COMISIÓN EUROPEA

Bruselas, 22.3.2022

COM(2022) 122 final

2022/0085(COD)

Propuesta de

REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO

por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión

{SWD(2022) 67 final} - {SWD(2022) 68 final}

EXPOSICIÓN DE MOTIVOS

1.CONTEXTO DE LA PROPUESTA

•Razones y objetivos de la propuesta

•Coherencia con las disposiciones existentes en la misma política sectorial

·Directiva (UE) 2016/1148, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión. Se asegura asimismo la coherencia con la propuesta de Directiva (UE) XXXX/XXXX, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad y por la que se deroga la Directiva (UE) 2016/1148 [propuesta SRI 2].

·Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, relativo a la Agencia de la Unión Europea para la Ciberseguridad y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación (Reglamento sobre la Ciberseguridad).

·Propuesta de Reglamento (UE) XXXX/XXXX, relativo a la seguridad de la información en las instituciones, los órganos y los organismos de la Unión.

·Recomendación de la Comisión, de 23 de junio de 2021, sobre la creación de una Unidad Cibernética Conjunta.

·Recomendación (UE) 2017/1584 de la Comisión, de 13 de septiembre de 2017, sobre la respuesta coordinada a los incidentes y crisis de ciberseguridad a gran escala.

2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD

•Base jurídica

•Subsidiariedad

•Proporcionalidad

•Elección del instrumento

3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO

•Evaluaciones ex ante

·intentos de vulnerar la infraestructura informática de las instituciones, los órganos y los organismos de la Unión (si tuvieron éxito, se consideraron incidentes; en caso contrario, se registraron como intentos detectados),

·amenazas detectadas en el entorno de las instituciones, los órganos y los organismos de la Unión (por ejemplo, en sus respectivos sectores, en sus comunidades de partes interesadas o en Europa),

·principales tendencias observadas a escala mundial en relación con las amenazas.

·el incremento del teletrabajo,

·la migración de sistemas a la nube,

·la mayor externalización de servicios informáticos.

·La madurez de la ciberseguridad, el tamaño de la infraestructura informática y los niveles de capacidad varían considerablemente entre las instituciones, los órganos y los organismos de la Unión evaluados.

·Un buen número de instituciones, órganos y organismos de la Unión disponen, en general, de capacidades maduras de detección y respuesta, pero, en sus capacidades de gobernanza de la ciberseguridad, se observan distintos niveles de gestión integrada de riesgos.

·En general, las instituciones, los órganos y los organismos de la Unión evaluados cuentan con marcos de ciberseguridad (estrategia, política y base normativa) sólidamente establecidos en los ámbitos clave de la ciberseguridad, enumerados en el anexo I del Reglamento; sin embargo, algunas de las entidades presentan un grado deficiente de madurez respecto de la gestión de la continuidad de las actividades, el cumplimiento, la auditoría y la mejora continua.

·Las instituciones, los órganos y los organismos de la Unión evaluados no aplican por igual las medidas técnicas consideradas mejores prácticas.

Hasta la fecha, ningún instrumento legislativo de la Unión se ha centrado específicamente en la ciberseguridad de las instituciones, los órganos y los organismos de la Unión ni ha abordado de manera exhaustiva el panorama de las amenazas de ciberseguridad ni los nuevos riesgos informáticos derivados de la digitalización.

•Consultas con las partes interesadas

 •Evaluación de impacto

•Derechos fundamentales

4.REPERCUSIONES PRESUPUESTARIAS

5.OTROS ELEMENTOS

·Ejecución y modalidades de seguimiento, evaluación e información

El Consejo Interinstitucional de Ciberseguridad (CIIC), asistido por el CERT-UE, debe revisar el funcionamiento del presente Reglamento, realizar evaluaciones y presentar a la Comisión un informe con sus conclusiones. Por su parte, la Comisión ha de informar periódicamente al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones.

El CERT-UE puede elaborar una propuesta de documento de orientación o de recomendación, que el CIIC podrá decidir adoptar. Un documento de orientación es un tipo de asesoramiento dirigido a la totalidad o a parte de las instituciones, los órganos y los organismos de la Unión, mientras que una recomendación se dirige a instituciones, órganos y organismos de la Unión específicos. Un llamamiento a la acción es un tipo de asesoramiento del CERT-UE en el que se describen medidas urgentes de seguridad que se insta a las instituciones, los órganos y los organismos de la Unión a adoptar en un plazo determinado.

·Explicación detallada de las disposiciones específicas de la propuesta

Disposiciones generales

El Reglamento, que establece medidas destinadas a garantizar un elevado nivel común de ciberseguridad, se aplica a las instituciones, los órganos y los organismos de la Unión con el objetivo de que puedan desempeñar sus respectivas misiones de manera abierta, eficiente e independiente. (Artículos 1 a 3 y 23 a 25).

Medidas destinadas a garantizar un elevado nivel común de ciberseguridad

Se impone a las instituciones, los órganos y los organismos de la Unión la obligación de establecer un marco interno de gestión, gobernanza y control de riesgos en el ámbito de la ciberseguridad que asegure una gestión eficaz y prudente de todos los riesgos relacionados con la ciberseguridad. Además, las instituciones, los órganos y los organismos adoptarán un código básico de ciberseguridad que aborde los riesgos detectados en el citado marco, realizarán evaluaciones periódicas de madurez y adoptarán un plan de ciberseguridad. (Artículos 4 a 8).

Consejo Interinstitucional de Ciberseguridad

Se constituye el Consejo Interinstitucional de Ciberseguridad, que será responsable del seguimiento de la ejecución del presente Reglamento por parte de las instituciones, los órganos y los organismos de la Unión, así como de la supervisión de la puesta en ejecución de las prioridades y los objetivos generales por parte del CERT-UE, al que, además, proporcionará una dirección estratégica. (Artículos 9 a 11).

CERT-UE

El CERT-UE contribuirá a reforzar la seguridad del entorno informático del conjunto de las instituciones, los órganos y los organismos de la Unión ofreciéndoles asesoramiento, prestándoles ayuda para prevenir, detectar, mitigar y responder a los incidentes, y proporcionándoles una función de centro de coordinación para el intercambio de información sobre ciberseguridad y la respuesta a incidentes. (Artículos 12 a 17).

Obligaciones de cooperación e información

El Reglamento asegura la cooperación y el intercambio de información entre el CERT-UE y las instituciones, los órganos y los organismos de la Unión con el fin de crear un clima de confianza. A tales efectos, el CERT-UE podrá solicitar a las instituciones, los órganos y los organismos de la Unión que le faciliten la información pertinente e intercambiar con ellos, sin necesidad de obtener el consentimiento de la Parte afectada, información específica sobre incidentes con objeto de facilitar la detección de ciberamenazas o incidentes similares. No obstante, el CERT-UE únicamente podrá intercambiar información específica sobre incidentes en la que se revele la identidad del objetivo del incidente de ciberseguridad con el consentimiento previo de la Parte afectada.

En particular, las instituciones, los órganos y los organismos de la Unión deberán notificar al CERT-UE las ciberamenazas, las vulnerabilidades y los incidentes importantes sin demora indebida, y en todo caso dentro de las veinticuatro horas siguientes a su constatación. (Artículos 18 a 22).

2022/0085 (COD)

Propuesta de

REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO

por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 298,

Visto el Tratado constitutivo de la Comunidad Europea de la Energía Atómica, y en particular su artículo 106 bis,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

De conformidad con el procedimiento legislativo ordinario,

Considerando lo siguiente:

(1)En la era digital, las tecnologías de la información y la comunicación son una piedra angular para una administración de la Unión abierta, eficiente e independiente. La constante evolución tecnológica y la complejidad e interconexión crecientes de los sistemas digitales amplifican los riesgos relacionados con la ciberseguridad y hacen que la administración de la Unión sea más vulnerable a las ciberamenazas y los incidentes, lo que, en última instancia, supone una amenaza para la continuidad de las actividades de la administración y su capacidad para proteger sus datos. El mayor recurso a los servicios en la nube, el uso extendido de las tecnologías de la información, un alto grado de digitalización, el trabajo a distancia y unas tecnologías y posibilidades de conexión en constante evolución son, hoy en día, características fundamentales de todas las actividades de las entidades de la administración de la Unión; sin embargo, la resiliencia digital aún no se ha desarrollado lo suficiente.

(2)El panorama de las ciberamenazas a las que se enfrentan las instituciones, los órganos y los organismos de la Unión evoluciona constantemente. Las tácticas, las técnicas y los procedimientos empleados por los agentes de riesgo también están en constante evolución, pero los motivos de sus ataques varían poco: desde robar información valiosa no divulgada hasta obtener dinero, manipular la opinión pública o debilitar la infraestructura digital. Los ciberataques de estos agentes se suceden cada vez con mayor frecuencia, y sus campañas, cada vez más sofisticadas y automatizadas, se dirigen contra superficies de ataque expuestas que no dejan de expandirse y aprovechan rápidamente las vulnerabilidades.

(3)Los entornos informáticos de las instituciones, los órganos y los organismos de la Unión se caracterizan por las interdependencias, los flujos de datos integrados y la estrecha colaboración entre sus usuarios. Debido a esa interconexión, toda perturbación, aunque en un primer momento se limite a una institución, un órgano o un organismo de la Unión, puede tener un efecto en cascada más amplio y acabar perjudicando, de manera grave y duradera, al resto. Además, en algunos casos, los entornos informáticos de las instituciones, los órganos o los organismos están conectados con los de los Estados miembros, de manera que un incidente en una entidad de la Unión puede suponer un riesgo para la ciberseguridad de los entornos informáticos de los Estados miembros y viceversa.

