Un plan práctico para los OEM, proveedores e integradores de sistemas del sector eléctrico en la India

Durante más de una década, la ciberseguridad del sector eléctrico en la India se consideró en gran medida una carga operativa asumida directamente por las empresas de servicios públicos, los operadores de red y las entidades de generación de energía. Los fabricantes de equipos, los integradores de sistemas y los proveedores de software funcionaban en un mercado dominado por especificaciones funcionales, sensibilidad a los precios y cláusulas contractuales de indemnización de alto nivel.

Esa dinámica ha experimentado un cambio fundamental.

Con la publicación del Reglamento de la Autoridad Central de Electricidad (Ciberseguridad en el Sector Eléctrico) de 2026 en el Diario Oficial el 31 de julio de 2026 (F. N.º CEA-HII-91-19/8/2024-División de Ciberseguridad), el Ministerio de Energía de la India y la Autoridad Central de Electricidad (CEA) han pasado de directrices de asesoramiento voluntario a un modelo de garantía cibernética legal y aplicable en virtud de la Sección 177 de la Ley de Electricidad de 2003.

Si bien las obligaciones principales de cumplimiento recaen en las empresas de servicios públicos y los propietarios de activos, el Reglamento de 2026 integra explícitamente el riesgo de la cadena de suministro, el origen de la tecnología, la transparencia a nivel de componentes y la gestión del acceso remoto en el núcleo regulatorio.

Evolución regulatoria: De directrices voluntarias a ley legal

Comprender la base regulatoria actual requiere rastrear la evolución estructural del marco de la CEA en los últimos años.

Cronología y base de aplicabilidad

• Directrices de Ciberseguridad en el Sector Eléctrico de la CEA de 2021: Introdujeron conceptos básicos (identificación de Infraestructura de Información Crítica, designación de CISO, realización de auditorías de CERT-In). Sin embargo, se trataba de directrices de asesoramiento que carecían de sanciones legales directas según las normas eléctricas.

• Proyecto de Reglamento de la CEA (2024–2025): El Ministerio de Energía publicó un proyecto de reglamento legal para consulta pública con el fin de elevar la ciberseguridad a rango de ley formal.

• Reglamento final de la CEA (Ciberseguridad en el Sector Eléctrico) de 2026:

  • Fecha de notificación en el Diario Oficial: 31 de julio de 2026.

  • Fecha de entrada en vigor general: 1 de abril de 2027 (lo que otorga a la industria un periodo de implementación activo).

  • Disposiciones escalonadas: Disposiciones específicas, incluidos marcos de auditoría de seguridad especializados y protocolos operativos selectos (como los Reglamentos 5(9), 5(24), 5(33), 5(39), 6(2) y 6(7)), comenzarán en fechas distintas notificadas por separado por la CEA con la aprobación previa del Gobierno Central.

Distinción regulatoria: Las disposiciones del proyecto de 2024/2025 y las cláusulas de asesoramiento de 2021 quedan legalmente superadas por el texto publicado en el Diario Oficial de 2026. Los proveedores deben evaluar la preparación de las adquisiciones estrictamente de acuerdo con el Reglamento de 2026 publicado y las directrices posteriores de la CEA/CSIRT-Power.

Aplicabilidad: ¿Están regulados directamente los proveedores y los OEM?

Un punto común de confusión entre los OEM extranjeros, los proveedores de tecnología y los integradores de sistemas (SI) es si están sujetos directamente a la aplicación de la CEA. El desglose legal y operativo aclara esta distinción. 

A. Alcance legal directo

El Reglamento de 2026 obliga directamente a las entidades que poseen, operan o gestionan Tecnología Operativa (TO) y Tecnología de la Información (TI) vinculadas conectadas a la red eléctrica interconectada de la India:

• Empresas de generación, plantas de generación cautiva e instalaciones de ESS con una capacidad instalada de 50 MW o superior. La aplicabilidad y las disposiciones regulatorias específicas varían según el tipo de entidad; los proveedores no deben inferir que todas las disposiciones se aplican de manera idéntica a cada entidad cubierta.

