Un BESS tiene tres niveles de control que se comunican entre sí y con el exterior: el BMS, que vigila las celdas; el PCS, que convierte y controla la potencia; y el EMS, que decide cuándo cargar y descargar y habla con el control de planta, el SCADA y, a menudo, con la nube del integrador. Un mando indebido puede afectar a la red y, si lleva la batería fuera de su operación prevista, también a su seguridad térmica. Se protege con zonas separadas, protecciones de la batería que no dependen de la red, cuentas por rol, firmware gestionado y un acceso remoto controlado.
Las tres capas de control
Un sistema de almacenamiento con baterías (BESS; en la regulación colombiana, SAEB) se controla en tres niveles, descritos en sistema BESS: partes, funciones y normas:
- BMS (sistema de gestión de baterías). Vigila tensión, temperatura y estado de carga de celdas y módulos, balancea y abre el circuito ante condiciones anormales. Suele ser jerárquico: módulo, rack y sistema.
- PCS (convertidor de potencia). Carga y descarga las baterías y controla la potencia activa y reactiva hacia la red.
- EMS (sistema de gestión de energía). Decide cuándo cargar y descargar según el modo de operación y se comunica con el control de planta y el SCADA, cuya seguridad se trata en ciberseguridad del PPC y del SCADA de planta.
Cada capa habla con las otras y, casi siempre, alguna habla con el exterior: el EMS con el SCADA y el centro de control, el integrador con su plataforma de monitoreo, el fabricante de las baterías con su servicio de soporte. En una planta híbrida, el BESS comparte red y riesgos con el resto de la planta solar.
Dónde están las interfaces
| Interfaz | Qué viaja por ella | Qué se puede afectar |
|---|---|---|
| BMS ↔ PCS | Límites de corriente y tensión, alarmas, permisos de operación | Que el PCS opere la batería fuera de lo que el BMS permite |
| EMS ↔ PCS | Consignas de potencia activa y reactiva, modos de operación | Cargas o descargas no previstas, cambios bruscos en la red |
| EMS ↔ control de planta y SCADA | Modos, consignas del operador, estados | La operación de la planta híbrida completa |
| Nube del integrador o del fabricante | Monitoreo, diagnóstico, a veces cambios de parámetros y firmware | Cualquier capa, según los permisos que tenga |
| Climatización y detección de gases | Estados y alarmas, a veces mandos | Las condiciones que mantienen segura la batería |
Por qué un mando indebido es también un riesgo térmico
El riesgo propio de una batería de ion-litio es la fuga térmica: una celda que se calienta, libera energía y gases y puede propagar el evento a las vecinas. La seguridad contra ese riesgo se diseña en varios niveles: el BMS que desconecta, la climatización, la separación entre contenedores, la detección de gases y la ventilación, con normas como IEC 62933-5-2 para la seguridad de los sistemas electroquímicos conectados a la red y NFPA 855 para la instalación.
Desde la ciberseguridad, la conclusión es de diseño y no de escenarios: las funciones que protegen la batería no deben depender de un mando externo ni de que la red funcione bien. Si alguien cambia las consignas del EMS, el BMS y las protecciones del sistema deben seguir impidiendo que las celdas salgan de su ventana de operación segura. Si alguien puede cambiar los límites del propio BMS o apagar la climatización a distancia, la frontera de seguridad se movió a la red, y eso es lo que hay que evitar. Esa separación se verifica con el fabricante y en el comisionamiento del BESS.
Controles por capa
- Zonas y conductos. Según la serie IEC 62443, el BMS, el PCS y el EMS quedan en la zona de control del sistema, separados por firewall de la red de la planta, de la oficina y de la salida a internet. La comunicación con la nube del integrador y el soporte remoto sale por la DMZ, como se explica en IEC 62443 en subestaciones.
- Permisos limitados hacia fuera. El monitoreo del integrador puede ser de solo lectura. Los cambios de parámetros y de firmware se hacen en sesiones autorizadas para cada tarea, por la ruta de acceso remoto seguro.
- Cuentas y roles. Cada persona con su cuenta, sin las credenciales de fábrica, y roles que separen ver, operar y cambiar límites.
- Firmware y configuración. Las actualizaciones del BMS, del PCS y del EMS se evalúan, se prueban y se instalan con la configuración respaldada; después se comparan los límites y los parámetros de red aprobados.
