El 70 al 80 por ciento de los inversores fotovoltaicos instalados en Europa provienen, según la Administración Federal, de fabricantes chinos. Paralelamente, se intensifican a nivel mundial, tanto a nivel de la UE como de los Estados federales, las iniciativas regulatorias que catalogan esta dependencia como un riesgo para la seguridad de la infraestructura energética crítica. La discusión sobre la ciberseguridad en las instalaciones de energía renovable (EE-instalaciones) se ha intensificado considerablemente.
La transición energética ha cambiado fundamentalmente la estructura de nuestra red eléctrica. De unos pocos grandes centros de generación centralizados a millones de actores descentralizados y conectados digitalmente (como parques eólicos, grandes instalaciones fotovoltaicas y plantas virtuales). A esto se suman los sistemas de gestión energética (EMS), que están conectados en tiempo real a operadores de redes, plataformas de mercado y agregadores controlados por IA, y que dirigen los flujos de energía de una empresa. Desde el punto de vista de la seguridad informática, esto crea una enorme superficie de ataque difícil de controlar. Esta está cada vez más en el foco de actores motivados por motivos geopolíticos o agrupaciones criminales.
Para los operadores e inversores de sistemas de almacenamiento de energía en baterías (BESS) y plantas fotovoltaicas, esto da lugar a un nuevo campo de cumplimiento de tres vías. La aplicación de la directiva NIS-2 en la ley alemana de seguridad informática (BSIG) y la ley de la industria energética (EnWG), la Ley de Resiliencia Cibernética (CRA) de la UE, así como la reforma en curso de la Ley de Ciberseguridad (CSA) con una posible lista de fabricantes de alto riesgo. Este artículo analiza la situación actual y muestra lo que pasa a ser relevante para los operadores a partir de ahora.
Por qué el tema escale ahora
El tema se está volviendo más importante porque los convertidores de frecuencia y los sistemas de gestión de baterías (BMS) ya no son componentes pasivos, sino que son componentes conectados a la nube, con actualizaciones de firmware y, en algunos casos, funciones de control remoto de alcance amplio. Es precisamente esta conectividad lo que atrae la atención de las autoridades de seguridad: no la tecnología solar o de almacenamiento en sí, sino el control sobre las interfaces digitales.
Entre los desencadenantes de la actual polémica figuraron informes según los cuales se identificaron componentes de comunicación no documentados en los convertidores de carga chinos y también en las baterías de varios proveedores chinos – algunos de ellos, según informes de prensa, incluso incluían módulos de telefonía móvil. Hasta ahora, estas informaciones no se habían podido verificar de forma independiente, pero han llevado a una reevaluación regulatoria acelerada tanto en los Estados Unidos como en la UE.
El Gobierno federal basa su evaluación de riesgos no solo en criterios técnicos, sino también expresamente en criterios jurídicos y geopolíticos: las empresas chinas están sujeta a amplias obligaciones legales de cooperación con los organismos estatales, lo que, desde una perspectiva alemana y europea, representa un riesgo estructural independiente de cada caso particular.
Las tres áreas principales del debate sobre ciberseguridad
El “choque regulatorio”: NIS-2 y los nuevos catálogos de seguridad de TI
Los torniquetes legales en materia de ciberseguridad se están apretando notablemente. Los operadores de instalaciones de energías renovables se encuentran bajo una presión masiva para implementar las nuevas normativas legales:
- Implementación de NIS-2: La directiva europea de ciberseguridad obliga ahora también a muchos operadores medianos y proveedores. Si antes solo las instalaciones a partir de 104 MW se consideraban “Infraestructura Crítica” (KRITIS), ahora son muchas más. Además, la ley marco KRITIS de enero de 2026 amplía la protección física de las instalaciones de energías renovables, prescribe análisis de riesgos, medidas de resiliencia, así como gestión de crisis y emergencias, y define obligaciones de notificación. Por lo tanto, la Asociación Federal de Energías Renovables (BEE) exige sensatez para que los operadores más pequeños no se vean abrumados burocráticamente.
- Actualización de los catálogos de seguridad informática: La Bundesnetzagentur ha endurecido los requisitos para los operadores de redes eléctricas y sistemas. El enfoque ahora se centra mucho más en una orientación procesal: esto implica análisis continuos de riesgos y un sistema de gestión de continuidad de negocio (BCM) funcional para poder seguir trabajando en caso de averías.
Vulnerabilidades técnicas y el “dilema de la nube”
El Servicio Federal de Seguridad de la Información (BSI) y expertos de la industria advierten sobre deficiencias estructurales en la ciberseguridad de las instalaciones de energía renovable en la práctica:
- Accesibilidad directa a Internet: Muchos sistemas fotovoltaicos y de energía eólica se conectaron rápidamente a la red en el pasado sin que la seguridad informática fuera una prioridad. Los puertos abiertos en el router o las contraseñas predeterminadas suelen facilitar las cosas a los atacantes.
