COMUNICACIÓN CONJUNTA AL PARLAMENTO EUROPEO, AL CONSEJO, AL COMITÉ ECONÓMICO Y SOCIAL EUROPEO Y AL COMITÉ DE LAS REGIONES Estrategia de ciberseguridad de la Unión Europea: Un ciberespacio abierto, protegido y seguro /* JOIN/2013/01 final */
COMUNICACIÓN CONJUNTA AL PARLAMENTO
EUROPEO, AL CONSEJO, AL COMITÉ ECONÓMICO Y SOCIAL EUROPEO Y AL COMITÉ DE LAS
REGIONES Estrategia de ciberseguridad de la Unión
Europea: Un ciberespacio abierto, protegido
y seguro 1. Introducción 1.1. Contexto En las dos últimas décadas, Internet y, más
en general, el ciberespacio han ejercido un poderoso influjo en todos los
segmentos de la sociedad. Nuestra vida cotidiana, los derechos fundamentales,
las interacciones sociales y las economías dependen de tecnologías de la
información y la comunicación que prestan servicios ininterrumpidos. Ha sido
este ciberespacio abierto y libre el que ha promovido la integración política y
social en todo el mundo; el que ha hecho caer fronteras entre países,
comunidades y ciudadanos, potenciando la interacción y el intercambio de
información e ideas en todo el planeta; el que se ha convertido en foro para
defender la libertad de expresión y los derechos fundamentales, y el que ha
permitido tomar la palabra y actuar a los ciudadanos en su lucha en pro de unas
sociedades democráticas y más justas, como ocurrió, de forma espectacular,
durante la Primavera Árabe. Para que el ciberespacio siga siendo
abierto y libre, deben aplicarse en línea los mismos principios, valores y
normas que la UE promueve fuera de línea. Los derechos fundamentales, la
democracia y el Estado de Derecho deben ser protegidos en el ciberespacio.
Nuestra libertad y nuestra prosperidad dependen cada vez más de una Internet
sólida e innovadora, que seguirá progresando si la innovación procedente del
sector privado y la sociedad civil impulsan su crecimiento. Pero la libertad en
línea requiere también protección y seguridad. El ciberespacio ha de ser
protegido de incidentes, actividades malintencionadas y utilizaciones abusivas.
A las administraciones públicas les corresponde un papel destacado en la
custodia de un ciberespacio libre y seguro. Entre sus tareas figuran las de
salvaguardar el acceso y la apertura, respetar y proteger los derechos
fundamentales en línea y mantener la fiabilidad e interoperabilidad de
Internet. Con todo, el sector privado posee y explota cuotas significativas de
ciberespacio, por lo que toda iniciativa que pretenda alcanzar el éxito en este
ámbito debe reconocer su liderazgo. Las tecnologías de la información y la
comunicación se han convertido en la piedra angular de nuestro crecimiento
económico y constituyen un recurso crítico del que dependen todos los sectores
económicos. Actualmente reposan en ellas los complejos sistemas que permiten funcionar
a nuestras economías en sectores clave tales como las finanzas, la sanidad, la
energía y los transportes. Muchos modelos empresariales se basan en la
disponibilidad ininterrumpida de Internet y el buen funcionamiento de los
sistemas de información. Si se llegara a implantar el mercado único
digital, Europa podría aumentar su PIB casi 500 000 millones EUR
anuales[1],
lo que supone una media de 1 000 EUR por persona. Para que las nuevas
tecnologías conectadas —entre ellas, los pagos electrónicos, la computación en
nube o la comunicación de máquina a máquina[2]—,
puedan florecer, es preciso que inspiren confianza a los ciudadanos.
