La Comisión ha propuesto hoy nuevas normas que establecen medidas comunes en materia de ciberseguridad y seguridad de la información para todas las instituciones, órganos, organismos y agencias de la UE. La propuesta tiene por objeto reforzar su resiliencia y sus capacidades de respuesta frente a ciberamenazas y ciberincidentes, además de garantizar la resiliencia y la seguridad de la administración pública de la UE en un contexto mundial de incremento de las actividades cibernéticas malintencionadas.
Johannes Hahn, comisario de Presupuesto y Administración, se ha expresado en los siguientes términos: «En un entorno conectado, un incidente aislado de ciberseguridad puede afectar a toda una organización. Por ese motivo, es necesario levantar un fuerte escudo contra las ciberamenazas y los ciberincidentes que podrían alterar nuestra capacidad de actuación. Las normas que proponemos hoy marcan un hito en el panorama de la ciberseguridad y la seguridad de la información de la UE. Se basan en el refuerzo de la cooperación y el apoyo mutuo entre las instituciones, órganos, organismos y agencias de la UE, así como en la coordinación de la preparación y la respuesta. Se trata de un auténtico esfuerzo colectivo de la UE».
En el contexto de la pandemia de COVID-19 y de los crecientes retos geopolíticos, la adopción de un enfoque común en materia de ciberseguridad y seguridad de la información se ha convertido en una necesidad. Consciente de ello, la Comisión ha propuesto un Reglamento sobre ciberseguridad y un Reglamento sobre seguridad de la información. Mediante el establecimiento de prioridades y marcos comunes, estas normas reforzarán todavía más la cooperación interinstitucional, minimizarán la exposición al riesgo y avanzarán en la consolidación de la cultura de seguridad de la UE.
Reglamento sobre ciberseguridad
La propuesta de Reglamento sobre ciberseguridad establecerá un marco para la gobernanza, la gestión y el control de riesgos en el ámbito de la ciberseguridad. Dará lugar a la creación de un nuevo Consejo interinstitucional de ciberseguridad, potenciará las capacidades de ciberseguridad y estimulará la realización de evaluaciones periódicas de madurez y una mejor higiene cibernética. Además, ampliará el mandato del Equipo de Respuesta a Emergencias Informáticas para las instituciones, órganos, organismos y agencias de la UE (CERT-UE) como centro de información sobre amenazas e intercambio de información y coordinación de la respuesta a incidentes, órgano consultivo central y proveedor de servicios.
Elementos esenciales de la propuesta de Reglamento sobre ciberseguridad:
- Reforzar el mandato del CERT-UE y proporcionarle los recursos que necesita para ejercerlo;
- Requerir a todas las instituciones, órganos, organismos y agencias de la UE que:
- Se doten de un marco para la gobernanza, la gestión y el control de riesgos en el ámbito de la ciberseguridad;
- Definan un código básico de medidas de seguridad para hacer frente a los riesgos detectados;
- Lleven a cabo evaluaciones periódicas de madurez;
- Pongan en marcha un plan de mejora de su ciberseguridad aprobado por los gestores de la entidad;
- Compartir sin demora indebida la información relacionada con los incidentes con el CERT-UE.
- Crear un nuevo Consejo interinstitucional de ciberseguridad para impulsar y supervisar la aplicación del Reglamento y dirigir la actividad del CERT-UE;
- Cambiar el nombre del CERT-UE de «Equipo de Respuesta a Emergencias Informáticas» a «Centro de ciberseguridad», en consonancia con la evolución de la situación en los Estados miembros y a escala mundial, manteniendo no obstante la abreviatura «CERT-UE» para facilitar su reconocimiento.
Reglamento sobre seguridad de la información
La propuesta de Reglamento sobre seguridad de la información creará un conjunto mínimo de reglas y normas de seguridad de la información para todas las instituciones, órganos, organismos y agencias de la UE, con el fin de asegurar una protección reforzada y sistemática contra unas amenazas a la seguridad de su información que están en constante evolución. Estas nuevas normas configurarán una base estable para el intercambio seguro de información entre las instituciones, órganos, organismos y agencias de la UE, y entre estos y los Estados miembros, con arreglo a prácticas y medidas normalizadas de protección de los flujos de información.
Elementos esenciales de la propuesta de Reglamento sobre seguridad de la información:
- Establecer un sistema de gobernanza eficaz para fomentar la cooperación entre todas las instituciones, órganos, organismos y agencias de la UE, a saber, un Grupo interinstitucional de coordinación de la seguridad de la información;
- Determinar un enfoque común para la categorización de la información basado en el nivel de confidencialidad;
- Modernizar las políticas de seguridad de la información, incluyendo plenamente en su ámbito de aplicación la transformación digital y el trabajo a distancia;
- Racionalizar las prácticas actuales y lograr una mayor compatibilidad entre los sistemas y dispositivos pertinentes.
Contexto
En su Resolución de marzo de 2021, el Consejo de la Unión Europea destacó la importancia de un marco de seguridad sólido y coherente capaz de proteger integralmente al personal, los datos, las redes de comunicación, los sistemas de información y los procesos de toma de decisiones de la UE. Tal objetivo solo puede lograrse mediante un aumento de la resiliencia y una mejora de la cultura de seguridad de las instituciones, órganos, organismos y agencias de la UE.
Siguiendo la estela de la Estrategia de la UE para una Unión de la Seguridad y la Estrategia de ciberseguridad de la UE, el Reglamento sobre ciberseguridad que se ha propuesto hoy asegurará la coherencia con las políticas de seguridad de la UE vigentes, en total consonancia con la normativa europea actual:
- La Directiva sobre la seguridad de las redes y los sistemas de información (Directiva SRI) y la futura Directiva relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en la Unión («SRI 2») que la Comisión propuso en diciembre de 2020;
- El Reglamento sobre la Ciberseguridad;
- La Recomendación de la Comisión sobre la creación de una Unidad Cibernética Conjunta;
- La Recomendación de la Comisión sobre la respuesta coordinada de la UE a los incidentes y crisis de ciberseguridad a gran escala
Habida cuenta del creciente volumen de información sensible —clasificada y no clasificada— de la UE que manejan las instituciones, órganos, organismos y agencias de la UE, la propuesta de Reglamento sobre seguridad de la información tiene por objeto aumentar la protección de la información, racionalizando los diferentes marcos jurídicos de las instituciones, órganos, organismos y agencias de la Unión en este ámbito. La propuesta está en consonancia con:
- La Estrategia de la UE para una Unión de la Seguridad, que incluye el compromiso general de la UE de complementar los esfuerzos de los Estados miembros en todos los ámbitos de la seguridad;
- El elemento clave de la Agenda Estratégica para 2019-2024, adoptada por el Consejo Europeo en junio de 2019, que es proteger a nuestras sociedades de las amenazas en constante evolución que se dirigen contra la información manejada por las instituciones, órganos y organismos de la UE;
- Las Conclusiones del Consejo de Asuntos Generales de diciembre de 2019, en las que se pedía a las instituciones, órganos, organismos y agencias de la UE que, con el apoyo de los Estados miembros, desarrollasen y aplicasen un conjunto completo de medidas para garantizar su seguridad.
Más información
Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre la seguridad de la información en las instituciones, órganos, organismos y agencias de la UniónNuevas normas para aumentar la ciberseguridad y la seguridad de la información en las instituciones, órganos, organismos y agencias de la UE
