Una evaluación de brechas compara el estado real de la ciberseguridad de las subestaciones y plantas con lo que exige la Guía de Ciberseguridad del CNO (Acuerdo 1960 de 2025) y con una norma técnica de referencia como IEC 62443. Se define el alcance con los criterios de activos críticos, se levanta en campo lo que hay, se compara numeral por numeral con la lista de cumplimiento del Anexo 3 y se entrega un mapa de brechas priorizado por riesgo y un plan ordenado por los plazos del acuerdo. No certifica cumplimiento: muestra dónde invertir primero.
Para qué sirve
Desde abril de 2025, los agentes del SIN con activos críticos tienen plazos escalonados para cumplir la Guía de Ciberseguridad actualizada por el Acuerdo CNO 1960 de 2025. El primer paso de muchas empresas es saber cuánto les falta. Esa es la evaluación de brechas: comparar lo que hay en las subestaciones, plantas y centros de control con lo que la guía exige, y convertir la diferencia en un plan.
No es una auditoría ni una certificación. La guía prevé auditorías cada dos años y deja el cumplimiento en cabeza del agente. La evaluación de brechas es un diagnóstico interno que dice dónde invertir primero.
Contra qué se compara
| Referencia | Qué aporta |
|---|---|
| Acuerdo CNO 1960 de 2025, Anexo 1 | Los requisitos: activos críticos, gobierno y personal, perímetro, seguridad de ciberactivos, recuperación, incidentes, seguridad física, cadena de suministro y gestión de riesgos |
| Anexo 2 | Los criterios de activos críticos, que definen el alcance |
| Anexo 3 | La lista de cumplimiento periódico: evidencia por numeral, período de revisión y aplicabilidad a plantas menores |
| IEC 62443-2-1:2024 | Los requisitos del programa de seguridad del propietario de sistemas en operación, organizados en elementos de programa y con un modelo de madurez para evaluarlos |
| IEC 62443-3-3:2013 | Los requisitos técnicos del sistema por requisito fundamental y nivel de seguridad |
La guía del CNO dice qué hay que demostrar. IEC 62443 ayuda a decidir cómo hacerlo bien y a medir madurez, no solo presencia. Su edición de 2024 de la parte 2-1 reconoce además que muchos sistemas instalados usan software sin soporte, y admite medidas compensatorias escritas en las políticas y procedimientos del propietario.
Cómo se hace
- Alcance. Activos del Anexo 2 y sus ciberactivos críticos
- Documentos. Políticas, procedimientos, diagramas y contratos vigentes
- Levantamiento en campo. Equipos, firmware, conexiones, cuentas, accesos remotos
- Comparación. Numeral por numeral contra el Anexo 3 y la norma de referencia
- Priorización. Riesgo de cada brecha y plazo del acuerdo que la rige
- Mapa de brechas y plan. Acciones, responsables y fechas
Alcance. Se parte de los criterios del Anexo 2: grupos de generación de 20 MW o más, subestaciones de nivel IV y superior con sus bahías, esquemas especiales de protección y de desconexión automática de carga, centros de control y de respaldo, entre otros. Las plantas menores, de más de 5 y menos de 20 MW, tienen sus requisitos mínimos señalados en el Anexo 3. Dentro de cada activo crítico se identifican los ciberactivos críticos: los equipos esenciales que usan un protocolo enrutable o de comunicación.
Documentos. Se revisan la política de ciberseguridad, los procedimientos existentes, los diagramas de red y los contratos con proveedores y contratistas, porque muchas brechas son de papel: el control existe, pero no está escrito ni hay evidencia.
Levantamiento en campo. Es la parte que más sorprende. Casi siempre aparecen un módem que nadie documentó, un switch con la contraseña de fábrica, un relé con todos los servicios activos o una VPN de un proveedor que quedó abierta. Se registran modelo, firmware, servicios, cuentas y conexiones de cada equipo, y la ruta real de cada acceso remoto.
Comparación. Cada numeral se califica con un estado claro, por ejemplo: existe con evidencia, existe sin evidencia, parcial, no existe o no aplica. Para los controles técnicos, la comparación con IEC 62443-3-3 dice si lo que hay es suficiente para el nivel de seguridad que la zona necesita, que sale del análisis de riesgo IEC 62443-3-2.
Priorización. No todas las brechas pesan igual. Un acceso remoto directo a un relé sin doble factor pesa más que un procedimiento sin firma. Cada brecha se ordena por riesgo y por el plazo del acuerdo que la rige.
Las brechas técnicas más comunes
En subestaciones y plantas, las brechas técnicas que más se repiten tienen solución conocida:
- Accesos remotos directos, sin sistema intermedio ni doble factor. La arquitectura que los corrige está en acceso remoto seguro a relés y subestaciones.
