ACUERDO

entre el Parlamento Europeo, el Consejo Europeo, el Consejo de la Unión Europea, la Comisión Europea, el Tribunal de Justicia de la Unión Europea, el Banco Central Europeo, el Tribunal de Cuentas Europeo, el Servicio Europeo de Acción Exterior, el Comité Económico y Social Europeo, el Comité Europeo de las Regiones y el Banco Europeo de Inversiones sobre la organización y el funcionamiento del Equipo de Respuesta a Emergencias Informáticas de las instituciones, órganos y organismos de la UE (CERT-UE)

(2018/C 12/01)

EL PARLAMENTO EUROPEO,

EL CONSEJO EUROPEO, EL CONSEJO DE LA UNIÓN EUROPEA,

LA COMISIÓN EUROPEA,

EL TRIBUNAL DE JUSTICIA DE LA UNIÓN EUROPEA,

EL BANCO CENTRAL EUROPEO,

EL TRIBUNAL DE CUENTAS EUROPEO,

EL SERVICIO EUROPEO DE ACCIÓN EXTERIOR,

EL COMITÉ ECONÓMICO Y SOCIAL EUROPEO,

EL COMITÉ EUROPEO DE LAS REGIONES

Y EL BANCO EUROPEO DE INVERSIONES

Considerando lo siguiente:

HAN CELEBRADO EL PRESENTE ACUERDO:

Artículo 1

Objeto y función

1.   El objeto del presente acuerdo es establecer las normas para la organización y el funcionamiento del Equipo interinstitucional de Respuesta a Emergencias Informáticas de las instituciones, órganos y organismos de la Unión («CERT-UE»).

2.   La función del CERT-UE consistirá en contribuir a la seguridad de las infraestructuras de las TIC de todas las instituciones, órganos y organismos de la Unión («las Partes»), ayudando a prevenir, detectar, mitigar y dar respuesta a los ataques cibernéticos, actuando como una plataforma de coordinación de la respuesta a incidentes de ciberseguridad y del intercambio de información entre las Partes.

Artículo 2

Tareas del CERT-UE

1.   El CERT-UE recopilará, gestionará, analizará y compartirá información con las Partes sobre las amenazas, las deficiencias y los incidentes relacionados con las infraestructuras de las TIC no clasificadas. Coordinará las respuestas a los incidentes a escala interinstitucional y de las Partes, entre otros medios prestando o coordinando la prestación de asistencia operativa especializada.

2.   El CERT-UE ofrecerá servicios estándar de CERT a todas las Partes. El catálogo donde se establezca la oferta detallada de los servicios prestados por el CERT-UE, así como sus eventuales actualizaciones, serán aprobados por el Comité de Dirección. Durante la revisión de la lista de servicios, el director del CERT-UE tendrá en cuenta los recursos que se le hayan asignado.

3.   El CERT-UE podrá supervisar el tráfico de las redes de las Partes previo consentimiento de las Partes pertinentes.

4.   El CERT-UE podrá prestar asistencia a las Partes en relación con incidentes en las redes o sistemas informáticos clasificados si así lo solicita la Parte afectada.

5.   El CERT-UE no emprenderá actividades ni intervendrá en ningún asunto que sean competencia de los servicios de seguridad o inteligencia nacionales o de los departamentos especializados de las Partes. Cualquier contacto con el CERT-UE establecido o solicitado por los servicios de seguridad o inteligencia nacionales se comunicará sin demora a la Dirección de Seguridad de la Comisión y al presidente del Comité de Dirección del CERT-UE.

6.   El CERT-UE informará a las Partes sobre sus procedimientos y procesos de gestión de incidentes.

7.   El CERT-UE, a petición expresa de los departamentos temáticos de las Partes, podrá aportar asesoramiento o información técnicos sobre cuestiones políticas relevantes.

Artículo 3

Cooperación entre las Partes y el CERT-UE

1.   El CERT-UE y las Partes trabajarán de conformidad con el principio de «necesidad de compartir», sin perjuicio del apartado 3. El CERT-UE velará por disponer de medios eficaces de comunicación al objeto de facilitar el intercambio de información con las Partes.

