Varias familias de estándares cubren la ciberseguridad de un sistema eléctrico. NERC CIP es el conjunto de requisitos obligatorios de Norteamérica y la base de la guía colombiana del CNO. IEC 62443 da el método de zonas, conductos y niveles de seguridad para cualquier sistema industrial. IEC 62351 protege los protocolos del sector. NIST aporta marcos de gestión y una guía de seguridad para OT. No compiten: cada uno responde a una pregunta distinta.
Por qué hay tantos estándares
La ciberseguridad de un sistema eléctrico se reparte entre varias normas porque cada una nació para un fin distinto. Unas son requisitos obligatorios de un regulador, otras son métodos para diseñar, otras protegen protocolos concretos y otras son marcos de gestión de la organización. Confundirlas lleva a pedir a una norma lo que no ofrece, o a contratar el mismo trabajo dos veces.
Esta guía los ordena por la pregunta que responde cada uno. El detalle de cada familia está en guías propias de este sitio, enlazadas en cada sección.
| Estándar | Naturaleza | Pregunta que responde |
|---|---|---|
| NERC CIP | Requisitos obligatorios para el sistema eléctrico de Norteamérica | ¿Qué debe cumplir y demostrar un operador? |
| Guía de Ciberseguridad del CNO | Requisitos obligatorios en Colombia, basados en NERC CIP | ¿Qué exige hoy el regulador colombiano a un agente? |
| IEC 62443 | Serie de normas para sistemas de automatización y control industrial | ¿Cómo diseño, construyo y mantengo un sistema seguro? |
| IEC 62351 | Serie de normas para los protocolos del sector eléctrico | ¿Cómo protejo IEC 61850, 104, DNP3 y sus claves? |
| NIST | Marcos y guías de seguridad (gestión y OT) | ¿Cómo organizo y mejoro el programa de seguridad? |
NERC CIP: de CIP-002 a CIP-014
NERC (North American Electric Reliability Corporation) publica las normas de confiabilidad del sistema eléctrico de Norteamérica. Las de protección de infraestructura crítica (CIP) son un conjunto de normas numeradas, cada una con requisitos identificados como R1, R2 y siguientes. El esquema es el que tomó como referente la guía colombiana. Por tema, la serie de CIP-002 a CIP-014 es esta:
| Norma | Tema | Idea principal |
|---|---|---|
| CIP-002 | Categorización de los sistemas | Identificar qué sistemas cibernéticos tiene y clasificarlos por impacto (alto, medio, bajo) |
| CIP-003 | Controles de gestión de la seguridad | Políticas aprobadas, responsable designado y delegación de autoridad |
| CIP-004 | Personal y capacitación | Concienciación, entrenamiento, evaluación de riesgos del personal, gestión y revocación de accesos |
| CIP-005 | Perímetro de seguridad electrónica | Un perímetro definido, con acceso remoto interactivo controlado |
| CIP-006 | Seguridad física de los sistemas cibernéticos | Plan de seguridad física, control de visitas y mantenimiento de los sistemas de control de acceso |
| CIP-007 | Gestión de la seguridad de los sistemas | Puertos y servicios, parches, código malicioso, monitoreo de eventos y control de acceso a los sistemas |
| CIP-008 | Reporte de incidentes y planes de respuesta | Plan de respuesta, prueba y revisión |
| CIP-009 | Planes de recuperación | Plan de recuperación, prueba y revisión |
| CIP-010 | Gestión de cambios y evaluación de vulnerabilidades | Línea base de configuración, monitoreo, evaluación de vulnerabilidades y plan para equipos transitorios |
| CIP-011 | Protección de la información | Programa de protección de información y reutilización o eliminación segura de equipos |
| CIP-012 | Comunicaciones entre centros de control | Plan para mitigar riesgos de los datos que se transmiten entre centros de control |
| CIP-013 | Gestión de riesgos de la cadena de suministro | Plan de riesgos con proveedores, su implementación y aprobación |
| CIP-014 | Seguridad física | Evaluación de riesgos de instalaciones de transmisión, verificación por un tercero, evaluación de amenazas y plan de seguridad física |
Un coordinador de sistema eléctrico ha adoptado esta estructura en su propio estándar, con una tabla de requisitos por norma y su nivel de impacto. La norma también ha crecido: NERC CIP: qué exige y qué se puede tomar en Colombia explica las novedades como CIP-015 (monitoreo de la red interna) y los cambios para sistemas de impacto bajo.
Cuándo usarlo: como lista de requisitos medibles y de evidencia auditable. Es la referencia más concreta para saber qué debe quedar documentado y probado.
La guía del CNO en Colombia
En Colombia la obligación llega por la Guía de Ciberseguridad del Consejo Nacional de Operación, hoy actualizada con el Acuerdo 1960 de 2025. Toma como referente las normas CIP, las adapta al caso colombiano e incorpora un enfoque basado en riesgos. Se resume en Acuerdo CNO 1960: guía de ciberseguridad del SIN. Una visión más amplia de la región está en regulación de ciberseguridad eléctrica en Latinoamérica. Los requisitos de ciberactivos críticos, perímetro electrónico e incidentes del acuerdo están en Acuerdo CNO 1347.
IEC 62443: el método de diseño
IEC 62443, desarrollada a partir del trabajo de ISA, es una serie de normas para la seguridad de los sistemas de automatización y control industrial. No es específica del sector eléctrico, pero se aplica muy bien a él. Su aporte distintivo:
- Zonas y conductos: dividir el sistema en zonas de igual criticidad y controlar lo que cruza entre ellas.
- Niveles de seguridad: definir cuánta protección necesita cada zona y verificar que los componentes la entregan.