- Dependencia de las nubes de los fabricantes: Un gran tema de discusión es la dependencia funcional de los sistemas de control respecto a las nubes de los fabricantes (a menudo en países extracomunitarios). Si la nube falla o es pirateada, el operador pierde el control de la instalación. Por lo tanto, la BSI recomienda encarecidamente cambiar al funcionamiento local o utilizar conexiones altamente seguras (como VPN).
- Falta de segmentación: A diferencia de las antiguas centrales eléctricas de combustibles fósiles, las redes en las instalaciones de energía renovable a menudo no están claramente separadas en TI administrativa y tecnología operativa (OT).
La cadena de suministro como puerta de entrada (riesgos en la cadena de suministro)
Un atacante no necesita hackear individualmente cada instalación eólica o parque solar. Si la software del fabricante de los inversores de carga o del proveedor de servicios de mantenimiento remoto se compromete, pueden manipularse a la vez miles de instalaciones. Esto también se aplica a la infraestructura digital de C&I storage o BESS de utility scale. NIS-2 se compromete explícitamente con toda la cadena de suministro. Los operadores deben verificar activamente a sus proveedores y la seguridad cibernética de los componentes adquiridos.
El riesgo sistémico: Una sola turbina eólica pirateada no pone en peligro la red eléctrica. Sin embargo, si miles de generadores decentralizados se desconectan o manipulan de forma coordinada a través de interfaces mal aseguradas o redes de bots, esto puede poner en peligro la estabilidad de toda la red eléctrica.
La tríada regulatoria para la ciberseguridad: NIS-2, CRA y la reforma de la CSA
Bruselas y Berlín han respondido a esta situación de aglomeración de áreas de ataque tecnológica, concentración del mercado y control geopolítico. No con una sola ley, sino con un marco regulatorio en tres etapas. Este aborda la ciberseguridad de forma separada para operadores, fabricantes y proveedores individuales. Estas tres regulaciones se superponen, se entrelazan y son relevantes para los operadores de plantas de energía solar fotovoltaica (BESS) y de energía eólica (PV):
Resumen rápido
| NIS-2 (BSIG/EnWG) | Ley de Resiliencia Cibernética | Reforma de la CSA / Lista de fabricantes de alto riesgo | |
| Naturaleza jurídica | Ley nacional (Ley de transposición de NIS-2), implementada a través de la BSIG y la EnWG (artículo 5c y siguientes) | Reglamento de la UE, directamente aplicable, sin necesidad de transposición nacional | Revisión de un reglamento de la UE existente, actualmente en proceso legislativo |
| Dirigido | Operadores (operadores de redes y de instalaciones, servicios energéticos digitales / agregadores) | Fabricantes, importadores y distribuidores de productos con elementos digitales | Fabricante de componentes TIC críticos; posibles prohibiciones de uso para determinados proveedores |
| Regula | Seguridad de la TI organizativa, gestión de riesgos, obligaciones de notificación, uso de componentes críticos | Seguridad desde el diseño, gestión de vulnerabilidades, marcado CE para productos digitales | esquemas de certificación (entre otros, EUCC/ECCF), posibles prohibiciones de fabricantes según el modelo de la caja de herramientas de 5G |
| Organismos competentes | BSI, BNetzA, BMI (en componentes críticos), BBK (Ley marco de infraestructuras críticas - KRITIS-Dachgesetz) | Autoridad nacional de supervisión del mercado, ENISA, organismos de evaluación de la conformidad notificados | ENISA (ampliación de competencias prevista), Comisión Europea |
| Plazos centrales | En vigor desde el 5/12/2025; registro en un plazo de 3 meses; pruebas de resiliencia en un plazo de 3 años | Obligaciones de notificación a partir del 11.09.2026; obligaciones completas, incluida la marca CE, a partir del 11.12.2027 | Propuesta presentada en enero de 2026; proceso legislativo en curso, calendario aún abierto |
| Marco de sanciones | Multas de entre 100.000 € y 20 millones de €, en parte en función de la cifra de negocios | Prohibición de acceso al mercado en caso de no conformidad, multas | Posible exclusión total del mercado de los fabricantes cotizados |
| Relevancia para BESS/PV | Los operadores deben demostrar la gestión de riesgos, la detección de ataques y, en su caso, la exclusión de componentes críticos. | Los fabricantes de inversores y BMS deben asegurar los productos durante todo su ciclo de vida y notificar las vulnerabilidades | Decidan qué fabricantes (por ejemplo, de China) siguen siendo admisibles en absoluto para proyectos financiados por la UE o críticos |
Importante para la categorización: Los tres reglamentos funcionan de forma complementaria. NIS-2 obliga al operador, mientras que CRA obliga al fabricante; la reforma de la CSA podría decidir sobre qué fabricantes aún serán aceptables. Un operador puede estar en conformidad con NIS-2 y, sin embargo, utilizar un producto que posteriormente se incluya en una lista de alto riesgo. Así, aunque los temas son jurídicamente separados, no se pueden considerar aisladamente en la práctica.
