COMISIÓN EUROPEA

Bruselas, 13.9.2017

COM(2017) 478 final

INFORME DE LA COMISIÓN AL PARLAMENTO EUROPEO Y AL CONSEJO

sobre la evaluación de la Agencia de Seguridad de las Redes y de la Información de la Unión Europea (ENISA)

1.Introducción

1.1 Acerca de ENISA

La Agencia de Seguridad de las Redes y de la Información de la Unión Europea (ENISA) fue creada en 2004 y su mandato ha sido renovado periódicamente. El actual mandato de la ENISA figura en el Reglamento (UE) n.º  526/2013 1 (el «Reglamento ENISA») y expirará el 19 de junio de 2020.

De acuerdo con su mandato, la ENISA debe contribuir al establecimiento de un nivel elevado de seguridad de las redes y de la información en la Unión. El Reglamento ENISA esboza los objetivos específicos de la Agencia y establece que esta:

·desarrollará y mantendrá un alto nivel de conocimientos especializados;

·ayudará a las instituciones, órganos y organismos de la Unión a desarrollar las políticas necesarias en materia de seguridad de las redes y de la información;

·ayudará a las instituciones, órganos y organismos de la Unión y a los Estados miembros a aplicar las políticas necesarias para cumplir los requisitos legales y reglamentarios relativos a la seguridad de las redes y de la información que figuran en actos jurídicos actuales y futuros de la Unión, contribuyendo así al correcto funcionamiento del mercado interior;

·ayudará a la Unión y a los Estados miembros a potenciar y reforzar su capacidad y preparación para prevenir, detectar y dar respuesta a los problemas e incidentes relacionados con la seguridad de las redes y de la información;

·utilizará sus conocimientos especializados para fomentar una amplia cooperación entre los agentes de los sectores público y privado.

Además, mediante la Directiva (UE) 2016/1148 2 , relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (la «Directiva SRI»), los colegisladores de la UE decidieron asignar funciones importantes a la ENISA en la aplicación de la legislación. En particular, la Agencia asume las labores de secretaría de la red CSIRT (creada para promover una cooperación operativa rápida y eficaz entre los Estados miembros), y también se recurre a ella para asistir al Grupo de Cooperación para facilitar la cooperación estratégica en la ejecución de sus cometidos. Además, la Directiva SRI exige a la ENISA que preste asistencia a los Estados miembros y a la Comisión, ofreciéndoles su experiencia y asesoramiento y facilitando el intercambio de buenas prácticas.

La Agencia tiene su sede en Grecia, y su sede administrativa está establecida en Heraclion (Creta) y su base de operaciones en Atenas. En ella trabajan 84 personas y cuenta con un presupuesto operativo anual de 11,25 millones EUR. Está dirigida por un Director Ejecutivo y gobernada por un Consejo de Administración, un Comité Ejecutivo y un Grupo Permanente de Partes Interesadas. Las relaciones con los Estados miembros se ven facilitadas por una red informal de funcionarios de enlace de cada país.

1.2 Objetivo del informe

El artículo 32 del Reglamento ENISA exige a la Comisión que realice una evaluación de la ENISA antes del 20 de junio de 2018, «que analice, en particular, los efectos, la eficacia y la eficiencia de la Agencia, así como sus prácticas de funcionamiento» y que considere si es necesario prorrogar el mandato actual.

A la luz de los importantes cambios acaecidos en el panorama de la ciberseguridad desde 2013, cuando se aprobó el Reglamento ENISA vigente, considerando el nivel de madurez alcanzado a nivel de políticas, de mercados y de tecnologías, en su Comunicación de 2016 titulada «Reforzar el sistema de ciberresiliencia de Europa y promover una industria de la ciberseguridad competitiva e innovadora» 3 , la Comisión anunció que adelantaría la evaluación y revisión de la ENISA. En particular, la Comisión señaló que la revisión de la ENISA sería la ocasión de plantearse el posible refuerzo del potencial de la Agencia y de su capacidad para ayudar a los Estados miembros de manera sostenible para lograr resiliencia en materia de ciberseguridad.

Esta visión se reafirmó en las Conclusiones del Consejo de 2016 4 , que reconocían que «las ciberamenazas y las vulnerabilidades siguen evolucionando e intensificándose, lo cual requerirá una cooperación continuada y más estrecha, sobre todo a la hora de dar respuesta a incidentes de ciberseguridad transfronterizos y de gran envergadura». Las Conclusiones reiteraban que el Reglamento ENISA es uno de «los elementos básicos del marco de la UE sobre ciberresiliencia».

