Del 70 al 80 por ciento de los inversores fotovoltaicos utilizados en Europa proceden de fabricantes chinos, según la estimación del Gobierno federal alemán. Paralelamente, se están intensificando a nivel mundial, de la UE y federal las iniciativas regulatorias que clasifican precisamente esta dependencia como un riesgo de seguridad para la infraestructura energética crítica. El debate sobre la Ciberseguridad se ha intensificado masivamente en las instalaciones de energías renovables (instalaciones ER).
Desde la perspectiva de la seguridad informática, esto genera una superficie de ataque enorme y difícil de controlar. Esta se encuentra cada vez más en el punto de mira de actores motivados geopolíticamente o de organizaciones criminales.
Para los operadores e inversores de sistemas de almacenamiento de energía en baterías (BESS) y plantas fotovoltaicas, esto da lugar a un nuevo campo de cumplimiento de tres vías. La aplicación de la directiva NIS-2 en la ley alemana de seguridad informática (BSIG) y la ley de la industria energética (EnWG), la Ley de Resiliencia Cibernética (CRA) de la UE, así como la reforma en curso de la Ley de Ciberseguridad (CSA) con una posible lista de fabricantes de alto riesgo. Este artículo analiza la situación actual y muestra lo que pasa a ser relevante para los operadores a partir de ahora.
Por qué el tema escale ahora
El tema está escalando porque los inversores y los sistemas de gestión de baterías (BMS) ya no son componentes pasivos, sino componentes conectados en red y con capacidad de mantenimiento remoto y conexión a la nube, actualizaciones de firmware y funciones de control remoto en parte de gran alcance. Precisamente esta conectividad las sitúa en el punto de mira de las autoridades de seguridad; no la tecnología solar o de almacenamiento en sí, sino el control sobre las interfaces digitales.
El detonante del debate actual fueron, entre otros, los informes según los cuales en los inversores chinos y también en las baterías de varios proveedores chinos componentes de comunicación no documentados identificados – según informes de prensa que citan a funcionarios del gobierno estadounidense en parte con módulos de telefonía móvil incluidos. Hasta ahora no ha sido posible verificar la información de forma independiente, pero ha llevado a una reevaluación regulatoria acelerada tanto en los Estados Unidos como en la UE.
El Gobierno federal basa su evaluación de riesgos no solo en criterios técnicos, sino también expresamente en criterios jurídicos y geopolíticos: las empresas chinas están sujeta a amplias obligaciones legales de cooperación con los organismos estatales, lo que, desde una perspectiva alemana y europea, representa un riesgo estructural independiente de cada caso particular.
Las tres áreas principales del debate sobre ciberseguridad
El “choque regulatorio”: NIS-2 y los nuevos catálogos de seguridad de TI
Los torniquetes legales en materia de ciberseguridad se están apretando notablemente. Los operadores de instalaciones de energías renovables se encuentran bajo una presión masiva para implementar las nuevas normativas legales:
- Implementación de NIS-2: La directiva europea de ciberseguridad obliga ahora también a muchos operadores medianos y proveedores. Si antes solo las instalaciones a partir de 104 MW se consideraban “Infraestructura Crítica” (KRITIS), ahora son muchas más. Además, la ley marco KRITIS de enero de 2026 amplía la protección física de las instalaciones de energías renovables, prescribe análisis de riesgos, medidas de resiliencia, así como gestión de crisis y emergencias, y define obligaciones de notificación. Por lo tanto, la Asociación Federal de Energías Renovables (BEE) exige sensatez para que los operadores más pequeños no se vean abrumados burocráticamente.
- Actualización de los catálogos de seguridad de TI: La Agencia Federal de Redes ha endurecido los requisitos para los operadores de redes eléctricas y de instalaciones. El foco se centra ahora mucho más en Orientación a procesos – esto significa análisis de riesgos continuos y una gestión de continuidad del negocio (BCM) funcional para poder seguir operando en caso de interrupciones.
Vulnerabilidades técnicas y el “dilema de la nube”
El Servicio Federal de Seguridad de la Información (BSI) y expertos de la industria advierten sobre deficiencias estructurales en la ciberseguridad de las instalaciones de energía renovable en la práctica:
- Accesibilidad directa a Internet: Muchos sistemas fotovoltaicos y de energía eólica se conectaron rápidamente a la red en el pasado sin que la seguridad informática fuera una prioridad. Los puertos abiertos en el router o las contraseñas predeterminadas suelen facilitar las cosas a los atacantes.
- Dependencia de las nubes de los fabricantes: Un gran tema de discusión es la dependencia funcional de los sistemas de control respecto a las nubes de los fabricantes (a menudo en países extracomunitarios). Si la nube falla o es pirateada, el operador pierde el control de la instalación. Por lo tanto, la BSI recomienda encarecidamente cambiar al funcionamiento local o utilizar conexiones altamente seguras (como VPN).
