NERC CIP es el conjunto de normas obligatorias de ciberseguridad y seguridad física del sistema eléctrico de Norteamérica. Clasifica los sistemas cibernéticos por su impacto (alto, medio o bajo) y aplica más controles a los de mayor impacto: perímetro y acceso remoto, puertos, parches, cuentas, registros, gestión de cambios, incidentes, recuperación y cadena de suministro. No es obligatoria en Colombia, pero la Guía de Ciberseguridad del CNO se construyó tomándola como referente principal, y aparece en pliegos de empresas multinacionales.
Qué es NERC CIP
NERC (North American Electric Reliability Corporation) publica las normas de confiabilidad del sistema eléctrico de Norteamérica, y la FERC las aprueba para Estados Unidos. Las de protección de infraestructura crítica (CIP, Critical Infrastructure Protection) tratan la ciberseguridad y la seguridad física. Son obligatorias para las entidades registradas ante NERC y su cumplimiento se audita.
Su lógica es de riesgo: primero se clasifica cada sistema cibernético por el impacto que tendría su compromiso en el sistema eléctrico, y después se le aplican controles proporcionales. El detalle de cómo CIP-002 clasifica una subestación y de los requisitos concretos de acceso remoto, parches, registros y línea base está en ciberseguridad eléctrica: NERC CIP y Latinoamérica. Aquí se ordena el conjunto y se revisan las novedades.
Las normas, por tema
Las versiones de la tabla son las que cita como referencia la Guía de Ciberseguridad del CNO (Acuerdo 1960 de 2025). NERC revisa sus normas con frecuencia, así que antes de citar una en un contrato se confirma la versión vigente en nerc.com.
| Norma | Tema | Lo que se traduce en la subestación |
|---|---|---|
| CIP-002-5.1a | Categorización de los sistemas por impacto | Saber qué subestaciones y sistemas son de impacto alto, medio o bajo |
| CIP-003-9 | Controles de gestión de la seguridad | Políticas y, para impacto bajo, controles mínimos de acceso y de equipos transitorios |
| CIP-004-7 | Personal y entrenamiento | Quién tiene acceso, con qué verificación y entrenamiento, y cómo se le retira |
| CIP-005-7 | Perímetro de seguridad electrónica | Puntos de acceso controlados y acceso remoto por un sistema intermedio, cifrado y con autenticación multifactor |
| CIP-006-6 | Seguridad física de los sistemas cibernéticos | Control de acceso físico a cuartos de control y comunicaciones |
| CIP-007-6 | Gestión de la seguridad del sistema | Puertos necesarios, parches, malware, registros y contraseñas |
| CIP-008-6 | Reporte y respuesta a incidentes | Plan de respuesta y reporte |
| CIP-009-6 | Planes de recuperación | Respaldos y recuperación probada |
| CIP-010-4 | Configuración, cambios y vulnerabilidades | Línea base de firmware, puertos y parches, y evaluación de vulnerabilidades |
| CIP-011-3 | Protección de la información | Protección de la información de los sistemas |
| CIP-012-1 | Comunicación entre centros de control | Protección de los datos entre centros de control |
| CIP-013-2 | Cadena de suministro | Riesgos de proveedores, incluido su acceso remoto |
| CIP-014-3 | Seguridad física de subestaciones de transmisión | Evaluación y protección física de subestaciones críticas |
| CIP-015-1 | Monitoreo de seguridad de la red interna | Vigilancia del tráfico dentro del perímetro |
Novedades aprobadas en 2025 y 2026
CIP-015-1, monitoreo de la red interna (INSM). La FERC la aprobó el 26 de junio de 2025 con la Orden 907. Exige monitoreo de seguridad de la red interna para los sistemas de impacto alto, tengan o no conectividad enrutable externa, y para los de impacto medio con conectividad enrutable externa. La misma orden pidió a NERC extender el monitoreo a los sistemas de control o monitoreo de acceso electrónico y a los de control de acceso físico ubicados fuera del perímetro; NERC presentó en 2026 la CIP-015-2 con ese fin. Es la misma idea que la detección de intrusos en redes de subestación: conocer el tráfico normal y alertar ante lo distinto.
CIP-003-11, impacto bajo. La FERC la aprobó en una acción publicada el 24 de marzo de 2026 y vigente desde el 26 de mayo de 2026, y retiró la versión anterior a partir de su entrada en vigor. Su objetivo es reducir el riesgo de un ataque coordinado contra muchas instalaciones de impacto bajo, cuyo efecto agregado puede ser mucho mayor que el de una sola. Agrega tres tipos de control para los activos de impacto bajo con conectividad enrutable externa: autenticar a los usuarios remotos, proteger la información de autenticación en tránsito y detectar comunicaciones maliciosas hacia esos activos o entre ellos. Incorpora además las revisiones de virtualización.
Virtualización (Orden 919). En la misma fecha, la FERC aprobó once normas CIP modificadas y cuatro definiciones nuevas del glosario de NERC para permitir el uso seguro de la virtualización y otras tecnologías nuevas. Pidió a NERC criterios claros para la excepción «según la capacidad del sistema» (per system capability), que aparece en varios requisitos.
