Primeras normas a escala de la UE para mejorar la ciberseguridad: acuerdo con el Parlamento Europeo

El 7 de diciembre de 2015, la Presidencia luxemburguesa del Consejo llegó a un acuerdo informal con el Parlamento Europeo sobre unas normas comunes para reforzar la seguridad de las redes y de la información (SRI) en toda la UE.

La nueva Directiva establecerá obligaciones en materia de ciberseguridad para los operadores de servicios esenciales y los proveedores de servicios digitales. Estos operadores deberán adoptar medidas para gestionar los riesgos cibernéticos y notificar los incidentes graves de seguridad, pero las dos categorías estarán sujetas a regímenes diferentes.

Xavier Bettel, presidente del Gobierno y ministro de Comunicaciones y Medios de Comunicación de Luxemburgo, y presidente del Consejo, declaró: «Esto constituye un paso importante para lograr un planteamiento más coordinado de la ciberseguridad en toda Europa. Todos los interlocutores, públicos y privados, tendrán que redoblar esfuerzos, en particular reforzando la cooperación entre los Estados miembros y con unos requisitos de seguridad más estrictos para los operadores de infraestructuras y servicios digitales».

Unas normas más estrictas para los operadores de servicios esenciales

La Directiva enumera una serie de sectores críticos en los que los operadores de servicios esenciales están presentes, como la energía, los transportes, las finanzas y la sanidad. En estos sectores los Estados miembros determinarán qué operadores prestan servicios esenciales, basándose en unos criterios claros establecidos en la Directiva. Los requisitos y la supervisión de estos operadores será mayor que para los proveedores de servicios digitales. Esto refleja el grado de riesgo que cualquier perturbación de sus servicios puede suponer para la sociedad y la economía.

Un régimen más uniforme para los proveedores de servicios digitales

La Directiva cubre los siguientes servicios digitales: plataformas de comercio en linea, motores de búsqueda y servicios en nube.

Los proveedores de servicios digitales generalmente operan en varios Estados miembros. Para garantizar que sean tratados de forma similar en toda la UE, las normas se aplicarán a todos los operadores que presten estos servicios, con exclusión de las pequeñas empresas.

Marcos nacionales y a escala de la UE para luchar contra las amenazas cibernéticas

Cada país de la UE deberá designar a una o más autoridades nacionales y establecer una estrategia para tratar las cuestiones de ciberseguridad.

Los Estados miembros también intensificarán su cooperación en materia de ciberseguridad. A escala de la UE se creará un grupo de cooperación para apoyar la cooperación estratégica y el intercambio de mejores prácticas entre los Estados miembros. Se creará una red de equipos de respuesta a incidentes de seguridad informática (CSIRT) para promover la cooperación operativa. Se espera que ambos contribuyan a generar confianza entre los Estados miembros.

Plazos

Los Estados miembros dispondrán de 21 meses a partir de la entrada en vigor de la Directiva para adoptar las disposiciones nacionales necesarias. Tras este período, tendrán 6 meses para identificar a sus operadores de servicios esenciales.

¿Cómo llegará la propuesta a ser un acto legislativo?

Por lo que respecta al Consejo, el acuerdo aún tiene que ser confirmado por los Estados miembros. La Presidencia presentará el texto acordado en el Comité de Representantes Permanentes (Coreper) el 18 de diciembre, para su aprobación por parte de los embajadores de los Estados miembros. Para concluir el procedimiento, se requiere la adopción formal tanto del Consejo como del Parlamento.

• Mejorar la ciberseguridad en la UE