La digitalización de las redes eléctricas latinoamericanas avanza a mayor velocidad que las medidas destinadas a protegerlas frente a los ciberataques. Esta es una de las principales conclusiones del informe Redes bajo ataque: ciberseguridad eléctrica en la era de la transición energética, publicado por ADELAT en su serie DSO Review. El documento combina una evaluación de la madurez en ciberseguridad de 25 empresas distribuidoras de diez países con el análisis de once marcos regulatorios de América Latina. Sus resultados muestran deficiencias en la protección de los equipos conectados a las redes, la detección de amenazas, la formación de personal especializado y el financiamiento de medidas de seguridad. Además, establece que ninguno de los once países examinados reconoce la ciberseguridad como una partida tarifaria específica y autónoma.

La expansión de la medición inteligente, el telecontrol, los recursos energéticos distribuidos y la automatización aumenta la cantidad de dispositivos y sistemas expuestos a posibles ataques. Según el estudio, el 74% de las empresas consultadas dispone de mecanismos avanzados para separar sus redes corporativas de los sistemas de operación, mientras que el 65% aplica procedimientos robustos de verificación de identidad en los accesos remotos. Sin embargo, solo el 21% cuenta con protección activa de los dispositivos de campo, como medidores inteligentes y reconectadores. Cinco distribuidoras todavía mantienen las credenciales de fábrica en algunos de estos equipos. La asociación advierte de que la instalación de nuevos dispositivos conectados puede ampliar las vulnerabilidades si no se acompaña de mecanismos de protección adecuados.

Detección y respuesta

Las deficiencias también afectan a la detección y respuesta ante incidentes. El 46% de las empresas no supervisa su red de operación, por lo que una intrusión podría pasar inadvertida hasta que afectara al suministro eléctrico. Por otra parte, el 43% realiza simulacros técnicos anuales para comprobar sus procedimientos de recuperación. De las 13 compañías que mantienen una supervisión permanente de sus redes corporativas y operativas, nueve contratan este servicio a terceros. La gestión de proveedores constituye otra debilidad: solo 12 de las 24 empresas que respondieron a esa parte del cuestionario incorporan cláusulas de ciberseguridad y derechos de auditoría en sus contratos, y únicamente una somete cada adquisición a pruebas técnicas de vulnerabilidad.

El informe identifica además dificultades relacionadas con los recursos humanos y la gobernanza. Diecisiete de las 25 distribuidoras, el 68%, reconocen carencias de conocimientos especializados, particularmente en tecnologías de operación, y ninguna considera completamente cubiertas sus necesidades de personal. En doce compañías, la responsabilidad de la ciberseguridad permanece bajo la jefatura de tecnologías de la información. Desde el punto de vista financiero, seis de las veinte empresas que respondieron sobre sus presupuestos carecen de una partida específica para ciberseguridad. Entre las catorce que sí la identifican, doce destinan al menos el 3% de su presupuesto tecnológico a esta actividad. Sin embargo, solo una de las 23 empresas que respondieron sobre valoración del riesgo traduce sus amenazas cibernéticas a términos económicos.

Regulaciones

En materia regulatoria, Brasil, Chile y Colombia constituyen el grupo de países con obligaciones sectoriales más desarrolladas.

En Brasil, la Resolución Normativa 964/2021 de la Agencia Nacional de Energía Eléctrica (ANEEL) establece requisitos de ciberseguridad aplicables a las distribuidoras, cuya fiscalización se intensificó desde 2025.

En Chile, la Ley 21.663 de 2024 y los estándares del Coordinador Eléctrico Nacional (CEN) contemplan obligaciones de protección y notificación de incidentes, con un régimen sancionador vigente desde 2025.

Colombia cuenta con los acuerdos 1960 y 2088 del Consejo Nacional de Operación (CNO), además de un equipo de respuesta a incidentes de seguridad informática (CSIRT) específico del sector eléctrico. De los once países analizados, Colombia es el único que dispone formalmente de un equipo sectorial de estas características.

Un segundo grupo está integrado por Perú, Argentina y Ecuador, donde existen avances institucionales, aunque su aplicación a la distribución eléctrica presenta diferencias.