(4)Las instituciones, los órganos y los organismos de la Unión son blancos atractivos y, como tales, se enfrentan a agentes de riesgo altamente cualificados y dotados de amplios recursos, pero también a otro tipo de amenazas. Por otra parte, hay grandes diferencias de una entidad a otra en cuanto al grado de ciberresiliencia y su madurez, así como en cuanto a la capacidad para detectar y responder a actividades informáticas malintencionadas. Así pues, para el funcionamiento de la administración europea, es necesario que las instituciones, los órganos y los organismos de la Unión alcancen un elevado nivel común de ciberseguridad a través de un código básico de ciberseguridad (normas mínimas de ciberseguridad a las que deberán ajustarse tanto las redes y los sistemas de información como sus operadores y usuarios con el fin de minimizar los riesgos relacionados con la ciberseguridad), así como mediante el intercambio de información y la colaboración.

(5)La Directiva [propuesta SRI 2] relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad tiene por objeto reforzar la resiliencia y mejorar las capacidades de respuesta a incidentes de las entidades públicas y privadas, las autoridades y los organismos nacionales competentes y la Unión en su conjunto. Por consiguiente, es imprescindible que las instituciones, los órganos y los organismos de la Unión sigan el mismo camino aplicando normas que sean coherentes con la Directiva [propuesta SRI 2] y reflejen su nivel de ambición.

(6)A fin de alcanzar un elevado nivel común de ciberseguridad, cada institución, órgano y organismo de la Unión debe establecer un marco interno de gestión, gobernanza y control de riesgos en el ámbito de la ciberseguridad que garantice una gestión eficaz y prudente de todos los riesgos relacionados con la ciberseguridad y tome en consideración la gestión de la continuidad de las actividades y de crisis.

(7)Las diferencias entre las instituciones, los órganos y los organismos de la Unión exigen flexibilidad en la ejecución, dado que no hay una solución única válida para todos los casos. Las medidas destinadas a garantizar un elevado nivel común de ciberseguridad no deben prever ninguna obligación que interfiera directamente en el desempeño de la misión o vulnere la autonomía institucional de cada institución, órgano y organismo de la Unión. Así pues, las instituciones, los órganos y los organismos deben establecer sus propios marcos para la gestión, la gobernanza y el control de riesgos en el ámbito de la ciberseguridad y adoptar sus propios códigos básicos y planes de ciberseguridad.

(8)A fin de evitar imponer una carga financiera y administrativa desproporcionada a las instituciones, los órganos y los organismos de la Unión, los requisitos de gestión de riesgos de ciberseguridad han de ser proporcionados en relación con los riesgos que presenten la red y el sistema de información en cuestión, teniendo en cuenta el estado de la técnica de las medidas. Cada institución, órgano y organismo de la Unión ha de proponerse destinar un porcentaje adecuado de su presupuesto informático a la mejora de su nivel de ciberseguridad, con el objetivo de que, a largo plazo, ese porcentaje se sitúe en el 10 %.

(9)Para lograr un elevado nivel común de ciberseguridad es preciso que la ciberseguridad sea supervisada por el más alto nivel de dirección de cada institución, órgano y organismo de la Unión, que deberá aprobar un código básico de ciberseguridad que contemple los riesgos detectados en el marco que han de establecer las distintas entidades. Incorporar la cultura de la ciberseguridad, esto es, la práctica cotidiana de la ciberseguridad, es una parte integral de un código básico de ciberseguridad para las instituciones, los órganos y los organismos de la Unión.

(10)Las instituciones, los órganos y los organismos de la Unión deben evaluar los riesgos que se derivan de sus relaciones con los proveedores y los prestadores de servicios, en particular de servicios de almacenamiento y tratamiento de datos o de seguridad administrada, y adoptar las medidas adecuadas para encarar esos riesgos. Dichas medidas han de incorporarse al código básico de ciberseguridad y especificarse con más detalle en documentos de orientación o recomendaciones emitidos por el CERT-UE. Al establecer medidas y directrices, es preciso tomar debidamente en consideración la legislación y las políticas pertinentes de la UE, en particular las evaluaciones de riesgos y las recomendaciones del Grupo de Cooperación SRI, como la Evaluación de riesgos coordinada de la UE y el Conjunto de instrumentos de la UE para la ciberseguridad de las redes 5G. Además, podría exigirse la certificación de los productos, servicios y procesos de las TIC pertinentes, en virtud de los esquemas europeos de certificación de la ciberseguridad adoptados con arreglo al artículo 49 del Reglamento (UE) 2019/881.

(11)En mayo de 2011, los secretarios generales de las instituciones y los organismos de la Unión decidieron crear un grupo para la preconfiguración de un equipo de respuesta a emergencias informáticas de las instituciones, los órganos y los organismos de la Unión (CERT-UE) bajo la supervisión de un Comité de Dirección interinstitucional. En julio de 2012, los secretarios generales confirmaron las disposiciones prácticas y, como ejemplo de una cooperación interinstitucional visible en el ámbito de la ciberseguridad, acordaron mantener el CERT-UE con carácter de entidad permanente para seguir ayudando a mejorar el nivel global de seguridad de las tecnologías de la información de las instituciones, los órganos y los organismos de la Unión. En septiembre de 2012, se estableció el CERT-UE, a modo de grupo de trabajo de la Comisión con un mandato interinstitucional. En diciembre de 2017, las instituciones y los organismos de la Unión celebraron un acuerdo interinstitucional sobre la organización y el funcionamiento del CERT-UE 3 . Este acuerdo debe seguir evolucionando en apoyo de la ejecución del presente Reglamento.

(12)Debe modificarse la denominación del CERT-UE, que pasaría de «Equipo de respuesta a emergencias informáticas» a «Centro de Ciberseguridad» para las instituciones, los órganos y los organismos de la Unión, en sintonía con los cambios observados en los Estados miembros y en otras partes del mundo, donde muchos CERT han pasado a denominarse «Centros de Ciberseguridad»; sin embargo, por ser ya reconocible, ha de conservarse el nombre abreviado «CERT-UE».

(13)Muchos ciberataques se inscriben en campañas más amplias dirigidas contra grupos de instituciones, órganos y organismos de la Unión o comunidades de intereses que incluyen a instituciones, órganos y organismos de la Unión. A fin de facilitar la detección proactiva, la respuesta a incidentes o la adopción de medidas de mitigación, las instituciones, los órganos y los organismos de la Unión deben notificar al CERT-UE las ciberamenazas, las vulnerabilidades y los incidentes importantes y transmitir los datos técnicos necesarios para poder detectar, mitigar o responder a ciberamenazas, vulnerabilidades e incidentes similares que afecten a otras instituciones, órganos u organismos de la Unión. Siguiendo el mismo planteamiento previsto en la Directiva [propuesta SRI 2], cuando una entidad tenga conocimiento de un incidente importante, se le ha de exigir que transmita una notificación inicial al CERT-UE en un plazo de veinticuatro horas. De este modo, el CERT-UE podría difundir la información al resto de instituciones, órganos y organismos de la Unión, así como a los homólogos pertinentes, y ayudar así a proteger los entornos informáticos de la Unión y de sus homólogos frente a incidentes, amenazas y vulnerabilidades similares.

(14)Además de conferir al CERT-UE más funciones y reforzar su papel, es necesario establecer un Consejo Interinstitucional de Ciberseguridad (CIIC), que facilitaría el objetivo de garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión mediante el seguimiento de la ejecución del presente Reglamento por parte de las citadas entidades y la supervisión de la puesta en ejecución de las prioridades y los objetivos generales por parte del CERT-UE, al que proporcionaría igualmente una dirección estratégica. El CIIC debe asegurar la representación de las instituciones y contar con representantes de los órganos y organismos a través de la Red de Agencias de la Unión.

(15)El CERT-UE ha de apoyar la ejecución de las medidas destinadas a garantizar un elevado nivel común de ciberseguridad a través de propuestas de documentos de orientación y recomendaciones dirigidas al Consejo Interinstitucional de Ciberseguridad («CIIC»), o emitiendo llamamientos a la acción. Dichos documentos de orientación y recomendaciones deben ser aprobados por el CIIC. En caso necesario, el CERT-UE ha de emitir llamamientos a la acción en los que se describan las medidas urgentes de seguridad que se insta a las instituciones, los órganos y los organismos de la Unión a adoptar en un plazo determinado.

(16)El CIIC debe hacer un seguimiento del cumplimiento del presente Reglamento y de los documentos de orientación, las recomendaciones y los llamamientos a la acción emitidos por el CERT-UE. Es preciso que el CIIC cuente, para las cuestiones técnicas, con el respaldo de grupos técnicos consultivos, constituidos en función de sus necesidades, que trabajen en estrecha cooperación con el CERT-UE, las instituciones, los órganos y los organismos de la Unión y, en su caso, otras partes interesadas. Cuando sea necesario, el CIIC ha de emitir advertencias no vinculantes y recomendar auditorías.

(17)El CERT-UE debe tener la misión de contribuir a la seguridad del entorno informático de la totalidad de las instituciones, los órganos y los organismos de la Unión. Además, debe ejercer, para las instituciones, los órganos y los organismos de la Unión, la función equivalente a la de coordinador designado a efectos de la divulgación coordinada de vulnerabilidades al Registro Europeo de Vulnerabilidades, según lo dispuesto en el artículo 6 de la Directiva [propuesta SRI 2].

(18)En 2020, el Comité de Dirección del CERT-UE estableció un nuevo objetivo estratégico con miras a que el CERT-UE garantice, para el conjunto de las instituciones, los órganos y los organismos de la Unión, un exhaustivo nivel de ciberseguridad con el alcance y la amplitud adecuadas y en continua adaptación a las amenazas, ya sean actuales o inminentes, incluidos los ataques contra los dispositivos móviles, los entornos en la nube y los dispositivos del internet de las cosas. El objetivo estratégico comprende asimismo la intervención de centros de operaciones de seguridad (SOC) con amplias capacidades para supervisar las redes, así como un seguimiento veinticuatro horas al día, siete días a la semana, en caso de amenaza de gran gravedad. Para las instituciones, los órganos y los organismos de la Unión de mayor tamaño, el CERT-UE ha de prestar apoyo a sus equipos de seguridad informática, en particular mediante un seguimiento de primera línea veinticuatro horas al día, siete días a la semana. Para las instituciones, los órganos y los organismos de la Unión de menor tamaño y algunos de tamaño mediano, el CERT-UE debe prestar todos los servicios.