Desafortunadamente, una encuesta del Eurobarómetro de 2012[3] mostraba que casi
una tercera parte de los europeos dudaba de su capacidad para utilizar Internet
en sus trámites bancarios o sus compras. Una mayoría abrumadora indicó asimismo
que evitaba divulgar información personal en línea por motivos de seguridad. En
toda la UE, más de uno de cada diez usuarios de Internet ha sido ya víctima de
un fraude en línea. En los últimos años se ha comprobado que el
mundo digital aporta grandes beneficios, pero que también es vulnerable. Los
incidentes de ciberseguridad[4],
tanto deliberados como accidentales, están incrementándose a un ritmo alarmante
y podrían llegar a perturbar el suministro de servicios esenciales que damos
por descontados como el agua, la asistencia sanitaria, la electricidad o los
servicios móviles. Las amenazas pueden tener varios orígenes, entre ellos los
ataques delictivos, por motivos políticos, terroristas o patrocinados por los
Estados, así como catástrofes naturales o errores no intencionados. La economía de la UE se ve ya afectada por
actividades de ciberdelincuencia[5]
contra el sector privado y las personas. Los ciberdelincuentes recurren a
métodos cada vez más complejos para introducirse en los sistemas de
información, sustraer datos críticos o exigir rescates a las empresas. El
aumento del espionaje económico y de las actividades alentadas por los Estados
en el ciberespacio representa una nueva categoría de amenaza para las
administraciones públicas y empresas de la UE. Asimismo, las autoridades de terceros
países pueden emplear abusivamente el ciberespacio para ejercer vigilancia y
control sobre sus propios ciudadanos. La UE puede contrarrestar esta situación
fomentando la libertad en línea y velando por el respeto de los derechos
fundamentales en la red. Todos estos factores explican que los
Gobiernos de todo el mundo hayan comenzado a desarrollar estrategias de
ciberseguridad y a considerar el ciberespacio un asunto internacional cada vez
más importante. Ha llegado el momento de que la UE intensifique su intervención
en este ámbito. La estrategia de ciberseguridad de la Unión Europea que se
propone, presentada por la Comisión y la Alta Representante de la Unión Europea
para Asuntos Exteriores y Política de Seguridad (Alta Representante), expone la
visión de la UE en este campo, aclara funciones y responsabilidades y establece
las medidas necesarias, basadas en una protección y una promoción amplias y
efectivas de los derechos de los ciudadanos con el fin de que el entorno en
línea de la UE llegue a ser el más seguro del mundo. 1.2. Principios de
ciberseguridad La Internet sin fronteras y con múltiples
niveles se ha convertido en uno de los instrumentos más poderosos del progreso
mundial, sin la tutela ni la reglamentación de los Estados. El sector privado
debería seguir liderando la construcción y la gestión cotidiana de Internet,
pero también hay que tener en cuenta que los requisitos en materia de
transparencia, rendición de cuentas y seguridad están adquiriendo cada vez
mayor importancia. La presente estrategia aclara los principios que han de
presidir la política de ciberseguridad tanto en la UE como a escala internacional.
Los valores esenciales de UE lo son
tanto en el mundo físico como en el digital Las leyes y normas aplicables en otros
ámbitos de nuestras vidas cotidianas lo son también en el ciberespacio. Protección de los derechos
fundamentales, la libertad de expresión, los datos personales y la intimidad La ciberseguridad solo puede resultar
positiva y eficaz si se basa en los derechos fundamentales y las libertades
enunciados en la Carta de los Derechos Fundamentales de la Unión Europea y en
los valores esenciales de la UE. Por su parte, los derechos individuales no
pueden protegerse sin redes y sistemas seguros. Todo intercambio de información
a efectos de ciberseguridad en que se manejen datos personales debe cumplir la
normativa de protección de datos de la UE y tomar plenamente en consideración
los derechos de las personas en este ámbito. Acceso para todos Un acceso limitado o nulo a Internet y el
analfabetismo digital constituyen una desventaja para los ciudadanos, dada la
omnipresencia del mundo digital en las actividades que se desarrollan en
nuestra sociedad. Todos los ciudadanos deberían poder acceder a Internet y a un
flujo de información libre de trabas. Deben garantizarse la integridad y la
seguridad de Internet para así hacer posible un acceso seguro para todos. Gobernanza multilateral democrática y
eficaz El mundo digital no está controlado por una
sola entidad. Actualmente intervienen en él varias partes, muchas de las cuales
son entidades comerciales y no gubernamentales que participan en la gestión
diaria de los recursos, protocolos y normas de Internet y en su futuro
desarrollo. La UE reafirma la importancia de todas las partes interesadas en el
actual modelo de gobernanza de Internet y respalda este planteamiento de
gobernanza multilateral[6].
