España reúne 2.766 de los 7.942 sistemas solares expuestos a internet detectados en Europa, uno de cada tres. El recuento procede de un escaneo de Modat Magnify junto al centro de ciberseguridad de Países Bajos (NCSC-NL) sobre 35 países. No es un ciberataque. Es un inventario de puertas abiertas.
Claves de la operación
- 2.766 interfaces españolas accesibles desde la red pública acaparan el 35% de los sistemas solares expuestos en los 35 países analizados, el porcentaje más alto del estudio.
- El riesgo no distingue tamaño de operador: convive en los grandes grupos del IBEX 35 y en cientos de promotores medianos que externalizan la operación y el mantenimiento de sus plantas.
- NIS2 convierte la exposición en obligación legal para el sector energético, con deberes de notificación, auditoría de proveedores y responsabilidad directa de los órganos de gobierno.
Un tercio del riesgo solar europeo se juega en España
El informe, titulado To See the Wind and the Sun y firmado por Modat con Bouke van Laethem (NCSC-NL), contabiliza 8.547 sistemas accesibles desde la red pública en la Unión Europea, los países candidatos y la EFTA. De ellos, 7.942 pertenecen a parques solares y 605 a instalaciones eólicas. Uno de cada tres sistemas solares expuestos del continente está en España, y el país solo cede protagonismo en el apartado eólico, donde Alemania e Italia encabezan la lista.
El fundador de Modat, Soufian El Yadmani, atribuye el volumen al tamaño del parque renovable español y a su ritmo de instalación. A ese factor se suman otros tres que la industria reconoce sin entusiasmo: la dispersión de proveedores complica la trazabilidad de cada acceso, la rotación de las plantillas técnicas deja configuraciones huérfanas y el crecimiento acelerado de la potencia conectada primó la puesta en marcha sobre el endurecimiento de los accesos.
El hallazgo incómodo no es la cifra, sino la profundidad del acceso. Los investigadores llegaron a controladores industriales que gobiernan maquinaria y a la interfaz web de una turbina desde la que se consultaba en tiempo real la electricidad producida y su ubicación exacta. ‘Algunos de esos paneles estaban sin ningún tipo de autenticación o protección’, señala El Yadmani. Traducido al negocio: cualquiera con un navegador y la dirección correcta podía ver cuánto genera una planta y dónde está.
Expuestos no significa atacados. El estudio contabiliza interfaces, no instalaciones independientes, y no documenta intrusiones en España: los 2.766 sistemas no equivalen a 2.766 ciberataques. Los propios autores admiten que la cifra se queda corta, porque solo computan los equipos atribuidos con certeza a una planta concreta y dejan fuera un número indeterminado de sistemas que no pudieron vincular por falta de información.
Una interfaz sin contraseña no es una brecha consumada: es una invitación permanente que nadie ha retirado de la red pública.
Las recomendaciones del centro de ciberseguridad neerlandés son de una simplicidad que incomoda: retirar de la red pública las interfaces de administración, controlar los accesos de proveedores y externos, y conservar la capacidad de operar la planta de forma manual si el sistema digital falla. Ninguna exige inversión relevante. Todas chocan con la lógica de costes del mantenimiento remoto.
La dispersión de proveedores, el agujero que nadie audita
La cadena es conocida. Un promotor encarga la planta a un contratista EPC, contrata después el mantenimiento a un tercero y este subcontrata la monitorización a un especialista que instala su propio gateway. Cada eslabón abre una puerta y ninguno responde del conjunto. En las compraventas de proyectos renovables, revisar la seguridad de esos accesos ha dejado de ser un anexo para convertirse en condición previa de las revisiones que hacen los compradores institucionales antes de firmar.
Lo que Iberdrola y Endesa se juegan con la digitalización de sus activos
España no llega aquí por sorpresa. El país levantó su primer gran parque fotovoltaico entre 2007 y 2008, sufrió después el recorte regulatorio que estranguló a miles de pequeños inversores y reconstruyó el sector con grupos integrados que hoy operan su producción desde centros de control remoto. Iberdrola y Endesa, los dos grandes del IBEX 35 con mayor base renovable, gestionan miles de megavatios con telemetría en tiempo real; Solaria y Acciona completan un mapa en el que la digitalización ya no es un extra, es el modelo de negocio.
Ahí está la contradicción. La presión por reducir el coste de operación y mantenimiento empuja precisamente hacia la gestión remota y la subcontratación que el informe señala como vector. El riesgo reputacional y regulatorio se concentra en los grandes grupos aunque la exposición técnica viva en la cola larga de promotores sin equipo de ciberseguridad. Y el coste de un incidente con repercusión en la red no se mide en megavatios: se mide en sanciones, primas de seguro y pérdida de licencia social para conectar nueva potencia.
El calendario que viene tiene dos hitos concretos: las auditorías de proveedores que exige NIS2, cuyo plazo de transposición expiró en octubre de 2024, y las renovaciones de contratos de operación y mantenimiento que afrontan decenas de plantas españolas en el próximo ejercicio. Ahí se verá si el informe cambia algo o se archiva como una foto incómoda. La pregunta que cada operador debería responder por escrito es cuántas de sus interfaces de administración siguen visibles desde cualquier navegador del mundo.
La entrada España encabeza el ranking europeo de sistemas solares expuestos: 8.000 instalaciones en riesgo aparece primero en Moncloa.