(19)El CERT-UE también debe desempeñar la función que se le atribuye en la Directiva [propuesta SRI 2] por lo que respecta a la cooperación y el intercambio de información con la red de equipos de respuesta a incidentes de seguridad informática (CSIRT). Además, en consonancia con la Recomendación (UE) 2017/1584 de la Comisión 4 , el CERT-UE ha de cooperar con las partes interesadas pertinentes y coordinar su respuesta. A fin de contribuir a un elevado nivel de ciberseguridad en la Unión, el CERT-UE debe compartir información específica sobre incidentes con sus homólogos nacionales. Asimismo, el CERT-UE ha de colaborar con otros homólogos públicos y privados, incluida la OTAN, previa aprobación del CIIC.

(20)El CERT-UE, en su labor de apoyo a la ciberseguridad operativa, ha de recurrir a los conocimientos especializados de la Agencia de la Unión Europea para la Ciberseguridad, a través de la cooperación estructurada prevista en el Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo 5 . Cuando proceda, deben establecerse disposiciones específicas entre las dos entidades para definir los aspectos prácticos de dicha cooperación y evitar la duplicación de actividades. El CERT-UE ha de cooperar con la Agencia de la Unión Europea para la Ciberseguridad en lo tocante al análisis de amenazas y compartir con esta periódicamente su informe sobre el panorama de amenazas.

(21)En apoyo de la Unidad Cibernética Conjunta, creada de conformidad con la Recomendación de la Comisión de 23 de junio de 2021 6 , el CERT-UE debe cooperar e intercambiar información con las partes interesadas con objeto de fomentar la cooperación operativa y favorecer que las redes existentes desarrollen todo su potencial de protección de la Unión.

(22)El tratamiento de datos personales en virtud del presente Reglamento ha de hacerse de conformidad con la legislación relativa a la protección de datos, en particular el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo 7 .

(23)El tratamiento de información por el CERT-UE y las instituciones, los órganos y los organismos de la Unión debe ajustarse a las normas establecidas en el Reglamento [propuesta de Reglamento relativo a la seguridad de la información]. Con el fin de garantizar la coordinación en los aspectos relacionados con la seguridad, todo contacto con el CERT-UE iniciado o solicitado por un servicio nacional de seguridad e inteligencia debe comunicarse sin demora indebida a la Dirección de Seguridad de la Comisión Europea y a la presidencia del CIIC.

(24)Dado que los servicios y las funciones del CERT-UE redundan en interés del conjunto de las instituciones, los órganos y los organismos de la Unión, cada institución, órgano y organismo con gasto informático debe contribuir de manera equitativa a dichos servicios y funciones. La contribución ha de entenderse sin perjuicio de la autonomía presupuestaria de las instituciones, los órganos y los organismos de la Unión.

(25)El CIIC, asistido por el CERT-UE, debe revisar y evaluar la ejecución del presente Reglamento e informar de sus conclusiones a la Comisión. La Comisión, a partir de dichas conclusiones, ha de presentar un informe al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones.

HAN ADOPTADO EL PRESENTE REGLAMENTO:

Capítulo I 
DISPOSICIONES GENERALES

Artículo 1
Objeto

El presente Reglamento establece:

a)la obligación, para las instituciones, los órganos y los organismos de la Unión, de adoptar un marco interno de gestión, gobernanza y control de riesgos en el ámbito de la ciberseguridad;

b)obligaciones, para las instituciones, los órganos y los organismos de la Unión, en materia de gestión de riesgos de ciberseguridad y comunicación de información;

c)normas sobre la organización y el funcionamiento del Centro de Ciberseguridad para las instituciones, los órganos y los organismos de la Unión (CERT-UE), y sobre la organización y el funcionamiento del Consejo Interinstitucional de Ciberseguridad (CIIC).

Artículo 2
Ámbito de aplicación

El presente Reglamento se aplica a la gestión, la gobernanza y el control de riesgos en el ámbito de la ciberseguridad por parte de la totalidad de las instituciones, los órganos y los organismos de la Unión, así como a la organización y al funcionamiento del CERT-UE y del Consejo Interinstitucional de Ciberseguridad.

Artículo 3
Definiciones

A efectos del presente Reglamento, se entenderá por:

1)«instituciones, órganos y organismos de la Unión»: las instituciones, los órganos y los organismos de la Unión creados por, o constituidos sobre la base de, el Tratado de la Unión Europea, el Tratado de Funcionamiento de la Unión Europea o el Tratado constitutivo de la Comunidad Europea de la Energía Atómica;

2)«redes y sistemas de información»: las redes y los sistemas de información en el sentido del artículo 4, punto 1, de la Directiva [propuesta SRI 2];

3)«seguridad de las redes y los sistemas de información»: la seguridad de las redes y los sistemas de información en el sentido del artículo 4, punto 2, de la Directiva [propuesta SRI 2];

4)«ciberseguridad»: la ciberseguridad en el sentido del artículo 4, punto 3, de la Directiva [propuesta SRI 2];

5)«más alto nivel de dirección»: el cargo directivo, el órgano de gestión o el órgano de coordinación y supervisión al más alto nivel administrativo, habida cuenta de los sistemas de gobernanza de alto nivel de cada institución, órgano u organismo de la Unión;

6)«incidente»: un incidente en el sentido del artículo 4, punto 5, de la Directiva [propuesta SRI 2];

7)«incidente importante»: todo incidente salvo aquel cuyas consecuencias sean limitadas y del que probablemente ya se tenga una buena comprensión en términos de método o tecnología;

8)«ataque a gran escala»: todo incidente que requiera más recursos de los que dispongan la institución, el órgano o el organismo de la Unión afectado y el CERT-UE;

9)«gestión de incidentes»: la gestión de incidentes en el sentido del artículo 4, punto 6, de la Directiva [propuesta SRI 2];

10)«ciberamenaza»: una ciberamenaza en el sentido del artículo 2, punto 8, del Reglamento (UE) 2019/881;

11)«ciberamenaza importante»: toda ciberamenaza en la que existan la intención, la oportunidad y la capacidad de provocar un incidente importante;

12)«vulnerabilidad»: la vulnerabilidad en el sentido del artículo 4, punto 8, de la Directiva [propuesta SRI 2];

13)«vulnerabilidad importante»: toda vulnerabilidad que con probabilidad dará lugar a un incidente importante en caso de aprovecharse;

14)«riesgo de ciberseguridad»: toda circunstancia o hecho razonablemente identificables que puedan ser perjudiciales para la seguridad de las redes y los sistemas de información;

15)«Unidad Cibernética Conjunta»: una plataforma virtual y física de cooperación para las diferentes comunidades de ciberseguridad de la Unión, centrada en la coordinación operativa y técnica contra las ciberamenazas y los incidentes transfronterizos a gran escala en el sentido de la Recomendación de la Comisión de 23 de junio de 2021;

16)«código básico de ciberseguridad»: el conjunto de normas mínimas de ciberseguridad a las que deben ajustarse tanto las redes y los sistemas de información como sus operadores y usuarios a fin de minimizar los riesgos de ciberseguridad.

Capítulo II 
MEDIDAS DESTINADAS A GARANTIZAR UN ELEVADO NIVEL COMÚN DE CIBERSEGURIDAD

Artículo 4
Gestión, gobernanza y control de los riesgos

1.Cada institución, órgano y organismo de la Unión, en apoyo de su misión y dentro del ejercicio de su autonomía institucional, establecerá su propio marco interno de gestión, gobernanza y control de riesgos en el ámbito de la ciberseguridad («el marco»). A fin de garantizar la gestión eficaz y prudente de todos los riesgos relacionados con la ciberseguridad, el más alto nivel de dirección de cada entidad supervisará esta labor. El marco deberá estar establecido a más tardar el ... [quince meses después de la entrada en vigor del presente Reglamento].

2.El marco abarcará la totalidad del entorno informático de la institución, el órgano o el organismo de que se trate, con inclusión de cualesquiera entornos informáticos internos, activos externalizados y servicios en entornos de computación en la nube o alojados por terceros, dispositivos móviles, redes corporativas, redes profesionales no conectadas a internet y dispositivos conectados al entorno informático. El marco contemplará la gestión de la continuidad de las actividades y de crisis, así como la seguridad de la cadena de suministro y la gestión de los riesgos humanos que puedan afectar a la ciberseguridad de la institución, el órgano o el organismo de la Unión de que se trate.

3.El más alto nivel de dirección de cada institución, órgano y organismo de la Unión garantizará la supervisión del cumplimiento, por parte de su organización, de las obligaciones relacionadas con la gestión, la gobernanza y el control de riesgos en el ámbito de la ciberseguridad, sin perjuicio de las responsabilidades formales que incumban a otros niveles de dirección en relación con el cumplimiento y la gestión de riesgos en sus respectivos ámbitos de responsabilidad.

4.Cada institución, órgano y organismo de la Unión dispondrá de mecanismos eficaces para asegurar que un porcentaje adecuado de su presupuesto informático se destine a la ciberseguridad.

5.Cada institución, órgano y organismo de la Unión nombrará a su responsable local de ciberseguridad, o a una persona con una función equivalente, que será el punto de contacto único para todos los aspectos relacionados con la ciberseguridad.

Artículo 5
Código básico de ciberseguridad

1.El más alto nivel de dirección de cada institución, órgano y organismo de la Unión aprobará el código básico de ciberseguridad de su propia entidad para abordar los riesgos detectados en el marco a que se refiere el artículo 4, apartado 1. Esto lo hará en apoyo de su misión y dentro del ejercicio de su autonomía institucional. El código básico de ciberseguridad, que deberá estar establecido a más tardar el ... [dieciocho meses después de la entrada en vigor del presente Reglamento], cubrirá los ámbitos enumerados en el anexo I y las medidas enumeradas en el anexo II.