2.   Las Partes proporcionarán al CERT-UE información sobre las amenazas y deficiencias informáticas que les afecten. Cuando el CERT-UE tenga conocimiento de una amenaza o deficiencia que afecte o pueda afectar a una Parte, alertará a la Parte de que se trate tan pronto como sea posible, proporcionándole toda la información pertinente, incluyendo el nivel de gravedad, de modo que puedan aplicarse medidas de protección o correctoras. El CERT-UE podrá ayudar a procurar dichas medidas de protección o correctoras. Se informará a las demás Partes cuando la amenaza o deficiencia pueda afectarles.

3.   Las Partes informarán al CERT-UE sin demora injustificada en caso de incidente cibernético importante, y le proporcionarán todos los detalles técnicos pertinentes, a menos que ello pueda perjudicar los intereses de seguridad de una Parte o de un tercero. Todo incidente se considerará importante si no es repetitivo o básico y fácilmente inteligible en términos de método y tecnologías. La Parte afectada podrá compartir, a su discreción, información no técnica con el CERT-UE. La información sobre un incidente comunicada al CERT-UE no se compartirá fuera del CERT-UE, ni siquiera de forma anónima, a menos que la Parte afectada haya dado su consentimiento. El CERT-UE trabajará con antelación con las Partes sobre la forma de prepararse ante situaciones en las que, para proteger sus redes y sistemas, la información deba compartirse rápidamente.

4.   El CERT-UE, en diálogo con las Partes, mantendrá un catálogo de los conocimientos técnicos de que estas dispongan y que puedan utilizarse, dentro de los medios y capacidades disponibles, en caso de incidente cibernético grave que afecte a una o a varias de ellas. Cuando proceda, el CERT-UE podrá organizar y coordinar el intercambio de información y la asistencia técnica directamente entre las Partes, para hacer frente a un incidente de ciberseguridad.

5.   Dentro de los límites de sus atribuciones, el CERT-UE cooperará estrechamente con la Agencia de Seguridad de las Redes y de la Información de la Unión Europea (AESRI) y el Centro Europeo de Ciberdelincuencia en el marco de Europol.

6.   El CERT-UE compartirá la información sobre incidentes específicos con las autoridades policiales únicamente previo consentimiento de los servicios competentes de la Parte o las Partes pertinentes.

7.   El CERT-UE llevará un registro de toda la información compartida con las Partes e intercambiada con terceros. Las Partes podrán solicitar al CERT-UE que proporcione pormenores de la información compartida con terceros que les incumba.

8.   En caso necesario, el CERT-UE podrá celebrar con cualquier Parte acuerdos de nivel de servicio o acuerdos de cooperación para la prestación de servicios de CERT. El CERT-UE también podrá celebrar acuerdos de nivel de servicio o acuerdos de cooperación para la prestación de servicios de CERT remunerados en el marco de operaciones civiles de gestión de crisis de la UE, con arreglo al título V, capítulo 2, del Tratado de la Unión Europea. En cada caso, dichos acuerdos de nivel de servicio o de cooperación estarán sujetos a la aprobación del Comité de Dirección.

Artículo 4

Cooperación del CERT-UE con los CERT de los Estados miembros

1.   El CERT-UE cooperará e intercambiará información con los CERT o los CSIRT nacionales o gubernamentales de los Estados miembros acerca de amenazas, deficiencias e incidentes de ciberseguridad, acerca de posibles contramedidas y de todas las cuestiones pertinentes para mejorar la protección de las infraestructuras de las TIC de las Partes, en particular a través de la red de CSIRT a que se refiere el artículo 12 de la Directiva SRI.

2.   El CERT-UE cooperará con los CERT de los Estados miembros para recabar información sobre amenazas generales y específicas a las Partes y sobre herramientas y métodos, incluyendo técnicas, tácticas y procedimientos, mejores prácticas y deficiencias generales, para su difusión a las Partes. El CERT-UE podrá intercambiar información sobre instrumentos y métodos. incluyendo técnicas, tácticas y procedimientos, mejores prácticas, y amenazas y deficiencias generales con los CERT de los Estados miembros.

3.   El CERT-UE podrá intercambiar información sobre incidentes específicos con los CERT de los Estados miembros, con el consentimiento de la Parte afectada.

