El sector eléctrico de la India ha cruzado un umbral regulatorio que lleva años gestándose. Lo que comenzó en 2021 como un conjunto de directrices voluntarias de ciberseguridad se ha convertido ahora en una ley vinculante. Las Regulaciones de la Autoridad Central de Electricidad (Ciberseguridad en el Sector Eléctrico) de 2026 fueron notificadas en la Gaceta de la India el 31 de julio de 2026, y el cumplimiento obligatorio entra en vigor el 1 de abril de 2027. Para las empresas de generación, las empresas de transmisión, las distribuidoras, los centros de despacho de carga, las bolsas de energía y los operadores de almacenamiento de energía de más de 50 MW, esto ya no es una cuestión de buenas prácticas. Es una obligación estatutaria con consecuencias financieras, operativas y de reputación asociadas al incumplimiento.

Este cambio no ocurrió de forma aislada. El sector eléctrico se ha convertido en uno de los segmentos más atacados de la infraestructura nacional, precisamente porque una interrupción exitosa repercute en hospitales, líneas de fabricación, plantas de tratamiento de agua, redes de transporte y en la vida cotidiana. La reciente actividad cibernética impulsada por conflictos contra la infraestructura eléctrica india, ampliamente referenciada en los informes de la industria en torno a la Operación Sindoor, supuestamente involucró cerca de dos lakh de intentos de intrusión contra sistemas del sector eléctrico. Casi todos fueron repelidos, pero el volumen en sí es el mensaje: los atacantes están probando la red continuamente, y la regulación finalmente se ha puesto al día con esa realidad.

Este blog analiza lo que realmente exige la regulación, por qué el cronograma importa más de lo que la mayoría de las organizaciones se dan cuenta actualmente y cómo los líderes de seguridad de OT, los gerentes de planta y los CISO pueden construir un camino realista hacia el cumplimiento mucho antes de que llegue la fecha límite de 2027.

Figura 1: Evolución regulatoria desde las directrices voluntarias de 2021 hasta la aplicación obligatoria en abril de 2027.

Comprendiendo las Regulaciones de Ciberseguridad en el Sector Eléctrico de la CEA, 2026

Las regulaciones se emitieron bajo la Sección 177 de la Ley de Electricidad de 2003, que otorga a la Autoridad Central de Electricidad el poder de establecer estándares técnicos y operativos vinculantes para el sector. El camino hacia la regulación final pasó por varias etapas, cada una de las cuales refinó el alcance, las obligaciones y los mecanismos de aplicación en función de los comentarios de las partes interesadas de las empresas de servicios públicos, los proveedores y los organismos de la industria.

Tabla 1: Hitos regulatorios clave que conducen al cumplimiento obligatorio.

La regulación formaliza el papel del Equipo de Respuesta a Incidentes de Seguridad Informática - Energía (CSIRT-Power) como el organismo de coordinación nodal del sector. El CSIRT-Power se sitúa en el centro del análisis de incidentes, avisos de amenazas, evaluaciones de ciberseguridad en todo el sector, auditorías coordinadas, ejercicios de simulación de escritorio, creación de capacidades en la fuerza laboral y supervisión de la cadena de suministro, trabajando junto con el CERT-In y el Centro Nacional de Protección de Infraestructura de Información Crítica.

Lo que destaca del texto final de 2026, en comparación con los borradores anteriores de 2024 y 2025, es la resolución de gran parte de la ambigüedad en torno a las fechas de inicio. Los borradores anteriores dejaban espacio para que la Autoridad notificara diferentes disposiciones en diferentes fechas, lo que dificultaba genuinamente la planificación para los equipos de cumplimiento que intentaban construir una hoja de ruta realista. En cambio, la regulación promulgada establece una única fecha de entrada en vigor para todo el sector, lo que brinda a cada entidad cubierta el mismo punto de referencia para planificar. Esa claridad es valiosa en sí misma: convierte un riesgo regulatorio abierto en una fecha límite fija y planificable.

Quién debe cumplir: Alcance y aplicabilidad

Una de las preguntas más comunes de los gerentes de planta y los equipos de cumplimiento es sencilla: ¿esto se aplica a nosotros? La regulación define la aplicabilidad por el tipo de activo y su interconexión con la red, en lugar de hacerlo únicamente por el tamaño de la empresa.

