ES-ISAC Energía

El pasado 7 de julio de 2026, el Centro de Desarrollo de Tecnologías de CIUDEN en Cubillos del Sil (León) acogió una jornada singular: dos ejercicios de ciberseguridad industrial en paralelo, uno técnico y otro estratégico. Desde el ES-ISAC Energía seguimos de cerca esta iniciativa y queremos compartir cómo fue. 

LA ENERGÍA ESPAÑOLA SE PREPARA PARA EL PEOR ESCENARIO

La jornada, organizada por CIUDEN e INCIBE dentro de su convenio de colaboración y financiada por el PRTR con fondos NextGenerationEU, arrancó a las 10:00 con una bienvenida institucional. Convocó a un público mixto: especialistas técnicos en IT, OT e ICS, y perfiles directivos responsables de gestionar crisis, así como fuerzas y cuerpos de seguridad, durante unas ocho horas de actividad.

DE LA SALA DE MÁQUINAS A LA SALA DE CRISIS: ASÍ FUE LA JORNADA

Dos ejercicios simultáneos, un mismo trasfondo de amenaza. 
En el Cyber Range, especialistas en IT/OT/ICS entrenaron en formato Blue Team la detección, el análisis y la respuesta ante un ciberataque simulado sobre infraestructuras energéticas reales. Se llevó a cabo en un laboratorio que permite combinar un entorno real con una central de producción energética.
En paralelo, el Table Top, desarrollado por la UNED (INTECCA) con seguimiento presencial y online, situó a los participantes en la piel de una empresa energética que en una década pasó de 8 MW a casi 1 GW de capacidad instalada, con alta dependencia de terceros y madurez parcial frente a la NIS2: un retrato reconocible del sector.
El ejercicio, situó a los participantes ante una crisis derivada de un ciberataque híbrido contra dicha empresa energética. A través de una secuencia de eventos y decisiones bajo incertidumbre, los asistentes pudieron entrenar capacidades de coordinación, gestión de crisis y respuesta estratégica en un entorno altamente participativo.
Todo inspirado en casos reales cuya lección de fondo es la siguiente: la recuperación técnica no basta si la confianza también queda comprometida.
Tras el networking del mediodía, los asistentes al Table Top visitaron las instalaciones del centro mientras el Cyber Range continuaba. 
La jornada cerró a las 16:30 con las conclusiones del doble ejercicio. 

LA LECCIÓN DEL ES-ISAC ENERGÍA: ENTRENAR ANTES DE QUE LLEGUE LA CRISIS REAL

Desde el ES-ISAC Energía apoyamos este tipo de iniciativas porque encarnan nuestra propia razón de ser: elevar el nivel de ciberseguridad del sector energético nacional compartiendo conocimiento e inteligencia específica del sector, en un entorno de confianza, como foro sectorial de referencia. Una jornada como esta entrena exactamente eso: construye entre operador y autoridad la confianza que luego hace falta en una crisis real.
Y no es ciencia ficción, el doble escenario del Table Top y Cyber Range reproducen incidentes reales como el que el propio CERT de Polonia documentó en el ciberincidente del 29 de diciembre de 2025, que ya analizamos en este blog el pasado febrero: acceso por dispositivos expuestos, credenciales sin doble factor, movimiento lateral hacia OT y daños deliberados sobre RTU y HMI.
Por eso estos ejercicios importan más allá del día en que se celebran. La Directiva NIS2 exige formación en ciberseguridad como pilar de la gobernanza corporativa, incluso para los órganos de dirección; y el Reglamento Delegado (UE) 2024/1366 ya establece normas vinculantes de ciberseguridad para los flujos eléctricos transfronterizos. 
Entrenar antes de que llegue la crisis, y hacerlo junto a representantes de actores claves del sector, es justo lo que el ES-ISAC Energía lleva promoviendo desde su creación. 
Por último, queremos agradecer la proactividad y compromiso de aquellas asociaciones y empresas del ES-ISAC Energía que han colaborado en el diseño de ambos ejercicios, y también a las entidades que han participado en la propia jornada de entrenamiento. 
Seguiremos apoyando cada nueva edición de estos ciberejercicios, y animamos a sumarse a todas las empresas del sector energía e industria nuclear a las próximas convocatorias.
 

El ES-ISAC Energía ha distribuido entre sus entidades miembro el Informe de Situación de Ciberseguridad 2025, el análisis anual de ciberseguridad sectorial que sintetiza lo más relevante del ejercicio en materia de vulnerabilidades, incidentes, actores de amenaza, buenas prácticas y tendencias.
Acceso restringido: El informe está clasificado TLP:AMBER y es de acceso exclusivo para las entidades miembro del ES-ISAC Energía. Esta entrada recoge únicamente una descripción pública de su contenido.

QUÉ ENCONTRARÁN LAS ENTIDADES MIEMBRO EN EL INFORME

VULNERABILIDADES EN TECNOLOGÍAS DEL SECTOR

El informe analiza vulnerabilidades críticas en productos con presencia real en entornos de generación, transporte y distribución de energía, así como en instalaciones nucleares. Más allá de la puntuación CVSS, la metodología combina la probabilidad de explotación activa con la presencia confirmada del producto en el sector, permitiendo priorizar donde el riesgo es operativamente relevante.

