NIS-2: ¿Qué implica la nueva Directiva de la UE sobre ciberseguridad para los sistemas fotovoltaicos y de almacenamiento?

La Directiva NIS-2 es una directiva de la UE que establece normas mínimas vinculantes en materia de ciberseguridad. Su objetivo es garantizar un nivel de seguridad elevado y uniforme en todos los Estados miembros y sustituye a la Directiva NIS original de 2016. Afecta a las medianas y grandes empresas de un total de 18 sectores, entre los que se incluyen la energía, el agua, el transporte, la sanidad, la administración pública y diversos servicios digitales.

La Directiva NIS-2 está en vigor desde enero de 2023 y todos los Estados miembros deben transponerla a su legislación nacional. El plazo para dicha transposición finalizó el 17 de octubre de 2024. Cada país transpone las disposiciones mediante sus propias leyes, que pueden diferir en algunos detalles, pero que se basan todas en los mismos requisitos de la UE.

No. Los operadores privados de instalaciones fotovoltaicas en edificios residenciales no se consideran instalaciones sujetas a la normativa NIS-2. Sin embargo, se benefician indirectamente de que los fabricantes, las empresas de suministro energético y los operadores de plataformas deban cumplir requisitos de seguridad más estrictos, por ejemplo, mediante portales en la nube seguros, comunicaciones cifradas y actualizaciones de seguridad periódicas.

Por «entidades importantes» se consideran, por regla general, las empresas con al menos 50 empleados o con una facturación anual o un balance total superior a 10 millones de euros, siempre que operen en uno de los sectores contemplados en la Directiva NIS-2. Las «entidades de especial importancia» deben contar con al menos 250 empleados o presentar indicadores financieros considerablemente más elevados. En el sector energético, pueden incluirse, por ejemplo, las empresas municipales de servicios públicos, los operadores de grandes instalaciones fotovoltaicas y sistemas de almacenamiento, o los proveedores de servicios energéticos. Las autoridades de seguridad, como la BSI, prestan apoyo en la clasificación.

Las empresas directamente afectadas deben establecer un sistema de gestión de la seguridad de la información (por ejemplo, conforme a la norma ISO 27001 y, en su caso, también a la norma IEC 62443), evaluar los riesgos periódicamente y aplicar medidas de protección tanto técnicas como organizativas. Necesitan contar con procesos de detección de ataques, responsabilidades claras y canales fijos de notificación de incidentes de seguridad, que deben comunicarse a las autoridades competentes en un plazo breve. La dirección asume expresamente la responsabilidad de la aplicación de estas disposiciones.

Las empresas más pequeñas suelen quedar por debajo de los umbrales formales y, por lo tanto, no están sujetas directamente a la normativa NIS-2. No obstante, pueden verse afectadas a través de la cadena de suministro: los clientes regulados por la NIS-2 incluirán requisitos de seguridad en las licitaciones y los contratos. En ese caso, se exigirán, por ejemplo, pruebas de buenas prácticas de ciberseguridad, gestión de parches, conceptos de acceso y copias de seguridad, o certificaciones como la ISO 27001 o la IEC 62443.

Puede darse el caso de que pequeñas empresas de instalación presten servicios a empresas más grandes que estén sujetas a los requisitos de la NIS-2. En tales casos, deben respetarse y aplicarse los requisitos de la NIS-2.

La NIS-2 no solo tiene en cuenta a las empresas individuales, sino a cadenas de valor completas. Si suministra componentes o servicios a empresas sujetas a la NIS-2, se le exigirán unos requisitos de seguridad. Entre ellos se incluyen procesos claros de actualización y copias de seguridad, personas de contacto designadas para incidentes de seguridad y, en su caso, acuerdos de nivel de servicio (SLA) en materia de seguridad en los contratos.

Las certificaciones como la ISO 27001 o la IEC 62443 se consideran ejemplos de seguridad de la información acorde con el estado actual de la técnica. Ayudan a aplicar de forma estructurada los requisitos de la Directiva NIS 2 y sirven como prueba comprensible ante clientes, auditores y autoridades. Para los instaladores y proveedores, estas certificaciones pueden constituir un criterio importante a la hora de ser tenidos en cuenta en proyectos y cadenas de suministro sensibles.

La Directiva ampliada sobre equipos de radio (RED) introduce requisitos adicionales de ciberseguridad para los dispositivos basados en radio. A partir del 1 de agosto de 2025, los fabricantes de dispositivos con conexiones inalámbricas —como inversores con módulos de radio, contadores inteligentes o pasarelas de comunicación— deberán demostrar que estos protegen las redes, salvaguardan los datos personales y la privacidad, y están a salvo de manipulaciones. Solo los productos que cumplan con la normativa podrán venderse e instalarse en la UE. La norma EN 303 645 se ha consolidado como la certificación adecuada.

Las empresas instaladoras deben prestar mayor atención a los componentes que instalan y a cómo los gestionan. Algunos puntos importantes son: planificar de forma sistemática las actualizaciones de seguridad, no utilizar contraseñas predeterminadas, seleccionar portales y plataformas en la nube seguros, aclarar las responsabilidades por contrato y conocer el propio papel en la cadena de suministro de la Directiva NIS-2. Una seguridad informática demostrable puede convertirse en una ventaja decisiva en las licitaciones y en las relaciones a largo plazo con los clientes.

Los clientes finales se benefician de un mayor nivel de seguridad en general: las redes energéticas, las plataformas y las soluciones en la nube deben ser más resistentes a los ataques, y los fabricantes están obligados a aplicar una gestión estructurada de la seguridad. Para los operadores de instalaciones fotovoltaicas, esto supone una mayor protección de los datos y del funcionamiento de las instalaciones, aunque ellos mismos no estén directamente sujetos a la directiva.

La Directiva NIS-2 forma parte del Derecho de la UE y se aplica directamente solo a las empresas con sede o establecimiento en un Estado miembro de la UE. No obstante, las empresas de fuera de la UE que trabajen para clientes europeos o formen parte de su cadena de suministro tendrán que cumplir a menudo requisitos de seguridad similares, ya que los clientes sujetos a la NIS-2 trasladan estas exigencias a los contratos y proyectos.