Tabla 2: Umbrales de aplicabilidad bajo las regulaciones de 2026.

En términos prácticos, esto significa que la regulación afecta a casi todos los nodos significativos del sistema eléctrico interconectado: la tecnología operativa (OT) que hace funcionar turbinas, patios de llaves y salas de control, junto con los sistemas de tecnología de la información (IT) que están física o lógicamente conectados a ella.

Una forma útil de pensar en el alcance es hacerse una pregunta sencilla: ¿la falla o manipulación de este activo tiene el potencial de alterar la estabilidad de la red, la producción de generación o el suministro confiable de electricidad a los usuarios finales? Si la respuesta es sí, el activo se encuentra casi con certeza dentro del perímetro regulatorio, independientemente de si se encuentra claramente dentro del balance general de una sola empresa. Esta es precisamente la razón por la que la regulación extiende las obligaciones también a los proveedores e integradores de sistemas. Un proveedor de sistemas de control con acceso remoto permanente a un activo de generación representa una superficie de ataque real para ese activo, independientemente de quién sea el propietario técnico del equipo.

Las organizaciones que operan una combinación de tipos de activos, por ejemplo, una empresa de generación que también opera capacidad renovable y de almacenamiento cautiva, no deben asumir que cumplir con el requisito para una clase de activo satisface automáticamente las obligaciones para otra. Cada instalación cubierta necesita su propia evaluación de riesgos documentada, registro de activos y pista de auditoría, incluso cuando las estructuras de gobernanza como el rol de CISO se compartan en toda la organización.

Requisitos clave de cumplimiento bajo el nuevo marco

Gobernanza: Designación de CISO y la División de Seguridad de la Información

Cada entidad cubierta debe designar un Oficial de Seguridad de la Información (CISO) y un CISO alterno, ambos seleccionados de la alta dirección y de los cuales se espera que cumplan con un mandato mínimo, lo que refleja la intención de que la propiedad de la ciberseguridad resida en el nivel de liderazgo en lugar de delegarse informalmente en un administrador de IT. Las organizaciones también deben establecer una División de Seguridad de la Información las 24 horas del día, los 7 días de la semana, dotada de profesionales capacitados y certificados responsables del monitoreo continuo, la detección de amenazas y el reporte interno.

Plazos de notificación de incidentes

La regulación establece plazos firmes para el reporte. Los incidentes generales de ciberseguridad deben reportarse al CSIRT-Power dentro de las seis horas posteriores a su detección. Los incidentes clasificados como sabotaje cibernético que involucren sistemas críticos conllevan un requisito de reporte más estricto de 24 horas, dado el potencial de impacto en cascada en la red. Estos son plazos estrechos para las organizaciones que aún no tienen flujos de trabajo de detección y escalación creados y ensayados.

Segmentación de red OT-IT

El aislamiento físico de la tecnología operativa respecto de los sistemas de tecnología de la información y de la internet pública es la expectativa predeterminada. Cuando la interconexión sea operativamente necesaria, las entidades deben documentar una justificación y completar una evaluación de riesgos documentada antes de la aprobación. Esta disposición aborda directamente la causa raíz más común del compromiso de OT: una vía mal controlada entre una red corporativa y una red de sistemas de control.

Auditorías de ciberseguridad y evaluaciones de riesgos

Las auditorías anuales de ciberseguridad son obligatorias, y cada auditoría debe dar cuenta de los hallazgos del ciclo anterior en lugar de comenzar desde cero. También se espera que las entidades mantengan una evaluación de riesgos cibernéticos actualizada, un registro de activos al día y un plan de respuesta a incidentes probado, actualizados a intervalos definidos en lugar de ser tratados como papeleo de una sola vez.

Protección y localización de datos

Los datos operativos sensibles, incluidos los datos históricos y la información alojada en entornos de nube, deben estar cifrados, almacenados de forma segura y protegidos contra accesos no autorizados. Esto plantea interrogantes reales para las empresas de servicios públicos que han adoptado historiadores basados en la nube, plataformas de monitoreo remoto o herramientas de análisis de terceros sin mapear por completo dónde residen realmente los datos sensibles de OT.

