Ciberseguridad de las redes y sistemas de información

PUNTOS CLAVE

Ciberseguridad: se refiere a las actividades necesarias para proteger las redes y los sistemas de información, sus usuarios y otras personas afectadas por las ciberamenazas.

Sectores críticos

La Directiva se aplica principalmente a entidades medianas y grandes que operan en los siguientes sectores de alta criticidad según se define en el anexo I:

• energía,
  • electricidad, que incluye los sistemas de producción, distribución y transporte y los puntos de recarga,
  • calefacción y refrigeración urbanas,
  • crudo, que incluye la producción, el almacenamiento y oleoductos de transporte,
  • gas, que incluye los sistemas de suministro, distribución y transporte y almacenamiento e
  • hidrógeno;
• transporte aéreo, por ferrocarril, marítimo y fluvial, y por carretera;
• banca e infraestructuras de los mercados financieros tales como entidades de crédito, gestores de centros de negociación y entidades de contrapartida central;
• sector sanitario, que incluye prestadores de asistencia sanitaria, fabricantes de productos farmacéuticos de base y productos sanitarios esenciales, y laboratorios de referencia de la UE;
• agua potable;
• aguas residuales.
• infraestructura digital, que incluye proveedores de servicios de datos, de servicios de computación en nube, de redes públicas de comunicaciones electrónicas y de servicios de comunicaciones electrónicas disponibles para el público;
• gestión de servicios de tecnologías de la información y de las comunicaciones (TIC) (de empresa a empresa);
• espacio;
• administración pública a nivel central y regional, salvo el poder judicial, los parlamentos y los bancos centrales, aunque no se aplica a las entidades de la Administración pública que realizan actividades en materia de seguridad nacional, seguridad pública, defensa o aplicación de la ley.

Además, se aplica a otros sectores críticos, según se definen en el anexo II:

• servicios postales y de mensajería;
• gestión de residuos;
• fabricación, producción y distribución de sustancias y mezclas químicas;
• producción, transformación y distribución de alimentos;
• fabricación, especialmente de productos sanitarios, productos informáticos, electrónicos y ópticos, determinados tipos de material eléctrico y maquinaria, vehículos de motor y otro material de transporte;
• proveedores de servicios digitales de mercados en línea, de motores de búsqueda y redes sociales; y
• organismos de investigación.

Estrategia nacional de ciberseguridad

Cada Estado miembro debe adoptar una estrategia nacional para lograr y mantener un elevado nivel de ciberseguridad en los sectores críticos, que incluya:

• un marco de gobernanza que precise los papeles y las responsabilidades de las partes interesadas pertinentes a escala nacional;
• políticas que aborden la seguridad de las cadenas de suministro;
• políticas de gestión de las vulnerabilidades;
• políticas de promoción y desarrollo de la educación y la formación en materia de ciberseguridad, y
• medidas para mejorar la sensibilización de los ciudadanos en materia de ciberseguridad.

Los Estados miembros deben establecer una lista de entidades esenciales e importantes, junto con entidades que presten servicios de registro de nombres de dominio, a más tardar el 17 de abril de 2025. Deben revisar y, en su caso, actualizar esa lista periódicamente, y como mínimo cada dos años a partir de entonces. La Comisión Europea ha adoptado directrices relativas a la información que debe recogerse en la elaboración de estas listas, junto con un modelo para ello.

La Comisión también ha publicado directrices que aclaran las normas relativas a la relación entre la Directiva (UE) 2022/2555 y los actos jurídicos de la UE actuales y futuros, específicos del sector, que abordan medidas de gestión del riesgo de ciberseguridad o requisitos de información sobre incidentes. En el apéndice de las directrices figura una lista no exhaustiva de los actos jurídicos específicos del sector que la Comisión considera que entran en el ámbito de aplicación del artículo 4 de la Directiva (UE) 2022/2555.

Equipos de respuesta a incidentes de seguridad informática

Los equipos de respuesta a incidentes de seguridad informática (CSIRT) proporcionan asistencia técnica a entidades, por ejemplo:

• realizando un seguimiento y analizando las ciberamenazas, las vulnerabilidades y los incidentes a escala nacional;
• difundiendo alertas tempranas, alertas, avisos e información sobre las ciberamenazas, las vulnerabilidades y los incidentes a las entidades afectadas y a otras partes interesadas, a ser posible en tiempo cuasirreal;
• respondiendo a incidentes y prestando asistencia, si procede;
• recopilando y analizando datos forenses y efectuando análisis dinámicos de riesgos e incidentes y de conocimiento de la situación en materia de ciberseguridad; y
• proporcionando, bajo petición, una exploración proactiva de los sistemas de redes y de información para detectar vulnerabilidades que puedan tener una repercusión significativa.

Red de CSIRT

La Directiva crea una red de CSIRT nacionales para fomentar una cooperación operativa rápida y eficaz.