Artículo 5

Cooperación con CERT de terceros y con otros interlocutores

1.   El CERT-UE podrá cooperar con CERT de sectores específicos de la industria y con CERT no pertenecientes a la UE sobre herramientas y métodos, como técnicas, tácticas y procedimientos, mejores prácticas, y amenazas y deficiencias generales. Para toda cooperación con estos CERT, en particular en caso de cooperación entre CERT no pertenecientes a la UE y CERT de los Estados miembros, el CERT-UE solicitará la aprobación previa del Comité de Dirección.

2.   El CERT-UE podrá cooperar con otros interlocutores, como entidades comerciales o expertos individuales, para recopilar información sobre amenazas generales y específicas, deficiencias y posibles contramedidas. Para establecer una cooperación más amplia con estos interlocutores, el CERT-UE solicitará la aprobación previa del Comité de Dirección.

3.   Siempre que exista un acuerdo o contrato de confidencialidad con el interlocutor pertinente, el CERT-UE podrá proporcionarle información relativa a un incidente concreto en una Parte, previo consentimiento de la Parte afectada, cuando el interlocutor pueda contribuir a analizarlo. La legalidad de tales acuerdos o contratos de confidencialidad se verificará con arreglo a los procedimientos internos pertinentes de la Comisión. Los acuerdos o contratos de confidencialidad no requerirán la aprobación previa del Comité de Dirección, pero sí se informará a su presidente.

4.   Con carácter excepcional, el CERT-UE podrá celebrar acuerdos de nivel de servicio con entidades distintas de las Partes, previa aprobación del Comité de Dirección.

Artículo 6

Funciones del director del CERT-UE

1.   El director del CERT-UE será responsable del correcto funcionamiento del CERT-UE, y actuará dentro de los límites de sus atribuciones bajo la dirección del Comité de Dirección. Será responsable de la aplicación de la dirección estratégica, las orientaciones, los objetivos y las prioridades establecidas por el Comité de Dirección, así como de la correcta gestión del CERT-UE, incluidos sus recursos financieros y humanos. Informará periódicamente al presidente del Comité de Dirección.

2.   El director del CERT-UE estará vinculado por las normas aplicables a la Comisión y actuará como ordenador de pagos por subdelegación al ejecutar el presupuesto general de la Unión Europea, de conformidad con las normas internas de la Comisión relativas a la delegación de poderes y con los límites aplicables a estos casos. Actuará únicamente bajo la autoridad de la Comisión a efectos de la aplicación de las normas y procedimientos administrativos y financieros.

3.   El director del CERT-UE presentará informes trimestrales al Comité de Dirección sobre el rendimiento del CERT-UE, la ejecución del presupuesto, los contratos u otros acuerdos celebrados y las misiones realizadas por su personal. Asimismo, presentará un informe anual al Comité de Dirección con arreglo al artículo 8, apartado 1, letra e).

4.   El director del CERT-UE prestará asistencia al ordenador de pagos delegado competente en la redacción del informe anual de actividades que contenga datos financieros y de gestión, incluidos los resultados de los controles, elaborado de conformidad con el artículo 66, apartado 9, del Reglamento Financiero, y le informará periódicamente de la ejecución de las medidas respecto de las cuales se le hayan subdelegado competencias.

5.   El director del CERT-UE elaborará anualmente una planificación financiera de ingresos y gastos administrativos para sus actividades, que se someterá a la aprobación del Comité de Dirección de conformidad con el artículo 8, apartado 1, letra c).

Artículo 7

El Comité de Dirección

1.   El Comité de Dirección proporcionará al CERT-UE orientaciones y directrices estratégicas, y supervisará la puesta en práctica de sus prioridades y objetivos generales. Estará integrado por representantes de alto nivel designados por cada una de las partes firmantes del presente Acuerdo y por ENISA, que representará los intereses de los organismos enumerados en el anexo I que gestionan sus propias infraestructuras de TIC. Cada miembro podrá ser asistido por un suplente. El presidente podrá invitar a otros representantes de las Partes a asistir a las reuniones del Comité de Dirección.

2.   El Comité de Dirección designará a un presidente de entre sus miembros para un período de dos años. El suplente del presidente pasará a ser miembro de pleno derecho del Comité durante el mismo período de tiempo.

3.   El Comité de Dirección se reunirá por iniciativa de su presidente o a petición de cualquiera de sus miembros. Adoptará un reglamento interno.