Obligaciones de proveedores y de la cadena de suministro

Los proveedores que suministren sistemas de control, componentes TIC o servicios gestionados deben proporcionar procedimientos de recuperación documentados y probados, mantener parches de seguridad y actualizaciones a lo largo de la vida operativa contractualmente definida del equipo, y demostrar garantías de ciberseguridad como parte del proceso de contratación. Esto cierra una brecha que históricamente ha dejado expuestas a las empresas de servicios públicos a través de equipos de terceros y acceso de soporte remoto.

Sanciones por incumplimiento

El incumplimiento conlleva consecuencias financieras, con sanciones reportadas de hasta un crore de rupias por incidente bajo el marco promulgado. Más allá de la exposición financiera directa, una falla de cumplimiento documentada también puede afectar la posición regulatoria, las condiciones de los seguros y la confianza de las partes interesadas, particularmente para las empresas de servicios públicos cotizadas y los IPP que responden ante juntas directivas y prestamistas.

Figura 2: Los seis pilares operativos que sustentan un programa de cumplimiento de la CEA realista.

Por qué importa esta regulación: Riesgos, desafíos y realidades de la industria

Las regulaciones de esta escala rara vez se escriben en el vacío. Suelen ser una respuesta directa a un riesgo demostrado. El historial global de ataques contra la infraestructura eléctrica proporciona un contexto útil de por qué los reguladores de la India pasaron de una orientación voluntaria a una ley vinculante.

En diciembre de 2015 y nuevamente en 2016, ciberataques coordinados contra empresas regionales de distribución de energía en Ucrania provocaron apagones de horas que afectaron a cientos de miles de clientes, ejecutados a través de estaciones de trabajo de ingeniería comprometidas y la manipulación de controles de interruptores. Sigue siendo una de las demostraciones más claras de que un actor decidido con acceso a sistemas OT puede convertir el acceso digital en una interrupción física en el mundo real. Más cerca de otro sector de infraestructura crítica, el ataque de ransomware de 2021 a un importante operador de oleoductos de EE. UU. interrumpió la distribución de combustible en toda la costa este durante días, lo que ilustra cómo un ataque que técnicamente afecta a los sistemas de IT aún puede obligar a un cierre de OT por exceso de precaución, debido a que los dos entornos nunca estuvieron separados de manera limpia.

La propia experiencia de la India añade urgencia más cerca de casa. La reciente actividad vinculada a conflictos contra el sector eléctrico, analizada públicamente en relación con la Operación Sindoor, supuestamente generó cerca de dos lakh de intentos de intrusión cibernética contra sistemas del sector eléctrico en un período corto. Según se informó, cada uno de ellos fue repelido, lo que es un mérito real para las defensas existentes, pero el volumen indica un nivel de interés sostenido que las directrices voluntarias por sí solas nunca fueron diseñadas para resistir.

Más allá de los incidentes que ocupan los titulares, los líderes de seguridad de OT enfrentan un conjunto de desafíos estructurales que dificultan genuinamente el cumplimiento, no solo administrativamente inconvenientes:

• Sistemas de control heredados: Muchas subestaciones y activos de generación ejecutan controladores lógicos programables (PLC) y plataformas SCADA que nunca se diseñaron pensando en la autenticación, el cifrado o el parcheo, y que no se pueden reemplazar simplemente a mitad de la operación.

• Convergencia IT-OT: Las iniciativas de redes inteligentes, el monitoreo remoto y el mantenimiento predictivo han conectado los sistemas operativos a las redes corporativas y plataformas en la nube más rápido de lo que ha madurado la arquitectura de seguridad para respaldarlo.

• Brechas de personal y habilidades: La experiencia en ciberseguridad específica para OT sigue siendo escasa, y muchos equipos a nivel de planta son fuertes en ingeniería y automatización pero tienen una exposición formal limitada a las operaciones de ciberseguridad.

• Competencia presupuestaria: La inversión en ciberseguridad a menudo compite directamente con proyectos de expansión de capacidad, modernización de la red e integración de energías renovables por la misma asignación de capital.

• Visibilidad fragmentada: Muchas empresas de servicios públicos aún carecen de un registro de activos único y preciso que abarque los entornos de IT y OT, lo que hace que tanto la evaluación de riesgos como la respuesta a incidentes sean más lentas y menos confiables.

• Exposición de proveedores y terceros: El acceso remoto otorgado a los proveedores de equipos e integradores de sistemas con frecuencia no se monitorea lo suficiente, lo que crea un punto de entrada débil que elude por completo los controles perimetrales.

