Apagón en la península ibérica: la causa no fue un ciberataque, pero la amenaza a las redes eléctricas es real. He aquí por qué

El 28 de abril, millones de personas en España y Portugal se vieron afectadas por un apagón que causó importantes disrupciones en el transporte y paralizó gran parte de la economía.

El corte repentino de electricidad llevó a numerosos expertos del sector público y privado —incluidas altas autoridades gubernamentales— a preguntarse si la causa podía ser un ciberataque. El principal tribunal penal de España, por ejemplo, anunció rápidamente que investigaría la posibilidad de un "acto de sabotaje informático" contra infraestructuras críticas españolas.

El día siguiente, una vez restablecido el suministro eléctrico en toda la península ibérica, el operador de la red eléctrica española, Red Eléctrica, afirmó en una investigación preliminar que "no se detectó ninguna intrusión" en el sistema. El presidente del Consejo Europeo, António Costa, también señaló en X que, hasta el momento, no había indicios de un ciberataque. Aun así, el presidente del Gobierno español, Pedro Sánchez, insistió en que "no se descarta ninguna hipótesis" sobre el origen del apagón.

Aunque las conclusiones preliminares de los proveedores de energía descartan un ciberataque, el incidente subraya la amenaza constante que este tipo de ataques representa para las infraestructuras energéticas críticas.

Expertos en ciberseguridad llevan tiempo advirtiendo que las redes eléctricas y los sistemas de infraestructura energética crítica son vulnerables a los ciberataques y suelen ser objetivos de actores maliciosos, tanto estatales como no estatales.

En 2015, por ejemplo, Ucrania sufrió apagones generalizados después de que piratas informáticos infectaran con malware los sistemas informáticos de compañías energéticas regionales. El ciberataque, atribuido a Rusia, fue "sincronizado y coordinado" y probablemente estuvo precedido por "un reconocimiento exhaustivo de las redes de las víctimas", según autoridades estadounidenses y ucranianas que investigaron conjuntamente la intrusión.

En enero, el informe Global Cybersecurity Outlook 2025 del Foro Económico Mundial señaló que "la tecnología moderna depende en gran medida de un consumo energético elevado, lo que convierte a las redes eléctricas en objetivos altamente atractivos para los ciberdelincuentes".

El informe también advierte que la transición global hacia sistemas de energía renovable está generando nuevas vulnerabilidades, una preocupación que ha sido ampliamente compartida por autoridades nacionales en todo el mundo.

En Estados Unidos, donde en los últimos años se ha registrado un aumento de ciberataques a sistemas de servicios públicos, el Buró Federal de Investigaciones (FBI) advirtió en un informe de 2024 que la "implementación de energías renovables y los incentivos para el desarrollo de energía limpia han creado nuevos objetivos y oportunidades que los actores de amenazas cibernéticas pueden explotar para su propio beneficio".

Mientras tanto, la Unión Europea ha implementado normas de ciberseguridad para las redes eléctricas y otros sistemas de infraestructura energética como parte de su Estrategia de Unión para la Preparación. El Reino Unido también ha advertido que su red eléctrica es un objetivo potencial de ciberataques.

Expertos señalan que la ciberresiliencia debe integrarse en todos los aspectos de las redes eléctricas y otros sistemas de servicios públicos.

"Es fundamental que estos sistemas energéticos emergentes den prioridad a la seguridad en su diseño desde el inicio", advierte el informe Global Cybersecurity Outlook 2025. "De lo contrario, en el esfuerzo por responder con urgencia a una crisis existencial, existe el riesgo de introducir vulnerabilidades que podrían comprometer la fiabilidad de esta nueva infraestructura energética, con consecuencias de gran alcance para la economía y la sociedad."

Tanto expertos del sector público como del privado destacan la importancia de prácticas como el monitoreo constante del tráfico de red para detectar actividad inusual o sospechosa, el mantenimiento actualizado de los sistemas, la selección cuidadosa de proveedores externos para reducir la exposición, y la notificación de intrusiones cibernéticas a las autoridades competentes, entre otras medidas clave para reforzar la ciberresiliencia.

La complejidad de las cadenas de suministro complica aún más el panorama de la ciberseguridad. De hecho, el informe Global Cybersecurity Outlook 2025 reveló que "el 54% de las grandes organizaciones considera la gestión de riesgos de terceros como un desafío importante, siendo la seguridad en la cadena de suministro una de las principales preocupaciones".

En particular, a medida que aumentan la visibilidad y el impacto de los ataques a las cadenas de suministro, el sector energético y de servicios públicos ha enfrentado ciberataques más organizados, con consecuencias ampliamente documentadas.

Además, la evolución tecnológica ha transformado la industria eléctrica, con redes inteligentes, integración de energías renovables y mejoras operativas. Sin embargo, estos avances también han aumentado la complejidad de la cadena de suministro eléctrica, generando nuevos desafíos, especialmente en lo que respecta a la protección frente a amenazas cibernéticas.

La creciente interdependencia entre los sistemas eléctricos transfronterizos y la sofisticación cada vez mayor de los ciberataques aumentan aún más la complejidad en materia de gobernanza y respuesta ante crisis.

En 2018, el Foro Económico Mundial puso en marcha una iniciativa para mejorar la resiliencia cibernética de la infraestructura eléctrica mundial. Esta iniciativa, creada en colaboración con los principales proveedores de energía del mundo, busca promover buenas prácticas en el sector y armonizar la normativa.

"A medida que los sistemas eléctricos atraviesan una transformación digital acelerada, el vínculo crítico entre la ciberseguridad y el sector energético se hace cada vez más evidente", señalaba un informe de la iniciativa en 2023. "La necesidad de una interoperabilidad global en la regulación cibernética del sector eléctrico se ha vuelto prioritaria."

En 2021, la iniciativa colaboró con la Dirección de Energía de la Comisión Europea para desarrollar recomendaciones de mejora a la Directiva de Ciberseguridad de la UE. Años más tarde, en 2024, brindó orientación a la Oficina del Director Nacional de Ciberseguridad de Estados Unidos (ONCD) para facilitar la interoperabilidad y la reciprocidad en su Resumen de Armonización Regulatoria en Ciberseguridad. Este esfuerzo impulsó la exploración de un marco piloto de reciprocidad a probarse en un subsegmento de infraestructura crítica.

Si bien la regulación desempeña un papel clave, los expertos insisten en que la complejidad de la infraestructura eléctrica —que involucra múltiples proveedores y la integración de tecnologías heredadas y emergentes— impide que una organización actúe de forma aislada. Además, en una cadena de valor energética compleja, cada empresa es a la vez proveedor y usuario. Por ello, todas las organizaciones deben demostrar que la ciberseguridad no solo es una prioridad, sino un compromiso tangible.

Esto cobra especial importancia en tiempos de crisis, cuando queda aún más claro que un enfoque aislado ya no es suficiente para garantizar un ecosistema seguro y resiliente.