2.La alta dirección de cada institución, órgano y organismo de la Unión asistirá periódicamente a actividades de formación específicas a fin de adquirir los conocimientos y las capacidades suficientes para comprender y evaluar los riesgos de ciberseguridad y las prácticas de gestión de la ciberseguridad, así como su repercusión en las actividades de la organización.

Artículo 6
Evaluaciones de madurez

Cada institución, órgano y organismo de la Unión realizará, como mínimo cada tres años, una evaluación de la madurez de la ciberseguridad que englobará todos los elementos del entorno informático de la entidad descritos en el artículo 4, teniendo en cuenta, además, cualesquiera documentos de orientación y recomendaciones pertinentes adoptados de conformidad con el artículo 13.

Artículo 7
Planes de ciberseguridad

1.A partir de las conclusiones extraídas de la evaluación de madurez y teniendo en cuenta los activos y los riesgos determinados con arreglo al artículo 4, el más alto nivel de dirección de cada institución, órgano y organismo de la Unión aprobará un plan de ciberseguridad sin demora indebida tras el establecimiento del marco de gestión, gobernanza y control de riesgos y del código básico de ciberseguridad. El objetivo del plan será aumentar el nivel global de ciberseguridad de la entidad de que se trate y contribuir así a alcanzar o consolidar un elevado nivel común de ciberseguridad para el conjunto de las instituciones, los órganos y los organismos de la Unión. A fin de apoyar la misión de la entidad, en el marco de su autonomía institucional, el plan incluirá, como mínimo, los ámbitos enumerados en el anexo I, las medidas enumeradas en el anexo II y medidas de preparación, respuesta y recuperación en caso de incidente, como el seguimiento de la seguridad y los registros secuenciales. El plan se revisará como mínimo cada tres años, tras las evaluaciones de madurez realizadas con arreglo al artículo 6.

2.El plan de ciberseguridad especificará las funciones y responsabilidades del personal a efectos de su ejecución.

3.El plan de ciberseguridad se diseñará teniendo en cuenta cualesquiera documentos de orientación y recomendaciones del CERT-UE que sean de aplicación.

Artículo 8
Ejecución

1.Una vez finalizadas las evaluaciones de madurez, las instituciones, los órganos y los organismos de la Unión las transmitirán al Consejo Interinstitucional de Ciberseguridad. Una vez finalizados los planes de seguridad, las instituciones, los órganos y los organismos de la Unión lo notificarán al Consejo Interinstitucional de Ciberseguridad. Previa solicitud del Consejo Interinstitucional de Seguridad, las entidades facilitarán información sobre aspectos específicos del presente capítulo.

2.Los documentos de orientación y las recomendaciones que se emitan de conformidad con el artículo 13 servirán de apoyo a la ejecución de las disposiciones del presente capítulo.

Capítulo III 
CONSEJO INTERINSTITUCIONAL DE CIBERSEGURIDAD

Artículo 9
Consejo Interinstitucional de Ciberseguridad

1.Se crea un Consejo Interinstitucional de Ciberseguridad (CIIC).

2.El CIIC será responsable de:

a)hacer un seguimiento de la ejecución del presente Reglamento por parte de las instituciones, los órganos y los organismos de la Unión;

b)supervisar la puesta en ejecución de las prioridades y los objetivos generales por parte del CERT-UE, al que, además, proporcionará una dirección estratégica.

3.El CIIC estará compuesto por tres representantes designados por la Red de Agencias de la Unión (EUAN), a propuesta de su Comité Consultivo para las TIC, que representarán los intereses de los órganos y los organismos que gestionen sus propios entornos informáticos, y un representarte designado por cada uno de los siguientes:

a)el Parlamento Europeo;

b)el Consejo de la Unión Europea;

c)la Comisión Europea;

d)el Tribunal de Justicia de la Unión Europea;

e)el Banco Central Europeo;

f)el Tribunal de Cuentas Europeo;

g)el Servicio Europeo de Acción Exterior;

h)el Comité Económico y Social Europeo;

i)el Comité de las Regiones;

j)el Banco Europeo de Inversiones;

k)la Agencia de la Unión Europea para la Ciberseguridad.

Los miembros podrán estar asistidos por sus suplentes. El presidente o la presidenta podrá invitar a otros representantes de las organizaciones enumeradas o de otras instituciones u otros órganos u organismos de la Unión a asistir a las reuniones del CIIC sin derecho de voto.

4.El CIIC aprobará su reglamento interno.

5.De conformidad con dicho reglamento interno, el CIIC nombrará a su presidente o presidenta, de entre sus miembros, por un período de cuatro años. Su suplente pasará a ser miembro de pleno derecho del CIIC durante el mismo período.

6.El CIIC se reunirá a iniciativa de su presidente o presidenta, a petición del CERT-UE o a petición de cualquiera de sus miembros.

7.Cada miembro del CIIC dispondrá de un voto. Las decisiones del CIIC se adoptarán por mayoría simple, salvo que se disponga otra cosa en el presente Reglamento. El presidente o la presidenta no participará en la votación, salvo que se produzca un empate, en cuyo caso podrá emitir un voto de calidad.

8.El CIIC podrá actuar mediante un procedimiento escrito simplificado, iniciado de conformidad con su reglamento interno. Con arreglo a este procedimiento, la decisión pertinente se considerará aprobada en el plazo establecido por el presidente o la presidenta, salvo oposición de uno de sus miembros.

9.El director o la directora del CERT-UE, o su suplente, participará en las reuniones del CIIC, a menos que este disponga otra cosa.

10.La Comisión prestará servicios de secretaría al CIIC.

11.Los representantes designados por la EUAN, a propuesta del Comité Consultivo para las TIC, transmitirán las decisiones del CIIC a las agencias y las empresas comunes de la Unión. Todo órgano y organismo de la Unión estará autorizado a plantear a los representantes o al presidente o la presidenta del CIIC cualquier cuestión que considere que debe ponerse en conocimiento de este.

12.El CIIC podrá actuar mediante un procedimiento escrito simplificado, iniciado por su presidente o presidenta, con arreglo al cual la decisión pertinente se considerará aprobada en el plazo establecido por el presidente o la presidenta, salvo oposición de uno de sus miembros.

13.El CIIC podrá designar un comité ejecutivo que le asista en el desempeño de su labor, y delegar en este parte de sus funciones y competencias. El CIIC establecerá el reglamento interno del comité ejecutivo, que incluirá sus funciones y competencias y el mandato de sus miembros.

Artículo 10
Funciones del CIIC

En el ejercicio de sus responsabilidades, el CIIC deberá en particular:

a)revisar cualesquiera informes solicitados por el CERT-UE sobre el estado de la ejecución del presente Reglamento por parte de las instituciones, los órganos y los organismos de la Unión;

b)aprobar, sobre la base de una propuesta del director o de la directora de CERT-UE, el programa de trabajo anual del CERT-UE y hacer un seguimiento de su ejecución;

c)aprobar, sobre la base de una propuesta del director o de la directora de CERT-UE, el catálogo de servicios del CERT-UE;

d)aprobar, sobre la base de una propuesta del director o de la directora del CERT-UE, la planificación financiera anual de ingresos y gastos, incluida la dotación de personal, para las actividades del CERT-UE;

e)aprobar, sobre la base de una propuesta del director o de la directora de CERT-UE, las modalidades de los acuerdos de nivel de servicio;

f)examinar y aprobar el informe anual elaborado por el director o la directora del CERT-UE sobre las actividades y la gestión de fondos del CERT-UE;

g)aprobar y hacer un seguimiento de los indicadores clave de rendimiento del CERT-UE definidos sobre la base de una propuesta de su director o directora;

h)aprobar los acuerdos de cooperación, los acuerdos de nivel de servicio o los contratos celebrados entre el CERT-UE y otras entidades con arreglo al artículo 17;

i)establecer los grupos de asesoramiento técnico necesarios para asistir al CIIC en su labor, aprobar su mandato y nombrar a los respectivos presidentes.

Artículo 11
Cumplimiento

El CIIC hará un seguimiento de la ejecución, por parte de las instituciones, los órganos y los organismos de la Unión, del presente Reglamento y de los documentos de orientación, las recomendaciones y los llamamientos a la acción adoptados. Cuando constate que una institución, un órgano o un organismo de la Unión no ha aplicado o ejecutado de manera efectiva el presente Reglamento o los documentos de orientación, las recomendaciones o los llamamientos a la acción emitidos en virtud del presente Reglamento, el CIIC podrá, sin perjuicio de los procedimientos internos de la institución, el órgano o el organismo de la Unión de que se trate:

a)emitir una advertencia; cuando sea necesario en vista de la existencia de un riesgo de ciberseguridad imperioso, el público destinatario de la advertencia se restringirá según corresponda;

b)recomendar al servicio de auditoría interna pertinente que lleve a cabo una auditoría.

Capítulo IV 
CERT-UE

Artículo 12
Misión y funciones del CERT-UE

1.La misión del CERT-UE, el Centro de Ciberseguridad interinstitucional y autónomo para el conjunto de las instituciones, los órganos y los organismos de la Unión, será contribuir al refuerzo de la seguridad del entorno informático no clasificado de la totalidad de las instituciones, los órganos y los organismos de la Unión ofreciéndoles asesoramiento sobre ciberseguridad, prestándoles ayuda para prevenir, detectar, mitigar y responder a los incidentes, y proporcionándoles una función de centro de coordinación para el intercambio de información sobre ciberseguridad y la respuesta a incidentes.