Garantizar la seguridad: una
responsabilidad compartida La creciente dependencia de las tecnologías
de la información y de las comunicaciones en todas las esferas de la vida
humana ha hecho surgir una serie de puntos vulnerables que es preciso delimitar
debidamente, analizar exhaustivamente, subsanar o atenuar. Todas las partes
interesadas, ya sean las administraciones públicas, el sector privado o los
ciudadanos, han de reconocer esta responsabilidad compartida, tomar medidas
para protegerse y, en caso necesario, ofrecer una respuesta coordinada para
reforzar la ciberseguridad. 2. Prioridades y medidas estratégicas La UE debería defender un entorno en línea
que ofreciese el mayor grado posible de libertad y seguridad en beneficio de
todos. Aun reconociendo que corresponde ante todo a los Estados miembros
hacerse cargo de los problemas de seguridad del ciberespacio, la presente
estrategia propone medidas concretas que pueden mejorar los resultados
generales de la UE en este campo. Se trata de medidas a corto y largo plazo que
recurren a diversos instrumentos de actuación[7]
y requieren la participación de diversos tipos de agentes, entre ellos las
instituciones de la UE, los Estados miembros o las empresas. La visión de la UE que se presenta en esta
estrategia se articula en torno a cinco prioridades estratégicas para resolver
los problemas antes esbozados: ·
Lograr la ciberresiliencia ·
Reducir drásticamente la ciberdelincuencia ·
Desarrollar estrategias y capacidades de
ciberdefensa vinculadas a la Política Común de Seguridad y Defensa (PCSD) ·
Desarrollar recursos industriales y
tecnológicos de ciberseguridad ·
Establecer una política internacional
coherente del ciberespacio para la Unión Europea y promover los valores
esenciales de la UE. 2.1. Lograr la ciberresiliencia Para impulsar la ciberresiliencia en la UE,
tanto las administraciones públicas como el sector privado deben desarrollar
capacidades y cooperar efectivamente. Sobre la base de los positivos resultados
conseguidos en las actividades realizadas hasta la fecha[8], las nuevas
actuaciones de la UE pueden facilitar, en particular, la lucha contra los
riesgos y amenazas cibernéticos que tienen una dimensión transfronteriza y
contribuir a una respuesta coordinada en situaciones de emergencia. Con ello se
apoyará firmemente el buen funcionamiento del mercado interior y se
incrementará la seguridad interna de la UE. Europa seguirá siendo vulnerable si no se
dedican considerables esfuerzos a impulsar las capacidades, recursos y
procedimientos públicos y privados para prevenir, detectar y gestionar los
incidentes de ciberseguridad. Por ello, la Comisión ha desarrollado una
política de seguridad de las redes y de la información (SRI)[9]. En 2004 se creó la
Agencia Europea de Seguridad de las Redes y de la Información (ENISA)[10] y en estos momentos el Consejo y el Parlamento están negociando
un nuevo Reglamento para consolidarla y
modernizar su mandato[11]. Además, la Directiva marco sobre las comunicaciones electrónicas[12] exige que los proveedores de comunicaciones electrónicas
gestionen adecuadamente los riesgos a que se enfrentan sus redes y notifiquen
las violaciones significativas de la seguridad. Asimismo, la normativa de la UE
sobre protección de datos[13]
establece que los responsables del tratamiento han de prever requisitos y
salvaguardias que garanticen la protección de los datos, entre ellos medidas de
seguridad, y, en el ámbito de los servicios de comunicaciones electrónicas
disponibles para el público, los responsables del tratamiento están obligados a
notificar incidentes que entrañen una violación de los datos personales a las
autoridades nacionales competentes. Pese a los avances logrados gracias a los
compromisos voluntarios, aún se observan ciertas lagunas en la UE,
especialmente en lo tocante a las capacidades nacionales, la coordinación ante
incidentes que traspasan las fronteras, y la preparación y participación del
sector privado. Adjunta a la presente estrategia figura una propuesta de acto
legislativo cuyos principales objetivos son los siguientes: ·
Establecer requisitos mínimos comunes de SRI a
escala nacional que obligarían a los Estados miembros a designar autoridades