CIBERINCIDENTES EN EL SECTOR ENERGÍA

Se documentan incidentes reales ocurridos durante 2025 en organizaciones del sector a nivel mundial: ataques destructivos contra infraestructuras de energías renovables, exfiltraciones en operadores de redes de transporte, persistencias silenciosas en utilities eléctricas y campañas de extorsión con ransomware que dejaron sistemas de control inoperativos durante días. El análisis detalla vectores de entrada, impacto operativo y, cuando es posible, el patrón del actor responsable.
Para cualquier responsable de seguridad del sector, esta sección aporta algo que la inteligencia de carácter horizontal no puede ofrecer: conocimiento directo de lo que está ocurriendo en organizaciones que operan con tecnologías y procesos equiparables a los propios.

ACTORES DE AMENAZA CON IMPACTO EN EL SECTOR

2025 ha confirmado que el sector energético e industria nuclear concentran la mayor presión de actores avanzados. El informe caracteriza grupos de cibercrimen organizado con historial documentado en el sector, actores APT con motivación estatal cuya actividad sobre entornos OT ha registrado una escalada significativa, y grupos hacktivistas que han dirigido campañas específicas contra infraestructuras nucleares y redes eléctricas europeas.
Para cada actor se analizan su capacidad técnica, objetivos habituales y tácticas, técnicas y procedimientos documentados. Disponer de este conocimiento de forma anticipada es el punto de partida de cualquier estrategia de ciberdefensa proactiva.

BUENAS PRÁCTICAS Y CUMPLIMIENTO NORMATIVO

El sector energético e industria nuclear afronta un marco normativo en rápida evolución: Directiva NIS2, el primer código de red europeo vinculante en materia de ciberseguridad para flujos transfronterizos de electricidad, y la regulación específica para instalaciones nucleares a nivel nacional e internacional. 
El informe traduce ese marco en medidas concretas y priorizadas, organizadas en torno a los estándares de mayor relevancia para el sector.

TENDENCIAS EN CIBERSEGURIDAD INDUSTRIAL

El informe analiza las líneas de evolución que están redefiniendo el riesgo en el sector: la transición de los atacantes avanzados desde el reconocimiento pasivo hacia la manipulación activa y destructiva de procesos industriales; el uso creciente de inteligencia artificial como herramienta ofensiva; y la explosión de la superficie de ataque ligada a la digitalización de las energías renovables distribuidas. 
Anticipar la dirección de la amenaza es tan determinante para la postura de seguridad como gestionar la exposición presente.
 

POR QUÉ ESTE INFORME ES DIFERENTE

Existe abundante producción de inteligencia de amenazas de carácter general. Lo que el ES-ISAC Energía ofrece es de distinta naturaleza: información específica para las tecnologías, los procesos y el perfil de riesgo del sector energético e industria nuclear española. Cada vulnerabilidad, cada incidente y cada actor incluido en el informe ha superado un criterio de pertinencia sectorial. La información que no lo supera no forma parte del documento.
El ES-ISAC Energía se constituyó el 9 de julio de 2024 como colaboración público-privada impulsada por INCIBE, junto con asociaciones con alta representación del sector (AEE, APPA Renovables, Foro Nuclear, SEDIGAS, UNEF). Este informe de situación es uno de los entregables comprometidos con las entidades miembro para este año.

El  pasado  18  de  mayo  de  2026  tuvo  lugar  la  tercera  reunión  de  la Comisión  de  Seguimiento  del  ES-ISAC  Energía,  un  encuentro  clave para impulsar la ciberseguridad sectorial.

Durante  esta  sesión,  los  miembros  que  integran  el  ES-ISAC  (AEE, APPA Renovables, Foro  Nuclear, SEDIGAS, UNEF  e INCIBE)  revisaron  de  forma conjunta la propuesta de objetivos e indicadores previstos para el año 2026, consolidando así una hoja de ruta común para los próximos meses.

OBJETIVOS PREVISTOS PARA EL AÑO 2026

La Comisión ha revisado la previsión de objetivos abordados en la reunión anterior y ha establecido una línea base sólida que permita dar continuidad a las acciones emprendidas hasta la fecha. Esta planificación se ha concebido con la flexibilidad necesaria para integrar nuevas iniciativas que puedan surgir a lo largo del ejercicio, dando acomodo a las prioridades emergentes del sector.

• Mejora  continua.  A  partir  de  las  lecciones  aprendidas  durante  el ejercicio anterior, se ha definido un conjunto de acciones concretas orientadas  a  seguir  evolucionando  el  marco  de  trabajo  del  ES-ISAC Energía y reforzar su valor para las entidades participantes.

• Informe de situación, edición 2026. Próximamente se compartirá con las entidades finales una radiografía actualizada del estado de la ciberseguridad  del  sector,  elaborada  a  partir  de  información  sobre ciberamenazas,   vulnerabilidades,   ciberincidentes,   cumplimiento normativo y madurez general en materia de ciberseguridad. 

