La Comisión Nacional de los Mercados y la Competencia (CNMC) ha aprobado este 30 de octubre de 2026 las metodologías que deberán emplearse para evaluar los riesgos de ciberseguridad y ordenar los ciberataques según su gravedad en el sector eléctrico. La decisión aplica en España el marco europeo creado para proteger los intercambios de electricidad entre países frente a amenazas digitales.
Un marco común para toda la red europea
El nuevo sistema responde al Reglamento Delegado (UE) 2024/1366 de la Comisión Europea, que establece un código de red específico para la ciberseguridad de los flujos eléctricos transfronterizos. Su objetivo es que las autoridades y los operadores utilicen criterios comparables cuando analicen una amenaza, valoren sus posibles efectos y determinen la importancia del incidente para el funcionamiento del sistema.
Las metodologías han sido elaboradas por los gestores de redes de transporte, entre ellos Red Eléctrica de España (REE), con la asistencia de la asociación europea Entso-E y en cooperación con la entidad que agrupa a los gestores de las redes de distribución, EU DSO Entity. La propuesta ha pasado por consultas y trabajos conjuntos entre las autoridades competentes de los Estados miembros antes de recibir la aprobación nacional.
Qué empresas podrán quedar dentro del nivel de mayor impacto
La evaluación coordinada en la Unión Europea servirá para establecer índices y umbrales con los que identificar a las entidades de impacto alto o crítico dentro del código de ciberseguridad. La clasificación no se limita al transportista: puede alcanzar a distintos agentes cuya actividad resulte relevante para el sistema eléctrico.
- El operador del sistema y el operador del mercado.
- El gestor de la red de transporte y las empresas distribuidoras.
- Productores, comercializadoras y agregadores de electricidad.
La clasificación permitirá distinguir el alcance de los riesgos y de los ataques atendiendo a su gravedad e impacto, según explica la CNMC. El enfoque afecta, por tanto, a la protección de la infraestructura y a la coordinación entre los participantes del mercado, no a la fijación directa del precio de la electricidad para los hogares.
La CNMC actúa como autoridad competente en España
En el caso español, la CNMC ejerce por defecto como autoridad competente para aplicar este código europeo porque todavía no se ha designado formalmente la autoridad prevista en la normativa. Con la aprobación de las dos metodologías —la dedicada a evaluar riesgos y la destinada a clasificar los ciberataques—, el regulador completa la fase nacional del procedimiento desarrollado previamente a escala europea.
La medida introduce así una referencia común para valorar amenazas digitales en un sistema eléctrico cada vez más interconectado. La cooperación entre transportistas, distribuidores, operadores y autoridades busca que los incidentes que puedan afectar a los intercambios internacionales se analicen con una base homogénea en los distintos países de la Unión.