• Todos los licenciatarios de transmisión, licenciatarios de distribución (DISCOM) y centros de despacho de carga (NLDC, RLDC, SLDC).

• Bolsas de energía y plataformas de negociación extrabursátiles (OTC).

Los proveedores no están regulados uniformemente de la misma manera que las entidades cubiertas del sector eléctrico. Sin embargo, el Reglamento de 2026 contiene disposiciones que abordan directamente las responsabilidades de los proveedores en circunstancias específicas, mientras que las entidades cubiertas también deben traducir los requisitos regulatorios aplicables en acuerdos de adquisición, contratación, integración de sistemas y soporte.

(Nota: Las entidades por debajo del umbral aplicable de 50 MW no se incluyen dentro del mismo alcance sobre esa base; el Reglamento fomenta la adopción de los controles de ciberseguridad pertinentes de CERT-In para entidades más pequeñas).

B. Aplicabilidad a la cadena de suministro y a los proveedores (Contexto de los Reglamentos 11 y 12)

Los proveedores, OEM, integradores de sistemas, proveedores de servicios en la nube y proveedores de servicios entran dentro del mandato de la CEA a través de dos mecanismos legales:

1. Obligaciones específicas de los proveedores (Reglamentos 11 y 12): Donde disposiciones específicas exigen explícitamente que los proveedores de equipos, software o servicios gestionados cumplan con las normas de referencia legales, ofrezcan transparencia de los productos o se sometan a pruebas.

2. Disposiciones de transmisión contractual: El Reglamento impone requisitos de ciberseguridad en las adquisiciones, el abastecimiento de fuentes confiables y las relaciones con los proveedores. En consecuencia, las entidades cubiertas deberán incorporar los requisitos de ciberseguridad aplicables en las especificaciones de adquisición, contratos, SLA y procesos de gestión de proveedores.

En la práctica, una empresa de servicios públicos de energía no puede mantener el cumplimiento legal sin transmitir mandatos estrictos operativos, técnicos y de auditoría a su ecosistema de proveedores.

Requisitos clave de la CEA de 2026 que afectan a los proveedores de tecnología

La siguiente tabla asocia las expectativas legales del Reglamento de 2026 con las capacidades prácticas de los productos, la preparación operativa y los criterios de adquisición:

Cumplimiento a nivel de producto frente a cumplimiento a nivel de proveedor/fabricación

Un error conceptual fundamental entre los proveedores de tecnología es que tener un producto seguro garantiza el cumplimiento de la organización, o que contar con la certificación ISO 27001 demuestra automáticamente que un producto es seguro. Las empresas de servicios públicos de energía evalúan a los proveedores en dos niveles distintos:

A. Preparación a nivel de producto (el dispositivo/sistema)

Se centra en la arquitectura de seguridad del entregable real implementado en el ecosistema eléctrico:

• Seguridad de protocolos: Desactivar protocolos de mantenimiento heredados o no cifrados (por ejemplo, Telnet, HTTP, FTP sin autenticación) en favor de alternativas seguras (por ejemplo, SSH, HTTPS, IEC 60870-5-104 encapsulado en TLS, autenticación segura DNP3, configuraciones de protocolos seguros y mecanismos de seguridad IEC 61850 apropiados, según corresponda).

• Integridad del firmware: Imágenes de firmware firmadas criptográficamente que evitan la modificación no autorizada o la carga de código comprometido.

• Registro de auditoría granular: Generación nativa de registros de auditoría de seguridad compatibles con syslog (intentos de autenticación, cambios de configuración, cambios lógicos) capaces de exportarse a SIEM centrales sin degradar el rendimiento del control en tiempo real.

• Fortalecimiento de credenciales: Ausencia de puertas traseras codificadas, claves maestras universales o credenciales de fábrica inalterables. Flujos de trabajo obligatorios de cambio en el primer arranque.

B. Preparación a nivel organizativo/de fabricación (la entidad OEM)

Se centra en cómo el proveedor crea, prueba y soporta la tecnología a lo largo de su ciclo de vida:

• Seguridad del pipeline de compilación: Proteger la infraestructura de compilación de software, los repositorios de código fuente y las estaciones de grabación de firmware contra amenazas internas y manipulación de malware.