nacionales competentes en materia de SRI, crear un CERT y velar por su correcto
funcionamiento, y adoptar una estrategia nacional de SRI y un plan nacional de
cooperación en materia de SRI. También corresponde a las instituciones de la UE
velar por la capacitación y la coordinación: en 2012 se creó con carácter
permanente un equipo de respuesta a emergencias informáticas, responsable de la
seguridad de los sistemas de TI de las instituciones, agencias y organismos de
la UE («CERT-UE»). ·
Establecer mecanismos coordinados de
prevención, detección, respuesta y atenuación que hagan posible el intercambio
de información y la asistencia mutua entre las autoridades nacionales
competentes en materia de SRI. Se instará a dichas autoridades a velar por una
cooperación apropiada a escala de la UE sobre la base de un plan de cooperación
de la Unión en materia de SRI, destinado a responder a los ciberincidentes de
dimensión transfronteriza. Esta cooperación también sacará partido de los
avances logrados en el Foro Europeo de Estados Miembros (EFMS)[14], que ha mantenido
debates e intercambios muy fructuosos sobre la política de SRI y puede
integrarse en el mecanismo de cooperación que se cree. ·
Aumentar la preparación y el compromiso del
sector privado. Dado que la titularidad y la explotación de la gran mayoría de
las redes y los sistemas de información están en manos del sector privado,
resulta crucial conseguir que dicho sector contribuya con mayor empeño a
fomentar la ciberseguridad. Es conveniente que el sector privado desarrolle a
nivel técnico sus propias capacidades de ciberresiliencia y comparta mejores
prácticas con otros sectores. Los instrumentos creados por ese sector para
responder a los incidentes, determinar sus causas y efectuar investigaciones
forenses también deberían beneficiar al sector público. No obstante, los agentes privados aún
carecen de incentivos efectivos para proporcionar datos fidedignos sobre la
existencia o las consecuencias de los incidentes de SRI, adoptar una cultura de
gestión de riesgos o invertir en soluciones de seguridad. La normativa
propuesta pretende, pues, asegurarse de que los agentes de una serie de
sectores esenciales (energía, transportes, banca, bolsas y facilitadores de
servicios clave de Internet, así como administraciones públicas) evalúen los
riesgos de ciberseguridad a que se enfrentan, garanticen que las redes y los
sistemas de información son fiables y resilientes mediante la debida gestión de
los riesgos, y compartan la información obtenida con las autoridades nacionales
competentes en materia de SRI. La implantación de una cultura de ciberseguridad
puede fomentar las oportunidades empresariales y la competitividad en el sector
privado, lo cual podría hacer de la ciberseguridad un buen argumento de venta. Esas entidades tendrían que notificar a las
autoridades nacionales competentes en materia de SRI los incidentes que
tuvieran efectos significativos en la continuidad de servicios básicos y el
suministro de mercancías dependientes de las redes y los sistemas de
información. Las autoridades nacionales competentes en
materia de SRI deben colaborar e intercambiar información con otros organismos
reguladores y, en especial, con las autoridades responsables de la protección
de datos personales. Las autoridades competentes en materia de SRI deberían, a
su vez, notificar los incidentes de carácter supuestamente delictivo a las
fuerzas de seguridad. Asimismo, las autoridades nacionales competentes deberían
publicar periódicamente en un sitio web específico información no confidencial
acerca de las alertas tempranas en curso sobre incidentes y riesgos y sobre
respuestas coordinadas. Las obligaciones legales no reemplazan ni se oponen al
desarrollo de lazos informales y voluntarios de cooperación, también entre los
sectores público y privado, a fin de aumentar los niveles de seguridad e
intercambiar información y mejores prácticas. Más concretamente, la Asociación
público-privada europea de resiliencia (EP3R[15])
constituye una plataforma sólida y valiosa a escala de la UE y es conveniente
potenciarla. El Mecanismo «Conectar Europa» (MCE)[16] prestaría ayuda
financiera para infraestructuras clave, aunando las capacidades de SRI de los