Divulgación coordinada de vulnerabilidades

Los Estados miembros deben:

• designar a uno de sus CSIRT para que coordine la divulgación de vulnerabilidades detectadas en productos o servicios de TIC, y
• garantizar que las personas de los Estados miembros puedan notificar vulnerabilidades, de forma anónima si se les solicita.

La Agencia de la Unión Europea para la Ciberseguridad (ENISA) desarrollará y mantendrá una base de datos de vulnerabilidades.

Grupo de cooperación

La Directiva crea un grupo de cooperación para apoyar y facilitar la cooperación estratégica y el intercambio de información, formado por representantes de los Estados miembros, la Comisión Europea y ENISA. Cuando sea oportuno, el grupo de cooperación puede invitar al Parlamento Europeo y a representantes de partes interesadas pertinentes a que participen en su labor.

Red europea de organizaciones de enlace para las crisis de ciberseguridad

La Red europea de organizaciones de enlace para las crisis de ciberseguridad (EU-CyCLONe) está formada por representantes de las autoridades de gestión de crisis de ciberseguridad de los Estados miembros, junto con la Comisión, en los casos en que un incidente de ciberseguridad a gran escala potencial o en curso tenga o pueda tener un impacto significativo en los sectores cubiertos por la Directiva. En los demás casos, la Comisión participará en las actividades de la red en calidad de observador.

La red respalda la gestión coordinada de los incidentes y las crisis de ciberseguridad a gran escala en el ámbito operativo y garantiza el intercambio regular de información entre los Estados miembros y las instituciones de la UE, sus órganos, oficinas y organismos.

La red se encarga, entre otras cosas, de:

• coordinar la gestión de incidentes y crisis de ciberseguridad a gran escala y apoyar la toma de decisiones a nivel político;
• aumentar la preparación;
• desarrollar una conciencia situacional conjunta, y
• evaluar las consecuencias y los efectos de los incidentes y crisis de ciberseguridad a gran escala y proponer posibles medidas paliativas.

Medidas de gestión de riesgos de ciberseguridad

Las entidades deben adoptar medidas técnicas, operativas y de organización adecuadas y proporcionadas para gestionar los riesgos de ciberseguridad. El catálogo de medidas incluye, entre otras cosas, las políticas de seguridad del sistema de información y análisis de riesgos, la gestión de incidentes, la continuidad de las actividades, la recuperación en caso de catástrofes y la gestión de crisis, la seguridad de la cadena de suministro, la gestión y divulgación de las vulnerabilidades, las prácticas básicas de ciberhigiene, las políticas y procedimientos relativos al uso de la criptografía (y cifrado, cuando proceda), la seguridad de los recursos humanos, y el uso de soluciones de autenticación multifactorial o de autenticación continua. Estas medidas deben basarse en un planteamiento que abarque todos los riesgos.

Los órganos de dirección deben aprobar las medidas de gestión de riesgos de ciberseguridad y supervisar su aplicación, y serán responsables por los incumplimientos.

Notificación

Las entidades deben notificar a su CSIRT o a su autoridad pertinente todo incidente que:

• haya causado o pueda causar graves perturbaciones operativas o pérdidas económicas a la entidad;
• haya afectado o pueda afectar a otras personas al causar perjuicios materiales o inmateriales considerables.

Además, la ENISA producirá, junto con la Comisión y el grupo de cooperación, un informe bienal sobre la situación de la ciberseguridad en la UE, que también remitirá al Parlamento.

Supervisión y ejecución

La Directiva estipula las vías de recurso o sanciones para garantizar la aplicación.

Revisiones interpares

Se establecen revisiones interpares con vistas a aprender de experiencias compartidas, reforzar la confianza mutua, lograr un elevado nivel común de ciberseguridad y reforzar las capacidades y políticas de ciberseguridad de los Estados miembros necesarias para la aplicación de esta Directiva. Dichas revisiones conllevan visitas presenciales o virtuales e intercambios de información a distancia. La participación en estas revisiones interpares es voluntaria.

Acto de ejecución

El Reglamento de Ejecución (UE) 2024/2690 establece las disposiciones de aplicación de la Directiva (UE) 2022/2555 en lo que respecta a los requisitos técnicos y metodológicos de las medidas para la gestión de riesgos de ciberseguridad y en el que se detallan los casos en que un incidente se considera significativo con respecto a:

• los proveedores de servicios de DNS,
• los registros de nombres de dominio de primer nivel,
• los proveedores de servicios de computación en nube,
• los proveedores de servicios de centro de datos,
• los proveedores de redes de distribución de contenidos,
• los proveedores de servicios gestionados,
• los proveedores de servicios de seguridad gestionados,
• los proveedores de mercados en línea, motores de búsqueda en línea y plataformas de servicios de redes sociales, y
• los proveedores de servicios de confianza.

Derogación

La Directiva (UE) 2022/2555 derogó la Directiva (UE) 2016/1148 (véase la síntesis) a partir del 18 de octubre de 2024, y el Reglamento de Ejecución (UE) 2024/2690 derogó el Reglamento de Ejecución (UE) 2018/151, que estableció las disposiciones de aplicación de la Directiva (UE) 2016/1148.