¿Qué es un «componente crítico» y quién puede prohibirlo?
La Ley de transposición de la Directiva NIS-2 ha suprimido la anterior y onerosa obligación de presentar declaraciones de garantía por parte de los fabricantes de componentes críticos y la ha sustituido por un procedimiento de verificación y prohibición más flexible y orientado al riesgo. El Ministerio Federal del Interior (BMI) puede prohibir a los operadores de instalaciones críticas el uso de componentes críticos de un fabricante o dictar órdenes al respecto si se prevé que dicho uso pueda afectar al orden público o a la seguridad. En su evaluación, el BMI tiene en cuenta, entre otras cosas, si:
- el fabricante esté controlado directa o indirectamente por el gobierno de un tercer país,
- el fabricante esté obligado o pueda ser obligado a cooperar con las autoridades estatales o las fuerzas armadas de un tercer país,
- el fabricante haya participado en actividades que puedan afectar al orden público o a la seguridad de la República Federal o de otros Estados de la UE o de la AELC.
En el sector energético, las funciones y los componentes críticos están definidos fundamentalmente desde 2025; a partir de 2026, deberán notificarse a las autoridades en el marco del registro como operadores de instalaciones críticas. Para los gestores de redes de transporte ya se aplican especificaciones concretas para las funciones de control de redes y sistemas; la ampliación a otras categorías de instalaciones es previsible.
A nivel de la UE, el debate da un paso más: el Banco Europeo de Inversiones ya está excluyendo gradualmente la nueva financiación para proyectos con inversores de estados de alto riesgo (China, Rusia, Irán, Corea del Norte), con un periodo de transición para los proyectos en curso hasta el 1 de noviembre de 2026 y una fase más estricta a partir de abril de 2027. Según la Comisión, los inversores representan alrededor del 5 por ciento de los costes de las grandes instalaciones solares; el cambio a proveedores de menor riesgo aumentará los costes totales del proyecto en un estimado de menos del 2 por ciento.
¿La importación de componentes en lugar de la importación de productos acabados como solución para la ciberseguridad?
La opinión pública suele simplificar el debate convirtiéndolo en una confrontación entre „fabricantes chinos vs. fabricantes europeos”. En la práctica, en CUBE CONCEPTS observamos una tercera forma cada vez más común de combinar seguridad cibernética y economía: los fabricantes importan componentes individuales —células solares o módulos, células de batería, semiconductores de potencia— directamente de China, montan los productos finales (el módulo, el convertidor de frecuencia, el acumulador de energía) en Europa y los equipan aquí con software de control, comunicación y seguridad europeos.
Para la clasificación regulatoria, esto es relevante porque tanto NIS-2/BSIG como la lista de fabricantes de alto riesgo en discusión se basan principalmente en el fabricante legal y sus condiciones de control, y no en el origen de los componentes individuales. Los criterios de examen del Ministerio del Interior (BMI) mencionados (control por parte de un gobierno de un tercer país, obligaciones de cooperación con organismos estatales) están adaptados al fabricante en sentido legal, no a la cadena de fabricación física de los productos intermedios. Esto abre un margen de interpretación que aún no se ha aclarado del todo en los textos legislativos y consultas actuales:
- ¿Se considera un inversor cuyos semiconductores de potencia provienen de China, pero que es fabricado finalmente por una empresa europea con firmware europeo, como producto de un fabricante de alto riesgo?
- ¿Es suficiente una capa de software y comunicación europea para abordar las preocupaciones sobre el acceso remoto y las puertas traseras que se discuten en relación con los fabricantes chinos, o sigue persistiendo un riesgo a nivel de componentes, por ejemplo, en las celdas de batería con firmware de BMS integrado de fábrica?
- ¿Cómo se refleja una cadena de fabricación híbrida de este tipo en el marco de la evaluación de la conformidad con la CRA (lista de componentes/SBOM, documentación técnica según el anexo VII), cuando los productos intermedios esenciales proceden de proveedores de terceros países?
Para los proyectistas, operadores e inversores, esto significa que limitarse a comprobar el país de origen del fabricante no es suficiente. Quien quiera hacer afirmaciones fiables sobre la cadena de suministro debería informarse además sobre el origen de los componentes críticos (química de células, electrónica de potencia, módulos de comunicación), así como sobre el control a nivel de software y firmware, independientemente de dónde se realice el montaje final.