Ninguno de estos desafíos es exclusivo de la India, y ninguno es insuperable. Lo que requieren es un enfoque estructurado y secuenciado en lugar de una carrera de cumplimiento de último minuto a medida que se acerca la fecha límite de abril de 2027.

El caso de negocio más allá de la cláusula de penalización

Es tentador enmarcar esta regulación puramente como un ejercicio de cumplimiento, algo que satisfacer antes de que llegue un auditor. Ese encuadre subestima lo que realmente está en juego para el negocio. Una interrupción no planificada en un activo de generación de más de 50 MW conlleva un costo financiero directo a través de la pérdida de generación, penalizaciones contractuales por energía no entregada y un posible escrutinio regulatorio. Un incidente cibernético atribuido públicamente conlleva un segundo impacto de costos a más largo plazo: aseguradoras que reevalúan las primas, prestamistas que revisan los términos de los convenios y clientes institucionales que hacen preguntas más difíciles durante las renovaciones de contratos.

También existe un argumento más silencioso y estratégico para tomarse esto en serio. Es simplemente más fácil hacer negocios con las empresas de servicios públicos y de generación que pueden demostrar una postura madura de ciberseguridad, respaldada por auditorías documentadas, planes de respuesta a incidentes probados y una División de Seguridad de la Información con el personal adecuado. A medida que los operadores de red expanden la integración de energías renovables, el despliegue de almacenamiento por baterías y los acuerdos de comercialización de energía transfronterizos, la madurez en ciberseguridad se está convirtiendo cada vez más en un requisito previo para la asociación en lugar de un diferenciador. Las organizaciones que traten el marco de la CEA como un piso sobre el cual construir, en lugar de un techo que simplemente alcanzar, estarán mejor posicionadas para la próxima década de modernización de la red.

También vale la pena reconocer lo que esta regulación no hace. No elimina el riesgo y no garantiza que una entidad bien documentada y que cumple plenamente nunca experimente un incidente. Lo que hace es elevar la línea base en toda la red interconectada, lo que importa enormemente en un sector donde un nodo débilmente defendido puede convertirse en el punto de entrada para un ataque que se propague en cascada a muchos otros. El cumplimiento, en ese sentido, es un ejercicio de responsabilidad compartida tanto como individual.

Un ejemplo real adicional refuerza este punto. In 2017, se descubrió una pieza de software malicioso diseñada específicamente para atacar sistemas instrumentados de seguridad industrial en una instalación petroquímica en el Medio Oriente, después de que activara inadvertidamente una parada no planificada en lugar del evento físico catastrófico para el que parece haber sido diseñado. Ese incidente se cita con frecuencia en los círculos de ciberseguridad industrial porque demostró algo genuinamente nuevo: los atacantes ya no solo estaban interesados en robar datos o interrumpir la disponibilidad, sino que estaban sondeando los mismos sistemas de seguridad diseñados para evitar daños físicos a las personas y a los equipos. Para un sector como la generación de energía, donde los sistemas instrumentados de seguridad y los relés de protección desempeñan un papel equivalente, ese precedente es un recordatorio serio de lo que sucede cuando la seguridad OT se trata como una ocurrencia tardía.

Construyendo un cronograma de cumplimiento: Recomendaciones prácticas

Con aproximadamente un año y medio de margen entre la fecha actual y la aplicación obligatoria, las organizaciones tienen una oportunidad real de secuenciar su programa de cumplimiento en lugar de comprimirlo en un último trimestre apresurado. El siguiente enfoque por fases refleja cómo los programas maduros de seguridad de OT suelen pasar de la evaluación a la operación sostenida.

Tabla 3: Un enfoque de cinco fases para lograr el cumplimiento total de la CEA antes de la fecha límite de abril de 2027.

Mejores prácticas para líderes de seguridad de OT

• Comience con un registro de activos preciso y dinámico que cubra tanto los sistemas OT como los de IT; no puede proteger ni reportar sobre lo que no tiene inventariado.

• Priorice los proyectos de segmentación para los activos de mayor consecuencia primero, en lugar de intentar un despliegue simultáneo en todo el sector.

• Construya y ensaye los flujos de trabajo de reporte de incidentes de seis y veinticuatro horas ahora, mucho antes de que un incidente real lo obligue a aprenderlos bajo presión.