• Boletines.  Se  está  estudiando  para  este  ejercicio  la  puesta  en marcha de un canal de compartición de indicadores específicos del sector,   generados   a   partir   de   información   propia,   con   una periodicidad inicial trimestral. 

• Difusión del ES-ISAC Energía a través de entidades de primer nivel. Se ha acordado una propuesta de canalización de la difusión del ES-ISAC apoyándose en las propias entidades que lo conforman, multiplicando así el alcance y la capilaridad del proyecto. 

• Seminarios  web  de  interés  para  el  sector.  Se  continuará trabajando  en  el  diseño  y  puesta  en  marcha  de  seminarios  web especializados  en  ciberseguridad,  concebidos  como  herramientas prácticas y de aplicación directa para los profesionales del sector. 

• Comunicaciones de interés para el sector. Como objetivo clave, se  seguirá  dinamizando  la  compartición  asíncrona  de  información restringida de valor para las empresas finales, a través de los canales ya establecidos. 

• Ciberejercicio  sectorial,  1er  trimestre.   Se   ha   analizado   el resultado de la convocatoria de entrenamiento que permitió ofrecer al sector un ciberejercicio doble a comienzos de año: una vertiente orientada  a  los  niveles  de  gestión  y  otra  dirigida  a  entrenar capacidades técnicas, abordando así dos dimensiones esenciales de la respuesta ante incidentes. 

• Ciberejercicio sectorial, 2do trimestre. Se dará continuidad a las acciones de entrenamiento con una segunda convocatoria dentro del mismo  año.  El  diseño  se  encuentra  ya  en  fase  de  cierre,  con  la colaboración   directa   de   expertos   procedentes   de   las   propias entidades finales del ES-ISAC Energía. 

• Evaluación de riesgos coordinada a nivel de la Unión Europea. Un total de 25 expertos de las entidades finales del ES-ISAC Energía participan  activamente  en  la  evaluación  de  riesgos  que  se  está desarrollando  en  el  marco  del  NIS  Cooperation  Group,  conforme  al artículo 22 de la Directiva NIS 2, bajo la coordinación de la Comisión Europea (DG CNECT) y ENISA.

CONCLUSIONES Y PERSPECTIVAS

En  síntesis,  durante  esta  tercera  Comisión  de  Seguimiento  del  ES-ISAC Energía se han revisado los objetivos e indicadores previstos para 2026 con un  doble  propósito:  dar  continuidad  a  la  labor  desarrollada  el  pasado ejercicio  y  elevar  el  impacto  de  las  acciones  emprendidas.  Se  han consolidado   diversas   líneas   maestras   de   actuación   centradas   en   la compartición de información sectorial, la difusión del ES-ISAC, la formación y la concienciación. Como reflexión general, desde el ES-ISAC Energía se subraya la necesidad de que las empresas de los sectores energético y nuclear sigan elevando de  forma  decidida  el  nivel  de  ciberseguridad  de  sus  infraestructuras  de generación,   transporte,   distribución   y   cadena   de   suministro.   Los ciberincidentes  observados  en  el  panorama  internacional  evidencian  que las entidades del sector energía y también las instalaciones nucleares, se encuentran  entre  los  objetivos  de  actores  hostiles,  lo  que  refuerza  la importancia de que las empresas del sector estén preparadas y participen activamente  en  iniciativas  como  el  ES-ISAC  Energía  para  fortalecer  su ciberseguridad y resiliencia colectiva. 

De cara al futuro próximo, es previsible que las ciberamenazas dirigidas a la  energía  y  a  la  industria  nuclear  nacionales  continúen  creciendo  en volumen  y  sofisticación,  con  ataques  cada  vez  más  dirigidos  contra infraestructuras críticas, sistemas de control industrial (OT/ICS), propiedad intelectual   sensible   y   datos   operativos   de   alto   valor.   La   transición energética, la creciente digitalización de las redes eléctricas, la integración masiva  de  energías  renovables,  la  adopción  de  tecnologías  4.0  como  IoT industrial,  cloud  e  inteligencia  artificial,  junto  con  la  exigente  regulación específica  de  la  industria  nuclear,  configuran  un  escenario  en  el  que  la superficie de exposición se amplía y los riesgos a gestionar se multiplican. 

En  este  contexto,  será  determinante  que  las  empresas  de  los  sectores energético y nuclear continúen durante el 2026 situando la ciberseguridad en   el   primer   plano   de   sus   prioridades   estratégicas,   incrementando inversiones,    desarrollando    capacidades    internas    especializadas    y colaborando  estrechamente  con  entidades  como  el  ES-ISAC  Energía.  Solo desde   un   enfoque   coordinado,   basado   en   la   confianza   mutua   y   la inteligencia compartida, será posible afrontar con garantías los desafíos de un  escenario  de  amenaza  creciente  y  proteger  unas  infraestructuras  que resultan esenciales para el funcionamiento del país.