- Roles: requisitos distintos para el propietario, el integrador y el fabricante.
Las guías introducción a IEC 62443, IEC 62443 en subestaciones, análisis de riesgo por zonas y conductos y requisitos para proveedores de servicios cubren sus partes más usadas.
Cuándo usarlo: para diseñar la arquitectura, para exigir requisitos a proveedores y para hablar un lenguaje común con ellos.
IEC 62351: la protección de los protocolos
IEC 62351 es la serie del comité IEC TC 57 que asegura los protocolos del sector eléctrico. Cada parte responde a un protocolo o a una función: TLS, MMS, IEC 60870-5 y DNP3, GOOSE y valores muestreados, monitoreo, control de acceso por roles y gestión de claves. La visión de conjunto está en IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3; la parte 10 trata de la arquitectura de seguridad. Los dominios y la ubicación de los controles de seguridad se explican en IEC 62351-10: arquitectura de seguridad.
Cuándo usarlo: cuando se especifican o se configuran los protocolos de los equipos, y cuando se compra un relé, una pasarela o un switch.
NIST: marcos y guía para OT
El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) publica dos referencias muy usadas:
- NIST SP 800-82 (revisión 3): guía de seguridad de la tecnología operacional (OT). Describe los riesgos, la arquitectura y los controles propios de los sistemas de control, y los relaciona con el catálogo de controles de NIST.
- Marco de Ciberseguridad (CSF 2.0): organiza el programa de seguridad de una organización en funciones: gobernar, identificar, proteger, detectar, responder y recuperar.
También existen guías de NIST para temas puntuales, como la de ciberseguridad de inversores.
Cuándo usarlo: para estructurar el programa de seguridad de la empresa y para medir su madurez. No son requisitos obligatorios en Colombia, pero son una buena base de comparación.
Cómo se combinan en un proyecto
Los estándares se complementan por capas:
- El regulador (CNO, y NERC CIP donde aplique) fija qué debe cumplirse y qué evidencia debe conservarse.
- IEC 62443 da el método para diseñar zonas, conductos y requisitos a proveedores.
- IEC 62351 da los controles de los protocolos en esa arquitectura.
- NIST ordena el programa de la organización y su mejora continua.
Un ejemplo con el perímetro: CIP-005 y la guía del CNO piden un perímetro con acceso remoto controlado; IEC 62443 indica cómo definirlo con zonas y conductos; IEC 62351 y las guías de endurecimiento indican cómo proteger lo que cruza (por ejemplo, acceso remoto seguro a subestaciones); y el marco de NIST lo ubica dentro del programa de «proteger».
Cómo elegir por dónde empezar
- Agente del SIN: la guía del CNO, con una evaluación de brechas contra ella.
- Instalación nueva: IEC 62443 como método y IEC 62351 para los equipos.
- Compra de equipos o contratación de un integrador: requisitos de IEC 62443 y de IEC 62351 en las especificaciones, y pruebas en FAT y SAT para comprobarlos.
- Empresa con operación internacional: pregunte qué estándar exige su pliego y compárelo con la guía del CNO.
Cuándo conviene apoyarse en un especialista
Elegir los estándares es la parte fácil; lo difícil es traducirlos a la configuración de los equipos y demostrar que está hecha. Acompañamos la evaluación de brechas, la ingeniería de zonas y accesos, la configuración segura de relés, switches y pasarelas, y las pruebas de aceptación. Vea nuestro servicio de ciberseguridad de subestaciones y plantas y escríbanos para cotizar. Qué debe incluir el respaldo de un IED, cómo se verifica y cómo se prueba la recuperación está en respaldo y recuperación de ajustes y configuración de IEDs.
Guías relacionadas
- NERC CIP: qué exige y qué se puede tomar en Colombia
- Acuerdo CNO 1960: guía de ciberseguridad del SIN
- IEC 62443 en subestaciones
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- Evaluación de brechas de ciberseguridad OT
- Respaldo y recuperación de ajustes y configuración de IEDs
- Acuerdo CNO 1347: requisitos de ciberseguridad
- IEC 62351-10: arquitectura de seguridad
Referencias
- NERC, normas CIP-002 a CIP-014 (Critical Infrastructure Protection).
- CNO, Acuerdo 1960 de 2025, Guía de Ciberseguridad.
- IEC 62443 (serie): Security for industrial automation and control systems.
- IEC 62351 (serie): Power systems management and associated information exchange. Data and communications security.
- NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security.
- NIST Cybersecurity Framework 2.0.
Preguntas frecuentes
¿Qué estándar debo seguir si tengo una subestación en Colombia?
La obligación para los agentes del SIN es la Guía de Ciberseguridad del CNO, vigente con el Acuerdo 1960 de 2025. Como método de diseño y como lenguaje común con proveedores se usa IEC 62443, y para proteger los protocolos del equipo se aplica IEC 62351. NERC CIP y NIST sirven de referencia y suelen aparecer en pliegos de empresas con operación internacional.
¿Cumplir NERC CIP equivale a cumplir IEC 62443?
No. Son distintos en origen y en forma: NERC CIP son requisitos obligatorios para una región, con auditoría; IEC 62443 es una serie de normas con niveles de seguridad y requisitos para propietarios, integradores y fabricantes. Muchos controles coinciden, y quien implementa uno tiene buena parte del trabajo hecho para el otro, pero hay que demostrarlos por separado.
¿Por dónde se empieza si no se ha hecho nada?
Por el inventario de activos y la clasificación por impacto. Todos los estándares lo piden primero, porque no se puede proteger lo que no se conoce. Después viene la separación de redes, el control del acceso remoto y el respaldo de configuraciones. Una evaluación de brechas contra el estándar elegido ordena el resto.