ES-ISAC Energía

El  pasado  18  de  mayo  de  2026  tuvo  lugar  la  tercera  reunión  de  la Comisión  de  Seguimiento  del  ES-ISAC  Energía,  un  encuentro  clave para impulsar la ciberseguridad sectorial.

Durante  esta  sesión,  los  miembros  que  integran  el  ES-ISAC  (AEE, APPA Renovables, Foro  Nuclear, SEDIGAS, UNEF  e INCIBE)  revisaron  de  forma conjunta la propuesta de objetivos e indicadores previstos para el año 2026, consolidando así una hoja de ruta común para los próximos meses.

OBJETIVOS PREVISTOS PARA EL AÑO 2026

La Comisión ha revisado la previsión de objetivos abordados en la reunión anterior y ha establecido una línea base sólida que permita dar continuidad a las acciones emprendidas hasta la fecha. Esta planificación se ha concebido con la flexibilidad necesaria para integrar nuevas iniciativas que puedan surgir a lo largo del ejercicio, dando acomodo a las prioridades emergentes del sector.

• Mejora  continua.  A  partir  de  las  lecciones  aprendidas  durante  el ejercicio anterior, se ha definido un conjunto de acciones concretas orientadas  a  seguir  evolucionando  el  marco  de  trabajo  del  ES-ISAC Energía y reforzar su valor para las entidades participantes.

• Informe de situación, edición 2026. Próximamente se compartirá con las entidades finales una radiografía actualizada del estado de la ciberseguridad  del  sector,  elaborada  a  partir  de  información  sobre ciberamenazas,   vulnerabilidades,   ciberincidentes,   cumplimiento normativo y madurez general en materia de ciberseguridad. 

• Boletines.  Se  está  estudiando  para  este  ejercicio  la  puesta  en marcha de un canal de compartición de indicadores específicos del sector,   generados   a   partir   de   información   propia,   con   una periodicidad inicial trimestral. 

• Difusión del ES-ISAC Energía a través de entidades de primer nivel. Se ha acordado una propuesta de canalización de la difusión del ES-ISAC apoyándose en las propias entidades que lo conforman, multiplicando así el alcance y la capilaridad del proyecto. 

• Seminarios  web  de  interés  para  el  sector.  Se  continuará trabajando  en  el  diseño  y  puesta  en  marcha  de  seminarios  web especializados  en  ciberseguridad,  concebidos  como  herramientas prácticas y de aplicación directa para los profesionales del sector. 

• Comunicaciones de interés para el sector. Como objetivo clave, se  seguirá  dinamizando  la  compartición  asíncrona  de  información restringida de valor para las empresas finales, a través de los canales ya establecidos. 

• Ciberejercicio  sectorial,  1er  trimestre.   Se   ha   analizado   el resultado de la convocatoria de entrenamiento que permitió ofrecer al sector un ciberejercicio doble a comienzos de año: una vertiente orientada  a  los  niveles  de  gestión  y  otra  dirigida  a  entrenar capacidades técnicas, abordando así dos dimensiones esenciales de la respuesta ante incidentes. 

• Ciberejercicio sectorial, 2do trimestre. Se dará continuidad a las acciones de entrenamiento con una segunda convocatoria dentro del mismo  año.  El  diseño  se  encuentra  ya  en  fase  de  cierre,  con  la colaboración   directa   de   expertos   procedentes   de   las   propias entidades finales del ES-ISAC Energía. 

• Evaluación de riesgos coordinada a nivel de la Unión Europea. Un total de 25 expertos de las entidades finales del ES-ISAC Energía participan  activamente  en  la  evaluación  de  riesgos  que  se  está desarrollando  en  el  marco  del  NIS  Cooperation  Group,  conforme  al artículo 22 de la Directiva NIS 2, bajo la coordinación de la Comisión Europea (DG CNECT) y ENISA.