• Actualice los contratos de los proveedores con compromisos de parches documentados, procedimientos de recuperación y cláusulas de garantía de ciberseguridad antes de que los ciclos de renovación bloqueen términos obsoletos.

• Trate la auditoría anual como una disciplina continua en lugar de un evento anual; mantenga evidencia lista para auditoría durante todo el año.

• Invierta en capacitación del personal específica para OT, no en concientización genérica sobre seguridad de IT, para que el personal de la sala de control y de ingeniería reconozca y responda a las anomalías de manera adecuada.

• Alinee el presupuesto de ciberseguridad con los ciclos de planificación de capital ahora, para que la inversión en seguridad no se despriorice perpetuamente frente a los proyectos de expansión.

Vale la pena ser sincero sobre la secuenciación, porque las organizaciones suelen cometer el mismo error: invierten fuertemente en herramientas técnicas antes de que la gobernanza y la visibilidad estén implementadas. Una plataforma de monitoreo implementada en una red sin un registro de activos preciso produce ruido, no información. Un proyecto de segmentación emprendido sin una evaluación de riesgos documentada a menudo se revierte la primera vez que interrumpe un proceso operativo. La gobernanza y la visibilidad realmente deben ser lo primero, aunque los controles técnicos tiendan a parecer los elementos más tangibles y financiables.

Preguntas frecuentes

1. ¿Cuándo entran en vigor realmente las Regulaciones de Ciberseguridad de la CEA?

Las regulaciones se publicaron en la Gaceta de la India el 31 de julio de 2026. El cumplimiento obligatorio será plenamente exigible el 1 de abril de 2027, lo que brinda a las entidades cubiertas un margen definido para cerrar brechas antes de que comience la aplicación de la ley.

2. ¿Se aplica la regulación a los activos de generación más pequeños por debajo de 50 MW?

Las disposiciones obligatorias directas se aplican a las empresas generadoras, plantas cautivas y sistemas de almacenamiento de energía de 50 MW o más. Se alienta a las entidades por debajo de ese umbral, aunque no se les exige, a adoptar controles básicos de ciberseguridad, generalmente alineados con la guía del CERT-In para organizaciones más pequeñas.

3. ¿Qué es el CSIRT-Power y qué papel desempeña?

El CSIRT-Power, establecido en abril de 2023, funciona como el organismo de coordinación nodal de ciberseguridad del sector. Recibe reportes de incidentes, emite alertas y avisos, realiza evaluaciones y auditorías en todo el sector, ejecuta ejercicios de creación de capacidades y se coordina con el CERT-In y el Centro Nacional de Protección de Infraestructura de Información Crítica en asuntos cibernéticos a nivel nacional.

4. ¿Con qué rapidez se debe reportar un incidente de ciberseguridad?

Los incidentes generales de ciberseguridad deben reportarse al CSIRT-Power dentro de las seis horas posteriores a su detección. Los incidentes clasificados como sabotaje cibernético que afectan a sistemas críticos conllevan un requisito de reporte más estricto de 24 horas dadas las posibles consecuencias en toda la red.

5. ¿Qué sucede si una organización no cumple con la fecha límite?

El incumplimiento conlleva sanciones financieras de hasta un crore de rupias por incidente, junto con las consecuencias operativas y de reputación que suelen seguir a una brecha regulatoria documentada, incluido un escrutinio más cercano en futuras auditorías y un impacto potencial en la confianza de las partes interesadas y los prestamistas.

Cómo apoya Shieldworkz a las organizaciones

Shieldworkz trabaja exclusivamente en la intersección de la tecnología operativa y la ciberseguridad industrial, ayudando a las organizaciones de energía, fabricación e infraestructura crítica a traducir las obligaciones regulatorias en programas de seguridad prácticos y sostenibles. Nuestro enfoque se basa en las realidades de los entornos operativos reales, no en marcos de seguridad de IT genéricos adaptados a las plantas de producción.

Entendemos que la prioridad de un ingeniero de sala de control es mantener la planta funcionando de manera segura, no completar una lista de verificación de cumplimiento, y nuestros compromisos están diseñados en torno a esa realidad. En lugar de entregar un informe de auditoría genérico y seguir adelante, nuestros equipos trabajan junto con los ingenieros de la planta, el personal de IT y los líderes para construir un programa que se adapte a cómo opera realmente la instalación, prestando atención al tiempo de actividad, la seguridad y la continuidad operativa en cada paso.