- Falta de segmentación: A diferencia de las antiguas centrales eléctricas de combustibles fósiles, las redes en las instalaciones de energía renovable a menudo no están claramente separadas en TI administrativa y tecnología operativa (OT).
La cadena de suministro como puerta de entrada (riesgos en la cadena de suministro)
Un atacante no tiene que hackear cada aerogenerador o parque solar individualmente. Si el software del fabricante del inversor formador de red o el proveedor de servicios de mantenimiento remoto se ve comprometido, se pueden manipular miles de instalaciones a la vez. Esto se aplica igualmente a la infraestructura digital de Almacenamiento C&I o BESS a escala de servicios públicos. Por lo tanto, NIS-2 incluye explícitamente la cadena de suministro completa en la obligación. Los operadores deben comprobar activamente a sus proveedores de servicios y la ciberseguridad de los componentes adquiridos.
El riesgo sistémico: Una sola turbina eólica pirateada no pone en peligro la red eléctrica. Sin embargo, si miles de generadores decentralizados se desconectan o manipulan de forma coordinada a través de interfaces mal aseguradas o redes de bots, esto puede poner en peligro la estabilidad de toda la red eléctrica.
La tríada regulatoria para la ciberseguridad: NIS-2, CRA y la reforma de la CSA
A esta compleja situación de superficie de ataque técnica, concentración de mercado y control geopolítico han reaccionado Bruselas y Berlín. Y lo han hecho no con una sola ley, sino con un marco regulatorio de múltiples etapas. Aborda la ciberseguridad para operadores, fabricantes y proveedores individuales por separado. Estos tres conjuntos de normas se solapan, se interconectan y son relevantes para los operadores de instalaciones BESS y fotovoltaicas:
Resumen rápido
| NIS-2 (BSIG/EnWG) | Ley de Resiliencia Cibernética | Reforma de la CSA / Lista de fabricantes de alto riesgo | |
| Naturaleza jurídica | Ley nacional (Ley de transposición de NIS-2), implementada a través de la BSIG y la EnWG (artículo 5c y siguientes) | Reglamento de la UE, directamente aplicable, sin necesidad de transposición nacional | Revisión de un reglamento de la UE existente, actualmente en proceso legislativo |
| Dirigido | Operadores (operadores de redes y de instalaciones, servicios energéticos digitales / agregadores) | Fabricantes, importadores y distribuidores de productos con elementos digitales | Fabricante de componentes TIC críticos; posibles prohibiciones de uso para determinados proveedores |
| Regula | Seguridad de la TI organizativa, gestión de riesgos, obligaciones de notificación, uso de componentes críticos | Seguridad desde el diseño, gestión de vulnerabilidades, marcado CE para productos digitales | esquemas de certificación (entre otros, EUCC/ECCF), posibles prohibiciones de fabricantes según el modelo de la caja de herramientas de 5G |
| Organismos competentes | BSI, BNetzA, BMI (en componentes críticos), BBK (Ley marco de infraestructuras críticas - KRITIS-Dachgesetz) | Autoridad nacional de supervisión del mercado, ENISA, organismos de evaluación de la conformidad notificados | ENISA (ampliación de competencias prevista), Comisión Europea |
| Plazos centrales | En vigor desde el 5/12/2025; registro en un plazo de 3 meses; pruebas de resiliencia en un plazo de 3 años | Obligaciones de notificación a partir del 11.09.2026; obligaciones completas, incluida la marca CE, a partir del 11.12.2027 | Propuesta presentada en enero de 2026; proceso legislativo en curso, calendario aún abierto |
| Marco de sanciones | Multas de entre 100.000 € y 20 millones de €, en parte en función de la cifra de negocios | Prohibición de acceso al mercado en caso de no conformidad, multas | Posible exclusión total del mercado de los fabricantes cotizados |
| Relevancia para BESS/PV | Los operadores deben demostrar la gestión de riesgos, la detección de ataques y, en su caso, la exclusión de componentes críticos. | Los fabricantes de inversores y BMS deben asegurar los productos durante todo su ciclo de vida y notificar las vulnerabilidades | Decidan qué fabricantes (por ejemplo, de China) siguen siendo admisibles en absoluto para proyectos financiados por la UE o críticos |
Importante para la clasificación: Los tres conjuntos de normas actúan de manera complementaria. NIS-2 obliga a Operador, la CRA obliga a la Fabricante, la reforma de la CSA determina potencialmente qué fabricantes seguirán estando autorizados. Un operador puede estar preparado para cumplir con NIS-2 y, sin embargo, utilizar un producto que posteriormente se vea afectado por una lista de alto riesgo. De este modo, aunque los temas están separados jurídicamente, en la práctica no deben considerarse de forma aislada.
