Los legisladores de Utah están considerando una mayor participación del estado en la ciberseguridad de los servicios públicos luego de que los auditores legislativos descubrieran que el mayor proveedor de electricidad del estado cuenta con defensas sólidas, pero los sistemas de energía municipales carecen de algunas medidas de seguridad básicas. Los hallazgos se presentaron el martes en el Informe 2026-32, “Una auditoría de desempeño de la ciberseguridad de la electricidad y el gas natural”.
La auditoría estableció una clara distinción entre Rocky Mountain Power y los sistemas eléctricos locales. Según el informe del Utah News Dispatch, Rocky Mountain Power, que suministra aproximadamente el 78% de las ventas de electricidad de Utah, contaba con controles de ciberseguridad avanzados. Los sistemas municipales representan alrededor del 16% de las ventas, pero los cinco sistemas entrevistados por los auditores no habían utilizado evaluaciones independientes de terceros ni habían desarrollado, documentado ni practicado de forma rutinaria planes de respuesta ante incidentes.
Estas deficiencias tienen repercusiones que van más allá del propio equipo de la compañía eléctrica local. Un apagón prolongado puede afectar a hospitales, sistemas de agua potable y alcantarillado, escuelas y transporte. Los auditores señalaron que las áreas de servicio más reducidas de los sistemas municipales y el acceso a controles manuales pueden ayudarles a recuperarse más rápidamente, pero la ausencia de procedimientos de respuesta probados podría prolongar el apagón y complicar la coordinación.
La supervisión está fragmentada. Las normas federales se aplican a gran parte de la generación y transmisión, mientras que los estados pueden supervisar las redes de distribución que suministran electricidad a los consumidores. En Utah, la Comisión de Servicios Públicos es el organismo estatal encargado de la supervisión de la ciberseguridad de Rocky Mountain Power, pero los auditores describieron su función como limitada por su marco de fijación de tarifas. La comisión ya celebró una audiencia pública sobre la planificación cibernética de la empresa; en 2023, un aviso público estatal invitó a reguladores, representantes de consumidores y al público en general a una actualización sobre la ciberseguridad de Rocky Mountain Power.
Las empresas de servicios públicos municipales presentan un desafío político diferente debido a su gestión local. La auditoría no impuso a los legisladores una única solución, sino que sugirió opciones como solicitar al Centro Cibernético de Utah o a la Comisión de Ciberseguridad que desarrollen planes de respuesta modelo, exigir controles básicos de ciberseguridad o limitar la responsabilidad de los sistemas que adopten prácticas reconocidas. El manual de respuesta a incidentes de la Asociación Estadounidense de Energía Pública ilustra el tipo de marco operativo disponible para las empresas de servicios públicos, que abarca la detección, la investigación, la contención, la recuperación y la coordinación con el gobierno y los socios de la industria.
El trabajo fue formalmente abordado por el Subcomité de Auditoría Legislativa el 20 de octubre. En su agenda publicada figuran como ponentes el gerente de auditoría, Jesse Martinson, y el supervisor de auditoría de ciberseguridad, Christopher McClelland. Cualquier nuevo requisito a nivel estatal requeriría una acción legislativa o cambios en las prácticas de la agencia; la auditoría en sí no impone normas.
El nuevo informe se suma a una serie más amplia de análisis realizados en Utah sobre el riesgo cibernético de las infraestructuras críticas. Una auditoría legislativa de enero sobre la ciberseguridad del agua potable también recomendó prácticas básicas, planes de respuesta ante incidentes e informes periódicos para los consejos directivos. En conjunto, los informes plantean a los legisladores una cuestión práctica: si las mejoras locales voluntarias son suficientes para sistemas cuyo fallo podría tener repercusiones en otros servicios esenciales.