Estados miembros y facilitando, por ende, la cooperación en toda la UE. Por último, los ejercicios de simulación de
ciberincidentes a escala de la UE son fundamentales para estimular la
cooperación entre los Estados miembros y el sector privado. El primer ejercicio
en que participaron los Estados miembros se desarrolló en 2010 (CiberEuropa
2010) y el segundo ejercicio, en el que también participó el sector privado,
tuvo lugar en octubre de 2012 (CiberEuropa 2012). En noviembre de 2011 se organizó
un ejercicio teórico de simulación UE-EE.UU. (CiberAtlántico 2011). En los
próximos años están previstos nuevos ejercicios, en los que participarán socios
internacionales. La Comisión: · proseguirá sus actividades, llevadas a cabo por el Centro Común de Investigación en estrecha colaboración con las autoridades de los Estados miembros y los titulares y operadores de infraestructuras críticas, con el fin de determinar los puntos vulnerables para la SRI de las infraestructuras críticas europeas e impulsar el desarrollo de sistemas resilientes; · pondrá en marcha a principios de 2013 un proyecto piloto financiado por la UE[17] sobre lucha contra las redes infectadas y los programas maliciosos, que ofrecerá un marco de coordinación y cooperación entre los Estados miembros de la UE, las organizaciones del sector privado tales como los proveedores de servicios de Internet y los socios internacionales. La Comisión insta a la ENISA a: · ayudar a los Estados miembros a crear capacidades nacionales sólidas de ciberresiliencia mediante la adquisición de conocimientos sobre la seguridad y la resiliencia de los sistemas de control industrial, los transportes y las infraestructuras de energía; · examinar en 2013 la viabilidad del equipo de respuesta a incidentes de seguridad informática en sistemas de control industrial (ICS-CSIRT) de la UE; · seguir apoyando a los Estados miembros y a las instituciones de la UE en la realización de ejercicios periódicos paneuropeos de simulación de ciberincidentes, que también constituirán la base operativa para la participación de la UE en ejercicios internacionales de este tipo. La Comisión invita al Parlamento Europeo y al Consejo a: · adoptar rápidamente la propuesta de Directiva referente a un elevado nivel común de seguridad de las redes y de la información (SRI) en toda la Unión, que aborda la capacitación y preparación a escala nacional, la cooperación a escala de la UE, la implantación de prácticas de gestión de riesgos y el intercambio de información sobre SRI. La Comisión insta a la industria a: · asumir el liderazgo e invertir en un elevado nivel de ciberseguridad, desarrollar mejores prácticas e intercambiar la información a escala sectorial y con las administraciones públicas para así garantizar una protección adecuada y efectiva de bienes y personas, en particular a través de asociaciones público-privadas como la EP3R y Trust in Digital Life (TDL)[18]. Concienciación Velar por la ciberseguridad es una
responsabilidad común. Los usuarios finales contribuyen de forma decisiva a
garantizar la seguridad de las redes y los sistemas de información: es preciso
que sean conscientes de los riesgos que corren en línea y sean capaces de
adoptar medidas sencillas para protegerse de ellos. En los últimos años se han tomado en este
ámbito varias iniciativas, que deben continuar. En particular, la ENISA ha
participado en labores de concienciación mediante la publicación de informes,
la organización de talleres especializados y la creación de asociaciones
público-privadas. Europol, Eurojust y las autoridades nacionales responsables
de la protección de datos también intervienen en esas actividades de
concienciación. En octubre de 2012, la ENISA y algunos Estados miembros
patrocinaron el Mes Europeo de la Ciberseguridad. La concienciación es una de
las cuestiones abordadas por el Grupo de Trabajo UE-EE.UU. sobre Ciberseguridad
y Ciberdelincuencia[19],
y también es importante en el contexto del Programa «Una Internet más Segura»[20] (centrado en la