¿Qué es un „componente crítico” y quién puede prohibirlo?
La Ley de transposición de la Directiva NIS-2 ha suprimido la anterior y onerosa obligación de presentar declaraciones de garantía por parte de los fabricantes de componentes críticos y la ha sustituido por un procedimiento de verificación y prohibición más flexible y orientado al riesgo. El Ministerio Federal del Interior (BMI) puede prohibir a los operadores de instalaciones críticas el uso de componentes críticos de un fabricante o dictar órdenes al respecto si se prevé que dicho uso pueda afectar al orden público o a la seguridad. En su evaluación, el BMI tiene en cuenta, entre otras cosas, si:
- el fabricante esté controlado directa o indirectamente por el gobierno de un tercer país,
- el fabricante esté obligado o pueda ser obligado a cooperar con las autoridades estatales o las fuerzas armadas de un tercer país,
- el fabricante haya participado en actividades que puedan afectar al orden público o a la seguridad de la República Federal o de otros Estados de la UE o de la AELC.
En el sector energético, las funciones y los componentes críticos están definidos fundamentalmente desde 2025; a partir de 2026, deberán notificarse a las autoridades en el marco del registro como operadores de instalaciones críticas. Para los gestores de redes de transporte ya se aplican especificaciones concretas para las funciones de control de redes y sistemas; la ampliación a otras categorías de instalaciones es previsible.
A nivel de la UE, el debate da un paso más: el Banco Europeo de Inversiones ya está excluyendo gradualmente la nueva financiación para proyectos con inversores de estados de alto riesgo (China, Rusia, Irán, Corea del Norte), con un periodo de transición para los proyectos en curso hasta el 1 de noviembre de 2026 y una fase más estricta a partir de abril de 2027. Según la Comisión, los inversores representan alrededor del 5 por ciento de los costes de las grandes instalaciones solares; el cambio a proveedores de menor riesgo aumentará los costes totales del proyecto en un estimado de menos del 2 por ciento.
¿La importación de componentes en lugar de la importación de productos acabados como solución para la ciberseguridad?
El público suele simplificar el debate en una oposición „fabricantes chinos frente a fabricantes europeos”. En la práctica, en CUBE CONCEPTS observamos un tercer camino, cada vez más extendido, que combina la ciberseguridad y la rentabilidad. Los fabricantes importan componentes individuales —células o módulos solares, celdas de batería, semiconductores de potencia— directamente desde China y montan los productos finales (módulo, inversor, Almacenamiento en batería) en Europa y los equipan aquí con software europeo de control, comunicación y seguridad.
Para la clasificación regulatoria, esto es relevante porque tanto NIS-2/BSIG como la lista de fabricantes de alto riesgo en discusión se basan principalmente en el fabricante legal y sus condiciones de control, y no en el origen de los componentes individuales. Los criterios de examen del Ministerio del Interior (BMI) mencionados (control por parte de un gobierno de un tercer país, obligaciones de cooperación con organismos estatales) están adaptados al fabricante en sentido legal, no a la cadena de fabricación física de los productos intermedios. Esto abre un margen de interpretación que aún no se ha aclarado del todo en los textos legislativos y consultas actuales:
- ¿Se considera un inversor cuyos semiconductores de potencia provienen de China, pero que es fabricado finalmente por una empresa europea con firmware europeo, como producto de un fabricante de alto riesgo?
- ¿Es suficiente una capa de software y comunicación europea para abordar las preocupaciones sobre el acceso remoto y las puertas traseras que se discuten en relación con los fabricantes chinos, o sigue persistiendo un riesgo a nivel de componentes, por ejemplo, en las celdas de batería con firmware de BMS integrado de fábrica?
- ¿Cómo se refleja una cadena de fabricación híbrida de este tipo en el marco de la evaluación de la conformidad con la CRA (lista de componentes/SBOM, documentación técnica según el anexo VII), cuando los productos intermedios esenciales proceden de proveedores de terceros países?
Para los proyectistas, operadores e inversores, esto significa que limitarse a comprobar el país de origen del fabricante no es suficiente. Quien quiera hacer afirmaciones fiables sobre la cadena de suministro debería informarse además sobre el origen de los componentes críticos (química de células, electrónica de potencia, módulos de comunicación), así como sobre el control a nivel de software y firmware, independientemente de dónde se realice el montaje final.
