La CNMC ha comunicado el 30 de octubre de 2026 la aprobación de las metodologías para evaluar los riesgos de ciberseguridad y clasificar los ciberataques en el sector eléctrico. La resolución, de 15 de octubre de 2026, corresponde al expediente DCOOR/DE/002/25. Conviene distinguir ambas fechas: la comunicación pública es de hoy, pero el acuerdo no se ha adoptado hoy.
El desarrollo se encuadra en el código de red europeo de ciberseguridad de los flujos transfronterizos de electricidad. No es una nueva obligación general para cualquier empresa: su interés inmediato está en los operadores del sistema eléctrico y en la preparación de las entidades que puedan resultar clasificadas como de impacto alto o crítico.
Qué se ha aprobado
La primera metodología ordena la evaluación de riesgos a escala europea, regional y nacional. La segunda permite clasificar la gravedad de los ciberataques y determinar cuáles deben notificarse, con criterios armonizados. La resolución describe una escala de cinco niveles, cuyos dos superiores son alto y crítico.
Según explica la CNMC, la evaluación europea servirá para identificar las entidades de impacto alto y crítico. Su designación corresponde a las autoridades competentes, y las obligaciones concretas dependerán de esa clasificación y de los plazos y condiciones del código de red. La comunicación no equivale a designar automáticamente a todas las empresas eléctricas ni anuncia una sanción.
Qué conviene revisar en una empresa afectada
Desde una perspectiva práctica, conviene separar tres cuestiones: la posible inclusión de la entidad en el ámbito del código, su clasificación y el circuito interno para evaluar y comunicar incidentes. Una política genérica de seguridad no sustituye esa comprobación.
Antes de asumir nuevos compromisos con clientes o proveedores, resulta útil identificar quién decide la clasificación de un incidente, qué evidencias técnicas se conservan y cómo se coordinan los responsables jurídicos, tecnológicos y de continuidad. Esta revisión preparatoria no sustituye el análisis de las metodologías y del régimen aplicable a cada entidad.
Fuentes verificadas: nota de la CNMC de 30 de octubre de 2026 y resolución de 15 de octubre de 2026, DCOOR/DE/002/25. Se han consultado íntegramente ambos documentos; no se presenta esta noticia como una auditoría de las metodologías técnicas ni de una entidad concreta.
En Adara Legal podemos ayudarte en este asunto. Si esta cuestión afecta a tu empresa, puedes consultar nuestros servicios de derecho societario y cumplimiento empresarial.