2.El CERT-UE desempeñará, para las instituciones, los órganos y los organismos de la Unión, las funciones siguientes:

a)prestará apoyo a efectos de la ejecución del presente Reglamento y contribuirá a la coordinación de su aplicación a través de las medidas enumeradas en el artículo 13, apartado 1, o de informes especiales solicitados por el CIIC;

b)prestará apoyo a través de un paquete de servicios de ciberseguridad descritos en su catálogo de servicios («servicios básicos»):

c)mantendrá una red de homólogos y socios en apoyo de los servicios de acuerdo con lo dispuesto en los artículos 16 y 17;

d)pondrá en conocimiento del CIIC toda cuestión relacionada con la ejecución del presente Reglamento y de los documentos de orientación, las recomendaciones y los llamamientos a la acción;

e)informará sobre las ciberamenazas a las que se enfrenten las instituciones, los órganos y los organismos de la Unión y contribuirá al conocimiento situacional de la UE en el ámbito cibernético.

3.El CERT-UE contribuirá a la Unidad Cibernética Conjunta, creada con arreglo a la Recomendación de la Comisión de 23 de junio de 2021, en particular en los ámbitos siguientes:

a)preparación, coordinación de incidentes, intercambio de información y respuesta a las crisis, en el plano técnico, en asuntos que afecten a las instituciones, los órganos y los organismos de la Unión;

b)cooperación operativa con la red de equipos de respuesta a incidentes de seguridad (CSIRT), en particular en lo referente a la asistencia mutua, y con la comunidad de ciberseguridad en sentido amplio;

c)inteligencia sobre ciberamenazas, en particular en lo referente a la conciencia situacional;

d)cualquier aspecto que requiera los conocimientos técnicos sobre ciberseguridad del CERT-UE.

4.El CERT-UE entablará una cooperación estructurada con la Agencia de la Unión Europea para la Ciberseguridad en relación con el desarrollo de capacidades, la cooperación operativa y los análisis estratégicos a largo plazo de las ciberamenazas, de conformidad con el Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo.

5.El CERT-UE podrá prestar los servicios no descritos en su catálogo de servicios («servicios facturables») que se indican a continuación:

a)servicios de apoyo a la ciberseguridad del entorno informático de las instituciones, los órganos y los organismos de la Unión distintos de los referidos en el apartado 2, en virtud de acuerdos de nivel de servicio y en función de los recursos disponibles;

b)servicios de apoyo a las operaciones o los proyectos de ciberseguridad de las instituciones, los órganos y los organismos de la Unión, distintos de los destinados a proteger sus entornos informáticos, en virtud de acuerdos escritos y con la aprobación previa del CIIC;

c)servicios de apoyo a la seguridad del entorno informático de organizaciones distintas de las instituciones, los órganos y los organismos de la Unión que cooperen estrechamente con estos, por ejemplo, mediante la asignación de funciones o responsabilidades con arreglo al Derecho de la Unión, en virtud de acuerdos escritos y con la aprobación previa del CIIC.

6.El CERT-UE podrá organizar ejercicios de ciberseguridad o recomendar la participación en ejercicios en curso, en estrecha cooperación, cuando proceda, con la Agencia de la Unión Europea para la Ciberseguridad, con objeto de someter a prueba el nivel de ciberseguridad de las instituciones, los órganos y los organismos de la Unión.

7.El CERT-UE podrá prestar asistencia a las instituciones, los órganos y los organismos de la Unión en relación con incidentes en entornos informáticos clasificados si la Parte afectada lo solicita expresamente.

Artículo 13
Documentos de orientación, recomendaciones y llamamientos a la acción

1.En apoyo de la ejecución del presente Reglamento, el CERT-UE:

a)emitirá llamamientos a la acción, en los que se describirán determinadas medidas urgentes de seguridad que se insta a las instituciones, los órganos y los organismos de la Unión a adoptar en un plazo específico;

b)propondrá al CIIC documentos de orientación dirigidos a la totalidad o a un subconjunto de las instituciones, los órganos y los organismos de la Unión;

c)propondrá al CIIC recomendaciones dirigidas a instituciones, órganos y organismos de la Unión específicos.

2.Los documentos de orientación y las recomendaciones podrán incluir:

a)las modalidades de la gestión de riesgos de ciberseguridad y los códigos básicos de ciberseguridad, o mejoras al respecto;

b)las modalidades de las evaluaciones de madurez y los planes de ciberseguridad; y

c)en su caso, el uso de tecnologías, arquitecturas y mejores prácticas comunes con miras a la interoperabilidad y el establecimiento de normas comunes en el sentido del artículo 4, punto 10, de la Directiva [propuesta SRI 2].

3.El CIIC podrá adoptar documentos de orientación o recomendaciones a propuesta del CERT-UE.

4.El CIIC podrá dar instrucciones al CERT-UE para que emita, retire o modifique una propuesta de documento de orientación o de recomendación o un llamamiento a la acción.

Artículo 14
Dirección del CERT-UE

El director o la directora del CERT-UE presentará periódicamente informes al CIIC y a su presidente o presidenta sobre el desempeño, la planificación financiera, los ingresos, la ejecución del presupuesto, los acuerdos de nivel de servicio y los acuerdos escritos celebrados, la cooperación con homólogos y socios, y las misiones realizadas por el personal del CERT-UE, incluidos los informes a que se refiere el artículo 10, apartado 1.

Artículo 15
Aspectos financieros y de personal

1.La Comisión, tras obtener la aprobación por unanimidad del CIIC, nombrará al director o a la directora del CERT-UE. Se consultará al CIIC en todas las fases del procedimiento antes del nombramiento del director o de la directora del CERT-UE, en particular sobre la redacción de las convocatorias de vacante, el examen de las candidaturas y la designación de los comités de selección para el puesto.

2.En la aplicación de los procedimientos administrativos y financieros, el presidente o la presidenta del CERT-UE actuará bajo la autoridad de la Comisión.

3.Las funciones y actividades del CERT-UE, con inclusión de los servicios que preste en virtud del artículo 12, apartados 2, 3, 4 y 6, y el artículo 13, apartado 1, a las instituciones, los órganos y los organismos de la Unión financiados con cargo a la rúbrica del marco financiero plurianual dedicada a la administración pública europea, se financiarán mediante una línea presupuestaria específica del presupuesto de la Comisión. Los puestos reservados al CERT-UE se detallarán en una nota a pie de página de la plantilla de personal de la Comisión.

4.Las instituciones, los órganos y los organismos de la Unión distintos de los mencionados en el apartado 3 efectuarán una contribución financiera anual al CERT-UE para cubrir los servicios prestados por este de conformidad con dicho apartado 3. Las respectivas contribuciones se basarán en orientaciones del CIIC y serán acordadas entre cada entidad y el CERT-UE en acuerdos de nivel de servicio. Las contribuciones representarán una parte equitativa y proporcional del coste total de los servicios prestados. Se consignarán en la línea presupuestaria específica a que se refiere el apartado 3 como ingresos afectados, de conformidad con lo previsto en el artículo 21, apartado 3, letra c), del Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo 8 .

5.Los costes de las funciones definidas en el artículo 12, apartado 5, se recuperarán de las instituciones, los órganos y los organismos de la Unión que reciban los servicios del CERT-UE. Los ingresos se asignarán a las líneas presupuestarias con las que se cubran los costes.

Artículo 16
Cooperación del CERT-UE con sus homólogos de los Estados miembros

1.El CERT-UE cooperará e intercambiará información con sus homólogos nacionales de los Estados miembros, incluidos los CERT, los centros nacionales de ciberseguridad, los CSIRT y los puntos de contacto únicos a que se refiere el artículo 8 de la Directiva [propuesta SRI 2], en lo concerniente a ciberamenazas, vulnerabilidades e incidentes, posibles contramedidas y cualesquiera cuestiones pertinentes para la mejora de la protección del entorno informático de las instituciones, los órganos y los organismos de la Unión, en particular a través de la red de CSIRT a que se refiere el artículo 13 de la Directiva [propuesta SRI 2].

2.El CERT-UE podrá, sin necesidad de obtener el consentimiento de la Parte afectada, intercambiar información específica sobre incidentes con sus homólogos nacionales de los Estados miembros con objeto de facilitar la detección de ciberamenazas o incidentes similares. No obstante, el CERT-UE únicamente podrá intercambiar información específica sobre incidentes en la que se revele la identidad del objetivo del incidente de ciberseguridad con el consentimiento previo de la Parte afectada.

Artículo 17
Cooperación del CERT-UE con homólogos no pertenecientes a los Estados miembros

1.El CERT-UE podrá cooperar con homólogos no pertenecientes a los Estados miembros, en particular los de sectores específicos, en lo tocante a herramientas y métodos tales como técnicas, tácticas, procedimientos y mejores prácticas, y en lo tocante a las ciberamenazas y las vulnerabilidades. A los efectos de la cooperación con dichos homólogos, en particular cuando se trate de homólogos no pertenecientes a la UE que cooperen con homólogos nacionales de los Estados miembros, el CERT-UE solicitará la aprobación previa del CIIC.

2.El CERT-UE podrá cooperar con otros socios, como entidades comerciales, organizaciones internacionales, entidades nacionales no pertenecientes a la Unión Europea o expertos individuales, con el fin de recopilar información sobre ciberamenazas, vulnerabilidades y posibles contramedidas generales y específicas. A los efectos de una cooperación más amplia con dichos socios, el CERT-UE solicitará la aprobación previa del CIIC.

3.El CERT-UE podrá, con el consentimiento de la Parte afectada por un incidente, facilitar información relacionada con el incidente a socios que puedan contribuir a su análisis.

Capítulo V 
OBLIGACIONES DE COOPERACIÓN E INFORMACIÓN

Artículo 18
Tratamiento de la información

1.El CERT-UE y las instituciones, los órganos y los organismos de la Unión respetarán la obligación de secreto profesional de conformidad con el artículo 339 del Tratado de Funcionamiento de la Unión Europea u otros marcos equivalentes aplicables.

2.Toda solicitud de acceso público a los documentos que obren en poder del CERT-UE se atendrá a las disposiciones del Reglamento (CE) n.º 1049/2001 del Parlamento Europeo y del Consejo 9 , y en particular a la obligación, prevista en dicho Reglamento, de consultar a la institución, el órgano o el organismo de la Unión pertinente cuando la solicitud se refiera a sus documentos.

3.El tratamiento de datos personales con arreglo al presente Reglamento estará sujeto al Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo.

