Una planta eléctrica británica, apagada cuatro días, sin aviso

Cuatro días sin electricidad en una planta británica, revelados por un periódico

The Telegraph informó el 22 de agosto de 2026 de que piratas informáticos vinculados a Irán dejaron sin electricidad una pequeña planta británica de generación eléctrica durante cuatro días, en lo que varios medios describen como el primer ciberataque iraní que logra dejar sin servicio una instalación eléctrica del Reino Unido. El reportaje citó fuentes de seguridad y gubernamentales no identificadas, y en pocas horas llegaron relatos que corroboraban la información desde Iran International, GB News, el Jerusalem Post, Ynetnews e Israel Hayom.

Las autoridades británicas interpretaron la intrusión como una demostración de capacidad y no como un intento de interrumpir la red nacional, porque la instalación afectada era pequeña y el resto de la red siguió funcionando sin interrupción durante los cuatro días de avería. Esa lectura importa para saber cuán en serio deben tomarse el incidente los operadores más pequeños: una demostración dirigida contra una instalación pequeña sigue siendo una demostración de lo que el mismo actor podría intentar contra una mayor.

No es un caso aislado: un patrón en cinco países más una ola contra el agua en EE.UU.

La brecha en la planta eléctrica británica llegó en la misma ventana que una ola de ataques contra empresas de agua en 12 estados de Estados Unidos, incidentes que, según lo informado, causaron inundaciones, caídas de presión y avisos de agua no potable para las comunidades afectadas.

Ese momento siguió a una serie de intrusiones iraníes sospechadas en infraestructuras críticas en otros puntos de Europa, en Alemania, Polonia, Finlandia, Bélgica y Albania, según la misma información. Puestos juntos, los incidentes se leen menos como sondeos dispersos y más como un único actor que prueba accesos en varios sectores y varios países a la vez.

Más allá del apagón: una brecha de notificación que la NIS2 no estaba pensada para atrapar

El público no se enteró de esta brecha en la infraestructura energética británica por ningún régimen obligatorio de notificación; se enteró por una investigación periodística, publicada días después de que la avería ya hubiera terminado.

Las NIS Regulations del Reino Unido y la directiva paralela NIS2 de la UE construyen sus obligaciones de notificación alrededor de los llamados operadores de servicios esenciales, una designación pensada para grandes operadores de red, empresas nacionales de transporte y grandes suministradoras, no para cada pequeña planta de generación independiente conectada a la red general. En España, INCIBE aplica un umbral pensado en la misma lógica dentro de la transposición nacional de NIS2, y esta instalación cayó justo en ese hueco: lo bastante pequeña para quedar fuera del perímetro obvio de notificación, lo bastante conectada para ser un objetivo real, y el resultado es una brecha de la que el público se enteró por azar y no por diseño.

Qué deben revisar ahora los operadores industriales y energéticos del Reino Unido y la UE

Todo operador británico o de la UE que gestione infraestructura industrial o energética tiene ahora un motivo concreto para revisar dos supuestos: si su propia instalación activaría realmente una obligación de notificación bajo la NIS2 o las NIS Regulations británicas, y si su segmentación entre TI y tecnología operativa resistiría la misma vía de intrusión usada aquí.

El patrón en cinco países, Alemania, Polonia, Finlandia, Bélgica y Albania, sumado a la ola contra el agua en EE.UU., desaconseja tratar esto como un hecho aislado que apenas merece un gesto de resignación; aconseja tratar la exposición de una instalación pequeña como una línea real en el mismo registro de riesgos que la mayor suministradora nacional, porque el actor detrás de esto no clasifica los objetivos por tamaño.

Leer a continuación: El periodo de gracia de NIS2 en Alemania ha terminado  |  Agentes de IA autónomos atacaron al Gobierno de Taiwán