- Redes planas, donde la oficina, las cámaras y los relés comparten segmento. Se corrigen con zonas, conductos y un router y firewall industrial.
- Contraseñas de fábrica o compartidas en relés y switches; el detalle está en niveles de acceso y contraseñas de relés.
- Ningún monitoreo de eventos, que se resuelve con registros centralizados y detección de intrusos.
Los plazos del acuerdo
Los plazos se cuentan desde el 3 de abril de 2025:
| Plazo | Fecha | Qué se debe tener |
|---|---|---|
| 6 meses | 3 de octubre de 2025 | Responsable de ciberseguridad actualizado y notificado al CNO |
| 12 meses | 3 de abril de 2026 | La mayoría de procedimientos y evidencias: accesos, perímetro, conexiones temporales, vulnerabilidades, parches, recuperación, incidentes, seguridad física, cadena de suministro y riesgos |
| 24 meses | 3 de abril de 2027 | Revisión periódica del sistema de control intermedio y controles para identificar y monitorear eventos |
| 36 meses | 3 de abril de 2028 | Certificación de proveedores y contratistas sobre la evaluación de riesgos de su personal |
Los agentes nuevos tienen 12 meses desde su registro ante el ASIC. Varios de esos plazos ya vencieron, así que el plan resultante suele mezclar acciones atrasadas con preparación para los hitos de 2027 y 2028. El reporte de incidentes sigue además el Acuerdo CNO 2188 de 2026, que sustituyó al 2088.
Qué se entrega
- Mapa de brechas: cada numeral aplicable con su estado, la evidencia encontrada y lo que falta.
- Inventario técnico de los ciberactivos críticos levantados.
- Plan de tratamiento: acciones, responsables y fechas, ordenadas por riesgo y por plazo, que es además lo que la guía pide en su capítulo de gestión de riesgos.
- Controles compensatorios propuestos donde un control no es técnicamente factible en un equipo existente.
Errores frecuentes
- Evaluar solo documentos, sin ir a campo.
- Confundir tener un control con poder demostrarlo: sin evidencia, para la guía no existe.
- Dejar fuera las plantas menores o los centros de control de respaldo.
- Un plan sin dueños ni fechas, que no se puede seguir.
- Prometer cumplimiento en lugar de mostrar riesgo y avance.
Le ayudamos con la parte técnica
En Tiza Group hacemos el levantamiento técnico de relés, controladores, gateways, switches y accesos remotos de subestaciones y plantas, y configuramos los controles que resultan de la evaluación: cuentas, roles, puertos, servicios, registros, respaldo y acceso remoto, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. En relés y controladores trabajamos también a distancia con la configuración remota de relés. No emitimos certificaciones ni hacemos auditorías formales. Escríbanos y revisamos el alcance de su caso.
Guías relacionadas
- Ciberseguridad eléctrica: NERC CIP y Latinoamérica
- IEC 62443 en subestaciones: zonas, conductos y niveles SL
- Acceso remoto seguro a relés y subestaciones
- IEEE 1686: requisitos de ciberseguridad de los IED
- Gestión de configuración: versiones de ajustes y del SCD
- Ciberseguridad de subestaciones y plantas: normas y mapa
- Acuerdo CNO 1960: guía de ciberseguridad del SIN
- Inventario de activos OT de una subestación
Referencias
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, actualización de la Guía de Ciberseguridad; Anexos 1, 2 y 3.
- Consejo Nacional de Operación, Acuerdo 2188 de 2026, procedimiento y formato de reporte de incidentes cibernéticos.
- IEC 62443-2-1:2024, Security program requirements for IACS asset owners.
- IEC 62443-3-3:2013, System security requirements and security levels.
Preguntas frecuentes
¿Una evaluación de brechas certifica que cumplimos la guía del CNO?
No. El cumplimiento del Acuerdo CNO 1960 de 2025 es responsabilidad del agente y se demuestra con evidencias y con la auditoría que la propia guía prevé. La evaluación de brechas es un diagnóstico: dice qué falta, con qué riesgo y en qué orden atenderlo.
¿Por dónde se empieza?
Por el alcance: qué activos cumplen los criterios del Anexo 2 y cuáles son sus ciberactivos críticos. Sin eso, la evaluación mide lo que no corresponde. Después viene el inventario en campo, que casi siempre revela equipos y conexiones que no estaban documentados.
¿Qué diferencia hay entre la lista del CNO y la norma IEC 62443?
La guía del CNO es la obligación regulatoria en Colombia y su Anexo 3 dice qué evidencia se espera por numeral. La serie IEC 62443 es una norma técnica: IEC 62443-2-1 ordena el programa de seguridad del propietario e IEC 62443-3-3 los requisitos técnicos del sistema. Usar las dos permite cumplir y, a la vez, diseñar bien los controles.