En Perú, el estudio identifica disposiciones técnicas parciales y obligaciones de notificación de incidentes, pero no un marco integral de ciberseguridad eléctrica.

Argentina cuenta con estructuras nacionales de respuesta y ha introducido reformas institucionales, aunque carece de una normativa sectorial específica para distribuidoras.

Ecuador aprobó en 2026 una Ley Orgánica de Ciberseguridad que reconoce a la energía eléctrica como infraestructura crítica. La legislación establece un plazo de 72 horas para notificar incidentes e incorpora el principio de que una comunicación realizada de buena fe no constituye, por sí sola, una prueba de negligencia. No obstante, el informe considera que su alcance sobre las empresas distribuidoras todavía es parcial.

La situación regulatoria es más limitada en Costa Rica, El Salvador, Guatemala, Bolivia y Paraguay.

Costa Rica y Bolivia carecen de normas específicas de ciberseguridad para la distribución eléctrica, aunque disponen de mecanismos nacionales de respuesta a incidentes.

En El Salvador, el Decreto 143/2024 establece un marco parcial cuya aplicación depende de disposiciones reglamentarias pendientes.

Guatemala todavía tiene un proyecto legislativo en trámite y carece de un equipo nacional de respuesta identificado en el estudio.

Paraguay, por su parte, presenta una situación institucional particular, ya que no cuenta con un regulador eléctrico independiente ni con un procedimiento de revisión tarifaria regulada comparable al de los demás países examinados. Los datos corresponden a la revisión normativa realizada por ADELAT hasta agosto de 2026.

Pese a estas diferencias, el informe identifica un problema común: ninguno de los once países reconoce expresamente la ciberseguridad como una categoría tarifaria independiente. Los costos asociados a la protección de las redes se incluyen, cuando corresponde, en conceptos generales de operación, mantenimiento o inversión. ADELAT sostiene que esta situación favorece las actuaciones que pueden contabilizarse como inversiones en infraestructura, pero dificulta el financiamiento de actividades permanentes, como la vigilancia de los sistemas, las auditorías de proveedores, los simulacros de respuesta y la contratación de especialistas. La asociación considera que esta diferencia explica parte de las brechas detectadas entre la protección de las instalaciones y la de los dispositivos conectados a ellas.

Recomendaciones

Entre sus recomendaciones, ADELAT propone establecer normas sectoriales basadas en niveles verificables de madurez, con exigencias proporcionales a la importancia de cada instalación para el funcionamiento del sistema eléctrico. También plantea incorporar mecanismos obligatorios de notificación de incidentes, con garantías de confidencialidad, crear equipos sectoriales de respuesta y establecer requisitos de ciberseguridad desde el diseño de los proyectos de medición inteligente y telecontrol. En materia económica, recomienda identificar los costos de protección como una categoría independiente, permitir que las empresas justifiquen ante los reguladores sus necesidades de inversión y establecer partidas tarifarias específicas vinculadas a planes de seguridad sujetos a verificación periódica.

Para las distribuidoras, el estudio propone evaluaciones periódicas de su madurez en ciberseguridad, una mayor participación de los órganos directivos en la gestión de riesgos, presupuestos propios, cláusulas de seguridad en las compras y acciones conjuntas para afrontar la escasez de profesionales especializados. La principal conclusión de ADELAT es que la regulación de la ciberseguridad y su financiamiento deben abordarse conjuntamente. Según la asociación, la falta de reconocimiento de los costos recurrentes limita la capacidad de las compañías para mantener sus mecanismos de protección y traslada a los usuarios las consecuencias de posibles incidentes, tanto por interrupciones del suministro como por filtraciones de información personal o gastos extraordinarios de recuperación.

Cibertataque en Chile

Esta semana, se informó que la planta fotovoltaica Huatacondo (103 MW) y su sistema de baterías (98 MW / 312 MWh), en Chile, llevan dos meses fuera de servicio tras un incidente registrado como ciberataque por el Coordinador Eléctrico Nacional el 27 de agosto. Ese mismo día se notificaron ataques informáticos en una subestación y dos centrales térmicas.