NERC CIP es el conjunto de normas obligatorias de ciberseguridad del sistema eléctrico de Norteamérica y la referencia que han seguido varios países de la región. En Chile, el Coordinador Eléctrico Nacional publicó en 2020 un estándar de ciberseguridad basado en NERC CIP, con exigencias según la categoría de impacto de cada activo. En Colombia, los agentes del SIN siguen la Guía de Ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025. Para una subestación, esto se traduce en inventario, control de accesos, gestión de cambios y parches y registros.
Por qué existe una regulación de ciberseguridad eléctrica
Una subestación moderna tiene decenas de equipos programables conectados en red: relés, controladores, gateways, switches, relojes y servidores. Un acceso indebido a ellos puede dejar sin protección una línea o abrir un interruptor. Por eso los reguladores del sector eléctrico fijan requisitos mínimos de ciberseguridad para los dueños de esas instalaciones.
Esta guía resume el marco de referencia, NERC CIP, y lo verificado en el texto oficial de dos países de la región. No es asesoría legal: el cumplimiento de cada empresa se define con su área jurídica y con el texto vigente de cada norma.
NERC CIP: la referencia
NERC (North American Electric Reliability Corporation) publica las normas de confiabilidad del sistema eléctrico de Norteamérica. Las de protección de infraestructura crítica (CIP, Critical Infrastructure Protection) son las de ciberseguridad y seguridad física. Son obligatorias para las entidades registradas ante NERC.
Su lógica parte de clasificar los sistemas por su impacto en la confiabilidad del sistema eléctrico y aplicar más controles a los de mayor impacto:
| Norma | Tema |
|---|---|
| CIP-002 | Clasificación de los sistemas cibernéticos por impacto (alto, medio, bajo) |
| CIP-003 | Controles de gestión de la seguridad |
| CIP-004 | Personal y capacitación |
| CIP-005 | Perímetro de seguridad electrónica y acceso remoto |
| CIP-006 | Seguridad física de los sistemas cibernéticos |
| CIP-007 | Gestión de la seguridad de los sistemas (puertos, parches, cuentas, registros) |
| CIP-008 | Reporte y respuesta a incidentes |
| CIP-009 | Planes de recuperación |
| CIP-010 | Gestión de cambios de configuración y evaluación de vulnerabilidades |
| CIP-011 | Protección de la información |
| CIP-012 | Comunicaciones entre centros de control |
| CIP-013 | Gestión del riesgo de la cadena de suministro |
| CIP-014 | Seguridad física de subestaciones de transmisión |
Las normas se revisan por versiones. Antes de citar una, se confirma la versión vigente en el sitio oficial de NERC.
Chile: el estándar del Coordinador Eléctrico Nacional
En 2020, el Coordinador Eléctrico Nacional publicó un Estándar de Ciberseguridad para el sector eléctrico, elaborado por instrucción de la Superintendencia de Electricidad y Combustibles (SEC). Tomó NERC CIP como referencia. Sus obligaciones alcanzan al propio Coordinador y a las empresas coordinadas, y se aplican según la categoría de impacto (alto, medio o bajo) de sus activos, con plazos de adaptación escalonados.
En paralelo, la Comisión Nacional de Energía (CNE) inició en 2021 el proceso de una norma técnica de ciberseguridad y seguridad de la información para el sector, con un comité consultivo. Su estado se confirma en el sitio de la CNE antes de citarla.
Colombia: la Guía de Ciberseguridad del CNO
En Colombia, el Consejo Nacional de Operación (CNO) aprobó una guía de ciberseguridad para los agentes del Sistema Interconectado Nacional mediante el Acuerdo 788 de 2015, que se ha actualizado desde entonces. La versión vigente es la del Acuerdo CNO 1960 de 2025, que sustituye el Acuerdo 1502 de 2021 y actualiza y refuerza las medidas para generadores, transmisores, distribuidores y el operador del sistema.
Otros países
Varios países de la región tienen marcos nacionales de ciberseguridad que incluyen la infraestructura crítica, y algunos operadores del sistema exigen requisitos a sus agentes. Como no hemos verificado su texto vigente, no los resumimos aquí. Si su instalación está en otro país, el punto de partida es el regulador eléctrico y el operador del sistema.
De la regulación al control técnico
La regulación dice qué hay que lograr; en la subestación eso se traduce en controles técnicos concretos.
