La CNMC ha aprobado las metodologías que determinarán cómo se evalúan los riesgos de ciberseguridad del sector eléctrico y cómo se clasifica la gravedad de los ataques que puedan afectar a los flujos transfronterizos de electricidad. La decisión establece una referencia común para España y el resto de la Unión Europea y prepara el terreno para identificar qué compañías tendrán la consideración de entidades de impacto alto o crítico, una clasificación que llevará asociadas obligaciones específicas de gestión de riesgos, controles, información y preparación ante crisis. La decisión de la CNMC se adoptó el 15 de octubre y se publicó el 30 de octubre de 2026.
Las dos metodologías forman parte del código de red europeo de ciberseguridad para los flujos transfronterizos de electricidad, establecido mediante el Reglamento Delegado (UE) 2024/1366. La norma, en vigor desde junio de 2024, introduce requisitos sectoriales sobre evaluación de riesgos, controles de seguridad, supervisión, intercambio de información, notificación de ataques y gestión de crisis. Complementa el marco horizontal de la Directiva NIS2 cuando están implicados los flujos eléctricos entre Estados miembros.
Una misma metodología para medir el riesgo eléctrico
La primera metodología establece cómo realizar las evaluaciones de riesgos a escala de la Unión Europea, de cada región de operación del sistema y de cada Estado miembro. El objetivo es utilizar criterios comparables para determinar qué procesos pueden comprometer la seguridad operativa de la red y qué consecuencias tendría su interrupción o manipulación.
El análisis se centra en el efecto que un ciberataque tendría sobre el sistema eléctrico. Entre las métricas previstas figuran la pérdida de carga, la reducción de generación, la degradación de frecuencia o tensión y otros impactos que puedan afectar al funcionamiento de la red. A diferencia de una evaluación corporativa convencional, el marco europeo no utiliza como referencia principal el daño económico, jurídico o reputacional para la empresa, sino las consecuencias sobre la operación eléctrica y los intercambios transfronterizos.
Para España, la metodología introduce valores concretos en dos de esas métricas. Cuando se evalúe la pérdida de carga o la reducción de generación a escala nacional, el umbral de alto impacto se sitúa en 1.000 MW y el de impacto crítico en 3.000 MW. Otros indicadores utilizan los umbrales correspondientes a la región eléctrica del sudoeste europeo. Estos valores sirven para homogeneizar la medición de las consecuencias de un posible ataque y alimentar los índices que posteriormente se emplearán en la identificación de procesos y entidades relevantes.
La metodología contempla además amenazas vinculadas a la cadena de suministro, indisponibilidad de productos o servicios TIC, accesos no autorizados y malware. Las entidades clasificadas como de impacto alto o crítico deberán comunicar sus evaluaciones mediante plantillas comunes, mientras que las autoridades nacionales tendrán que agregar esa información para elaborar sus propios análisis y remitirlos al nivel europeo.
Cinco niveles para clasificar los ciberataques
La segunda metodología aborda una cuestión distinta: cómo determinar la gravedad de un ataque una vez detectado. El sistema utiliza cinco niveles, con «alto» y «crítico» como las dos categorías superiores, y combina tres elementos: la posible causa del incidente, el impacto potencial sobre los activos afectados y la severidad alcanzada por el atacante.
La evaluación comienza distinguiendo si el origen puede considerarse malicioso, no malicioso o todavía incierto. Un evento con causa maliciosa o incierta continúa dentro del proceso de clasificación, mientras que uno inequívocamente no malicioso queda fuera de esta metodología de notificación de ciberataques. La clasificación debe revisarse si posteriormente cambia la información disponible sobre el origen, el impacto o la severidad.
El impacto potencial depende de la relación de los activos comprometidos con los perímetros de alto impacto o impacto crítico de la organización. La severidad, por otro lado, trata de reflejar cuánto ha avanzado el atacante. La metodología permite utilizar como referencia las tácticas de MITRE ATT&CK para entornos corporativos e industriales: desde actividades de reconocimiento o acceso inicial hasta movimientos laterales, exfiltración, alteración del control de procesos o acciones capaces de interrumpir la operación. Un impacto potencial crítico combinado con una severidad crítica lleva el incidente al máximo nivel de gravedad.
La armonización tiene una consecuencia práctica para los operadores. Incidentes similares deberán evaluarse con parámetros equivalentes en distintos países, reduciendo las diferencias nacionales a la hora de decidir qué ataques requieren notificación y facilitando que autoridades, operadores de transporte y distribución y organismos europeos compartan información comparable.
Las empresas de impacto alto y crítico afrontarán más obligaciones
El siguiente paso será trasladar estas métricas a la identificación definitiva de las entidades sometidas al régimen reforzado. El ámbito potencial incluye operadores de sistemas y mercados, transportistas, distribuidoras, productores, comercializadores, agregadores y otras organizaciones que intervienen en procesos capaces de afectar a los flujos eléctricos transfronterizos. El expediente DCOOR/DE/002/25 recoge tanto las metodologías ahora aprobadas como las actuaciones anteriores sobre la identificación provisional de compañías de impacto alto y crítico.
España ya confeccionó en 2025 una lista provisional utilizando índices de impacto también provisionales. Esa clasificación permitía a las entidades afectadas empezar a cumplir voluntariamente las obligaciones del reglamento por precaución. La designación definitiva dependerá de la evaluación europea y de los índices ECII resultantes. El Reglamento fija que las autoridades nacionales deberán notificar formalmente a las compañías consideradas de impacto alto o crítico en un plazo máximo que, en cualquier caso, termina el 13 de junio de 2028.
A partir de esa notificación comenzarán a correr varios plazos empresariales. Las entidades designadas deberán realizar una gestión periódica de sus riesgos de ciberseguridad, mantener inventarios de los activos incluidos en sus perímetros relevantes y preparar planes de mitigación. En un plazo de 12 meses tendrán que presentar a la autoridad competente un informe de evaluación de riesgos que incluya los controles seleccionados y, para los procesos relevantes, el riesgo sobre la confidencialidad, integridad y disponibilidad de la información.
El marco también obliga a implantar un sistema de gestión de la ciberseguridad dentro de los 24 meses posteriores a la designación. Para las entidades de impacto crítico se añaden mecanismos de verificación más exigentes y controles avanzados, incluidos requisitos sobre la seguridad de la cadena de suministro y la contratación de productos, servicios y procesos TIC. Esto trasladará parte del cumplimiento más allá de los equipos de seguridad: compras, gestión de proveedores, continuidad de negocio, operación de redes y alta dirección deberán trabajar sobre un mismo perímetro de riesgos.
Mientras se completa ese proceso, la CNMC continúa ejerciendo como autoridad competente por defecto para este código de red. El Reglamento europeo había previsto que los Estados miembros designaran una autoridad específica antes del 13 de diciembre de 2024, pero la propia resolución de octubre de 2026 señala que España todavía no había efectuado esa designación y que, hasta entonces, corresponde a la CNMC asumir esas funciones.
La aprobación de las metodologías reduce una de las principales incertidumbres técnicas del nuevo régimen: cómo convertir un incidente digital en una medida comparable de impacto sobre el sistema eléctrico. Para las empresas que terminen dentro de las categorías de alto impacto o crítico, esa medición determinará el alcance de sus controles, sus procesos de reporte y parte de sus exigencias sobre proveedores tecnológicos durante los próximos años.