BESS frente a inversor fotovoltaico: diferentes perfiles de riesgo
El debate público sobre la ciberseguridad se ha centrado hasta ahora fuertemente en los inversores fotovoltaicos, porque su concentración de mercado en fabricantes chinos (entre otros, Huawei, Sungrow, Ginlong Solis) es especialmente pronunciada. Para los operadores de sistemas de almacenamiento de energía en baterías (BESS), se deben considerar varios puntos por separado:
- Sistemas de gestión de baterías (BMS) y electrónica de potencia (PCS) están sujetos a los mismos riesgos fundamentales de conectividad que los inversores; según informes de prensa, los informes sobre módulos de comunicación no documentados afectaron no solo a los inversores, sino también a los componentes de baterías de varios proveedores chinos.
- Almacenamiento a gran escala FTM con contratos de servicios de red (energía de regulación, redispatch) son potencialmente más sensibles desde el punto de vista de la estabilidad de la red que las instalaciones pequeñas distribuidas, ya que agrupan potencia concentrada con relevancia directa para el sistema; al mismo tiempo, por lo general ya están sujetos hoy en día a requisitos más estrictos, por ejemplo mediante NIS-2 o el catálogo de seguridad de TI de la BNetzA, si están clasificados como instalaciones críticas.
- Instalaciones más pequeñas y distribuidas (almacenamiento residencial, pequeños sistemas C&I) tienden a estar peor regulados, según Solarpower Europe, a pesar de que también están conectados a través de nubes propias del fabricante o backends de instaladores y, por lo tanto, pueden representar un riesgo agregado.
Para operadores e inversores, esto significa que la evaluación de la ciberseguridad de un proyecto no debe centrarse únicamente en el nivel del inversor, sino en toda la cadena digital: BMS, EMS, PCS, Módulos de comunicación y sus respectivas conexiones de backend.
Implicaciones prácticas para operadores e inversores
- Documentar la selección de proveedores: Quien sea o pueda llegar a ser operador de una instalación crítica ya debería documentar hoy de forma trazable el origen y la estructura de control legal de los fabricantes de inversores, BMS y PCS, y no solo cuando amenace una orden de prohibición. Esto incluye el nivel de componentes: en el caso de un montaje final europeo con productos intermedios chinos, vale la pena echar un vistazo al origen de la química de las celdas, los semiconductores y el firmware.
- Controlar los plazos: Las obligaciones de notificación de la CRA para los fabricantes se aplican a partir de septiembre de 2026, y los requisitos completos a partir de diciembre de 2027. Los operadores deben exigir a sus proveedores pruebas de la hoja de ruta de la CRA a su debido tiempo, aunque la obligación recaiga formalmente en el fabricante.
- Comprobar afectación por NIS-2: Incluso los operadores que hasta ahora no estaban clasificados tradicionalmente como sujetos a KRITIS (como los servicios energéticos digitales o los agregadores) pueden pasar a estar bajo el ámbito de la ley BSIG o la ley EnWG debido a la ampliación del grupo destinatario.
- El desarrollo regulatorio aún no ha concluido: La reforma de la normativa de ciberseguridad, con la posible lista de fabricantes de alto riesgo, aún se encuentra en trámite legislativo; la exclusión de determinados fabricantes es probable, pero el alcance y el momento oportuno aún están abiertos.
Cronología: Los plazos más importantes en materia de ciberseguridad
Preguntas frecuentes
¿Se van a prohibir los inversores chinos en la UE?
A fecha de julio de 2026, no existe una prohibición general. Sin embargo, el BEI excluye progresivamente la nueva financiación para proyectos con inversores de países de alto riesgo, y la Comisión Europea debate en el marco de la reforma de la CSA una lista de fabricantes de alto riesgo siguiendo el modelo de la caja de herramientas de 5G. Además, el Ministerio del Interior (BMI) en Alemania puede prohibir el uso de componentes críticos de determinados fabricantes en casos individuales.
¿A partir de cuándo se aplica la Ley de Resiliencia Cibernética a los componentes de BESS?
Las obligaciones de notificación de vulnerabilidades activamente explotadas se aplican a los fabricantes a partir del 11 de septiembre de 2026. Los requisitos completos, incluido el marcado CE para productos con elementos digitales, se aplican a partir del 11 de diciembre de 2027.
¿Son los operadores de sistemas de almacenamiento de energía en batería (BESS) automáticamente sujetos a la normativa NIS-2?
No. Las obligaciones de NIS-2 se rigen por el tamaño de la planta, el sector y la clasificación como instalación crítica según la ordenanza alemana BSI-KritisV, o según los umbrales para las entidades „importantes” y „esenciales”. Es necesario realizar un examen caso por caso.
¿Qué diferencia a NIS-2 de la Ley de Resiliencia Cibernética?
NIS-2 se dirige a los operadores de instalaciones y redes y regula la ciberseguridad organizativa (gestión de riesgos, obligaciones de notificación). El CRA se dirige a los fabricantes de productos con elementos digitales y regula la seguridad de los productos durante todo su ciclo de vida.