Actualizar el firmware de los inversores corrige vulnerabilidades y fallas, pero es un cambio en el equipo que decide cuánta potencia entrega la planta. Una actualización segura comprueba que el archivo es auténtico e íntegro, se evalúa y se prueba antes, se instala en una ventana acordada con la configuración respaldada, y termina con la verificación de que los parámetros de conexión aprobados por el operador de red siguen iguales. Las actualizaciones automáticas desde la nube deben poder controlarse.
Por qué el firmware del inversor importa
El inversor no es solo un convertidor de potencia: es un equipo programable que mide la red, decide cuándo conectarse y desconectarse, y regula la potencia activa y reactiva que entrega. Su firmware contiene esas funciones y también las de comunicación, cuentas y registro. Una versión con fallas puede dejar la planta fuera de servicio; una con vulnerabilidades puede abrir la puerta a cambios no autorizados.
El análisis de riesgo que SolarPower Europe encargó a DNV, publicado en abril de 2025, señaló precisamente las actualizaciones, incluidas las de seguridad, como una de las fuentes de riesgo de los sistemas fotovoltaicos. No porque actualizar sea malo, sino porque una actualización masiva desde la nube toca miles de equipos a la vez.
Remota o local
| Forma | Ventajas | Cuidados |
|---|---|---|
| Remota desde la nube del fabricante (OTA) | Llega rápido a toda la flota; corrige vulnerabilidades sin viajar | Debe poder desactivarse o aprobarse; el propietario debe saber cuándo y qué se instaló |
| Remota desde el SCADA o el datalogger de la planta | El propietario decide el momento y el alcance | El archivo debe venir de una fuente verificada y pasar por la DMZ |
| Local, en el inversor | Control total sobre cada equipo | Portátil y medios del técnico controlados; más horas de campo |
NIST IR 8498, el informe del NIST sobre ciberseguridad de inversores inteligentes, recomienda a los fabricantes que la actualización automática sea configurable, porque no sirve en todos los escenarios; que el equipo reconozca cuándo es seguro instalar y cuándo debe aplazarlo según las condiciones de operación; que avise al propietario qué cambió; que detecte una actualización fallida y vuelva a la versión anterior conocida; y que las actualizaciones de las funciones de control críticas para la seguridad solo se hagan por una interfaz local del inversor.
Qué hace segura una actualización
Autenticidad e integridad. El inversor debe aceptar solo firmware firmado por su fabricante y rechazar un archivo alterado. Entre las capacidades que IEC 62443-4-2 agrega en el nivel de seguridad SL 2 está la comprobación de autenticidad del código y de las actualizaciones. NIST IR 8498 pide un mecanismo que verifique la validez, el origen y la autenticidad antes de instalar.
Registro. El equipo debe dejar constancia de cada actualización: quién o qué la inició, de dónde vino el archivo y su información de integridad. Es una de las entradas de registro que NIST IR 8498 recomienda configurar.
Respaldo. La configuración se guarda antes y después del cambio, como lo pide la misma guía para cualquier actualización.
Momento. NIST IR 8498 advierte que el inversor solo debería permitir actualizarse cuando es seguro hacerlo. En una planta eso significa elegir la ventana: de noche o con baja irradiancia, sin consignas especiales del operador en curso y con personal disponible para revertir si algo falla. Mientras un bloque se actualiza, deja de producir; repartir la actualización por bloques limita la energía perdida y el efecto de una versión defectuosa.
Procedimiento. En la planta, la actualización se trata como cualquier cambio en un equipo crítico:
- Aviso o versión nueva del fabricante
- Evaluación. ¿Corrige algo que afecta a su planta? ¿Qué cambia?
- Prueba en un equipo. Un inversor o un bloque, con la configuración real
- Respaldo. Parámetros de red, comunicaciones y cuentas
- Instalación por bloques. En ventana acordada, con baja irradiancia si es posible
- Verificación. Parámetros de conexión, comunicación con el PPC, alarmas
- Registro. Versión instalada en el inventario y nueva referencia
Los parámetros que aprobó el operador de red
La conexión de una planta se aprueba con un conjunto de ajustes: protecciones de interconexión, respuesta ante huecos de tensión, control de potencia activa y reactiva, rampas. En Colombia esos requisitos vienen de la CREG 060 de 2019 para plantas solares y eólicas en el STN y el STR, y del Acuerdo CNO 2233 de 2026, que fija las protecciones mínimas para conectar generación al SIN. Una actualización de firmware no debe cambiar ninguno de esos valores sin que el propietario lo sepa.