• Capacidad de PSIRT: Mantener un equipo de respuesta a incidentes de seguridad de productos (PSIRT) dedicado capaz de recibir informes de vulnerabilidades, emitir avisos y publicar parches verificados bajo los SLA acordados.

• Pruebas de aceptación en fábrica (FAT): Integrar la verificación de la ciberseguridad en los procedimientos FAT antes de que los equipos salgan de las instalaciones de fabricación.

• Supervisión de subproveedores: Evaluar a los proveedores de bibliotecas de software de terceros y a los proveedores de componentes de hardware para detectar vulnerabilidades en la cadena de suministro.

CEA 2026 vs. IEC 62443 vs. ISO 27001: La interacción

Los departamentos de adquisiciones de las empresas de servicios públicos de la India solicitan cada vez más certificaciones a los proveedores. Es vital comprender dónde se alinean los marcos internacionales con la CEA 2026 y dónde difieren.

• ISO 27001: Demuestra que una empresa gestiona los riesgos de TI corporativos, las políticas y los controles de seguridad de los empleados. No demuestra que un producto TO (por ejemplo, un relé de protección numérica o un servidor SCADA) sea seguro o esté libre de vulnerabilidades.

• IEC 62443: Excelente base de ingeniería internacional. IEC 62443-4-1 (SDLC seguro) e IEC 62443-4-2 (Requisitos técnicos de componentes) se alinean estrechamente con las expectativas de productos de la CEA. Sin embargo, la certificación IEC 62443 por sí sola no satisface los mandatos legales específicos de la India, como el reporte de incidentes en 6 horas a CSIRT-Power o la residencia de datos dentro del país.

• CEA 2026: Representa el marco legal vinculante en la India. Los proveedores deben utilizar IEC 62443 para diseñar sus productos, ISO 27001 para estructurar la TI corporativa y CEA 2026 para garantizar el cumplimiento legal de las adquisiciones en el mercado eléctrico de la India.

Paquete de evidencia y cumplimiento práctico para proveedores

Para ganar licitaciones y superar las auditorías de ciberseguridad de las empresas de servicios públicos, los OEM y los integradores de sistemas deben crear un Paquete de Evidencia de Cumplimiento de la CEA estandarizado.

Categoría 1: Artefactos legales y obligatorios

• Lista de materiales de software (SBOM): Con formato estándar SPDX o CycloneDX, que enumera el código de terceros y los módulos de código abierto.

• Certificados de pruebas de ciberseguridad autorizados: Informes de pruebas que verifican análisis de malware limpios y evaluaciones de robustez de protocolos realizados por laboratorios acreditados.

• Carta de compromiso de localización de datos: Declaración legal formal que confirma que la telemetría, los servicios de backend en la nube y los hosts de salto de soporte retienen los datos estrictamente dentro de la India.

Categoría 2: Expectativas contractuales clave

• Acuerdo de SLA de incidentes: Compromiso contractual que garantiza la notificación a los CISO de las empresas de servicios públicos dentro de las 6 horas posteriores al descubrimiento de una vulneración que afecte a la tecnología suministrada.

• Diagrama de arquitectura de acceso remoto: Diagramas de red detallados que demuestran cómo las conexiones de soporte utilizan servidores de salto, MFA, grabación completa de sesiones y controles de IP con georrestricción.

• Acuerdo de mantenimiento seguro y parches: Ejemplo de SLA contractual: Definir plazos de corrección basados en la gravedad para vulnerabilidades críticas, altas, medias y bajas, alineados con la tolerancia al riesgo del cliente, las limitaciones operativas y los requisitos regulatorios aplicables.

Categoría 3: Evidencia técnica fuertemente recomendada

• Guía de fortalecimiento y configuración segura del producto: Documentación paso a paso que detalla cómo bloquear puertos no utilizados, desactivar cifrados débiles, configurar el control de acceso basado en roles (RBAC) y habilitar el registro centralizado.

• Política de divulgación de vulnerabilidades (VDP): Proceso público o de cara al cliente que explica cómo se pueden reportar de manera responsable las vulnerabilidades al PSIRT del proveedor.

