NIST IR 8498, publicado en diciembre de 2024 por el NIST de Estados Unidos, da siete pautas de ciberseguridad para los inversores inteligentes de sistemas solares residenciales y comerciales livianos: cambiar las credenciales de fábrica, usar control de acceso por roles, registrar eventos, actualizar el software, respaldar la configuración, desactivar lo que no se usa y proteger las comunicaciones. También recomienda a los fabricantes las capacidades que sus equipos deben traer para cumplirlas. No es obligatorio en Colombia, pero sirve como lista de verificación para autogeneración y como base para especificar inversores.
Qué es NIST IR 8498
NIST IR 8498, Cybersecurity for Smart Inverters: Guidelines for Residential and Light Commercial Solar Energy Systems, es un informe del Instituto Nacional de Estándares y Tecnología (NIST) de Estados Unidos, elaborado con MITRE y publicado en su versión final en diciembre de 2024. Da pautas prácticas de ciberseguridad para los inversores inteligentes de sistemas solares pequeños, residenciales y comerciales livianos, conectados a la red de distribución y que no son propiedad de la empresa de energía.
El informe parte de tres insumos: las vulnerabilidades de inversores registradas en la base de datos nacional de vulnerabilidades de Estados Unidos (NVD), los ataques conocidos a inversores y las pruebas de cinco inversores instalados. Su argumento es sencillo: un inversor residencial comprometido no afecta hoy a la red, pero a medida que crece la generación distribuida, un ataque que comprometa muchos inversores a la vez sí puede tener impacto. Y si el fabricante comparte software entre líneas de producto, una debilidad hallada en un modelo pequeño podría servir contra inversores comerciales más grandes.
Las siete pautas para propietarios, instaladores y mantenedores
| Pauta | Qué pide | Cuándo se aplica |
|---|---|---|
| 1. Cambiar contraseñas y credenciales por defecto | Cada cuenta preconfigurada con una credencial nueva y única; autenticación de varios factores para las cuentas privilegiadas; credenciales entre equipos (como certificados digitales) cambiadas también | Instalación |
| 2. Usar control de acceso por roles | Roles como instalador, mantenedor y propietario, cada uno con solo los permisos que necesita; revisión periódica de quién tiene qué rol | Instalación y mantenimiento |
| 3. Registrar eventos | Cuentas creadas o eliminadas, accesos exitosos y fallidos, cambios de configuración con valor anterior y nuevo, actualizaciones con su origen e integridad, eventos de comunicación; registros guardados en otro lugar | Instalación, operación y mantenimiento |
| 4. Actualizar el software con regularidad | Mecanismo seguro que verifique validez, origen y autenticidad; actualizaciones de seguridad tan pronto como sea posible | Instalación y mantenimiento |
| 5. Respaldar la información del sistema | Copia de la configuración después de la puesta en servicio y de cada cambio o actualización | Instalación y mantenimiento |
| 6. Desactivar lo que no se usa | Protocolos de acceso remoto, interfaces inalámbricas y accesos de invitado que la instalación no necesita | Instalación y mantenimiento |
| 7. Proteger las conexiones de comunicación | Separar el inversor del resto de la red del cliente; las conexiones con la empresa de energía o el fabricante no deben ser accesibles desde otros equipos locales; VPN donde aplique | Instalación y operación |
El informe ordena las pautas por fases del ciclo de vida (instalación, operación, mantenimiento y retiro) y trae en su apéndice C una lista de verificación de puesta en servicio que el instalador puede adaptar. Insiste en algo práctico: los ejemplos son generales, porque cada fabricante implementa las funciones de forma distinta, y el detalle está en su documentación.
Lo que pide a los fabricantes
La segunda parte del informe recomienda a los fabricantes diez capacidades, tomadas de las líneas base de ciberseguridad para dispositivos IoT del NIST (NIST IR 8259A, seis capacidades técnicas, y NIST IR 8259B, cuatro de apoyo no técnicas) y precisadas para inversores:
- Técnicas: identificación del equipo (incluido el inventario de los demás componentes del sistema), configuración, protección de datos, acceso lógico a las interfaces, actualización de software y conocimiento del estado de seguridad.
- De apoyo: documentación para aplicar las siete pautas, recepción de reportes de vulnerabilidades y de preguntas de los usuarios, difusión de información y formación de los usuarios.
Algunas recomendaciones concretas son valiosas al especificar equipos: que la actualización automática sea configurable y que el equipo sepa cuándo es seguro instalarla; que avise al propietario y vuelva a la versión anterior si falla; y que las actualizaciones de funciones de control críticas para la seguridad solo se hagan por una interfaz local. Son la base para gestionar el firmware de toda una planta sin perder el control de lo que se instala. En plantas a gran escala, estas pautas se combinan con los controles por capas de la ciberseguridad de plantas solares, y en generación distribuida con la guía IEEE 1547.3.
