de gestión.
- Plantas solares. Además de lo anterior, los dataloggers, la conexión a la nube del fabricante del inversor y el PPC que recibe consignas. La guía de comunicaciones de una planta solar muestra dónde están esas interfaces, y la de ciberseguridad de plantas solares reúne los riesgos y controles propios de la generación.
Cómo se arma el programa
El orden práctico sigue la lógica de la guía del CNO y de IEC 62443-3-2:
- Instalación en operación
- Inventario. Ciberactivos, firmware, puertos, cuentas y conexiones
- Activos críticos. Criterios del Anexo 2 del Acuerdo 1960
- Evaluación de riesgos. Amenazas, vulnerabilidades e impacto en la operación
- Zonas, conductos y controles. Nivel objetivo por zona y medidas para alcanzarlo
- Evidencia. Procedimientos, registros y plan de tratamiento de riesgos
- Revisión periódica
Cuando un control no es técnicamente factible en un equipo existente, la guía no lo exime: pide documentarlo e implementar controles compensatorios y de monitoreo, e incluirlo en el plan de modernización si aplica. La documentación de cumplimiento se conserva por lo menos tres años y el programa se audita cada dos.
Lo que suele faltar
En las instalaciones existentes se repiten los mismos huecos: no hay una lista confiable de equipos y firmware; las cuentas de los relés son compartidas e iguales en toda la flota; hay módems o enlaces directos a un relé que nadie recuerda; y las copias de los ajustes no coinciden con lo que está cargado. Ninguno se resuelve con un producto. Se resuelven con inventario de activos, diseño de la red y configuración cuidadosa de cada equipo. Una evaluación de brechas frente a la guía del CNO ordena esos huecos por prioridad, y en los proyectos nuevos las pruebas de ciberseguridad en FAT y SAT evitan que lleguen a la operación.
Configuramos sus equipos con seguridad
La ciberseguridad de una subestación se juega en la configuración de cada IED, gateway y switch y en la forma de entrar a ellos. En Tiza Group configuramos cuentas, roles, puertos y servicios de sus equipos de protección, control y comunicaciones, en media, alta y extra alta tensión, en subestaciones e industria, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. Cuando el trabajo es sobre los relés, lo hacemos con la configuración remota de relés: sesiones cifradas que usted autoriza para cada tarea y que quedan registradas. Escríbanos y cuéntenos qué equipos tiene.
Guías relacionadas
- IEC 62443 en subestaciones: zonas, conductos y niveles SL
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- IEEE 1686: requisitos de ciberseguridad de los IED
- Ciberseguridad eléctrica: NERC CIP y Latinoamérica
- Acceso remoto seguro a relés y subestaciones
- Router y firewall industrial de subestación
- Detección de intrusos (IDS) en redes de subestación
- Gestión de configuración: versiones de ajustes y del SCD
- Niveles de acceso y contraseñas de relés de protección
- ¿Es segura la configuración remota de relés?
- Comunicaciones de una planta solar
- Acuerdo CNO 1960: guía de ciberseguridad del SIN
- IEC 62443-2-4: requisitos para integradores y contratistas
- Análisis de riesgo IEC 62443-3-2: zonas y conductos
- Control de acceso por roles en IED: IEC 62351-8
- Seguridad de GOOSE y Sampled Values: IEC 62351-6 y -9
- IEC 104 y DNP3 seguros: TLS e IEC 62351-3 y -5
- NERC CIP: qué exige y qué se puede tomar en Colombia
- Inventario de activos OT de una subestación
- Parches y firmware en relés e IED: cómo gestionarlos
- Pruebas de ciberseguridad en FAT y SAT de subestaciones
- Endurecimiento de relés, switches e IED: controles
- Evaluación de brechas de ciberseguridad OT ante el CNO
- Monitoreo de la red y de los IED: IEC 62351-7
- Ciberseguridad de plantas solares: riesgos y controles
- Acceso remoto de fabricantes a inversores solares
- Firmware de inversores: actualizaciones seguras
- NIST IR 8498: ciberseguridad de inversores inteligentes
- IEEE 1547.3: ciberseguridad de generación distribuida
- Acceso remoto a plantas solares: reglas en el mundo
- Ciberseguridad del PPC y del SCADA de una planta solar
- Ciberseguridad de un BESS: BMS, PCS y EMS
Referencias
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, por el cual se aprueba la actualización de la Guía de Ciberseguridad y se modifican algunos plazos, con sus Anexos 1 (Guía de Ciberseguridad), 2 (Criterios de activos críticos) y 3 (Lista de cumplimiento).
- Consejo Nacional de Operación, Acuerdo 2188 de 2026, procedimiento y formato de reporte de incidentes cibernéticos y guía de suscripción al MISP.
- Ministerio de Minas y Energía, Resolución 40333 de 2026, Diario Oficial 53.566, artículo 7, seguridad informática para el STN y el STR.
- IEC 62443 (serie), Security for industrial automation and control systems.
- IEC 62351 (serie), Power systems management and associated information exchange – Data and communications security.
- IEEE 1686-2022, Standard for Intelligent Electronic Devices Cybersecurity Capabilities.
- NERC, normas de confiabilidad CIP, Critical Infrastructure Protection.
Preguntas frecuentes
¿Una planta solar tiene que cumplir la Guía de Ciberseguridad del CNO?
Depende de su tamaño y de si es agente del SIN. El Anexo 2 del Acuerdo 1960 considera activo crítico cada grupo de unidades de generación en una misma planta con capacidad efectiva neta de 20 MW o más, y el Anexo 3 fija los requisitos mínimos para los generadores con plantas menores. Una autogeneración que no es agente no queda obligada de la misma forma, aunque la guía sirve como lista de comprobación.
¿Por dónde se empieza un programa de ciberseguridad en una subestación existente?
Por el inventario: qué equipos programables hay, qué firmware tienen, cómo están conectados y desde dónde se accede a ellos. Con esa lista se identifican los activos y ciberactivos críticos, se evalúa el riesgo y se decide qué zonas, conductos y controles hacen falta.
¿IEC 62443 es obligatoria en Colombia?
No por sí misma. IEC 62443 es una norma técnica voluntaria. Lo obligatorio para los agentes del SIN es la Guía de Ciberseguridad del CNO, que deja a cada agente usar marcos de referencia como ISO, IEC, IEEE o NIST para sus procedimientos, siempre que cumpla los requisitos de la guía.