Casi 4 de cada 10 grandes ciberataques al sector energético proceden de Estados nación
Los costes de recuperación de las organizaciones tras los incidentes de ciberseguridad que sufren siguen aumentando año tras año, y el sector energético está siendo uno de los más afectados.
Fortinet alerta en su informe 2026 Energy Cybersecurity Outlook que la convergencia entre IT y OT, la IA ofensiva y la creciente complejidad regulatoria marcan los riesgos de ciberseguridad de la industria energética.
La transformación digital del sector energético está ampliando la superficie de exposición a las ciberamenazas. Mantener la seguridad de sus tecnologías operativas se ha convertido en un reto, ya que el sector está conectando a la red sistemas que antes estaban aislados y creando un panorama energético mucho más distribuido. Esto abarca desde estaciones de recarga de vehículos eléctricos hasta instalaciones de energía solar.
Las tecnologías emergentes, como la inteligencia artificial, los drones y la criptografía cuántica, también plantean nuevos retos en materia de ciberseguridad. Todo ello, unido a las exigencias regulatorias, están configurando un nuevo escenario de riesgo para operadores energéticos, utilities y compañías de infraestructuras críticas.
El estudio de Fortinet destaca que el coste medio de recuperación tras un incidente de ciberseguridad en el sector ya alcanza los 5,08 millones de dólares, mientras que el 39% de los grandes ciberataques registrados en 2025 fueron patrocinados por Estados, la cifra más alta registrada hasta la fecha.
La seguridad de los entornos OT se perfila como una de las principales preocupaciones para las organizaciones energéticas. De hecho, el 57% de las compañías reconoce que sus defensas OT están menos desarrolladas que las de IT, y el 47% de las empresas de energía y manufactura afirma estar encontrando desafíos de ciberseguridad durante sus procesos de modernización e integración tecnológica.
El informe también pone el foco en la irrupción de la inteligencia artificial como acelerador tanto de la defensa como de las amenazas. El uso de IA permite a los atacantes crear campañas de phishing altamente personalizadas, desarrollar malware más adaptable e incluso emplear técnicas avanzadas de engaño para sortear controles de seguridad.
A ello se suma la necesidad de prepararse para la era postcuántica. Según el estudio, el 58% de los responsables de seguridad y TI de infraestructuras críticas ya está experimentando con criptografía postcuántica, anticipándose al impacto que la computación cuántica podría tener sobre los sistemas actuales de cifrado. Sin embargo, la adopción de estándares de criptografía postcuántica sigue siendo baja: solo el 9 % de los millones de sitios web más visitados ha adoptado estándares de PQC, aunque la adopción es mayor entre los líderes tecnológicos, ya que 5 de los 10 principales han tomado medidas al respecto.
En Europa, además, las compañías energéticas deberán gestionar un entorno regulatorio cada vez más complejo marcado por la implementación de NIS2 y otras iniciativas orientadas a reforzar la resiliencia de las infraestructuras críticas. La diversidad en la aplicación nacional de estas normativas podría añadir nuevos retos de cumplimiento para las organizaciones con operaciones internacionales.
Ante este contexto, Fortinet identifica cinco prioridades para los responsables de ciberseguridad del sector energético: integrar la seguridad en todo el ciclo de vida de los activos IT y OT, reforzar la segmentación de redes, mejorar la detección y respuesta ante amenazas en tiempo real, avanzar en la soberanía de los datos y fomentar una mayor colaboración entre industria, reguladores y organismos públicos.
El informe concluye que la resiliencia de las infraestructuras energéticas dependerá cada vez más de la capacidad de las organizaciones para combinar visibilidad sobre sus activos, protección de entornos OT, automatización basada en IA y cumplimiento normativo en un escenario de amenazas cada vez más sofisticado.
