La Unión Europea adopta el Reglamento (UE) 2025/38, un marco esencial para proteger la economía digital frente a ciberamenazas. España, por su parte, crea el Centro Nacional de Ciberseguridad para liderar la respuesta nacional ante los crecientes desafíos de la seguridad en la red.
El Diario Oficial de la Unión Europea, de 15 de enero de 2025, publica el Reglamento (UE) 2025/38, conocido coloquialmente como reglamento de Cibersolidaridad, que establece diversas medidas para reforzar la capacidad de la Unión Europea para detectar, prepararse y responder a ciberamenazas e incidentes.
Los objetivos específicos que persigue para mejorar la ciberseguridad de la UE van encaminados a:
Reforzar las capacidades coordinadas comunes de detección de la Unión y la conciencia situacional común de ciberamenazas e incidentes, lo que conlleva la creación de una red paneuropea de centros cibernéticos, denominada Sistema Europeo de Alerta de Ciberseguridad, para mejorar la detección, el análisis y el tratamiento de datos relacionados con ciberamenazas. Este sistema busca mejorar las capacidades de los Estados miembros para anticiparse y protegerse de estos riesgos.
Consolidar la preparación de entidades que operan en sectores de alta criticidad y otros sectores críticos en toda la Unión Europea. Incluye el desarrollo de pruebas coordinadas de preparación, así como el fomento de capacidades mejoradas de respuesta y recuperación para la gestión de incidentes de ciberseguridad significativos a gran escala o equivalentes. Se busca también la posibilidad de extender el apoyo de la Unión a la respuesta a incidentes de ciberseguridad a terceros países asociados al Programa Europa Digital.
Mejorar la resiliencia de la Unión y contribuir a una respuesta eficaz frente a incidentes mediante la revisión y evaluación de incidentes de ciberseguridad significativos o a gran escala. Esto incluye la extracción de conclusiones y, cuando sea necesario, la formulación de recomendaciones para prevenir futuros incidentes.Estos objetivos específicos se enmarcan en objetivos generales más amplios como son:
Reforzar la posición competitiva de la industria y los servicios de la Unión en la economía digital, incluyendo microempresas, pequeñas y medianas empresas y empresas emergentes.
Contribuir a la soberanía tecnológica de la Unión y su autonomía estratégica abierta en el ámbito de la ciberseguridad, especialmente impulsando la innovación en el mercado único digital.
Reforzar la solidaridad a escala de la Unión, consolidando el ecosistema de ciberseguridad y desarrollando las capacidades de la mano de obra en relación con la ciberseguridad.
El Reglamento establece tres mecanismos para lograr estos objetivos, incluyendo:
El sistema europeo de alerta de ciberseguridad, que operará como una red de centros cibernéticos paneuropea para desarrollar capacidades coordinadas de detección y conciencia situacional, mejorando la capacidad de la Unión para detectar amenazas e intercambiar información.
Un mecanismo de emergencia en materia de ciberseguridad, que brindará asistencia a los Estados miembros, previa solicitud, para prepararse y responder a incidentes de ciberseguridad, atenuar sus repercusiones e iniciar la recuperación. Este mecanismo también busca apoyar a otros usuarios en su respuesta a incidentes de ciberseguridad.
Un mecanismo europeo de revisión de incidentes de ciberseguridad, cuyo propósito es revisar y evaluar incidentes de ciberseguridad significativos o a gran escala.
El reglamento también persigue reforzar la cooperación con organizaciones y socios internacionales afines, que compartan los principios de la Unión, en el ámbito de la ciberseguridad.
El Reglamento (UE) 2025/38 busca establecer un marco integral para mejorar la ciberseguridad en la UE, abordando tanto la detección y prevención de amenazas, como la respuesta y recuperación ante incidentes, con un fuerte énfasis en la cooperación y la solidaridad entre los Estados miembros.
