A Comisión Nacional dos Mercados e da Competencia (CNMC) aprobou dúas metodoloxías europeas destinadas a reforzar a ciberseguridade do sistema eléctrico e mellorar a coordinación entre os Estados membros ante posibles ataques informáticos. Os documentos establecen criterios comúns para avaliar os riscos de seguridade e clasificar os ciberataques segundo a súa gravidade e impacto.
As metodoloxías forman parte do código de rede europeo de ciberseguridade para os fluxos transfronteirizos de electricidade, aprobado mediante o Regulamento Delegado (UE) 2024/1366. Este marco establece requisitos específicos para protexer as infraestruturas eléctricas, cada vez máis dixitalizadas e interconectadas, fronte a ameazas que poden afectar a varios países.
As propostas foron elaboradas pola Rede Europea de Xestores de Redes de Transporte de Electricidade (ENTSO-E), en colaboración coa entidade europea de operadores de redes de distribución (DSO Entity), e sometéronse a un proceso de consulta e cooperación entre as autoridades competentes dos Estados membros. En España, a CNMC exerce esta función mentres non se designe formalmente outra autoridade conforme ao previsto na normativa europea.
A primeira metodoloxía establece as bases para realizar avaliacións de ciberseguridade a escala nacional, rexional e europea. Estas análises permitirán identificar as ameazas existentes e determinar as súas posibles consecuencias sobre a seguridade operativa do sistema eléctrico e os intercambios transfronteirizos de enerxía.
A segunda fixa criterios harmonizados para clasificar os ciberataques en función da súa gravidade e determinar cales deben ser notificados. O obxectivo é facilitar o intercambio de información e mellorar a coordinación entre os operadores eléctricos e as autoridades responsables.
As avaliacións europeas tamén servirán para establecer os índices e limiares cos que identificar as entidades de impacto alto e crítico dentro do sistema eléctrico español. Esta clasificación poderá afectar ao operador do sistema, ao operador do mercado, ás empresas transportistas e distribuidoras, aos produtores e comercializadores de electricidade e aos agregadores.
As entidades incluídas nestas categorías deberán cumprir diferentes obrigas en función do seu nivel de impacto. Entre elas figuran a avaliación dos riscos propios, a aplicación de controis de seguridade, a implantación dun sistema de xestión da ciberseguridade e o cumprimento de requisitos de intercambio de información e preparación e xestión de crises.
A aplicación destas metodoloxías permitirá avanzar na prevención, detección e resposta ante ataques informáticos contra infraestruturas eléctricas, así como reforzar a seguridade do subministración e a resiliencia da rede europea.