4.El tratamiento de información por el CERT-UE y sus instituciones, órganos y organismos de la Unión se hará de conformidad con las normas establecidas en la [propuesta de Reglamento relativo a la seguridad de la información].

5.Todo contacto con el CERT-UE iniciado o solicitado por un servicio nacional de seguridad e inteligencia se comunicará sin demora indebida a la Dirección de Seguridad de la Comisión y al presidente o a la presidenta del CIIC.

Artículo 19
Obligaciones de intercambio de información

1.Con miras a coordinar la gestión de vulnerabilidades y la respuesta a incidentes, el CERT-UE podrá solicitar a las instituciones, los órganos y los organismos de la Unión que le faciliten información acerca de sus respectivos inventarios de sistemas informáticos que sea pertinente para el desempeño de su labor. La institución, el órgano o el organismo objeto de la solicitud transmitirá sin demora indebida la información solicitada, así como toda actualización posterior de la información.

2.Las instituciones, los órganos y los organismos de la Unión facilitarán al CERT-UE, previa solicitud y sin demora indebida, información digital creada mediante el uso de los dispositivos electrónicos implicados en sus respectivos incidentes. El CERT-UE podrá aclarar con más detalle el tipo de información digital que necesita a efectos del conocimiento situacional y la respuesta a incidentes.

3.El CERT-UE únicamente podrá intercambiar información específica sobre incidentes en la que se revele la identidad de la institución, el órgano o el organismo de la Unión afectados por el incidente con el consentimiento de la entidad afectada. El CERT-UE únicamente podrá intercambiar información específica sobre incidentes en la que se revele la identidad del objetivo del incidente de ciberseguridad con el consentimiento previo de la entidad afectada por el incidente.

4.Las obligaciones de intercambio de información no se aplicarán a la información clasificada de la UE (ICUE) ni a la información que una institución, un órgano o un organismo de la Unión haya recibido de un servicio de seguridad o de inteligencia de un Estado miembro con la condición explícita de que no se comparta con el CERT-UE.

Artículo 20
Obligaciones de notificación

1.Las instituciones, los órganos y los organismos de la Unión transmitirán al CERT-UE una notificación inicial de las ciberamenazas, las vulnerabilidades y los incidentes importantes sin demora indebida, y en todo caso dentro de las veinticuatro horas siguientes a su constatación.

En casos debidamente justificados y previo acuerdo del CERT-UE, la institución, el órgano o el organismo de la Unión de que se trate podrá incumplir el plazo establecido en el párrafo anterior.

2.Adicionalmente, las instituciones, los órganos y los organismos de la Unión notificarán al CERT-UE, sin demora indebida, los detalles técnicos pertinentes sobre las ciberamenazas, las vulnerabilidades y los incidentes que faciliten la detección, la respuesta a incidentes o la adopción de medidas de mitigación. La notificación incluirá, si se dispone de ella, la información siguiente:

a)indicadores de compromiso pertinentes;

b)mecanismos de detección pertinentes;

c)posibles consecuencias;

d)medidas de mitigación pertinentes.

3.El CERT-UE presentará mensualmente a la ENISA un informe resumido que contendrá datos anonimizados y agregados sobre las ciberamenazas, las vulnerabilidades y los incidentes importantes notificados de conformidad con el apartado 1.

4.El CIIC podrá publicar documentos de orientación o recomendaciones sobre las modalidades y el contenido de las notificaciones. El CERT-UE difundirá los detalles técnicos pertinentes a fin de facilitar la detección proactiva, la respuesta a incidentes o la adopción de medidas de mitigación por parte de las instituciones, los órganos y los organismos de la Unión.

5.Las obligaciones de notificación no serán aplicables a la ICUE ni a la información que una institución, un órgano o un organismo de la Unión haya recibido de un servicio de seguridad o de inteligencia de un Estado miembro con la condición explícita de que no se comparta con el CERT-UE.

Artículo 21
Coordinación de la respuesta a incidentes y cooperación en caso de incidentes importantes

1.En el ejercicio de su función de centro de intercambio de información sobre ciberseguridad y coordinación de la respuesta a incidentes, el CERT-UE facilitará el intercambio de información sobre ciberamenazas, vulnerabilidades e incidentes entre:

a)las instituciones, los órganos y los organismos de la Unión;

b)los homólogos a que se refieren los artículos 16 y 17.

2.El CERT-UE facilitará la coordinación de la respuesta a incidentes entre las instituciones, los órganos y los organismos de la Unión, con inclusión de lo siguiente:

a)contribución a una comunicación externa congruente;

b)asistencia mutua;

c)uso óptimo de los recursos operativos;

d)coordinación con otros mecanismos de respuesta a las crisis a escala de la Unión.

3.El CERT-UE apoyará a las instituciones, los órganos y los organismos de la Unión en lo que respecta al conocimiento situacional en materia de ciberamenazas, vulnerabilidades e incidentes.

4.El CIIC publicará orientaciones sobre la coordinación de la respuesta a incidentes y la cooperación en caso de incidentes importantes. Cuando se sospeche que un incidente es de carácter delictivo, el CERT-UE ofrecerá asesoramiento sobre el modo de notificar el incidente a las autoridades policiales.

Artículo 22
Ataques a gran escala

1.El CERT-UE coordinará la respuesta de las instituciones, los órganos y los organismos de la Unión a los ataques a gran escala. Llevará un inventario de los conocimientos técnicos necesarios para la respuesta a incidentes en el caso de que se produzcan tales ataques.

2.Las instituciones, los órganos y los organismos de la Unión contribuirán al inventario de conocimientos técnicos facilitando una lista, que actualizarán anualmente, en la que figuren los expertos disponibles en sus respectivas organizaciones junto con una descripción detallada de las capacidades técnicas específicas de cada uno de ellos.

3.Previa aprobación de la institución, el órgano o el organismo de la Unión de que se trate, el CERT-UE también podrá recurrir a los expertos de la lista referida en el apartado 2 para contribuir a la respuesta a un ataque a gran escala en un Estado miembro, en consonancia con los procedimientos operativos de la Unidad Cibernética Conjunta.

Capítulo VI 
DISPOSICIONES FINALES

Artículo 23
Reasignación presupuestaria inicial

La Comisión propondrá la reasignación a su presupuesto de personal y recursos financieros de las instituciones, los órganos y los organismos de la Unión pertinentes. La reasignación será efectiva al mismo tiempo que el primer presupuesto adoptado tras la entrada en vigor del presente Reglamento.

Artículo 24
Revisión

1.El CIIC, asistido por el CERT-UE, informará periódicamente a la Comisión acerca de la ejecución del presente Reglamento. El CIIC podrá asimismo formular recomendaciones a la Comisión para que proponga las modificaciones necesarias del presente Reglamento.

2.La Comisión informará de la ejecución del presente Reglamento al Parlamento Europeo y al Consejo a más tardar transcurridos cuarenta y ocho meses desde la entrada en vigor del presente Reglamento, y posteriormente cada tres años.

3.La Comisión evaluará el funcionamiento del presente Reglamento e informará de sus conclusiones al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones al menos cinco años después de la entrada en vigor.

Artículo 25
Entrada en vigor

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Bruselas, el

FICHA FINANCIERA LEGISLATIVA

1.MARCO DE LA PROPUESTA/INICIATIVA

1.1.Denominación de la propuesta/iniciativa

1.2.Ámbito(s) político(s) afectado(s)

1.3.La propuesta/iniciativa se refiere a:

1.4.Objetivo(s)

1.4.1.Objetivo(s) general(es)

1.4.2.Objetivo(s) específico(s)

1.4.3.Resultado(s) e incidencia esperados

1.4.4.Indicadores de resultados

1.5.Justificación de la propuesta/iniciativa

1.5.1.Necesidad(es) que debe(n) satisfacerse a corto o largo plazo, incluido un calendario detallado de la aplicación de la iniciativa

1.5.2.Valor añadido de la intervención de la Unión (puede derivarse de distintos factores, como mejor coordinación, seguridad jurídica, mejora de la eficacia o complementariedades). A efectos del presente punto, se entenderá por «valor añadido de la intervención de la Unión» el valor resultante de una intervención de la Unión que viene a sumarse al valor que se habría generado de haber actuado los Estados miembros de forma aislada.

1.5.3.Principales conclusiones extraídas de experiencias similares anteriores

1.5.4.Compatibilidad con el marco financiero plurianual y posibles sinergias con otros instrumentos adecuados

1.5.5.Evaluación de las diferentes opciones de financiación disponibles, incluidas las posibilidades de reasignación

1.6.Duración e incidencia financiera de la propuesta/iniciativa

1.7.Modo(s) de gestión previsto(s)

2.MEDIDAS DE GESTIÓN

2.1.Disposiciones en materia de seguimiento e informes

2.2.Sistema(s) de gestión y de control

2.2.1.Justificación del modo / de los modos de gestión, el/los mecanismo(s) de aplicación de la financiación, las modalidades de pago y la estrategia de control propuestos

2.2.2.Información relativa a los riesgos establecidos y al sistema / a los sistemas de control interno establecidos para atenuarlos

2.2.3.Estimación y justificación de la relación coste/beneficio de los controles (ratio «gastos de control ÷ valor de los correspondientes fondos gestionados»), y evaluación del nivel esperado de riesgo de error (al pago y al cierre)

2.3.Medidas de prevención del fraude y de las irregularidades

3.INCIDENCIA FINANCIERA ESTIMADA DE LA PROPUESTA/INICIATIVA

3.1.Rúbrica(s) del marco financiero plurianual y línea(s) presupuestaria(s) de gastos afectada(s)

3.2.Incidencia financiera estimada de la propuesta en los créditos

3.2.1.Resumen de la incidencia estimada en los créditos de operaciones

3.2.2.Resultados estimados financiados con créditos de operaciones

3.2.3.Resumen de la incidencia estimada en los créditos administrativos

3.2.4.Compatibilidad con el marco financiero plurianual vigente

3.2.5.Contribución de terceros

3.3.Incidencia estimada en los ingresos

FICHA FINANCIERA LEGISLATIVA

1.MARCO DE LA PROPUESTA/INICIATIVA 

1.1.Denominación de la propuesta/iniciativa

1.2.Ámbito(s) político(s) afectado(s) 

1.3.La propuesta/iniciativa se refiere a: 

una acción nueva 

 una acción nueva a raíz de un proyecto piloto / una acción preparatoria 10  

 la prolongación de una acción existente 

 una fusión o reorientación de una o más acciones hacia otra / una nueva acción 

1.4.Objetivo(s)

1.4.1.Objetivo(s) general(es)

1.4.2.Objetivo(s) específico(s)

(1)Establecer la obligación, para las instituciones, los órganos y los organismos de la Unión, de adoptar un marco interno de gestión, gobernanza y control de riesgos en el ámbito de la ciberseguridad. 