CONCLUSIONES Y PERSPECTIVAS

En  síntesis,  durante  esta  tercera  Comisión  de  Seguimiento  del  ES-ISAC Energía se han revisado los objetivos e indicadores previstos para 2026 con un  doble  propósito:  dar  continuidad  a  la  labor  desarrollada  el  pasado ejercicio  y  elevar  el  impacto  de  las  acciones  emprendidas.  Se  han consolidado   diversas   líneas   maestras   de   actuación   centradas   en   la compartición de información sectorial, la difusión del ES-ISAC, la formación y la concienciación. Como reflexión general, desde el ES-ISAC Energía se subraya la necesidad de que las empresas de los sectores energético y nuclear sigan elevando de  forma  decidida  el  nivel  de  ciberseguridad  de  sus  infraestructuras  de generación,   transporte,   distribución   y   cadena   de   suministro.   Los ciberincidentes  observados  en  el  panorama  internacional  evidencian  que las entidades del sector energía y también las instalaciones nucleares, se encuentran  entre  los  objetivos  de  actores  hostiles,  lo  que  refuerza  la importancia de que las empresas del sector estén preparadas y participen activamente  en  iniciativas  como  el  ES-ISAC  Energía  para  fortalecer  su ciberseguridad y resiliencia colectiva. 

De cara al futuro próximo, es previsible que las ciberamenazas dirigidas a la  energía  y  a  la  industria  nuclear  nacionales  continúen  creciendo  en volumen  y  sofisticación,  con  ataques  cada  vez  más  dirigidos  contra infraestructuras críticas, sistemas de control industrial (OT/ICS), propiedad intelectual   sensible   y   datos   operativos   de   alto   valor.   La   transición energética, la creciente digitalización de las redes eléctricas, la integración masiva  de  energías  renovables,  la  adopción  de  tecnologías  4.0  como  IoT industrial,  cloud  e  inteligencia  artificial,  junto  con  la  exigente  regulación específica  de  la  industria  nuclear,  configuran  un  escenario  en  el  que  la superficie de exposición se amplía y los riesgos a gestionar se multiplican. 

En  este  contexto,  será  determinante  que  las  empresas  de  los  sectores energético y nuclear continúen durante el 2026 situando la ciberseguridad en   el   primer   plano   de   sus   prioridades   estratégicas,   incrementando inversiones,    desarrollando    capacidades    internas    especializadas    y colaborando  estrechamente  con  entidades  como  el  ES-ISAC  Energía.  Solo desde   un   enfoque   coordinado,   basado   en   la   confianza   mutua   y   la inteligencia compartida, será posible afrontar con garantías los desafíos de un  escenario  de  amenaza  creciente  y  proteger  unas  infraestructuras  que resultan esenciales para el funcionamiento del país.

La resiliencia del sector energético no se mide solo en términos de capacidad de suministro, es importante también la capacidad de mantener el control y recuperarse ante ataques deliberados.

El pasado 30 de enero, el CERT de Polonia publicó un informe de análisis del ciberincidente al que tuvieron que hacer frente diferentes entidades relacionadas con el sector energético del país, durante el pasado 29 de diciembre de 2025. 

El propio CERT ha querido destacar que la publicación de dicho informe de análisis ha tenido como objetivo comprender mejor el desarrollo de los acontecimientos y las técnicas empleadas por el atacante. 

Estos ataques reportados representan, sin duda alguna, una escalada significativa en comparación con los ciberincidentes que hemos observado hasta la fecha. El objetivo del atacante estaba claramente dirigido a un sabotaje operativo, no la extorsión económica.

¿QUÉ OCURRIÓ REALMENTE?

Los ciberincidentes de este nivel de criticidad suelen siempre ocurrir cuando fallan varias capas de ciberseguridad simultáneamente. Desafortunadamente, este ha sido también el motivante. 

Sin ánimo de ser exhaustivos, algunos de los puntos clave para entender el alcance del mismo, han sido:

• Acceso inicial a través de dispositivos perimetrales expuestos (VPN/firewall).
• Uso de credenciales locales reutilizadas o configuradas por defecto, sin múltiple factor de autenticación.
• Movimiento lateral hacia entornos tanto operacionales como de tecnologías de la información.
• Daños deliberados en:
  • RTU (Remote Terminal Unit) y controladores industriales.
  • HMI (Human-Machine Interface) y sistemas de supervisión,
  • Dispositivos de comunicaciones basados en tecnologías de operación.
• Ejecución de malware diseñado específicamente para destruir datos y dificultar la recuperación.

IMPACTO OBSERVADO

El impacto observado ha sido principalmente la pérdida de control remoto del equipamiento desplegado en instalaciones energéticas. Esto ha conllevado la penalización de los trabajos de operación. No obstante se ha observado que no ha habido interrupción inmediata del suministro.

