Varios países ya regulan quién puede entrar a distancia a los sistemas de control de la generación. La Unión Europea, con su código de red de ciberseguridad (Reglamento Delegado 2024/1366), pide controles sobre el acceso de los proveedores a los activos de las entidades críticas. Lituania restringió por ley el acceso remoto de empresas de ciertos países a plantas de más de 100 kW. Brasil prohíbe que el entorno regulado por el ONS sea accesible desde internet salvo por VPN para actividades autorizadas. En Colombia, la guía del CNO exige sistema intermedio, doble factor y cifrado. La tendencia es clara: el acceso remoto se permite, pero controlado y por un solo camino.
Por qué el acceso remoto se volvió un tema regulatorio
Una planta solar moderna se opera y se mantiene a distancia. El fabricante del inversor la ve desde su nube, el mantenedor diagnostica sin viajar y el propietario consulta su producción desde el teléfono. Esa conectividad es un beneficio, pero también significa que alguien fuera del país puede, en principio, cambiar la potencia de miles de inversores a la vez. Los reguladores lo han notado, y desde 2021 han aparecido reglas en varios países. Esta guía resume las que se pudieron verificar en su fuente oficial o en fuentes públicas de referencia. Cómo se ordena ese acceso en la práctica está en acceso remoto de fabricantes a inversores.
Unión Europea: el código de red de ciberseguridad
El Reglamento Delegado (UE) 2024/1366 de la Comisión, del 11 de marzo de 2024, publicado en el Diario Oficial de la Unión Europea el 24 de mayo de 2024, establece un código de red con normas sectoriales para la ciberseguridad de los flujos transfronterizos de electricidad. Completa la Directiva (UE) 2022/2555 (NIS2) para el sector eléctrico.
Se aplica a las entidades que el propio reglamento clasifica como de impacto alto o de impacto crítico (artículo 24): empresas eléctricas, operadores de mercado, proveedores de servicios de TIC críticos, proveedores de servicios de seguridad gestionados, entre otros (artículo 2). Les pide gestión de riesgos a nivel de entidad (artículo 26), controles mínimos y avanzados de ciberseguridad (artículo 29) y controles en la cadena de suministro (artículo 33).
Lo que toca directamente el acceso remoto está en ese artículo 33: los controles mínimos de la cadena de suministro deben incluir recomendaciones de contratación que abarquen, entre otros puntos, el acceso del proveedor a los activos de la entidad y un diseño de redes en el que los dispositivos no se consideren fiables aun dentro de un perímetro seguro, con verificación de cada solicitud y principio del mínimo privilegio.
El sector solar europeo ha pedido ir más lejos. SolarPower Europe, con un análisis de riesgo encargado a DNV y publicado el 29 de abril de 2025, propuso crear controles de ciberseguridad específicos para la fotovoltaica controlada a distancia y limitar el acceso remoto y el control de los sistemas fotovoltaicos de la Unión desde fuera de ella a través del inversor. Es una propuesta de la industria, no una norma.
Lituania: restricción por ley
En noviembre de 2024, el Parlamento de Lituania modificó su Ley de Electricidad para impedir que empresas de países que su estrategia de seguridad nacional considera una amenaza tengan acceso remoto a los sistemas de control de plantas solares, eólicas y de baterías de más de 100 kW. Según la información pública del Gobierno recogida por la radio pública LRT, la norma no prohíbe los equipos ya instalados ni obliga a retirarlos, pero exige a sus operadores salvaguardas de ciberseguridad adicionales, y empezó a regir el 1 de mayo de 2025.
Brasil: la rutina operativa del ONS
El Operador Nacional del Sistema Eléctrico (ONS) emitió la rutina operativa RO-CB.BR.01, Controles mínimos de segurança cibernética para o Ambiente Regulado Cibernético, revisión 00, vigente desde el 9 de julio de 2021, dentro del submódulo 5.13 de sus procedimientos. Su ámbito es el ambiente regulado cibernético (ARCiber): los centros de operación de los agentes, los equipos de la infraestructura que envía o recibe datos y voz hacia el ONS o hacia otros agentes, y el ambiente operativo del propio ONS.
Sobre el acceso, la rutina es directa:
- las redes se segmentan como mínimo en zona de supervisión, DMZ operativa y zona corporativa;
- el ARCiber no debe ser accesible directamente desde internet, aunque esté protegido por firewalls, y sus activos no deben poder conectarse a internet;
- el acceso desde redes externas solo se permite para actividades autorizadas, por VPN o tecnología similar, a través de un gateway o servicio con controles de seguridad.
Además pide inventario de activos al menos cada 24 meses (con fabricante, función, dirección, protocolo y versión de firmware), credenciales individuales, contraseñas distintas de las de fábrica y que los activos nuevos se conecten solo después de aplicar los parches disponibles. Los plazos de implantación fueron de 18 y 27 meses desde su entrada en vigor.
Norteamérica: NERC CIP
En Estados Unidos y Canadá, las normas NERC CIP son obligatorias para las entidades registradas. Para el acceso remoto interactivo a los sistemas de impacto alto y medio, CIP-005 exige un sistema intermedio, cifrado que termine en él y autenticación de varios factores. El contexto completo está en regulación de ciberseguridad eléctrica en Latinoamérica, que también trata el estándar chileno.