- Registro y vigilancia. Accesos, cambios de modo, cambios de límites y alarmas de seguridad, con hora sincronizada. En sistemas grandes, una detección de intrusos pasiva en la red de control muestra lo que los equipos no reportan.
IEC 62443-3-3 da la lista de requisitos de sistema que ordena estos controles, e IEC 62443-4-2 lo que cada componente debería traer para cumplirlos.
En la especificación y en la compra
Buena parte de la seguridad de un BESS se decide al comprarlo. Conviene pedir al integrador y a los fabricantes:
- la arquitectura de comunicaciones con todas sus conexiones externas;
- qué puede hacer cada conexión remota: leer, cambiar consignas, cambiar límites, actualizar firmware;
- la confirmación de que las protecciones de la batería operan aunque falle la comunicación;
- la declaración de capacidades de seguridad de cada componente frente a IEC 62443-4-2;
- la política de avisos de vulnerabilidades y actualizaciones durante la vida útil;
- las cuentas que deja el integrador y cómo se dan de baja al entregar.
Qué pide la regulación
En Colombia, la CREG 101 113 de 2026 define los mecanismos para incorporar los SAEB al Sistema Interconectado Nacional. La ciberseguridad de los agentes del SIN sigue la Guía de Ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025, para los activos que cumplen los criterios de su Anexo 2; un BESS que forma parte de una planta que es activo crítico queda dentro de ese perímetro, y en los demás casos conviene revisar los criterios con el texto del anexo. Allí aplican el control de accesos, la gestión de cambios y parches, el acceso remoto por sistema intermedio y el reporte de incidentes del Acuerdo CNO 2188 de 2026.
Le ayudamos con su BESS
En Tiza Group configuramos de forma segura la red, los gateways, los firewalls y el acceso remoto del sistema de control de BESS y plantas híbridas, y dejamos documentados los accesos de integradores y fabricantes, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. Los relés de la subestación y de la conexión del BESS los configuramos también a distancia con la configuración remota de relés. Escríbanos con la arquitectura de su sistema.
Guías relacionadas
- Sistema BESS: partes, funciones y normas
- Comisionamiento de sistemas BESS: pruebas y requisitos
- BESS acoplado en AC o en DC en parques solares
- Acceso remoto seguro a relés y subestaciones
- IEC 62443 en subestaciones: zonas, conductos y niveles SL
- Ciberseguridad de plantas solares: riesgos y controles
- Ciberseguridad del PPC y del SCADA de una planta solar
- Ciberseguridad de subestaciones y plantas: normas y mapa
Referencias
- IEC 62443-3-3:2013, System security requirements and security levels; IEC 62443-4-2:2019, Technical security requirements for IACS components.
- IEC 62933-5-2, Electrical energy storage (EES) systems – Part 5-2: Safety requirements for grid-integrated EES systems – Electrochemical-based systems.
- NFPA 855, Standard for the Installation of Stationary Energy Storage Systems.
- CREG, Resolución 101 113 de 2026.
- Consejo Nacional de Operación, Acuerdo 1960 de 2025 y Acuerdo 2188 de 2026.
Preguntas frecuentes
¿Por qué la ciberseguridad de un BESS es distinta a la de una planta solar?
Porque además de entregar potencia, el BESS la absorbe, y guarda una gran cantidad de energía en celdas que tienen límites de tensión, corriente y temperatura. Un mando indebido puede cambiar bruscamente el intercambio con la red y, si lleva la batería fuera de su operación prevista, sumar un riesgo térmico. Por eso las protecciones de la batería no deben depender de que la red de comunicaciones funcione bien.
¿Quién es responsable de la ciberseguridad del BMS?
El fabricante diseña el BMS y sus funciones internas; el integrador lo conecta con el PCS y el EMS; el propietario decide cómo se accede y quién puede cambiar qué. La serie IEC 62443 reparte justamente esas responsabilidades entre fabricante, integrador y propietario.
¿Un BESS está dentro de la guía de ciberseguridad del CNO?
Depende de su tamaño, de su función y de la planta de la que haga parte. La guía, actualizada por el Acuerdo CNO 1960 de 2025, aplica a los agentes con activos que cumplen los criterios de su Anexo 2. Un BESS integrado a una planta que es activo crítico queda dentro de su perímetro.