• Hoja de ruta de fin de vida útil (EOL) / fin de soporte (EOS): Compromiso del ciclo de vida que garantiza el soporte de ciberseguridad y la disponibilidad de parches durante un periodo operativo mínimo definido (periodo operativo mínimo definido adecuado al ciclo de vida esperado del producto y al entorno de infraestructura crítica del cliente).

 Categoría 4: Evidencia opcional/diferenciadora

• Certificados de terceros ISO 27001 / IEC 62443: Certificaciones diferenciadoras que demuestran una ingeniería y una gestión operativa maduras.

• Evidencia formal de SDLC seguro: Informes de auditoría externa que validan el modelado de amenazas y los procedimientos de pruebas estáticas de seguridad de aplicaciones (SAST).

El modelo de madurez de preparación de proveedores de la CEA

Los proveedores pueden evaluar su posicionamiento actual utilizando este modelo de madurez de 6 niveles:

Hoja de ruta de implementación: Plan de acción de 90 / 180 / 365 días

Para prepararse para la fecha límite de aplicación total el 1 de abril de 2027, los proveedores deben ejecutar un programa de preparación escalonado adaptado a su perfil operativo.

Plan de acción para OEM y fabricantes de equipos

Septiembre a diciembre de 2026 — Evaluación de base y de brechas

o   Asociar las líneas de productos con los requisitos de la CEA 2026 (identificar dispositivos que carecen de registro de auditoría, firmware firmado o canales de gestión cifrados).

o   Auditar las dependencias de software de terceros en todas las ramas de firmware activas para establecer un inventario de base.

o   Revisar los modelos de adquisición actuales y las cláusulas de garantía del cliente para identificar brechas de responsabilidad con respecto a los plazos de parches y el reporte de incidentes.

Enero a marzo de 2027 — Mitigación y preparación de evidencia

• Implementar cadenas de herramientas automatizadas para generar SBOM legibles por máquina (CycloneDX/SPDX) durante la compilación del código.

• Implementar la firma criptográfica de firmware y desactivar las interfaces de depuración en todo el hardware de producción.

• Crear guías de fortalecimiento y fichas técnicas de ciberseguridad estándar para cada línea de productos insignia.

  
  

  Abril a septiembre de 2027 — Operacionalización y garantía continua

o   Enviar productos a instalaciones de pruebas acreditadas para obtener la aprobación de ciberseguridad.

o   Establecer un PSIRT oficial con vías de divulgación de vulnerabilidades publicadas y SLA de implementación de parches de emergencia.

o   Preparar el Paquete de Evidencia del Proveedor completo para los equipos de ventas y propuestas.

Plan de acción adaptado para integradores de sistemas (SI) y contratistas de EPC

• 0 a 90 días: Auditar a los subproveedores de la cadena de suministro. Identificar a los OEM de alto riesgo en sus propuestas de proyectos que carezcan de visibilidad de SBOM o garantías de parches.

• 90 a 180 días: Estandarizar las arquitecturas de integración de sistemas para exigir la zonificación de red, la microsegmentación, cajas de salto centralizadas de host de salto y la agregación de registros SIEM en todas las entregas de proyectos llave en mano.

• 180 a 365 días: Incorporar procedimientos de ciberverificación en los protocolos de aprobación de pruebas de aceptación en fábrica (FAT) y pruebas de aceptación en sitio (SAT) para proporcionar a las empresas de servicios públicos documentación lista para auditorías.

  
  

10 errores comunes de cumplimiento de la CEA cometidos por los proveedores

• Asumir que la CEA se aplica solo a las empresas de servicios públicos: Suponer que debido a que un OEM no es un generador o transmisor de energía con licencia, el Reglamento de 2026 no tiene consecuencias comerciales.

• Afirmar estar «certificado por la CEA»: Declarar en el material de marketing o en las propuestas de licitación que un producto está «certificado por la CEA». La CEA no emite certificados de proveedores. Los proveedores deben proporcionar informes de pruebas de laboratorios independientes y artefactos de evidencia.