Por eso, después de cada actualización, se comparan los parámetros de red contra la referencia aprobada. Si una versión nueva cambia un valor por defecto o el comportamiento de una función, se corrige y se documenta antes de devolver el bloque al servicio. Cuando el cambio altera algo que el operador de red evaluó, se coordina con él. Las consecuencias de un ajuste equivocado se ven en el inversor se desconecta de la red, y los requisitos en requisitos técnicos CREG 060 y en Acuerdo CNO 2233.
Qué pide la regulación
La Guía de Ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025, incluye en su capítulo de seguridad de ciberactivos la gestión de parches, el control de cambios y de configuraciones, y la evaluación de vulnerabilidades antes de poner en producción un ciberactivo nuevo. En una planta con activos críticos, el procedimiento de actualización de inversores es parte de esa evidencia. Para los relés de la subestación de conexión, el mismo proceso se explica en parches y firmware en relés e IED, y el conjunto de controles de la planta en ciberseguridad de plantas solares.
Cuando no se puede actualizar
A veces el fabricante ya no publica versiones para un modelo, o la actualización exige una parada que no se puede hacer pronto. NIST IR 8498 recomienda reemplazar los equipos descontinuados por modelos vigentes tan pronto como sea posible. Mientras tanto se compensa con la red: segmentación más estricta de la zona de inversores, servicios que no se usan cerrados, acceso solo por la ruta controlada de la planta y vigilancia del tráfico con detección de intrusos.
Errores frecuentes
- Dejar activa la actualización automática sin saber cuándo ni qué instala.
- Actualizar toda la planta a la vez, sin probar antes en un equipo o un bloque.
- No comparar los parámetros de red después de la actualización.
- Usar memorias USB sin control para actualizar en campo.
- No actualizar el inventario con la versión instalada en cada inversor.
Le ayudamos con el control de cambios
En Tiza Group configuramos el acceso por el que llegan las actualizaciones, el respaldo y el control de cambios de los equipos de comunicación y control de plantas solares, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. Si la actualización toca también los relés de la subestación de conexión, los respaldamos y verificamos a distancia con la configuración remota de relés. Escríbanos con los modelos y versiones de su planta.
Guías relacionadas
- Gestión de configuración: versiones de ajustes y del SCD
- El inversor se desconecta de la red
- Comunicaciones de una planta solar
- IEEE 1686: requisitos de ciberseguridad de los IED
- Acceso remoto seguro a relés y subestaciones
- Ciberseguridad de plantas solares: riesgos y controles
- NIST IR 8498: ciberseguridad de inversores inteligentes
- Parches y firmware en relés e IED: cómo gestionarlos
Referencias
- NIST IR 8498, Cybersecurity for Smart Inverters: Guidelines for Residential and Light Commercial Solar Energy Systems, diciembre de 2024 (pautas 3, 4 y 5; tabla 1, actualización de software).
- IEC 62443-4-2:2019, Technical security requirements for IACS components.
- SolarPower Europe y DNV, Solutions for PV Cyber Risks to Grid Stability, 29 de abril de 2025.
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Guía de Ciberseguridad, capítulo 7.
- CREG, Resolución 060 de 2019; Consejo Nacional de Operación, Acuerdo 2233 de 2026.
Preguntas frecuentes
¿Es mejor actualizar los inversores por la nube o en sitio?
Cada forma tiene su lugar. La remota llega rápido a cientos de inversores y facilita corregir vulnerabilidades; la local deja más control sobre cada equipo. NIST IR 8498 recomienda que las actualizaciones automáticas sean configurables y que las de funciones de control críticas para la seguridad solo se hagan por una interfaz local. Lo importante es que ninguna se instale sin que el propietario lo sepa y lo apruebe.
¿Puede una actualización cambiar los ajustes de conexión a la red?
Puede. Una versión nueva puede traer valores por defecto distintos, reorganizar parámetros o cambiar el comportamiento de una función. Por eso se respalda la configuración antes y se comparan los parámetros de red después: protecciones de interconexión, respuesta ante huecos de tensión, control de potencia activa y reactiva.
¿Qué pasa si el fabricante deja de publicar firmware para un inversor?
Las vulnerabilidades que aparezcan ya no se corregirán. NIST IR 8498 recomienda reemplazar el equipo descontinuado por un modelo vigente tan pronto como sea posible. Mientras tanto se compensan con red: segmentación más estricta, servicios innecesarios cerrados y acceso solo por una ruta controlada.