Lo que mostraron las pruebas
El NIST probó en el otoño de 2022 cinco inversores comerciales de 5 a 15 kW, conectados directamente, a través de un gateway o a través de la nube del fabricante. Los resultados explican por qué la especificación importa:
- Todos permitían cambiar las credenciales por defecto, pero ninguno ofrecía autenticación de varios factores.
- Todos tenían algún control de acceso por roles; tres permitían definir roles propios.
- Todos registraban eventos de operación, pero solo uno registraba eventos de seguridad.
- Todos tenían un mecanismo completo de actualización de software.
- Solo uno permitía respaldar y restaurar la configuración.
- Solo dos permitían desactivar interfaces que no se usaban.
Cómo usarla en Colombia
En autogeneración a pequeña escala y en generación distribuida, donde el inversor suele quedar en la red del cliente y conectado a la nube del fabricante, las siete pautas son una buena lista de verificación para la instalación y el mantenimiento. Los trámites y requisitos de conexión de estos sistemas están en autogeneración a pequeña escala y en autogeneración a gran escala y generación distribuida.
Al comprar inversores, las capacidades de la sección para fabricantes sirven para redactar la especificación: cuentas por rol, autenticación fuerte, registro de eventos de seguridad exportable, respaldo y restauración de configuración, actualización firmada y configurable, y posibilidad de desactivar interfaces.
En plantas a gran escala, el informe no es la referencia principal: allí rigen la Guía de Ciberseguridad del CNO (Acuerdo 1960 de 2025) para los activos que cumplen sus criterios, con el reporte de incidentes del Acuerdo CNO 2188 de 2026, y la serie IEC 62443 para el diseño. Pero las siete pautas siguen valiendo inversor por inversor, como se explica en comunicaciones de una planta solar y en acceso remoto seguro.
Le ayudamos a aplicarla
En Tiza Group configuramos de forma segura los equipos de comunicación y control de plantas solares y su acceso remoto, y revisamos la especificación de ciberseguridad de los equipos, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. Para los relés de protección de la conexión trabajamos también a distancia con la configuración remota de relés. Escríbanos con los equipos de su instalación.
Guías relacionadas
- Comunicaciones de una planta solar
- Acceso remoto seguro a relés y subestaciones
- IEEE 1686: requisitos de ciberseguridad de los IED
- Autogeneración a pequeña escala (AGPE)
- El inversor se desconecta de la red
- Firmware de inversores: actualizaciones seguras
- Ciberseguridad de plantas solares: riesgos y controles
- IEEE 1547.3: ciberseguridad de generación distribuida
Referencias
- J. McCarthy, J. Marron, D. Faatz, D. Rebori-Carretero, J. Wiltberger y N. Urlaub, NIST IR 8498, Cybersecurity for Smart Inverters: Guidelines for Residential and Light Commercial Solar Energy Systems, NIST, diciembre de 2024. https://doi.org/10.6028/NIST.IR.8498
- NIST IR 8259A, IoT Device Cybersecurity Capability Core Baseline, 2020.
- NIST IR 8259B, IoT Non-Technical Supporting Capability Core Baseline, 2021.
- Consejo Nacional de Operación, Acuerdo 1960 de 2025, Guía de Ciberseguridad.
Preguntas frecuentes
¿NIST IR 8498 es obligatoria en Colombia?
No. Es un informe técnico del NIST de Estados Unidos, sin fuerza regulatoria en Colombia. Sirve como referencia para especificar inversores, para la lista de verificación de una instalación y para el mantenimiento. Las obligaciones colombianas de ciberseguridad del sector eléctrico están en la guía del CNO, actualizada por el Acuerdo 1960 de 2025.
¿Aplica a plantas solares grandes?
Su alcance son los sistemas residenciales y comerciales livianos conectados a la red de distribución. Las siete pautas, sin embargo, son buenas prácticas válidas para cualquier inversor, y el informe advierte que una debilidad hallada en un inversor pequeño puede servir contra modelos comerciales más grandes si el fabricante comparte el software.
¿Qué encontró el NIST al probar inversores reales?
Probó cinco inversores comerciales en 2022. Todos permitían actualizar el software y tenían algún control de acceso por roles, pero ninguno ofrecía autenticación de varios factores, solo uno registraba eventos de seguridad, solo uno permitía respaldar y restaurar la configuración y solo dos dejaban desactivar interfaces que no se usaban.