4.   Cada firmante del presente Acuerdo, así como ENISA, dispondrá de un voto, ejercido por el miembro o los miembros correspondientes. Salvo disposición en sentido contrario, las decisiones del Comité de Dirección se tomarán por mayoría simple. El presidente no participará en la votación, salvo en caso de empate, en que podrá emitir un voto de calidad.

5.   En caso de que por razones operativas sea preciso adoptar decisiones urgentes, el Comité de Dirección podrá actuar, con carácter excepcional, con el acuerdo de su presidente y de los miembros que representen a la Comisión Europea, el Consejo, el Parlamento Europeo y la Parte o las Partes afectadas.

6.   El Comité de Dirección podrá actuar mediante un procedimiento escrito simplificado iniciado por su presidente con arreglo al cual la decisión se considerará aprobada en el plazo establecido por el presidente, salvo oposición de uno de sus miembros.

7.   El director del CERT-UE participará en las reuniones del Comité de Dirección a menos que este disponga lo contrario.

8.   La Secretaría del Comité de Dirección correrá a cargo de la institución cuyo representante de alto nivel ejerza la Presidencia.

9.   La Secretaría informará a los organismos de la UE que figuran en el anexo I sobre las decisiones del Comité de Dirección. Los organismos de la UE estarán autorizados a plantear al presidente del Comité de Dirección cualquier cuestión que considere que deba ponerse en conocimiento del Comité de Dirección.

Artículo 8

Tareas del Comité de Dirección

1.   A la hora de proporcionar dirección estratégica y orientaciones al CERT-UE, el Comité de Dirección:

2.   El presidente podrá representar al Comité de Dirección o actuar en su nombre de conformidad con los acuerdos celebrados por el Comité.

Artículo 9

Dotación de personal y cuestiones financieras

1.   Aunque se establece como un proveedor de servicios interinstitucional autónomo para todas las instituciones, órganos y organismos de la Unión, el CERT-UE se integrará en la estructura administrativa de una Dirección General de la Comisión con objeto de aprovechar las estructuras de apoyo de la Comisión en materia de gestión administrativa y financiera y de contabilidad. La Comisión informará al Comité de Dirección sobre la adscripción administrativa del CERT-EU y sobre cualquier modificación al respecto.

2.   La Comisión, tras obtener la aprobación por unanimidad del Comité de Dirección, nombrará al director del CERT-EU. Se consultará al Comité de Dirección en todas las fases del procedimiento antes del nombramiento del director del CERT-EU, en particular sobre la redacción de las convocatorias de vacante, el examen de las candidaturas y la designación de los comités de selección para el puesto.

3.   Los funcionarios de todas las instituciones, órganos y organismos de la Unión serán informados de cualquier convocatoria para la provisión de plazas vacantes en el CERT-EU.

4.   Sin perjuicio de las prerrogativas de la autoridad presupuestaria de la Unión, las instituciones y órganos de la Unión partes en el presente Acuerdo, con excepción del Tribunal de Cuentas Europeo, el Banco Central Europeo y el Banco Europeo de Inversiones, se comprometen a transferir o asignar al CERT-UE el número de puestos de trabajo que se establece en el anexo II, a más tardar en el ejercicio presupuestario 2019 o según se disponga en el anexo II. Las instituciones y órganos de la Unión que asignen o transfieran el número definido de puestos de trabajo percibirán la totalidad de los servicios del CERT-UE. El número de puestos de trabajo que se establece en el anexo II se revisará al menos cada cinco años.

5.   El CERT-UE podrá convenir con las instituciones y órganos de la Unión participantes la asignación temporal de personal adicional transferido al CERT-UE.

6.   El Tribunal de Cuentas Europeo, el Banco Central Europeo y el Banco Europeo de Inversiones celebrarán acuerdos de nivel de servicio respecto de los servicios ofrecidos por el CERT-UE con arreglo al catálogo de servicios de este y a la compensación financiera anual que vaya a efectuar cada uno de conformidad con lo dispuesto en el anexo II, al inicio de cada ejercicio financiero, en contrapartida de los servicios prestados por el CERT-UE durante el ejercicio anterior.

7.   La compensación financiera que deberá asignar cada organismo de la Unión para sufragar los costes del servicio ofrecido por el CERT-EU se convendrá con el organismo de la Unión correspondiente y se incluirá en el marco administrativo general que regula la prestación de servicios de la Comisión a los organismos de la Unión.