Los resultados de la evaluación de la ENISA se incluyeron en la evaluación de impacto que acompaña a la Propuesta de Reglamento relativo a la Agencia de Seguridad de las Redes y de la Información de la Unión Europea (ENISA, la «Agencia Europea de Ciberseguridad»), y por el que se deroga el Reglamento (UE) n.º 526/2013, y relativo a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación («Acto de Ciberseguridad»).

De conformidad con lo dispuesto en el artículo 32 del Reglamento ENISA, la Comisión ha de remitir el informe de evaluación, conjuntamente con sus conclusiones, al Parlamento Europeo, al Consejo y al Consejo de Administración.Este informe sucinto va acompañado de un Documento de Trabajo de los Servicios de la Comisión sobre la evaluación de la Agencia de Seguridad de las Redes y de la Información de la Unión Europea [SWD(2017) 502].

2.Principales conclusiones de la evaluación

A tenor de lo dispuesto en las Directrices para la mejora de la legislación de la Comisión 5 , la evaluación ha valorado la eficacia, eficiencia, coherencia, relevancia y valor añadido para la UE que representa la Agencia, teniendo en cuenta su rendimiento, gobernanza, estructura organizativa interna y prácticas de trabajo.

El análisis también tuvo en cuenta la evolución del contexto en el que opera la Agencia en la actualidad, prestando especial atención a: el nuevo marco normativo y político de la UE (por ejemplo, la Directiva SRI, la revisión de la Estrategia de Ciberseguridad de la UE); la evolución de las necesidades de la comunidad de Partes Interesadas de la Agencia; y la complementariedad y las posibles sinergias con el trabajo realizado por otras instituciones, órganos y organismos de la Unión y nacionales, así como por el Equipo de respuesta a incidentes de seguridad informática de las instituciones, órganos y organismos de la UE (CERT-EU) y el Centro Europeo de Ciberdelincuencia (EC3) en Europol.

Para evaluar el funcionamiento de la Agencia:

·La Comisión encargó un estudio independiente que fue realizado de noviembre de 2016 a julio de 2017 y que constituye la principal fuente de la evaluación junto con el análisis interno realizado por la Comisión.

·Las actividades del estudio incluyeron documentación, recogida y análisis de datos, incluidas encuestas a las partes interesadas, entrevistas en profundidad con los principales agentes en el campo de la ciberseguridad, un taller para las partes interesadas, evaluaciones comparativas, un ejercicio de posicionamiento de la Agencia y un análisis de debilidades, amenazas, fortalezas y oportunidades (análisis DAFO).

·La Comisión realizó también una consulta pública en línea durante doce meses, que abarcó tanto la evaluación ex-post como el futuro de la ENISA, así como consultas específicas con las principales partes interesadas.

Las principales conclusiones de la evaluación, de acuerdo con los criterios de evaluación, pueden resumirse del siguiente modo:

1.Pertinencia: En un contexto de avances tecnológicos y de amenazas que evolucionan, con una necesidad importante de una mayor seguridad de las redes y la información (RSI) en la Unión Europea, los objetivos de la ENISA han resultado pertinentes. Puesto que los Estados miembros y los órganos de la UE dependen del asesoramiento en materia de evolución de la RSI, es preciso construir capacidades en los Estados miembros para comprender y responder a las amenazas, y las partes interesadas deben cooperar en todos los campos temáticos y en todas las instituciones. La RSI sigue siendo una prioridad política absoluta para la UE, prioridad a la que debe responder la ENISA; sin embargo, el hecho de la ENISA sea una agencia de la UE con un mandato de duración determinada: i) no permite una planificación a largo plazo ni una ayuda sostenible a los Estados miembros y a las instituciones de la UE en el contexto del panorama de amenazas a la ciberseguridad en rápida mutación; ii) puede desembocar en un vacío jurídico. ya que las disposiciones de la Directiva SRI que confían a la ENISA sus funciones son de carácter permanente.

