La Comisión refuerza la resiliencia y las capacidades de la UE en materia de ciberseguridad

Europa se enfrenta a diario a ciberataques e híbridos contra servicios esenciales e instituciones democráticas, perpetrados por sofisticados grupos estatales y criminales. La Comisión Europea ha propuesto un nuevo paquete de medidas de ciberseguridad para reforzar aún más la resiliencia y las capacidades de la UE en materia de ciberseguridad ante estas amenazas crecientes.

El paquete incluye una propuesta de revisión de la Ley de Ciberseguridad, que mejora la seguridad de las cadenas de suministro de las tecnologías de la información y la comunicación (TIC) de la UE. Garantiza que los productos que llegan a los ciudadanos de la UE sean ciberseguros por diseño mediante un proceso de certificación más sencillo. También facilita el cumplimiento de las normas de ciberseguridad vigentes en la UE y refuerza la Agencia de la UE para la Ciberseguridad (ENISA) en su apoyo a los Estados miembros y a la UE en la gestión de las amenazas a la ciberseguridad.

Reforzar la seguridad de las cadenas de suministro de TIC en la UE

La nueva Ley de Ciberseguridad tiene por objeto reducir los riesgos en la cadena de suministro de TIC de la UE procedentes de proveedores de terceros países con problemas de ciberseguridad. Establece un marco de seguridad fiable para la cadena de suministro de TIC basado en un enfoque armonizado, proporcionado y basado en el riesgo. Esto permitirá a la UE y a los Estados miembros identificar y mitigar conjuntamente los riesgos en los 18 sectores críticos de la UE, teniendo en cuenta también las repercusiones económicas y el suministro del mercado.

Los recientes incidentes de ciberseguridad han puesto de relieve los importantes riesgos que plantean las vulnerabilidades de las cadenas de suministro de TIC, que son esenciales para el funcionamiento de los servicios y las infraestructuras críticos. En el panorama geopolítico actual, la seguridad de la cadena de suministro ya no se limita a la seguridad técnica de los productos o servicios, sino que también abarca los riesgos relacionados con los proveedores, en particular las dependencias y las injerencias extranjeras.

La Ley de Ciberseguridad permitirá reducir de forma obligatoria los riesgos de las redes de telecomunicaciones móviles europeas frente a los proveedores de terceros países de alto riesgo, basándose en el trabajo ya realizado en el marco del conjunto de herramientas de seguridad 5G.

Simplificación y mejora del Marco Europeo de Certificación de Ciberseguridad

La Ley de Ciberseguridad revisada garantizará que los productos y servicios que llegan a los consumidores de la UE se sometan a pruebas de seguridad de manera más eficiente. Esto se llevará a cabo mediante un Marco Europeo de Certificación de Ciberseguridad (ECCF) renovado. El ECCF aportará más claridad y procedimientos más sencillos, lo que permitirá desarrollar sistemas de certificación en un plazo de 12 meses por defecto. También introducirá una gobernanza más ágil y transparente para involucrar mejor a las partes interesadas a través de la información y la consulta públicas.

Los sistemas de certificación, gestionados por la ENISA, se convertirán en una herramienta práctica y voluntaria para las empresas. Permitirán a estas demostrar el cumplimiento de la legislación de la UE, reduciendo la carga y los costes. Más allá de los productos, servicios, procesos y servicios de seguridad gestionados de las TIC, las empresas y organizaciones podrán certificar su postura cibernética para satisfacer las necesidades del mercado. En última instancia, el ECCF renovado será una ventaja competitiva para las empresas de la UE. Para los ciudadanos, las empresas y las autoridades públicas de la UE, garantizará un alto nivel de seguridad y confianza en las complejas cadenas de suministro de TIC.

Facilitar el cumplimiento de las normas de ciberseguridad

El paquete introduce medidas para simplificar el cumplimiento de las normas de ciberseguridad de la UE y los requisitos de gestión de riesgos para las empresas que operan en la UE, complementando el punto único de entrada para la notificación de incidentes propuesto en el Digital Omnibus. Las modificaciones específicas de la Directiva NIS2 tienen por objeto aumentar la claridad jurídica. Facilitarán el cumplimiento a 28 700 empresas, incluidas 6200 microempresas y pequeñas empresas. También introducirán una nueva categoría de pequeñas empresas de mediana capitalización para reducir los costes de cumplimiento de 22 500 empresas. Las modificaciones simplificarán las normas jurisdiccionales, agilizarán la recopilación de datos sobre ataques de ransomware y facilitarán la supervisión de las entidades transfronterizas con el refuerzo del papel coordinador de la ENISA.

Empoderar a la ENISA para impulsar la resiliencia de la ciberseguridad en Europa

Desde la adopción de la primera Ley de Ciberseguridad en 2019, la ENISA ha crecido hasta convertirse en una piedra angular del ecosistema de ciberseguridad de la UE. La Ley de Ciberseguridad revisada que se presenta hoy permite a la ENISA ayudar a la UE y a sus Estados miembros a comprender las amenazas comunes. También les permite prepararse y responder a los incidentes cibernéticos.

La agencia seguirá prestando apoyo a las empresas y las partes interesadas que operan en la UE mediante la emisión de alertas tempranas sobre amenazas e incidentes cibernéticos. En cooperación con Europol y los equipos de respuesta a incidentes de seguridad informática, ayudará a las empresas a responder y recuperarse de los ataques de ransomware. La ENISA también desarrollará un enfoque de la Unión para proporcionar mejores servicios de gestión de vulnerabilidades a las partes interesadas. Gestionará el punto de entrada único para la notificación de incidentes propuesto en el Omnibus Digital.

La ENISA seguirá desempeñando un papel fundamental en la formación de personal cualificado en ciberseguridad en Europa. Para ello, pondrá en marcha la Academia de Competencias en Ciberseguridad y establecerá sistemas de certificación de competencias en ciberseguridad a escala de la UE.

Próximos pasos

La Ley de Ciberseguridad será aplicable inmediatamente después de su aprobación por el Parlamento Europeo y el Consejo de la UE. Las modificaciones de la Directiva NIS2 que la acompañan también se presentarán para su aprobación. Una vez adoptada, los Estados miembros dispondrán de un año para transponer la Directiva al Derecho nacional y comunicar los textos pertinentes a la Comisión.

Más información: Comisión Europea