• Descubrimiento de activos OT y evaluación de riesgos para construir el inventario preciso y dinámico que sustenta cualquier otra actividad de cumplimiento.

• Análisis de brechas frente al marco regulatorio de la CEA, traducido en una hoja de ruta de remediación priorizada y realista en lugar de una lista de verificación abrumadora.

• Orientación sobre arquitectura de red y segmentación para ayudar a separar los entornos OT e IT sin interrumpir la continuidad operativa.

• Desarrollo de planes de respuesta a incidentes y gestión de crisis, incluidos ejercicios de simulación que ensayan los plazos de reporte de seis y veinticuatro horas.

• Soporte de asesoramiento para CISO y guía de configuración de la División de Seguridad de la Información, aprovechando la experiencia en múltiples sectores industriales.

• Capacidades de monitoreo continuo de OT y detección de amenazas diseñadas para entornos de sistemas de control, no herramientas de IT adaptadas.

• Evaluaciones de seguridad de proveedores y de la cadena de suministro para cerrar las brechas de acceso de terceros antes de que se conviertan en hallazgos de auditoría o puntos de entrada de incidentes.

• Soporte para la preparación de auditorías, incluyendo documentación, organización de evidencia y simulacros internos antes de las auditorías formales de ciberseguridad.

• Programas de capacitación para la fuerza laboral diseñados específicamente para ingenieros de OT, operadores de plantas y personal de salas de control.

Ya sea que su organización esté comenzando su evaluación de brechas o esté perfeccionando un programa existente antes de la fecha límite de 2027, nuestro equipo trabaja junto con sus partes interesadas de ingeniería y seguridad para construir un programa que satisfaga los requisitos regulatorios mientras fortalece genuinamente la resiliencia operativa.

Conclusión

Las Regulaciones de Ciberseguridad en el Sector Eléctrico de la CEA de 2026 marcan un verdadero punto de inflexión para la infraestructura energética de la India. Lo que antes era una mejor práctica voluntaria es ahora una obligación legal con una fecha de entrada en vigor firme, sanciones definidas y una estructura de aplicación clara detrás de ella. La distancia entre el momento actual y el 1 de abril de 2027 no es un período de gracia para esperar sin hacer nada. Es una ventana de planificación, y la forma en que las organizaciones la utilicen determinará si el cumplimiento se convierte en una transición fluida y bien secuenciada o en una carrera estresante y agotadora de recursos en los últimos meses antes de que comience la aplicación.

Los líderes del sector eléctrico que comiencen hoy las evaluaciones de brechas, la estructuración de la gobernanza y la remediación técnica no solo cumplirán cómodamente con la fecha límite regulatoria, sino que también construirán una postura de seguridad materialmente más sólida contra el tipo de ataques sostenidos en el mundo real que el sector ya ha experimentado. Las organizaciones que se tomen en serio este cronograma ahora serán las menos afectadas cuando llegue la fecha límite.

Las fechas límite regulatorias suelen llegar más rápido de lo que parecen en un calendario, especialmente una vez que se factorizan los ciclos presupuestarios, los plazos de adquisición y los tiempos de entrega de los proveedores. Una evaluación de brechas que parece fácil de programar dentro de seis meses se vuelve considerablemente más difícil de encajar doce semanas antes de una auditoría. Las organizaciones más resilientes de este sector serán aquellas que comenzaron a planificar mientras abril de 2027 aún se sentía cómodamente distante.

Reserve una consulta gratuita con nuestros expertos

Si su organización se está preparando para las Regulaciones de Ciberseguridad de la CEA, nuestro equipo puede ayudarlo a evaluar dónde se encuentra hoy, identificar brechas prioritarias y construir una hoja de ruta realista y por fases hacia la fecha límite de cumplimiento de abril de 2027. Hable con un especialista en seguridad de OT de Shieldworkz para una consulta sin compromiso adaptada a su planta, activo de red o entorno de servicios públicos.

DESCARGAR

Lista de verificación de cumplimiento de ciberseguridad de la CEA aquí

Regulaciones de Ciberseguridad en el Sector Eléctrico de la CEA aquí

Hoja de ruta de implementación de seguridad OT de la CEA aquí

Guía de remediación de ciberseguridad de la CEA aquí