2.Eficacia: Globalmente, la ENISA ha cumplido sus objetivos y ha desempeñado sus cometidos. Ha contribuido a incrementar la SRI en Europa a través de sus actividades principales (desarrollo de capacidades, prestación de asesoramiento, desarrollo comunitario, apoyo a las políticas). Para cada una de ellas, ha demostrado sus posibilidades de mejora. De la evaluación se desprende que la ENISA ha creado efectivamente relaciones fuertes y fiables con algunas de las partes interesadas, en particular con los Estados miembros y la comunidad de los CSIRT. Las intervenciones en el ámbito del desarrollo de capacidades se consideraron eficaces, en particular para los Estados miembros con menos recursos. Uno de sus puntos más destacables ha sido el fomento de una amplia cooperación, puesto que las partes interesadas están de acuerdo en que la ENISA desempeña un papel federativo útil. Con todo, la ENISA tuvo dificultades para lograr ejercer su influencia en el vasto campo de la SRI. Esto se debió también al hecho de que los recursos humanos y financieros con que contaban eran bastante limitados para cumplir un mandato muy amplio. La evaluación concluyó también que la ENISA ha cumplido parcialmente su objetivo de proporcionar asesoramiento, debido a los problemas para contratar expertos (véase más adelante el epígrafe «Eficiencia»).

3.Eficiencia: A pesar de su modesto presupuesto, que está entre los más bajos comparado con otras agencias de la UE, la Agencia ha sido capaz de contribuir al logro de los objetivos fijados, demostrando eficiencia en general en el uso de sus recursos. La evaluación concluyó que los procesos en general fueron eficientes y que la clara delimitación de las responsabilidades en el seno de la organización llevó a una correcta ejecución del trabajo. Uno de los principales retos para la eficiencia de la Agencia se debió a las dificultades de la ENISA para contratar y retener a expertos altamente cualificados. De acuerdo con las conclusiones, esto pudo deberse a una combinación de factores, entre otros las dificultades generales en todo el sector público para competir con el sector privado a la hora de intentar contratar expertos altamente especializados, el tipo de contratos (de duración determinada) que la Agencia podía ofrecer en la mayoría de los casos y, en cierta medida, la ubicación relativamente poco atractiva de la ENISA, por ejemplo, en conexión con los problemas de los cónyuges para encontrar trabajo. La ubicación desdoblada entre Atenas y Heraclion exigió esfuerzos adicionales de coordinación y generó costes adicionales, pero el traslado a Atenas en 2013 del departamento que reúne la base de operaciones de la Agencia aumentó su eficiencia operativa.

4.Coherencia: Las actividades de la Agencia han sido en general coherentes con las políticas y actividades de sus partes interesadas, a nivel nacional y de la UE, pero es necesario un planteamiento más coordinado para la ciberseguridad a escala de la UE. El potencial de cooperación entre la ENISA y los demás órganos de la UE no se ha explotado en su totalidad. La evolución del panorama jurídico y político de la UE hace que el mandato actual sea menos coherente hoy en día.

5.Valor añadido de la UE: El valor añadido de la ENISA reside sobre todo en la capacidad de la Agencia para incrementar la cooperación, principalmente entre Estados miembros y también con las comunidades relacionadas con la SRI. No hay ningún otro agente a nivel de la UE que favorezca la cooperación de partes tan diversas interesadas por la SRI. El valor añadido aportado por la Agencia ha variado en función de las diferentes necesidades y recursos de sus partes interesadas (p. ej. Los Estados miembros grandes frente a los pequeños; los Estados miembros frente a la industria) y de la necesidad de que la Agencia diese prioridad a sus actividades de acuerdo con el programa de trabajo. La evaluación concluyó que una eventual desaparición de la ENISA sería una oportunidad perdida para todos los Estados miembros. No sería posible garantizar el mismo nivel de desarrollo comunitario ni de cooperación de todos los Estados miembros en el ámbito de la ciberseguridad sin una agencia de la UE descentralizada . La situación más fragmentada si apareciesen formas de cooperación bilateral o regional para colmar el vacío dejado por la ENISA.

3.Conclusiones/Recomendaciones

La evaluación concluye que el Reglamento ha confiado a la ENISA un amplio mandato, que permite flexibilidad pero en algunos casos carece de enfoque, por lo que resulta difícil para la Agencia ejercer una gran influencia, y que sus objetivos resultaron pertinentes durante el periodo 2013-2016. La Agencia logró un buen nivel de eficiencia y demostró el valor añadido de la actuación a nivel de la UE, en particular a través de actividades esenciales, como los ejercicios de ciberseguridad paneuropeos, el apoyo a la comunidad de los CSIRT o los análisis sobre el panorama de las amenazas. La ENISA contribuyó a incrementar la seguridad de las redes y de la información en Europa, principalmente apoyando la cooperación entre los Estados miembros y las partes interesadas en la RSI, así como mediante sus actividades de desarrollo comunitario y de capacidades.