La tendencia es clara: los controles que antes se pedían solo a las instalaciones grandes bajan a las de impacto bajo, que en número son la mayoría, y el acceso remoto de usuarios y proveedores está en el centro.
Qué se puede tomar en Colombia
En Colombia NERC CIP no obliga, pero pesa por tres vías:
- La guía del CNO se construyó sobre ella. El Anexo 1 del Acuerdo 1960 declara que se elaboró tomando como referente principal las normas CIP-002 a CIP-014, seleccionando y adaptando lo aplicable al caso colombiano. Conceptos como ciberactivo crítico, perímetro de seguridad lógica, sistema de control intermedio para el acceso remoto, medios extraíbles y ciberactivos transitorios vienen de allí.
- La regulación que viene la mira. La Resolución 40333 de 2026 del Ministerio de Minas y Energía ordenó a la CREG regular la seguridad informática del STN y del STR en 24 meses, alineada con estándares internacionales como los de NERC e IEC.
- Los pliegos. Empresas con operaciones en Norteamérica suelen pedir a sus contratistas prácticas alineadas con CIP-005, CIP-007, CIP-010 y CIP-013.
Lo útil para una subestación colombiana no es copiar la estructura de cumplimiento de NERC, sino tomar sus requisitos técnicos como lista de buenas prácticas medibles: acceso remoto solo por un sistema intermedio con autenticación multifactor, puertos y servicios mínimos, una línea base de firmware y configuración que se compara periódicamente con lo instalado, evaluación de parches con plazos definidos, registros conservados y monitoreo del tráfico interno. Las normas técnicas que materializan esos controles son IEC 62443, IEC 62351 e IEEE 1686.
- Requisito CIP de referencia
- Equivalente en la guía del CNO. Numeral del Anexo 1 del Acuerdo 1960
- Control técnico. Firewall, sistema intermedio, cuentas, línea base, registro
- Evidencia. Procedimiento, configuración guardada, registros
- Requisito cubierto con su evidencia
Lo que no conviene hacer
- Citar una versión sin verificarla. Las normas CIP cambian de versión y de fecha de exigibilidad con frecuencia.
- Confundir aprobación con exigibilidad. Una norma aprobada por la FERC entra a regir según su plan de implementación, que puede dar meses o años.
- Usar la clasificación de CIP-002 en lugar de la del CNO. En Colombia, los activos críticos se identifican con los criterios del Anexo 2 del Acuerdo 1960.
Configuramos sus equipos con criterios medibles
En Tiza Group configuramos relés, controladores, gateways y switches con cuentas individuales, puertos y servicios mínimos, registro de eventos y respaldo de la configuración, en subestaciones e industria, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. El acceso de ingeniería a los relés lo resolvemos con la configuración remota de relés, que trabaja por el sistema intermedio y en las ventanas que usted autoriza. Escríbanos.
Guías relacionadas
- Ciberseguridad eléctrica: NERC CIP y Latinoamérica
- Acceso remoto seguro a relés y subestaciones
- Detección de intrusos (IDS) en redes de subestación
- Gestión de configuración: versiones de ajustes y del SCD
- IEC 62443 en subestaciones: zonas, conductos y niveles SL
- Ciberseguridad de subestaciones y plantas: normas y mapa
- Acuerdo CNO 1960: guía de ciberseguridad del SIN
- Acceso remoto a plantas solares: reglas en el mundo
Referencias
- NERC, normas de confiabilidad CIP-002 a CIP-015 (versión vigente en nerc.com).
- FERC, Orden 907 (26 de junio de 2025), aprobación de CIP-015-1, Internal Network Security Monitoring, expediente RM24-7-000.
- FERC, acción final sobre CIP-003-11, Cyber Security – Security Management Controls, Federal Register, documento 2026-05711 (24 de marzo de 2026).
- FERC, Orden 919, Virtualization Reliability Standards, expediente RM24-8-000, Federal Register, documento 2026-05716 (24 de marzo de 2026).
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Anexo 1, numeral 1.1.
- Ministerio de Minas y Energía, Resolución 40333 de 2026, artículo 7.
Preguntas frecuentes
¿Una empresa colombiana tiene que cumplir NERC CIP?
No. NERC CIP es obligatoria para las entidades registradas ante NERC en Norteamérica. En Colombia, los agentes del SIN siguen la Guía de Ciberseguridad del CNO (Acuerdo 1960 de 2025), que se elaboró tomando como referente principal las normas CIP. NERC CIP puede aparecer como requisito contractual en pliegos de empresas con operaciones en Norteamérica.
¿Qué cambió con CIP-003-11?
La FERC la aprobó con una acción vigente desde el 26 de mayo de 2026. Refuerza los controles de los sistemas de impacto bajo con conectividad enrutable externa: autenticar a los usuarios remotos, proteger la información de autenticación en tránsito y detectar comunicaciones maliciosas hacia esos activos o entre ellos. La exigibilidad para cada entidad sigue el plan de implementación aprobado.
¿Qué es CIP-015?
Es la norma de monitoreo de seguridad de la red interna (INSM). Pide vigilar el tráfico dentro del perímetro de los sistemas de impacto alto y de los de impacto medio con conectividad enrutable externa, para detectar actividad anómala. La FERC la aprobó en 2025 con la Orden 907 y pidió a NERC extenderla a otros sistemas.