España refuerza su estrategia con el Centro Nacional de Ciberseguridad
Casi paralelamente, el 14 de enero de 2025, el día anterior, el Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, y acordó dar trámite administrativo de urgencia a este. Se crea el Centro Nacional de Ciberseguridad que estará adscrito a la Secretaría General de Presidencia del Gobierno y será el órgano de contacto único con la Unión Europea en materia de ciberseguridad. Este organismo será responsable de la dirección, impulso y coordinación del mecanismo de ciberseguridad en España, actuando como autoridad de gestión en situaciones de crisis cibernéticas, aunque en el texto del anteproyecto no se especifica si este nuevo centro absorberá las competencias de los organismos ya existentes o si actuará como un mero coordinador.
Esta iniciativa tiene como objetivo reforzar la protección de las redes y sistemas de información frente a ciberamenazas y riesgos crecientes, incorporando al ordenamiento jurídico español la Directiva (UE) 2022/2555, conocida como NIS-2, que establece medidas para garantizar un elevado nivel común de ciberseguridad en los países miembros de la Unión Europea; a la vez responde a la necesidad de actualizar la Seguridad Nacional, donde la ciberseguridad ocupa un espacio propio y diferencial, necesidad que se enmarca en un contexto donde la ciberseguridad se ha vuelto imprescindible para el desarrollo de las actividades sociales y económicas.
El anteproyecto también responde a la necesidad de establecer un marco normativo que regule los requisitos esenciales de ciberseguridad para productos con elementos digitales que se introduzcan en el mercado de la Unión Europea, debido a la creciente cantidad de dispositivos conectados y al impacto de los ciberataques en la economía, la democracia y la seguridad de los consumidores. Se busca que los productos sean más seguros desde su diseño, que los fabricantes se tomen la seguridad en serio a lo largo del ciclo de vida del producto y que los usuarios puedan tomar decisiones más informadas sobre la ciberseguridad. Este marco también persigue garantizar que se tenga en cuenta la ciberseguridad en las cadenas de suministro, lo que mejorará la seguridad de los productos finales.
Impacto del nuevo marco normativo en entidades públicas y privadas
La futura ley establece obligaciones específicas para entidades públicas y privadas que operan en sectores críticos para el funcionamiento del país, como energía, transporte, banca, mercados financieros, sector sanitario, infraestructuras digitales y servicios tecnológicos, entre otros.
Estas entidades deberán realizar evaluaciones individualizadas de riesgo, implementar medidas para garantizar la seguridad de sus redes y sistemas de información, y notificar cualquier incidente significativo, ya sea propio o de proveedores externos.
El anteproyecto de ley también define las autoridades de control encargadas de supervisar y ejecutar el mecanismo de ciberseguridad, se incluyen al Ministerio del Interior, Secretaría de Estado de Seguridad a través de la Oficina de Coordinación de Ciberseguridad; el Ministerio de Defensa con el Centro Criptológico Nacional del Centro Nacional de Inteligencia; y el Ministerio para la Transformación Digital y de la Función Pública, a través de la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales y de Digitalización e Inteligencia Artificial. Se prevén activar equipos de respuesta ante incidentes de ciberseguridad, que estarán encargados del seguimiento y análisis de ciberamenazas y de prestar asistencia a las entidades afectadas.
El anteproyecto de ley establece que las entidades públicas o privadas afectadas son aquellas que tienen su residencia fiscal en España, o bien que ofrezcan servicios en España, y que pertenezcan a sectores considerados de alta criticidad, como la energía, el transporte, la banca, el sector sanitario, entre otros. Tales entidades deben realizar evaluaciones de riesgo y notificar los incidentes significativos.
Este marco legal busca fortalecer la resiliencia de España frente a ciberamenazas, garantizando una respuesta adaptada, coordinada e innovadora ante los desafíos actuales en el ámbito de la ciberseguridad.
Es importante destacar que el proceso de toma de decisiones sobre la estructura y competencias del Centro Nacional de Ciberseguridad aún está en curso, y las negociaciones entre los diferentes organismos y ministerios serán clave para definir su funcionamiento final.
El anteproyecto es una respuesta a la creciente complejidad de las ciberamenazas, la necesidad de adaptarse a las directrices europeas en materia de ciberseguridad y la necesidad de crear un marco más sólido para la protección de la información en España.