(2)Establecer la obligación, para las instituciones, los órganos y los organismos de la Unión, de informar de su marco de gestión, gobernanza y control de riesgos en el ámbito de la ciberseguridad, así como de los incidentes de ciberseguridad.

(3)Establecer normas sobre la organización y el funcionamiento del Centro de Ciberseguridad para las instituciones, los órganos y los organismos de la Unión (CERT-UE), y sobre la organización y el funcionamiento del Consejo Interinstitucional de Ciberseguridad (CIIC).

(4)Contribuir a la Unidad Cibernética Conjunta.

1.4.3.Resultado(s) e incidencia esperados

Especifíquense los efectos que la propuesta/iniciativa debería tener sobre los beneficiarios / la población destinataria.

1.4.4.Indicadores de resultados

Especifíquense los indicadores que permiten realizar el seguimiento de los avances y logros.

1.5.Justificación de la propuesta/iniciativa 

1.5.1.Necesidad(es) que debe(n) satisfacerse a corto o largo plazo, incluido un calendario detallado de la aplicación de la iniciativa.

1.5.2.Valor añadido de la intervención de la Unión (puede derivarse de distintos factores, como mejor coordinación, seguridad jurídica, mejora de la eficacia o complementariedades). A efectos del presente punto, se entenderá por «valor añadido de la intervención de la Unión» el valor resultante de una intervención de la Unión que viene a sumarse al valor que se habría generado de haber actuado los Estados miembros de forma aislada.

1.5.3.Principales conclusiones extraídas de experiencias similares anteriores

1.5.4.Compatibilidad con el marco financiero plurianual y posibles sinergias con otros instrumentos adecuados

1.5.5.Evaluación de las diferentes opciones de financiación disponibles, incluidas las posibilidades de reasignación

1.6.Duración e incidencia financiera de la propuesta/iniciativa

 duración limitada

–    en vigor desde [el] [DD.MM]AAAA hasta [el] [DD.MM]AAAA

–    incidencia financiera desde AAAA hasta AAAA para los créditos de compromiso y desde AAAA hasta AAAA para los créditos de pago.

 duración ilimitada

–Está previsto que la incidencia financiera comience con el primer presupuesto adoptado tras la entrada en vigor del Reglamento. Durante el primer año, considerado de transición, tendría lugar una reasignación de recursos de las instituciones y los principales organismos de la Unión a la Comisión; esta y otras (re)asignaciones de recursos se llevarán a cabo en el marco de los presupuestos anuales. Si el Reglamento se adopta en 2022, el ejercicio de 2023 será el período transitorio, y en 2024 se alcanzará la plena operatividad.

1.7.Modo(s) de gestión previsto(s) 12

 Gestión directa por la Comisión y cada institución, órgano y organismo de la Unión

– por sus servicios, incluido su personal en las Delegaciones de la Unión;

–    por las agencias ejecutivas.

 Gestión compartida con los Estados miembros

 Gestión indirecta mediante delegación de tareas de ejecución presupuestaria en:

– terceros países o los organismos que estos hayan designado;

– organizaciones internacionales y sus agencias (especifíquense);

– el BEI y el Fondo Europeo de Inversiones;

– los organismos a que se hace referencia en los artículos 70 y 71 del Reglamento Financiero;

– organismos de Derecho público;

– organismos de Derecho privado investidos de una misión de servicio público, en la medida en que cuenten con garantías financieras suficientes;

– organismos de Derecho privado de un Estado miembro a los que se haya encomendado la ejecución de una colaboración público-privada y que cuenten con garantías financieras suficientes;

– personas a quienes se haya encomendado la ejecución de acciones específicas en el marco de la PESC, de conformidad con el título V del Tratado de la Unión Europea, y que estén identificadas en el acto de base correspondiente.

–Si se indica más de un modo de gestión, facilítense los detalles en el recuadro de observaciones.

Observaciones

(a)Para el desempeño de las funciones en apoyo de las instituciones, los órganos y los organismos de la Unión que se detallan en el artículo 12, apartado 2, letras a), b), c) y e): 13,75 EJC y 11,275 millones EUR.

(b)Para el desempeño de las funciones que se detallan en el artículo 12, apartado 3 (contribución a la Unidad Cibernética Conjunta): 2 EJC y 381 000 EUR.

(c)Para el desempeño de las funciones que se detallan en el artículo 12, apartado 4 (cooperación estructurada con la ENISA): 0,25 EJC y 236 000 EUR.

(d)Para el desempeño de las funciones que se detallan en el artículo 12, apartado 6 (ejercicios de ciberseguridad): 0,25 EJC y 79 000 EUR.

(e)Para el desempeño de las funciones que se detallan en el artículo 12, apartado 2, letra d), y en el artículo 13 (análisis e informes sobre la ejecución del Reglamento, preparación de documentos de orientación, recomendaciones y llamamientos a la acción): 3,75 EJC y 2,079 millones EUR.

(f)Para el desempeño de las funciones de apoyo a la Secretaría del Consejo Interinstitucional de Ciberseguridad (CIIC): 1 EJC.

2.MEDIDAS DE GESTIÓN 

2.1.Disposiciones en materia de seguimiento e informes 

Especifíquense la frecuencia y las condiciones.

2.2.Sistema(s) de gestión y de control 

2.2.1.Justificación del modo / de los modos de gestión, el/los mecanismo(s) de aplicación de la financiación, las modalidades de pago y la estrategia de control propuestos

2.2.2.Información relativa a los riesgos establecidos y al sistema / a los sistemas de control interno establecidos para atenuarlos

2.2.3.Estimación y justificación de la relación coste/beneficio de los controles (ratio «gastos de control ÷ valor de los correspondientes fondos gestionados»), y evaluación del nivel esperado de riesgo de error (al pago y al cierre) 

2.3.Medidas de prevención del fraude y de las irregularidades 

Especifíquense las medidas de prevención y protección existentes o previstas, por ejemplo, la estrategia contra el fraude.

3.INCIDENCIA FINANCIERA ESTIMADA DE LA PROPUESTA/INICIATIVA 

3.1.Rúbrica(s) del marco financiero plurianual y línea(s) presupuestaria(s) de gastos afectada(s) 

·Líneas presupuestarias existentes

En el orden de las rúbricas del marco financiero plurianual y las líneas presupuestarias.

·Nuevas líneas presupuestarias solicitadas

En el orden de las rúbricas del marco financiero plurianual y las líneas presupuestarias.

3.2.Incidencia financiera estimada de la propuesta en los créditos 

3.2.1.Resumen de la incidencia estimada en los créditos de operaciones 

–    La propuesta/iniciativa no exige la utilización de créditos de operaciones.

–    La propuesta/iniciativa exige la utilización de créditos de operaciones, tal como se explica a continuación:

En millones EUR (al tercer decimal)

DG: Varias				Año  2023	Año  2024	Año  2025	Año  2026	Año  2027	TOTAL
□ Créditos operativos
Líneas presupuestarias que cubren las contribuciones de la Unión a las agencias descentralizadas (xx 10 xx xx) 16	Compromisos	(1a)		2,459	2,459	2,459	2,459	2,459	12,293
	Pagos	(2a)		2,459	2,459	2,459	2,459	2,459	12,293
Créditos de carácter administrativo financiados mediante la dotación de programas específicos 17
Línea presupuestaria		(3)
TOTAL de los créditos  en el caso de la DG: Varias	Compromisos	=1a+1b+3		2,459	2,459	2,459	2,459	2,459	12,293
	Pagos	=2a+2b +3		2,459	2,459	2,459	2,459	2,459	12,293

Si la propuesta/iniciativa afecta a más de una rúbrica operativa, repetir la sección anterior:

Esta sección debe rellenarse mediante «los datos presupuestarios de carácter administrativo» introducidos primeramente en el anexo de la ficha de financiación legislativa (anexo V de las normas internas), que se carga en DECIDE a efectos de consulta entre servicios.

En millones EUR (al tercer decimal)

TOTAL de los créditos  para la RÚBRICA 7  del marco financiero plurianual

(Total compromisos = Total pagos)

9,122

11,047

11,675

12,146

12,146

56,136

En millones EUR (al tercer decimal)

(*) Las contribuciones de las instituciones, los órganos y los organismos de la Unión autofinanciados se estiman en 2,670 millones EUR al año (total para los cinco años: 13,350 millones EUR). Las contribuciones constituirán ingresos afectados para el CERT-UE. Los cuadros anteriores solo incluyen la incidencia total estimada en el presupuesto de la Unión, pero no dichas contribuciones.