• Confiar en el mito de la desconexión física («air-gap»): Suponer que los productos TO no necesitan fortalecimiento porque las empresas de servicios públicos los implementan detrás de firewalls perimetrales o en redes desconectadas físicamente.

• Equiparar ISO 27001 con la seguridad del producto: Presentar certificados de gestión de TI corporativos durante las evaluaciones de licitaciones sin proporcionar detalles de seguridad técnica a nivel de producto.

• Retrasar la generación de SBOM: Tratar la generación de la lista de materiales de software como algo secundario en lugar de integrar el análisis de composición automatizado en el pipeline de compilación.

• Ignorar las bases instaladas heredadas: Centrar las correcciones de seguridad exclusivamente en los lanzamientos de nuevos productos y dejar la infraestructura de energía instalada sin avisos de seguridad claros ni vías de migración.

• No dar soporte a los SLA de respuesta a incidentes requeridos: Mantener modelos de soporte estándar en horario comercial mientras las empresas de servicios públicos se enfrentan a plazos legales de reporte de incidentes de 6 horas.

• Canales de diagnóstico remoto no seguros: Proporcionar soporte de ingeniería remoto a través de software de escritorio remoto comercial no monitoreado, sin MFA, grabación de sesiones ni georrestricción.

• Ignorar la residencia de datos en ofertas de nube/SaaS: Alojar datos de telemetría, mantenimiento predictivo o gestión del rendimiento de activos en instancias en la nube en el extranjero. 

• Esperar a que las empresas de servicios públicos especifiquen cada requisito técnico: Permanecer pasivo hasta que una empresa de servicios públicos rechace una oferta de licitación, en lugar de entregar de forma proactiva un paquete de evidencia del proveedor preparado previamente.

Lista de verificación maestra de cumplimiento para proveedores y OEM

Utilice esta lista de verificación para garantizar una alineación operativa y técnica completa con el Reglamento de Ciberseguridad de la CEA de 2026 antes de la fecha límite de aplicación del 1 de abril de 2027:

Gobernanza y organización

• [ ] Política de ciberseguridad corporativa establecida y alineada con los riesgos de TO del sector eléctrico.

• [ ] PSIRT designado o punto de contacto único establecido para informes de vulnerabilidades y alertas de clientes.

• [ ] Verificación de antecedentes del personal y controles de acceso aplicados para los ingenieros que manejan sistemas de red.

Ingeniería de productos y seguridad

• [ ] Lista de materiales de software (SBOM) legible por máquina generada para todas las versiones de software/firmware.

• [ ] Firma criptográfica de firmware implementada en todas las líneas de hardware.

• [ ] Eliminación de credenciales predeterminadas; cambio obligatorio en el primer arranque aplicado.

• [ ] Registro nativo de syslog/auditoría compatible y verificado con herramientas SIEM comunes.

• [ ] Protocolos, servicios e interfaces físicas de depuración no utilizados (por ejemplo, JTAG) desactivados o bloqueados de forma predeterminada.

Pruebas y verificación

• [ ] Equipos probados y aprobados para malware/vulnerabilidades en laboratorios acreditados.

• [ ] Análisis de código estático y dinámico integrado en el pipeline de compilación del producto.

• [ ] Guías de fortalecimiento y documentación de configuración de ciberseguridad publicadas para los usuarios finales.

Mantenimiento y soporte remoto

• [ ] Arquitectura de mantenimiento remoto verificada (requiere MFA, hosts de salto, grabación de sesiones y georrestricción).

• [ ] SLA de respuesta a incidentes alineados para respaldar los plazos de reporte de las empresas de servicios públicos (notificación de vulneración en 6 horas).

• [ ] Política clara de divulgación de vulnerabilidades y gestión de parches publicada con SLA de resolución definidos.

• [ ] Toda la telemetría, los registros y los datos alojados en la nube verificados para residir estrictamente dentro de la India.

Más sobre el Reglamento de la CEA de 2026
Reglamento de Ciberseguridad de la CEA de 2026: Lo que las empresas eléctricas deben saber
Reserve una sesión informativa gratuita sobre la CEA