Colombia: la guía del CNO
La Guía de Ciberseguridad del CNO, actualizada por el Acuerdo 1960 de 2025, aplica a los agentes con activos que cumplen sus criterios de criticidad, entre ellos los grupos de generación de 20 MW o más. Para el acceso remoto exige doble factor de autenticación, monitoreo, cifrado, control de la autorización y un sistema intermedio fuera del perímetro de seguridad lógica, y su capítulo de cadena de suministro pide gestionar el riesgo de los proveedores y contratistas que acceden a ciberactivos críticos. Los incidentes se reportan según el Acuerdo CNO 2188 de 2026, que sustituyó al 2088.
Lo que viene: la Resolución 40333 de 2026 del Ministerio de Minas y Energía ordenó en su artículo 7 a la CREG regular, en un plazo no mayor a 24 meses, la seguridad informática del STN y del STR, con auditorías y evaluaciones periódicas de vulnerabilidad, capacitación y las funciones de un CSIRT del sector eléctrico, alineada con estándares como los de NERC e IEC.
Comparación
| Jurisdicción | Instrumento | Qué dice del acceso remoto |
|---|---|---|
| Unión Europea | Reglamento Delegado 2024/1366 | Controles sobre el acceso de proveedores a activos de entidades de impacto alto y crítico |
| Lituania | Enmienda a la Ley de Electricidad (2024) | Restringe el acceso remoto de empresas de ciertos países a plantas de más de 100 kW |
| Brasil | ONS RO-CB.BR.01 (2021) | Ambiente regulado no accesible desde internet; acceso externo solo por VPN para actividades autorizadas |
| Norteamérica | NERC CIP-005 | Sistema intermedio, cifrado y autenticación de varios factores |
| Colombia | Acuerdo CNO 1960 de 2025 | Sistema intermedio, doble factor, cifrado, monitoreo y control de la autorización |
Lo que se puede tomar de todo esto
La dirección es la misma en todas partes. Nadie prohíbe el mantenimiento remoto; lo que se exige es que pase por un solo camino controlado, con identidad de cada persona, autorización para cada tarea, cifrado y registro, y que el contrato con el proveedor diga qué puede hacer. Una planta colombiana que hoy ordene así el acceso de sus fabricantes queda bien parada frente a la guía del CNO y frente a la regulación que prepare la CREG. La arquitectura está en acceso remoto seguro a relés y subestaciones, y su aplicación a una planta en comunicaciones de una planta solar.
Le ayudamos a ordenar el acceso
En Tiza Group diseñamos y configuramos el acceso remoto de subestaciones y plantas solares, con firewall, servidor de salto, cuentas individuales y registro, también para los fabricantes de inversores, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas. Nuestra configuración remota de relés sigue esas mismas reglas: sesiones que usted autoriza, cifradas y registradas. Escríbanos y revisamos cómo entran hoy los terceros a su planta.
Guías relacionadas
- Ciberseguridad eléctrica: NERC CIP y Latinoamérica
- Acceso remoto seguro a relés y subestaciones
- Comunicaciones de una planta solar
- ¿Es segura la configuración remota de relés?
- Router y firewall industrial de subestación: IEC 62443 y VPN
- Acceso remoto de fabricantes a inversores solares
- Acuerdo CNO 1960: guía de ciberseguridad del SIN
- Ciberseguridad de subestaciones y plantas: normas y mapa
Referencias
- Reglamento Delegado (UE) 2024/1366 de la Comisión, de 11 de marzo de 2024, código de red sobre normas sectoriales específicas para los aspectos relativos a la ciberseguridad de los flujos transfronterizos de electricidad, DO L de 24.5.2024 (artículos 2, 24, 26, 29 y 33).
- SolarPower Europe y DNV, Solutions for PV Cyber Risks to Grid Stability, 29 de abril de 2025.
- LRT (radio y televisión pública de Lituania), nota sobre la enmienda a la Ley de Electricidad, 12 de noviembre de 2024.
- ONS, Rotina Operacional RO-CB.BR.01, revisão 00, Controles mínimos de segurança cibernética para o Ambiente Regulado Cibernético, vigência 09/07/2021, Submódulo 5.13.
- NERC, CIP-005, Cyber Security – Electronic Security Perimeter(s).
- Consejo Nacional de Operación, Acuerdo 1960 de 2025 y Acuerdo 2188 de 2026.
- Ministerio de Minas y Energía, Resolución 40333 de 2026, artículo 7, Diario Oficial 53.566.
Preguntas frecuentes
¿Hay alguna norma que prohíba al fabricante del inversor acceder a mi planta?
En Colombia, no como tal. La guía del CNO no prohíbe el acceso remoto de terceros; exige que pase por un sistema intermedio, con doble factor, cifrado, monitoreo y control de la autorización, y que se gestione el riesgo de los proveedores. Algunos países europeos, como Lituania, sí restringieron por ley el acceso remoto de empresas de determinados países.
¿Qué exige Brasil para el acceso remoto?
La rutina operativa RO-CB.BR.01 del ONS establece que el ambiente regulado cibernético no debe ser accesible directamente desde internet ni conectarse a ella, y que el acceso desde redes externas solo se permite para actividades autorizadas, por VPN o tecnología similar, a través de un gateway o servicio con controles de seguridad.
¿Qué viene en Colombia?
La Resolución 40333 de 2026 del Ministerio de Minas y Energía ordenó a la CREG regular en un plazo no mayor a 24 meses la seguridad informática del STN y del STR, con auditorías, evaluaciones de vulnerabilidad, capacitación y un CSIRT del sector eléctrico. Mientras tanto rige la Guía de Ciberseguridad del CNO.