3.2.2.Resultados estimados financiados con créditos de operaciones 

Créditos de compromiso en millones EUR (al tercer decimal)

3.2.3.Resumen de la incidencia estimada en los créditos administrativos 

–    La propuesta/iniciativa no exige la utilización de créditos de carácter administrativo

–    La propuesta/iniciativa exige la utilización de créditos administrativos, tal como se explica a continuación:

En millones EUR (al tercer decimal)

RÚBRICA 7  del marco financiero plurianual
Recursos humanos
Personal permanente (grado AD)	1,099	2,041	2,669	3,14	3,14	12,089
Agentes contractuales	0,085	0,085	0,085	0,085	0,085	0,425
Otros gastos administrativos	7,938	8,921	8,921	8,921	8,921	43,622
Subtotal para la RÚBRICA 7  del marco financiero plurianual	9,122	11,047	11,675	12,146	12,146	56,136

TOTAL

9,122

11,047

11,675

12,146

12,146

56,136

Los créditos necesarios para recursos humanos y otros gastos de carácter administrativo se cubrirán mediante créditos de la DG ya asignados a la gestión de la acción o reasignados dentro de la DG, que se complementarán, en caso necesario, con cualquier dotación adicional que pudiera asignarse a la DG gestora en el marco del procedimiento de asignación anual y a la luz de los imperativos presupuestarios existentes.

3.2.3.1.Necesidades estimadas de recursos humanos

–    La propuesta/iniciativa no exige la utilización de recursos humanos.

–    La propuesta/iniciativa exige la utilización de recursos humanos, tal como se explica a continuación:

Estimación que debe expresarse en equivalencia a tiempo completo

XX es la política o título en cuestión.

Las necesidades en materia de recursos humanos las cubrirá el personal de la DG ya destinado a la gestión de la acción o reasignado dentro de la DG, que se complementará, en caso necesario, con cualquier dotación adicional que pudiera asignarse a la DG gestora en el marco del procedimiento de asignación anual y a la luz de los imperativos presupuestarios existentes.

Descripción de las tareas que deben efectuarse:

3.2.4.Compatibilidad con el marco financiero plurianual vigente 

La propuesta/iniciativa:

–    puede ser financiada en su totalidad mediante una redistribución dentro de la rúbrica correspondiente del marco financiero plurianual (MFP).

–    requiere el uso de los márgenes no asignados con cargo a la rúbrica pertinente del MFP o el uso de los instrumentos especiales tal como se define en el Reglamento del MFP.

–    requiere una revisión del MFP.

3.2.5.Contribución de terceros 

La propuesta/iniciativa:

–    no prevé la cofinanciación por terceros 23

–    prevé la cofinanciación por terceros que se estima a continuación:

Créditos en millones EUR (al tercer decimal)

3.3.Incidencia estimada en los ingresos 

–    La propuesta/iniciativa no tiene incidencia financiera en los ingresos.

–    La propuesta/iniciativa tiene la incidencia financiera que se indica a continuación:

–    en los recursos propios

–    en otros ingresos

–indíquese si los ingresos se asignan a las líneas de gasto     

En millones EUR (al tercer decimal)

En el caso de los ingresos afectados, especifíquense la línea o las líneas presupuestarias de gasto en la(s) que repercutan.

Otras observaciones (por ejemplo, método/fórmula utilizados para calcular la incidencia en los ingresos o cualquier otra información).

(1)    Por «incidente importante» se entiende todo incidente salvo aquel cuyas consecuencias sean limitadas y del que probablemente ya se tenga una buena comprensión en términos de método o tecnología.

(2)    Fuente: Gartner: «Identifying the Real Information Security Budget», 2016. Ha de tenerse en cuenta igualmente el gasto indirecto en seguridad informática, como en seguridad de las redes —por ejemplo, cortafuegos y antivirus— y responsabilidades de los propietarios de los sistemas —por ejemplo, evaluación de riesgos y realización de controles de seguridad—. Un artículo de 2020 sitúa el gasto en ciberseguridad de las instituciones financieras en torno al 10-11 % del gasto informático [fuente: DI_2020-FS-ISAC-Cybersecurity.pdf (deloitte.com) ].

(3)    DO C 12 de 13.1.2018, p. 1.

(4)    Recomendación (UE) 2017/1584 de la Comisión, de 13 de septiembre de 2017, sobre la respuesta coordinada a los incidentes y crisis de ciberseguridad a gran escala (DO L 239 de 19.9.2017, p. 36).

(5)    Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) n.º 526/2013 («Reglamento sobre la Ciberseguridad») (DO L 151 de 7.6.2019, p. 15).

(6)    Recomendación de la Comisión, de 23 de junio de 2021, sobre la creación de una Unidad Cibernética Conjunta [C(2021) 4520].

(7)    Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión y a la libre circulación de estos datos y por el que se deroga el Reglamento (CE) n.º 45/2001 y la Decisión 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

(8)    Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo, de 18 de julio de 2018, sobre las normas financieras aplicables al presupuesto general de la Unión, por el que se modifican los Reglamentos (UE) n.º 1296/2013, (UE) n.º 1301/2013, (UE) n.º 1303/2013, (UE) n.º 1304/2013, (UE) n.º 1309/2013, (UE) n.º 1316/2013, (UE) n.º 223/2014 y (UE) n.º 283/2014 y la Decisión n.º 541/2014/UE y por el que se deroga el Reglamento (UE, Euratom) n.º 966/2012 (DO L 193 de 30.7.2018, p. 1).

(9)    Reglamento (CE) n.º 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión (DO L 145 de 31.5.2001, p. 43).

(10)    Tal como se contempla en el artículo 58, apartado 2, letra a) o b), del Reglamento Financiero.

(11)    Referencia: [Informe especial del TCE sobre la ciberseguridad en las instituciones, los órganos y los organismos de la Unión].

(12)    Los detalles de los modos de gestión y las referencias al Reglamento Financiero pueden consultarse en el sitio BudgWeb: https://myintracomm.ec.europa.eu/budgweb/EN/man/budgmanag/Pages/budgmanag.aspx  

(13)    CD = créditos disociados / CND = créditos no disociados.

(14)    AELC: Asociación Europea de Libre Comercio.

(15)    Países candidatos y, cuando proceda, países candidatos potenciales de los Balcanes Occidentales.

(16)    Según la nomenclatura presupuestaria oficial.

(17)    Asistencia técnica o administrativa y gastos de apoyo a la ejecución de programas o acciones de la UE (antiguas líneas «BA»), investigación indirecta, investigación directa.

(18)    Los resultados son los productos y servicios que van a suministrarse (por ejemplo, número de intercambios de estudiantes financiados, número de kilómetros de carreteras construidos, etc.).

(19)    Tal como se describe en el punto 1.4.2. «Objetivo(s) específico(s)…»

(20)    Asistencia técnica o administrativa y gastos de apoyo a la ejecución de programas o acciones de la UE (antiguas líneas «BA»), investigación indirecta, investigación directa.

(21)    AC = agente contractual; AL = agente local; ENCS = experto nacional en comisión de servicios; INT = personal de agencia; JPD = joven profesional en delegación.

(22)    Sublímite para el personal externo con cargo a créditos de operaciones (antiguas líneas «BA»).

(23)    No se han estimado los ingresos afectados procedentes de la prestación esporádica de servicios a organizaciones que no sean Partes, prevista en el artículo 12, apartado 5, letra c), dado que se espera que sean marginales.

(24)    El año N es el año de comienzo de la ejecución de la propuesta/iniciativa. Sustitúyase «N» por el primer año de aplicación previsto (por ejemplo: 2021). Igual para los años siguientes.

(25)    Por lo que se refiere a los recursos propios tradicionales (derechos de aduana, cotizaciones sobre el azúcar), los importes indicados deben ser importes netos, es decir, importes brutos tras la deducción del 20 % de los gastos de recaudación.

COMISIÓN EUROPEA

Bruselas, 22.3.2022

COM(2022) 122 final

ANEXOS

de la

Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO

por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión

{SWD(2022) 67 final} - {SWD(2022) 68 final}

ANEXO I

El código básico de ciberseguridad cubrirá los ámbitos siguientes:

1)política de ciberseguridad, incluidos los objetivos y las prioridades en relación con la seguridad de las redes y los sistemas de información, en particular por lo que respecta al uso de servicios de computación en la nube [en el sentido del artículo 4, apartado 19, de la Directiva (propuesta SRI 2)] y las disposiciones técnicas para facilitar el teletrabajo;

2)organización de la ciberseguridad, incluida la determinación de funciones y responsabilidades;

3)gestión de activos, incluidos un inventario de los activos informáticos y un trazado de la red informática;

4)control de acceso;

5)seguridad de las operaciones;

6)seguridad de las comunicaciones;

7)adquisición, desarrollo y mantenimiento de sistemas;

8)relaciones con los proveedores;

9)gestión de incidentes, incluidas estrategias tales como el seguimiento de la seguridad y el registro secuencial para mejorar la preparación, la respuesta y la recuperación en caso de incidente y la cooperación con el CERT-UE;

10)gestión de la continuidad de las actividades y gestión de crisis; y

11)programas de educación, sensibilización y formación en materia de ciberseguridad.

ANEXO II

Las instituciones, los órganos y los organismos de la Unión integrarán en sus códigos básicos de ciberseguridad y planes de ciberseguridad, como mínimo, las medidas específicas de ciberseguridad que se indican a continuación, habida cuenta de los documentos de orientación y las recomendaciones del CIIC:

1)acciones concretas para avanzar hacia una arquitectura de confianza cero (esto es, un modelo de seguridad, un conjunto de principios de diseño de sistemas y una estrategia coordinada de ciberseguridad y gestión de sistemas basados en el reconocimiento de la existencia de amenazas tanto dentro como fuera de los límites tradicionales de las redes);

2)adopción de la autenticación multifactor como norma en la totalidad de las redes y los sistemas de información;

3)garantía de la seguridad de la cadena de suministro de software mediante criterios para el desarrollo seguro de software y la evaluación;

4)introducción de mejoras en las normas de contratación pública con miras a garantizar un elevado nivel común de ciberseguridad a través de:

a)eliminación de los obstáculos contractuales que limitan la comunicación de información al CERT-UE, por parte de los proveedores de servicios informáticos, acerca de incidentes, vulnerabilidades y ciberamenazas;

b)obligación contractual de informar de los incidentes, las vulnerabilidades y las ciberamenazas, así como de disponer de capacidades adecuadas de respuesta a incidentes y seguimiento de incidentes.