La Inspección de Infraestructura Digital de los Países Bajos, Rijksinspectie Digitale Infrastructuur, discutió en su posición recientemente publicada los riesgos de ciberseguridad asociados con las plataformas que gestionan baterías domésticas, inversores y cargadores de vehículos eléctricos. El documento enfatiza que una falla en la actualización o un ciberataque a las plataformas de producción y agregación podría desactivar simultáneamente suficientes inversores y otros dispositivos para desestabilizar la red eléctrica. La inspección señala que el mayor riesgo no proviene de los dispositivos individuales, sino de los sistemas de backend de los fabricantes y proveedores de sistemas de gestión de energía que utilizan plataformas en la nube compartidas. Si un gran grupo de dispositivos está conectado a un solo sistema de backend, un único punto de acceso puede controlar muchos dispositivos simultáneamente. Para restaurar el equilibrio, puede ser necesario abordar un desequilibrio repentino de 3 gigavatios o más, como señala la inspección, citando un estudio de SolarPower Europe. De 2019 a 2024, el número de bombas de calor y cargadores de vehículos eléctricos en los Países Bajos aumentó cinco veces.
Entre las formas en que un gran número de dispositivos pueden verse afectados simultáneamente se encuentran: la actualización remota o el cambio de configuraciones por parte del fabricante, la explotación de vulnerabilidades en los dispositivos o sus plataformas de control, o la intervención estatal en las operaciones de los fabricantes y proveedores de servicios bajo su jurisdicción. Según la Ley de Resiliencia Cibernética de la Unión Europea, dichos dispositivos solo enfrentan requisitos generales de ciberseguridad, y el cumplimiento es supervisado por los propios fabricantes. Los requisitos se aplican solo a los productos que se lanzarán en el mercado de la UE a partir del 11 de diciembre de 2027. Las disposiciones de NIS2 se aplican principalmente en función del tamaño de la empresa, por lo que las empresas más pequeñas no están cubiertas a menos que sean designadas por las autoridades nacionales. Esto también se aplica a las empresas de energía y fabricantes sin jurisdicción en la UE. La lista provisional de entidades cuyas obligaciones entran en vigor a mediados de 2028 no incluye a los fabricantes o proveedores de sistemas de gestión de energía. La inspección propuso tres soluciones, incluyendo el desarrollo de estándares armonizados de la UE para dispositivos específicos y la adición de categorías de estos dispositivos a la lista de productos críticos de clase II de la Ley de Resiliencia Cibernética. Esto requeriría una evaluación independiente antes de la venta en la Unión Europea. También se propone incluir a las empresas que pueden controlar remotamente suficiente energía para amenazar la estabilidad de la red bajo la NIS2, independientemente de su tamaño o ubicación, y mejorar la autonomía digital de la red limitando la dependencia de empresas fuera de la UE que pueden influir en los dispositivos a gran escala.
Isabelle van der Ley, gerente de la inspección para la resiliencia digital en el sector energético, señaló que los dispositivos hacen que el sistema eléctrico sea más inteligente y resiliente, pero al mismo tiempo crean nuevos riesgos que requieren tanto dispositivos seguros como la resiliencia de todo el sistema energético. Además, el grupo de expertos de la Comisión Europea recomendó este mes clasificar los inversores solares como productos críticos de clase II bajo la Ley de Resiliencia Cibernética, señalando que el análisis no cubre los cargadores de vehículos eléctricos, bombas de calor o sistemas de almacenamiento de baterías, que pueden ser evaluados más adelante. En el foro de ciberseguridad en Bruselas el 8 de octubre, investigadores de la Red Europea para la Ciberseguridad demostraron cómo un dispositivo doméstico inteligente comprometido podría ser utilizado para enviar comandos a un inversor o batería doméstica en la misma red. "Cada día se despliegan dispositivos IoT más potentes, y las vulnerabilidades en algunos de estos dispositivos ya han sido explotadas y pueden ser explotadas nuevamente para interrumpir la red eléctrica," dijo Harm van den Brink, investigador de ciberseguridad en ENCS. Añadió, "A corto plazo, necesitamos pruebas de seguridad independientes priorizadas en función de la cantidad de energía potencialmente afectada con la gestión de vulnerabilidades por parte de los fabricantes." La inspección presentó su documento en la Conferencia ONE en La Haya, donde investigadores de Modat y el Centro Nacional de Ciberseguridad de los Países Bajos también informaron sobre 8,547 sistemas accesibles a través de internet en instalaciones solares y eólicas europeas que no deberían estar en línea.
Este material se ha preparado exclusivamente con fines informativos y no constituye asesoramiento ni recomendación financiera.