España concentra el 35% de los sistemas solares expuestos

Qué encontró el estudio sobre los sistemas solares expuestos

2.766 sistemas vinculados a instalaciones solares españolas son accesibles desde internet sin los mecanismos de seguridad necesarios. Es aproximadamente uno de cada tres de los 8.547 sistemas expuestos que los investigadores identificaron en parques solares y eólicos de 35 países europeos.

El hallazgo viene del estudio «To See the Wind and the Sun», realizado por la firma de inteligencia de internet Modat Magnify con la colaboración de Bouke van Laethem, del Centro Nacional de Ciberseguridad de Países Bajos (NCSC-NL). Los autores presentaron las conclusiones en la ONE Conference de La Haya, y los resultados fueron recogidos por medios como Help Net Security y Reuters.

El desglose es claro: 7.942 de los sistemas detectados corresponden a parques solares y 605 a parques eólicos. No todos tienen el mismo nivel de exposición. Según el estudio, algunos son la interfaz de gestión de una sola turbina; otros operan en un nivel superior y controlan varias turbinas o incluso toda una explotación desde una única pantalla.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

España lidera en solar, Alemania e Italia en eólico

La concentración geográfica del problema es desigual. Según los datos publicados por Help Net Security, España suma 2.766 sistemas solares expuestos, seguida de Grecia con 1.860, Italia con 753 y Alemania con 672. Solo esos cuatro países reúnen el 76% del total solar europeo.

En el apartado eólico el mapa cambia: Alemania lidera con 212 sistemas y Italia la sigue con 192, que juntos representan el 67% del total. España, que domina en solar, apenas registra 11 sistemas eólicos expuestos.

Soufian El Yadmani, fundador de Modat y uno de los autores del estudio, atribuye el caso español al tamaño del parque renovable del país y a su volumen de instalaciones solares. La web Moncloa.com añade otros factores que explican la dispersión: la variedad de proveedores, la rotación de las plantillas técnicas y el crecimiento acelerado de la potencia instalada.

Hay un matiz que conviene retener: los investigadores advirtieron a Reuters que el ranking refleja en parte dónde pudieron vincular los sistemas a una instalación concreta. Es decir, la posición de un país depende también de cuánta información pública permitió atribuir cada dispositivo a un sitio específico.

¿Exposición significa ataque? La letra pequeña que cambia todo

No. El estudio insiste en que estar expuesto no equivale a haber sido atacado ni a que alguien haya accedido a esos sistemas. La cifra de 2.766 no se traduce en 2.766 ciberataques: contabiliza interfaces y sistemas digitales, no instalaciones independientes.

Dicho eso, el potencial de daño es lo que preocupa. El Yadmani explicó a Efe que a través de estas grietas se podría detener una turbina eólica, volver a ponerla en marcha o reiniciarla con solo una conexión a internet. «Algunos de esos paneles estaban sin ningún tipo de autenticación o protección», señaló el investigador.

El estudio documenta cómo los autores llegaron a controladores industriales que dan instrucciones a la maquinaria y permiten controlar físicamente determinados procesos. También cómo accedieron a la interfaz web de una turbina y consultaron en tiempo real la electricidad que producía y su ubicación. Help Net Security describe un caso concreto: un panel que mostraba datos en vivo, botones de Start, Stop y Reset, y un menú que llevaba al servidor web del controlador industrial Siemens ET 200SP.

El Yadmani fue más lejos ante Reuters: los investigadores creen que el control total habría sido posible en alrededor de 181 sitios. Y añadió una frase que resume el riesgo: «Lo que nosotros podemos mapear en horas, un atacante también puede mapearlo en horas».