- 01RegulaciónNERC CIP, estándar del Coordinador, Guía del CNO
- 02RequisitoInventario, perímetro, accesos, cambios, parches, registros, incidentes
- 03Control técnicoFirewall, acceso remoto controlado, cuentas individuales, registro centralizado
- 04EvidenciaInventario actualizado, registros de acceso, historial de cambios y pruebas
| Requisito habitual | Qué significa en la subestación |
|---|---|
| Inventario de activos | Lista de cada equipo programable, su firmware, sus puertos y su conexión |
| Perímetro electrónico | Un único punto de entrada con router y firewall industrial y zonas separadas |
| Acceso remoto | Solo autorizado, por persona, con autenticación fuerte y registro |
| Cuentas y contraseñas | Cuentas individuales en los IED, sin credenciales de fábrica, con roles |
| Gestión de cambios | Configuraciones respaldadas y cambios aprobados y registrados |
| Parches y vulnerabilidades | Seguimiento de avisos del fabricante y actualización planificada del firmware |
| Registros e incidentes | Eventos de seguridad conservados y un procedimiento de respuesta |
Las normas técnicas que soportan esos controles son IEC 62351 para los protocolos, IEC 62443 para zonas, conductos y componentes, e IEEE 1686 para las capacidades de seguridad de los IED.
Qué suele faltar en subestaciones existentes
- Inventario. Muchas subestaciones no tienen una lista confiable de los equipos programables y su firmware.
- Cuentas compartidas en relés y controladores, iguales en toda la flota.
- Accesos remotos heredados, como módems o enlaces directos a un relé, que nadie recuerda.
- Configuraciones sin respaldo o con copias que no coinciden con lo que está en el equipo.
Por eso el primer paso práctico casi siempre es el mismo: levantar el inventario de cada subestación, dibujar cómo están conectados los equipos y desde dónde se accede a ellos, y comparar esa realidad con lo que exige la norma aplicable. Con ese diagnóstico se priorizan los cambios por impacto, empezando por las instalaciones de mayor categoría.
Le ayudamos con su subestación
En Tiza Group hacemos la ingeniería de comunicaciones de subestaciones con zonas, firewall y acceso remoto controlado, y configuramos las funciones de seguridad de los IED. Nuestra configuración remota de relés trabaja solo con el acceso que el dueño autoriza para cada tarea y deja registro de cada sesión. Escríbanos.
Guías relacionadas
- ¿La configuración remota de relés es segura?
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- Router y firewall industrial de subestación
- Normatividad colombiana para subestaciones y pruebas
- Normas para comunicaciones y sincronización en subestaciones
- Detección de intrusos (IDS) en redes de subestación
- Comunicaciones de subestación por nivel de tensión
- Supervisión de la red de subestación: SNMP y syslog
Referencias
- NERC, normas de confiabilidad CIP-002 a CIP-014, Critical Infrastructure Protection (consultar la versión vigente de cada una en nerc.com).
- Coordinador Eléctrico Nacional (Chile), Estándar de Ciberseguridad para el sector eléctrico, 2020.
- Consejo Nacional de Operación (Colombia), Acuerdo 1960 de 2025, actualización de la Guía de Ciberseguridad.
- Consejo Nacional de Operación (Colombia), Acuerdo 788 de 2015, Guía de Ciberseguridad.
Preguntas frecuentes
¿NERC CIP es obligatoria en Latinoamérica?
No. NERC CIP es obligatoria para las entidades registradas en el sistema eléctrico de Norteamérica. En Latinoamérica cada país tiene su propia regulación; algunos, como Chile, la tomaron como referencia para sus requisitos.
¿Quién debe cumplir la Guía de Ciberseguridad del CNO en Colombia?
Los agentes del Sistema Interconectado Nacional: generadores, transmisores, distribuidores y el operador del sistema. El alcance exacto y los plazos están en el texto del Acuerdo CNO 1960 de 2025, que conviene leer completo con el área jurídica de la empresa.
¿Qué cambia en una subestación por la regulación de ciberseguridad?
Obliga a saber qué equipos programables hay y cómo están conectados, a controlar quién accede a ellos y desde dónde, a gestionar los cambios de configuración y los parches de firmware y a conservar registros. Muchas subestaciones existentes tienen que empezar por el inventario.