BESS frente a inversor fotovoltaico: diferentes perfiles de riesgo
El debate público sobre la ciberseguridad se ha centrado hasta ahora fuertemente en los inversores fotovoltaicos, porque su concentración de mercado en fabricantes chinos (entre otros, Huawei, Sungrow, Ginlong Solis) es especialmente pronunciada. Para los operadores de sistemas de almacenamiento de energía en baterías (BESS), se deben considerar varios puntos por separado:
- Los sistemas de gestión de baterías (BMS) y la electrónica de potencia (PCS) están sujetos a los mismos riesgos de conectividad fundamentales que los inversores solares – según informes de prensa, los informes sobre módulos de comunicación no documentados no solo afectaban a los inversores solares, sino también a las baterías de varios proveedores chinos.
- Los grandes almacenes de energía con contratos de servicios de red (energía regulada, redispatch) son potencialmente más sensibles desde el punto de vista de la estabilidad de la red que las pequeñas instalaciones distribuidas, ya que agrupan una potencia concentrada con relevancia directa para el sistema; además, normalmente ya cumplen requisitos más estrictos, como el NIS-2 o el catálogo de seguridad informática del BNetzA, cuando se consideran instalaciones críticas.
- Las instalaciones más pequeñas y distribuidas (almacenamiento doméstico, pequeños sistemas C&I) suelen estar menos reguladas, aunque también están conectadas a las propias nubes de la empresa o a los backends de los instaladores, lo que puede representar un riesgo agregado.
Para los operadores y inversores, esto significa que la evaluación de ciberseguridad de un proyecto no debe contemplar solo el nivel de los convertidores, sino toda la cadena digital: BMS, EMS, PCS, módulos de comunicación y las respectivas conexiones de backend.
Implicaciones prácticas para operadores e inversores
- Documentar la selección de proveedores: Quien sea o pueda llegar a ser operador de una instalación crítica ya debería documentar hoy de forma trazable el origen y la estructura de control legal de los fabricantes de inversores, BMS y PCS, y no solo cuando amenace una orden de prohibición. Esto incluye el nivel de componentes: en el caso de un montaje final europeo con productos intermedios chinos, vale la pena echar un vistazo al origen de la química de las celdas, los semiconductores y el firmware.
- Controlar los plazos: Las obligaciones de notificación de la CRA para los fabricantes se aplican a partir de septiembre de 2026, y los requisitos completos a partir de diciembre de 2027. Los operadores deben exigir a sus proveedores pruebas de la hoja de ruta de la CRA a su debido tiempo, aunque la obligación recaiga formalmente en el fabricante.
- Comprobar afectación por NIS-2: Incluso los operadores que hasta ahora no estaban clasificados tradicionalmente como sujetos a KRITIS (como los servicios energéticos digitales o los agregadores) pueden pasar a estar bajo el ámbito de la ley BSIG o la ley EnWG debido a la ampliación del grupo destinatario.
- El desarrollo regulatorio aún no ha concluido: La reforma de la normativa de ciberseguridad, con la posible lista de fabricantes de alto riesgo, aún se encuentra en trámite legislativo; la exclusión de determinados fabricantes es probable, pero el alcance y el momento oportuno aún están abiertos.
Cronología: Los plazos más importantes en materia de ciberseguridad
Preguntas frecuentes
¿Se van a prohibir los inversores chinos en la UE?
A fecha de julio de 2026, no existe una prohibición general. Sin embargo, el BEI excluye progresivamente la nueva financiación para proyectos con inversores de países de alto riesgo, y la Comisión Europea debate en el marco de la reforma de la CSA una lista de fabricantes de alto riesgo siguiendo el modelo de la caja de herramientas de 5G. Además, el Ministerio del Interior (BMI) en Alemania puede prohibir el uso de componentes críticos de determinados fabricantes en casos individuales.
¿A partir de cuándo se aplica la Ley de Resiliencia Cibernética a los componentes de BESS?
Las obligaciones de notificación de vulnerabilidades activamente explotadas se aplican a los fabricantes a partir del 11 de septiembre de 2026. Los requisitos completos, incluido el marcado CE para productos con elementos digitales, se aplican a partir del 11 de diciembre de 2027.
¿Son los operadores de sistemas de almacenamiento de energía en batería (BESS) automáticamente sujetos a la normativa NIS-2?
No. Las obligaciones de NIS-2 se rigen por el tamaño de la planta, el sector y la clasificación como instalación crítica según la ordenanza alemana BSI-KritisV, o según los umbrales para las entidades «importantes» y «esenciales». Es necesario realizar un examen caso por caso.
¿Qué diferencia a NIS-2 de la Ley de Resiliencia Cibernética?
NIS-2 se dirige a los operadores de instalaciones y redes y regula la ciberseguridad organizativa (gestión de riesgos, obligaciones de notificación). El CRA se dirige a los fabricantes de productos con elementos digitales y regula la seguridad de los productos durante todo su ciclo de vida.