8.   El director del CERT-EU informará anualmente del importe de la compensación financiera anual que hayan de proporcionar las Partes que hayan celebrado con el CERT-UE acuerdos de nivel de servicio con arreglo al apartado 6 y los organismos de la UE con arreglo al apartado 7. El Comité de Dirección revisará cada año el importe de la compensación financiera anual.

9.   La gestión presupuestaria y financiera de las actividades del CERT-UE, incluidos los ingresos asignados por otras instituciones u órganos de la Unión, será efectuada por la Comisión de conformidad con el Reglamento (CE, Euratom) n.o 966/2012 del Parlamento Europeo y del Consejo (2), sobre las normas financieras aplicables al presupuesto general de la Unión y la normativa aplicable. Todo crédito o ingreso presupuestario asignado al CERT-UE mediante acuerdos de nivel de servicio se consignará específicamente en su planificación financiera.

Artículo 10

Secreto profesional

El CERT-UE y las Partes tratarán cualquier información recibida de otra Parte o de un tercero como sujeta a la obligación de secreto profesional, de conformidad con el artículo 339 del Tratado de Funcionamiento de la Unión Europea o con los marcos equivalentes de aplicación. No deberán divulgar esta información a terceros, salvo autorización expresa de la Parte o el tercero en cuestión.

Artículo 11

Protección de datos personales

El tratamiento de datos personales que se lleve a cabo en virtud del presente Acuerdo estará sujeto a lo dispuesto en el Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo (3).

Artículo 12

Auditoría, preguntas y acceso del público a los documentos

1.   La función de auditoría interna será ejercida por el Servicio de Auditoría Interna de la Comisión, sin perjuicio de lo dispuesto en el artículo 10. El Comité de Dirección podrá sugerir que el Servicio de Auditoría Interna de la Comisión realice auditorías.

2.   El director del CERT-UE se encargará de responder a las preguntas del Defensor del Pueblo Europeo y del Supervisor Europeo de Protección de Datos, de conformidad con los procedimientos internos de la Comisión.

3.   A las solicitudes de acceso del público a los documentos custodiados por el CERT-UE se les aplicarán los procedimientos de la Comisión con arreglo al Reglamento (CE) n.o 1049/2001 del Parlamento Europeo y del Consejo (4), teniendo en cuenta la obligación derivada de dicho Reglamento de consultar a las demás Partes cuando una solicitud se refiera a sus documentos.

Artículo 13

Revisión

El Comité de Dirección revisará periódicamente la organización y el funcionamiento del CERT-UE teniendo en cuenta la evolución del escenario relativo a las amenazas cibernéticas y la respuesta de la Unión, incluidas las prioridades políticas establecidas en la Estrategia de Ciberseguridad de la UE. Podrá formular recomendaciones a las instituciones y los órganos participantes para revisar o modificar el presente Acuerdo, o cualquier otra recomendación para el funcionamiento efectivo del CERT-UE.

Artículo 14

Ámbito de aplicación y fecha de aplicación

1.   El presente Acuerdo se aplicará a las instituciones y órganos de la Unión signatarios del mismo y a los organismos de la Unión que gestionan sus propias infraestructuras de TIC y que se enumeran en el anexo I.

2.   El presente Acuerdo se aplicará a partir de la fecha de su firma. Se publicará en el Diario Oficial de la Unión Europea.

El presente Acuerdo se redacta en lenguas alemana, búlgara, checa, croata, danesa, eslovaca, eslovena, española, estonia, finesa, francesa, griega, húngara, inglesa, italiana, letona, lituana, maltesa, neerlandesa, polaca, portuguesa, rumana y sueca, en un único original que se depositará en la Secretaría General del Consejo de la Unión Europea, que transmitirá una copia auténtica certificada a todos los signatarios.

(1)  Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (DO L 194 de 19.7.2016, p. 1).

(2)  Reglamento (UE, Euratom) n.o 966/2012 del Parlamento Europeo y del Consejo, de 25 de octubre de 2012, sobre las normas financieras aplicables al presupuesto general de la Unión y por el que se deroga el Reglamento (CE, Euratom) n.o 1605/2002 del Consejo (DO L 298 de 26.10.2012, p. 1).

(3)  Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (DO L 8 de 12.1.2001, p. 1).

(4)  Reglamento (CE) n.o 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión (DO L 145 de 31.5.2001, p. 43).