POR QUÉ ES RELEVANTE

Este incidente demuestra que:

• No es necesario un malfuncionamiento crítico del sistema, como puede ser un block-out (apagón), para generar impacto a nivel estratégico.
• Los sistemas basados en tecnologías de operación pueden ser objetivo directo, no colateral.
• Por último, destacar que deficiencias básicas en ciberseguridad,  pueden habilitar ataques de alto impacto.

El escenario, por otro lado, es replicable en otros entornos energéticos europeos.

RECOMENDACIONES INMEDIATAS

Las organizaciones del sector energético deberían revisar con urgencia lo siguiente:

• El nivel de exposición de accesos remotos a sus sistemas y dispositivos perimetrales.
• Uso de MFA (autenticación multifactor) en todos los accesos críticos.
• Eliminación de credenciales de acceso que se configuran por defecto en los sistemas o aquellas credenciales compartidas.
• Trabajar en mejorar las capacidades de operar de forma segura sin supervisión remota.
• Existencia de planes de recuperación ante daño deliberado de activos basados en tecnologías de operación.

Por último, destacar que las organizaciones debieran de valorar la integración de escenarios de sabotaje en sus análisis de riesgo, o revisar, si ya se está trabajando, su probabilidad de ocurrencia.

La Directiva NIS2 (Directiva (UE) 2022/2555) establece que la formación en ciberseguridad ha de ser uno de los pilares fundamentales tanto para la gobernanza corporativa como para la gestión operativa de riesgos. Es importante recordar que los sujetos obligados debieran cumplir con los siguientes requisitos específicos que menciona la propia norma: 

• Formación para los miembros de Órganos de Dirección (Art. 20.2)

  Introduce una responsabilidad directa y personal para los directivos. En concreto menciona que será obligatorio que los miembros de los órganos de dirección sigan una formación periódica para adquirir conocimientos suficientes que les permitan identificar riesgos y evaluar las prácticas de gestión de ciberseguridad. 

• Formación para Empleados y Ciberhigiene (Art. 21.2.g)

  Dentro de las medidas mínimas de gestión de riesgos, la directiva menciona la realización de prácticas básicas de ciberhigiene y formación en ciberseguridad. 

FORMACIÓN CIBERSEGURIDAD

La formación en ciberseguridad debe pues, llegar a todos los empleados ya que la ciberresiliencia depende de todos y cada uno de los niveles de una organización.

La Fundación Ciudad de la Energía (CIUDEN), el Instituto Nacional de Ciberseguridad (INCIBE) y la Universidad Nacional de Educación a Distancia (UNED) celebraron el miércoles, 21 de enero, un ejercicio avanzado de simulación de cibercrisis en infraestructuras energéticas en el nuevo Laboratorio de Ciberseguridad de CIUDEN, ubicado en sus instalaciones de Cubillos. 

La actividad contó con participación tanto presencial como en remoto.
Aquellos interesados de las entidades que constituyen el ES-ISAC Energía han podido participar en esta acción formativa, donde se han llevado a cabo dos tipos de ejercicios dirigidos al sector:

TABLE-TOP

Este ejercicio buscaba entrenar a profesionales del sector en la gestión de incidentes complejos que afectan a infraestructuras críticas. 
En este tipo de situaciones, se ven comprometidas de forma simultánea la seguridad digital, la operación industrial, la comunicación corporativa y la toma de decisiones estratégicas. 
Este entrenamiento estaba muy orientado a los miembros de Órganos de Dirección de las empresas, poniendo el foco en la toma de decisiones bajo presión, con información incompleta y consecuencias claras, reflejando fielmente los retos a los que se enfrentan las organizaciones del sector energético ante un incidente grave de ciberseguridad. 
Asimismo, se incorporó el uso de tecnologías emergentes como inteligencia artificial y deepfakes, así como la gestión de la comunicación y el cumplimiento normativo en contextos de alta exposición pública.

CTF (Capture the Flag)

En el caso del CTF, se trató de un ejercicio de entrenamiento con 11 retos de dificultad progresiva, pensados para que tanto perfiles en crecimiento como expertos consolidados encontraran su espacio y pudieran avanzar a su propio ritmo. 
El recorrido comenzó en una zona perimetral pública, desde la cual los participantes debieron identificar vectores de acceso, escalar privilegios y pivotar progresivamente hacia el Sistema de Control Industrial (ICS), enfrentándose finalmente a componentes OT reales.