Por qué el contexto geopolítico agrava el problema

Estos hallazgos llegan en un momento de tensión sobre la infraestructura crítica europea. Reuters recuerda que el continente ha enfrentado sospechas de sabotaje y ciberataques atribuidos por gobiernos occidentales a Rusia desde la invasión de Ucrania en 2022, acusaciones que Moscú niega. El informe también cita como antecedente el análisis del equipo polaco CERT Polska sobre un ataque de diciembre de 2025 contra 30 sitios eólicos y solares en Polonia.

Hay una paradoja que los propios autores señalan: la energía renovable distribuida es físicamente difícil de atacar —parques dispersos son mal objetivo para bombas o drones—, pero en el ciberespacio esa ventaja desaparece. Como lo formulan en el informe: «Físicamente, la energía renovable descentralizada es un objetivo muy difícil. Pero en el ciberespacio, no hay un ‘allí'».

Qué exige NIS2 y por qué te toca aunque no seas una utility

La directiva europea NIS2 (Directiva UE 2022/2555) incluye la energía entre los sectores de alta criticidad y obliga a las entidades esenciales e importantes a aprobar y supervisar medidas de ciberseguridad, con responsabilidad directa de los órganos de dirección.

El estado de la transposición en España es relevante para cualquier founder que venda a este sector. Según el análisis de DSI, el anteproyecto de la Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó el 14 de enero de 2025, pero a octubre de 2026 sigue sin publicarse en el BOE, y la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE el 8 de julio de 2026 por el retraso.

Las cifras del régimen sancionador que fija la directiva, recogidas por PymeCiber, son de al menos 10 millones de euros o el 2% de la facturación mundial para entidades esenciales, y de al menos 7 millones o el 1,4% para las importantes. Los plazos de notificación son exigentes: alerta temprana en 24 horas, evaluación inicial en 72 horas e informe final en un mes.

Lo que muchos equipos pasan por alto es el efecto cadena. NIS2 obliga a las entidades reguladas a evaluar la seguridad de sus proveedores críticos, y eso baja en forma de cuestionarios, cláusulas contractuales y exigencias de certificaciones. Si tu startup vende software, sensores o servicios de mantenimiento a un operador energético, esos requisitos te van a llegar por contrato antes que por ley.

Qué significa esto para tu startup

Si construyes producto para el sector energético, industrial o de infraestructura, este informe es una hoja de ruta de lo que tus clientes van a auditar en los próximos meses. Y si operas cualquier sistema con acceso remoto, aplica igual.

Haz un inventario real de accesos remotos. Antes de proteger nada, necesitas saber quién se conecta, desde dónde, a qué activo y si solo puede leer datos o también cambiar cómo opera el equipo. Thomas Plank, CEO de Tributech, lo dijo a Help Net Security: «Empieza con una lista completa de cada conexión remota. Muchos operadores hoy no pueden producirla».
Saca las interfaces de administración de la red pública. Es la primera recomendación de los autores del estudio y la más barata de ejecutar. Un panel de administración no debería ser alcanzable desde internet abierto, punto.
Separa el permiso de leer del permiso de mandar. Plank propone cuentas individuales por proveedor con autenticación fuerte, sin credenciales compartidas, y con el derecho a enviar comandos separado del derecho a monitorear. Un atacante con una cuenta de mantenimiento robada tiene el mismo acceso que el proveedor legítimo.
Guarda tu propio registro de comandos. No dependas de los sistemas del fabricante para saber qué cambió y cuándo. Si no puedes demostrar que cada cambio fue autorizado, no puedes responder a un cuestionario de cliente ni a una auditoría.
Prepara el procedimiento de notificación antes del incidente. Veinticuatro horas es muy poco tiempo si nadie sabe a quién llamar. Ten por escrito el contacto, el responsable de decidir si un incidente es significativo y el canal de reporte.

El mensaje de fondo del informe es incómodo pero útil: la digitalización de la energía avanzó más rápido que su seguridad. Para un founder, eso es a la vez un riesgo y una oportunidad de mercado. Quien resuelva la visibilidad y el control de accesos en infraestructura distribuida tiene un problema real y creciente entre manos.