Seguridad y Defensa / Digitalización: paquete de ciberseguridad de la Comisión Europea

La Comisión Europea presentó el paquete legislativo de ciberseguridad, que incluye la propuesta de Reglamento por la que se modifica la Ley de Ciberseguridad (CSA 2, por sus siglas en inglés) y una propuesta de Directiva para simplificar la Directiva NIS 2. La CSA 2 amplía el mandato de ENISA más allá de simplemente reflejar las exigencias impuestas a la Agencia por la distinta legislación en materia de ciberseguridad, y apuesta por agilizar el cumplimiento mediante certificaciones cibernéticas voluntarias, a la vez que se otorga a ENISA un papel en el desarrollo de especificaciones técnicas similar al que desempeñan los organismos de estandarización existentes. En lo que respecta a la seguridad de la cadena de suministro de las TIC, el Ejecutivo europeo propone los llamados “requisitos de soberanía” relativos al control y/o la propiedad por parte de terceros países de determinadas entidades y los riesgos asociados a ello. La propuesta pretende establecer un marco de confianza para la cadena de suministro de las TIC, en el cual la Comisión o al menos tres Estados miembros de la UE puedan solicitar al Grupo de Cooperación NIS que lleve a cabo evaluaciones coordinadas de riesgos de seguridad a escala de la Unión, en un plazo de seis meses. Si se identifica a un proveedor de alto riesgo, dicho proveedor quedará vetado de participar en la elaboración de normas europeas, obtener un certificado europeo de ciberseguridad, participar en licitaciones públicas o recibir financiación de la UE. La Comisión publicará una lista de proveedores de alto riesgo para las redes móviles de comunicaciones electrónicas, y los componentes deberán retirarse progresivamente en un plazo de 36 meses. Además, incluye ejemplos de otros ámbitos en los que pueden observarse riesgos de ciberseguridad, como los vehículos automatizados, equipos de vigilancia, el sector eléctrico o la gestión del agua. También establece la obligación de cooperar con Europol y otras entidades en casos de ransomware, y la creación de una Helpdesk a la que puedan acudir las empresas en caso de ataque. BusinessEurope apuntó que “una protección eficaz requiere reglas prácticas y proporcionadas que fortalezcan la resiliencia sin sobrecargar a las empresas”. Como próximos pasos, y una vez superado el procedimiento legislativo ordinario, el Reglamento y la Directiva entrarían en vigor, respectivamente, una vez publicado en el DOUE y un año después de su aprobación. Más información