A fin de fortalecer la solidaridad de la UE y sus capacidades para detectar las amenazas e incidentes de ciberseguridad, prepararse para ellos y responder a ellos, los representantes de los Estados miembros (Coreper) han alcanzado una posición común sobre el denominado «Reglamento de Cibersolidaridad».
El proyecto de Reglamento, en el que ha participado por parte de España y en la recta final de la presidencia de la UE el ministro competente José Luis Escrivá, establece las capacidades de la UE para que Europa sea más resiliente y tenga más capacidad de reacción en caso de recibir ciberamenazas, además de reforzar, al mismo tiempo, los mecanismos de cooperación.
El acuerdo alcanzado esta semana es un paso más hacia la mejora de la ciberresiliencia en Europa. Sin duda, reforzará las capacidades de la UE y de los Estados miembros para prepararse contra las ciberamenazas y los ataques a gran escala, prevenirlos, responder a ellos y recuperarse de ellos de una manera más eficiente y efectiva.
Los principales objetivos de la propuesta de la Comisión con apoyar la detección y la conciencia de amenazas e incidentes de ciberseguridad significativos o a gran escala; dar un impulso a la preparación y la protección de las entidades críticas y los servicios esenciales, como los hospitales y los servicios públicos; reforzar la solidaridad a escala de la UE, la gestión concertada de las crisis y las capacidades de respuesta en todos los Estados miembros, y contribuir a garantizar un entorno digital seguro y protegido para los ciudadanos y las empresas.
Para detectar las ciberamenazas importantes con rapidez y eficacia, el proyecto de Reglamento establece un «ciberescudo europeo», que es una infraestructura paneuropea integrada por centros de operaciones de seguridad nacionales y transfronterizos de toda la UE.
Se trata de entidades encargadas de compartir información, detectar ciberamenazas y actuar contra ellas. Utilizarán tecnología de vanguardia, como la inteligencia artificial (IA) y el análisis avanzado de datos, para detectar ciberamenazas e incidentes transfronterizos y alertar sobre ellos puntualmente. Las autoridades y las entidades pertinentes, a su vez, podrán responder de manera más eficiente y eficaz a los incidentes graves.
El proyecto de Reglamento también prevé la creación de un mecanismo de ciberemergencia para aumentar la preparación y mejorar las capacidades de respuesta a incidentes en la UE. Dicho mecanismo apoyará en actividades de preparación, como la prueba de entidades en sectores de importancia vital (asistencia sanitaria, transporte, energía, etc.) para detectar posibles vulnerabilidades, a partir de metodologías y escenarios de riesgo comunes.
También plantea una nueva reserva de ciberseguridad de la UE consistente en servicios de respuesta a incidentes de proveedores de confianza del sector privado precontratados y, por lo tanto, preparados para intervenir, a petición de un Estado miembro o de las instituciones, órganos y organismos de la UE, en caso de incidente de ciberseguridad significativo o a gran escala.
Todo ello sin olvidar la asistencia mutua en términos financieros, cuando un Estado miembro pueda ofrecer apoyo a otro Estado miembro.
Por último, la propuesta de Reglamento establece el Mecanismo de Revisión de Incidentes de Ciberseguridad para mejorar la resiliencia de la UE revisando y evaluando los incidentes de ciberseguridad significativos o a gran escala después de que se hayan producido, extrayendo lecciones y, cuando proceda, emitiendo recomendaciones para mejorar la posición de la UE en materia cibernética.
A petición de la Comisión o de las autoridades nacionales, la Agencia de la Unión Europea para la Ciberseguridad (ENISA) revisará determinados incidentes de ciberseguridad y presentará un informe con las lecciones aprendidas y las recomendaciones.
Modificaciones del Consejo
La posición del Consejo mantiene las líneas generales de la propuesta de la Comisión, pero modifica el proyecto de Reglamento en aspectos como la aclaración de la terminología, de modo que adapta el texto a las especificidades de los Estados miembros, en particular en lo que respecta a los centros de operaciones de seguridad y el ciberescudo.
En lo tocante al objeto y al ámbito de aplicación, se ha mejorado la redacción de las medidas de respuesta y la recuperación, así como de las disposiciones relativas a la seguridad nacional. También se han modificado las definiciones y se han adaptado a otros actos legislativos, principalmente la Directiva recientemente revisada sobre redes y sistemas de información («SRI 2»).
De igual modo, a lo largo del texto se ha subrayado el carácter voluntario de la participación de los Estados miembros en los mecanismos establecidos por la propuesta de la Comisión y se han aclarado las interacciones entre las entidades existentes y las definidas en el proyecto de Reglamento.
Por otra parte, el papel de la Agencia de la Unión Europea para la Ciberseguridad (ENISA) se ha reforzado y se ha aclarado en todo el texto y se han introducido mejoras en materia de contratación pública, financiación, intercambio de información y el Mecanismo de Revisión de Incidentes.
El acuerdo alcanzado ahora sobre la posición común del Consejo («mandato de negociación») permitirá a la Presidencia entrante entablar negociaciones con el Parlamento Europeo («diálogos tripartitos») sobre la versión definitiva del acto legislativo propuesto.
El 18 de abril de 2023, la Comisión adoptó la propuesta de Reglamento por el que se establecen medidas destinadas a reforzar la solidaridad y las capacidades en la Unión a fin de detectar amenazas e incidentes de ciberseguridad, prepararse para ellos y responder a ellos —el denominado Reglamento de Cibersolidaridad—.
El origen de una propuesta legislativa de este tipo es múltiple. La Estrategia de Ciberseguridad de la UE, adoptada en diciembre de 2020, mencionaba la creación de un ciberescudo europeo y el refuerzo de las capacidades de detección de ciberamenazas y de intercambio de información en la Unión Europea.
Los días 8 y 9 de marzo de 2022, las ministras y los ministros responsables de telecomunicaciones de los Estados miembros de la UE mantuvieron una reunión informal en Nevers y manifestaron su deseo de que la UE estuviera plenamente preparada para afrontar ciberataques a gran escala.
Las Conclusiones del Consejo de mayo de 2022 sobre la Posición en Materia Cibernética destacaban la necesidad de subsanar las lagunas en materia de preparación para ciberataques y respuesta a estos, y solicitaban a la Comisión que presentara una propuesta sobre un nuevo Fondo de Respuesta a Emergencias en materia de Ciberseguridad.
Por consiguiente, la propuesta de la Comisión introduce un «ciberescudo europeo», integrado por centros de operaciones de seguridad, agrupados en varias plataformas de centros de operaciones de seguridad de varios países financiadas por el programa Europa Digital. El presupuesto total para todas las acciones en el marco del Reglamento de Cibersolidaridad de la UE asciende a 1 100 millones EUR, de los cuales alrededor de dos tercios serán financiados por la UE a través del programa Europa Digital.
