Una orden ejecutiva firmada el 26 de agosto habilita al gobierno estadounidense a bloquear tecnología de control industrial importada si presenta riesgo de sabotaje o acceso remoto no autorizado
El presidente Donald Trump firmó el 26 de agosto la Orden Ejecutiva 14420, que declara una emergencia nacional por la amenaza que representa el suministro extranjero de equipos para sistemas de energía a granel en Estados Unidos. La medida no apunta a un país específico ni a un fabricante en particular: establece un marco regulatorio bajo el cual el Secretario de Energía puede determinar si entidades extranjeras, proveedores, países o equipos concretos presentan un riesgo inaceptable y, en consecuencia, restringir transacciones que los involucren. La Casa Blanca justifica la orden citando la rápida expansión de centros de datos, inteligencia artificial, manufactura avanzada y producción de defensa como factores que han aumentado la dependencia del país de una red eléctrica confiable.
La orden define el problema en dos dimensiones. Por un lado, equipos fabricados en el extranjero pueden introducir riesgos cibernéticos directos, incluyendo la posibilidad de mecanismos de acceso digital ocultos. Por otro, la dependencia de proveedores extranjeros crea una vulnerabilidad de cadena de suministro si tensiones geopolíticas o disrupciones comerciales cortan el acceso a componentes críticos. La declaración de emergencia nacional no se limita a transacciones individuales: considera la amenaza tanto en casos aislados como cuando las transacciones se evalúan como clase.
El alcance incluye software, firmware y capacidades de acceso remoto
La orden no trata transformadores, controladores industriales y el software que los gestiona como cuestiones de seguridad completamente separadas. El alcance cubre no solo equipos físicos sino también componentes críticos, software, firmware, servicios digitales, servicios de mantenimiento y capacidades de acceso remoto asociadas con equipos cubiertos. La lista de equipos incluye unidades terminales remotas, controladores lógicos programables, dispositivos electrónicos inteligentes, sistemas de control distribuido, sistemas de seguridad instrumentados, transformadores, generadores, inversores, sistemas de almacenamiento de baterías, relés de protección, equipos de medición y disyuntores de alto voltaje.
Esta definición amplia es particularmente relevante para sistemas de control industrial. Las agencias pueden considerar software, firmware, acceso remoto, mecanismos de actualización y otras dependencias de cadena de suministro al decidir si un equipo cae dentro de las preocupaciones de seguridad de la orden. Las restricciones se aplican a la adquisición, importación, transferencia e instalación de equipos de energía a granel producidos en el extranjero cuando la transacción involucra una Entidad Extranjera Cubierta designada y cumple una de las condiciones de riesgo establecidas: posibilidad de sabotaje, subversión, acceso no autorizado, acción remota maliciosa o disrupción del sistema eléctrico y su cadena de suministro.
La orden alcanza equipos ya instalados antes de su firma
La medida no se limita a compras futuras. El Secretario de Energía puede imponer condiciones sobre equipos fabricados u operados por entidades extranjeras que ya estaban instalados antes de que la orden entrara en vigor. Dependiendo del riesgo, esas medidas podrían requerir que los operadores identifiquen, aíslen, monitoreen, aseguren, desconecten, reemplacen o remuevan equipos. La orden específicamente requiere que los funcionarios consideren confiabilidad, seguridad, disponibilidad de reemplazos seguros y continuidad de servicios esenciales antes de exigir aislamiento o reemplazo.
Este punto es relevante porque asegurar una red eléctrica no es tan simple como desconectar un dispositivo sospechoso. Remover un componente sin un reemplazo adecuado puede crear un problema operacional en sí mismo. La orden deja espacio para cumplimiento por fases y medidas de mitigación negociadas en lugar de asumir que cada componente riesgoso puede desaparecer de inmediato. El gobierno también busca evitar convertir la revisión de seguridad en un cuello de botella permanente de adquisiciones: el Secretario de Energía puede establecer criterios para equipos y proveedores precalificados, creando una lista de productos y proveedores que pueden recibir exenciones de las restricciones base.