La Agencia logró dichos resultados a pesar de varias dificultades que se recogen en las anteriores secciones del presente informe y en el Documento de Trabajo de los Servicios de la Comisión adjunto. Uno de los principales retos se debió a los recursos limitados, que no se correspondían con el amplio mandato de la Agencia, en especial a la luz de las nuevas funciones que la Directiva RSI confió a la Agencia y de la rápida evolución del panorama de ciberamenazas. Por otra parte, La ENISA sigue siendo la única agencia de la UE que tiene un mandato de duración determinada, a pesar, entre otras cosas, de las funciones relacionadas con la Directiva SRI, tal como se ha mencionado.

El panorama de las amenazas a la ciberseguridad evoluciona con rapidez, y aparecen nuevas amenazas a medida que Europa se hace más dependiente de las infraestructuras y servicios digitales, no solo a través de los dispositivos conectados sino de la conectividad, ahora omnipresente. El Internet de las Cosas ofreces nuevas perspectivas relacionadas con la eficiencia energética, la protección del medio ambiente, la movilidad conectada, el seguimiento de la salud en tiempo real y las transacciones financieras inteligentes y sin barreras en la economía y en la sociedad digitales. Sin embargo, de la mano de estos factores claves comerciales aparecen nuevas vulnerabilidades y exploits que activan mecanismos de peligro capaces de perturbar el Mercado único digital.

La evaluación concluyó que el mandato actual no dota a la ENISA de los mecanismos necesarios para hacer frente a los desafíos, actuales y futuros, con que se enfrenta la ciberseguridad.

Además, existe un riesgo creciente de que aumente la fragmentación a nivel de la UE debido al número de agentes a escala de la UE en el ámbito de la ciberseguridad y a la insuficiente coordinación entre ellos. La UE necesita un punto focal para abordar las nuevas amenazas que tienen carácter horizontal y afectan a múltiples sectores industriales, así como para resolver las necesidades de la comunidad de la ciberseguridad, en particular de los Estados miembros, las instituciones de la UE y las empresas. La evaluación sugiere que es necesaria la existencia de una agencia de la UE organizada de forma intersectorial/horizontal, con un mandato firme.

La evaluación pone de manifiesto que a pesar de una serie de cuestiones complejas, la ENISA ofrece un importante potencial, si se dota de un mandato y un apoyo suficientes en cuanto a recursos financieros y humanos, para contribuir al incremento de la ciberseguridad en la UE.

Existe también una clara necesidad de cooperación y coordinación entre las distintas partes interesadas. La necesidad de una entidad de coordinación a escala de la UE para facilitar el flujo de información, minimizar las lagunas y evitar el solapamiento de funciones y responsabilidades resulta cada vez más acuciante. La ENISA, en su calidad de agencia descentralizada de la UE y de intermediario neutro, está en posición de coordinar el planteamiento de la UE en materia de ciberamenazas.

Partiendo de esta base, la Comisión ha presentado una propuesta para reformar la ENISA, confiándole un mandato permanente que se base en las fortalezas fundamentales que ha demostrado la Agencia y en nuevos ámbitos de acción prioritarios, por ejemplo en el campo de la certificación de la ciberseguridad. Este nuevo mandato debería reflejar la nueva realidad y facultar a la Agencia para apoyar adecuadamente a la UE para el futuro.

(1)   http://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1495472820549&uri=CELEX:32013R0526

(2)   http://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv:OJ.L_.2016.194.01.0001.01.ENG&toc=OJ:L:2016:194:TOC  

(3)  Comunicación de la Comisión: Reforzar el sistema de ciberresiliencia de Europa y promover una industria de la ciberseguridad competitiva e innovadora [COM(2016) 410 final].

(4)  Conclusiones del Consejo: Reforzar el sistema de ciberresiliencia de Europa y promover una industria de la ciberseguridad competitiva e innovadora - 15 de noviembre de 2016.

(5)  COM (2015) 215final y SWD (2015)111 final; http://ec.europa.eu/smart-regulation/guidelines/docs/swd_br_guidelines_en.pdf