Por qué México, Brasil y Chile quedan expuestos por su dependencia de los mismos proveedores
La orden no nombra un país específico como objetivo, pero define una Entidad Extranjera Cubierta de manera suficientemente amplia como para incluir gobiernos bajo ciertos regímenes de embargo de armas o sanciones estadounidenses, así como entidades controladas por ellos. Esta ambigüedad deliberada tiene implicancias directas para América Latina. México, Brasil y Chile han expandido su infraestructura de generación y transmisión eléctrica en la última década con equipos de control industrial fabricados por proveedores asiáticos y europeos que también abastecen el mercado estadounidense. Si el Departamento de Energía de Estados Unidos determina que ciertos fabricantes presentan riesgo inaceptable, esa evaluación podría influir en decisiones de adquisición de operadores latinoamericanos que buscan financiamiento de instituciones multilaterales o que operan proyectos de infraestructura crítica con componentes estadounidenses.
La orden también define el sistema de energía a granel alrededor de infraestructura de transmisión interconectada y recursos de generación necesarios para la confiabilidad de la red, incluyendo líneas de transmisión de 69 kV o superiores. Instalaciones de distribución eléctrica local quedan fuera de esa definición. Para países latinoamericanos con redes de transmisión que operan en ese rango de voltaje y que dependen de equipos importados para expansión de capacidad, la orden estadounidense establece un precedente regulatorio que podría replicarse en marcos nacionales de ciberseguridad de infraestructura crítica.
Cómo la precalificación de proveedores puede convertirse en barrera comercial
El mecanismo de precalificación que establece la orden permite al Secretario de Energía crear listas de productos y proveedores que reciben exenciones de restricciones base. Sin embargo, la orden aclara que la precalificación no impide que el gobierno examine o restrinja una transacción más adelante si las circunstancias lo justifican. Este enfoque crea un sistema de dos niveles: proveedores precalificados que pueden operar con menor fricción regulatoria y proveedores no calificados que enfrentan revisión caso por caso.
Para fabricantes de equipos de control industrial que operan en mercados globales, la precalificación estadounidense podría convertirse en un requisito de facto para mantener competitividad comercial, incluso en mercados fuera de Estados Unidos. Operadores de redes eléctricas en América Latina que buscan financiamiento de instituciones como el Banco Interamericano de Desarrollo o el Banco Mundial podrían enfrentar presión para priorizar proveedores precalificados por el Departamento de Energía estadounidense, incluso cuando la orden ejecutiva no tiene jurisdicción directa sobre sus decisiones de adquisición.
Nuestro análisis
La Orden Ejecutiva 14420 no es la primera vez que Estados Unidos intenta regular equipos de infraestructura crítica fabricados en el extranjero, pero sí es la primera que declara una emergencia nacional específicamente por la cadena de suministro de equipos de red eléctrica y que alcanza explícitamente software, firmware y capacidades de acceso remoto asociadas. El precedente más cercano es la orden ejecutiva de 2019 que restringió equipos de telecomunicaciones de ciertos fabricantes, pero esa medida se enfocó en redes de comunicaciones, no en sistemas de control industrial de energía. La diferencia importa: un ataque exitoso a sistemas de control de red eléctrica puede afectar simultáneamente defensa, servicios de emergencia, centros de datos y manufactura avanzada, mientras que un ataque a redes de telecomunicaciones típicamente afecta comunicaciones y datos.
Lo que todavía no está claro es cómo el Departamento de Energía implementará el proceso de determinación de riesgo inaceptable. La orden no establece criterios técnicos específicos ni umbrales cuantitativos para evaluar si un proveedor, país o equipo presenta riesgo. Tampoco define qué constituye evidencia suficiente de capacidad de acceso remoto malicioso o de dependencia de cadena de suministro que justifique restricción. Sin esos criterios públicos, operadores de redes eléctricas en Estados Unidos y en países que siguen estándares estadounidenses enfrentan incertidumbre sobre qué equipos podrán adquirir en los próximos años. Si la implementación prioriza precalificación de proveedores sobre evaluación técnica de equipos específicos, la orden podría consolidar mercado en favor de fabricantes que ya tienen relaciones establecidas con el gobierno estadounidense, independientemente de si sus productos presentan menor riesgo técnico real que alternativas no precalificadas. ¿Qué pasaría si otros países adoptan marcos similares pero con listas de proveedores precalificados mutuamente excluyentes?