seguridad de los niños en línea). La Comisión pide a la ENISA que: · proponga en 2013 orientaciones con respecto a un «permiso de conducción en el ámbito de la seguridad de las redes y la información», consistente en un programa de certificación voluntario que promueva la mejora de los conocimientos y competencias de los profesionales de las TI (por ejemplo, administradores de sitios web). La Comisión: · organizará en 2014, asistida por la ENISA, un campeonato de ciberseguridad entre los estudiantes universitarios, que competirán proponiendo soluciones de SRI. La Comisión invita a los Estados miembros[21] a: · organizar anualmente a partir de 2013 un mes de la ciberseguridad con el apoyo de la ENISA y la participación del sector privado, con el propósito de concienciar a los usuarios finales; a partir de 2014 se organizará un mes de la ciberseguridad sincronizado en los EE.UU. y la UE. · redoblar esfuerzos de educación y formación en materia de SRI, integrando la formación en SRI en los centros escolares desde 2014; impartiendo formación en SRI, desarrollo de programas informáticos seguros y protección de datos personales entre los estudiantes de informática; y ofreciendo formación básica en SRI al personal de las administraciones públicas. La Comisión invita a la industria a: · informar sobre la importancia de la ciberseguridad en todos los niveles, tanto en las prácticas comerciales como en la interfaz con los consumidores; más concretamente, las empresas deberían estudiar la manera de hacer más responsables de la ciberseguridad a sus directores generales y consejos de administración. 2.2. Reducción drástica de la
ciberdelincuencia Cuanto más nos adentramos en el mundo
digital, más oportunidades ofrecemos a los ciberdelincuentes. La
ciberdelincuencia es una de las formas de delincuencia de crecimiento más
rápido, con más de un millón de víctimas diarias en todo el mundo. Los
ciberdelincuentes y las redes de ciberdelincuencia se perfeccionan cada vez más
y tenemos que disponer de las herramientas y capacidades operativas idóneas
para hacerles frente. Los ciberdelitos son actividades de bajo riesgo que
generan grandes beneficios y los delincuentes se aprovechan a menudo del
anonimato de los dominios de los sitios web. La ciberdelincuencia no conoce
fronteras y, habida cuenta del alcance mundial de Internet, los cuerpos de
seguridad deben adoptar un enfoque transfronterizo coordinado y colaborativo
para responder a esta amenaza creciente. Normativa estricta y eficaz La UE y los Estados miembros necesitan una
normativa rigurosa y eficaz para luchar contra la ciberdelincuencia. El
Convenio sobre la Ciberdelincuencia del Consejo de Europa, también denominado
Convenio de Budapest, es un tratado internacional vinculante que ofrece un
marco efectivo para la adopción de normas nacionales. La UE ya ha adoptado actos legislativos
sobre la ciberdelincuencia, entre ellos una Directiva relativa a la lucha
contra los abusos sexuales y la explotación sexual de los menores y la
pornografía infantil[22].
Asimismo, la UE tiene previsto adoptar en breve una Directiva relativa a los
ataques contra los sistemas de información, especialmente mediante el uso de
redes infectadas. La Comisión: · velará por que se transpongan y apliquen rápidamente las directivas relacionadas con la ciberdelincuencia; · emplazará a los Estados miembros que aún no hayan ratificado el Convenio sobre la Ciberdelincuencia del Consejo de Europa para que lo hagan y apliquen sus disposiciones lo antes posible. Mayor capacidad operativa para luchar
contra la ciberdelincuencia Las técnicas de que se sirven los
ciberdelincuentes evolucionan velozmente y los cuerpos de seguridad no pueden
luchar contra este fenómeno con medios operativos obsoletos. Hoy en día, no
todos los Estados miembros de la UE disponen de la capacidad operativa
necesaria para combatir la ciberdelincuencia con eficacia. Es preciso que todos
ellos cuenten con unidades nacionales especializadas en la lucha contra la
ciberdelincuencia. La Comisión: · ayudará a los Estados miembros, a través de sus programas de financiación[23], a detectar insuficiencias y a reforzar su capacidad para investigar y combatir la ciberdelincuencia; además, prestará apoyo a los organismos que ponen en contacto a los mundos académico y de la investigación, a los profesionales de los cuerpos de seguridad y al sector privado, inspirándose en las actividades que llevan a cabo los centros de excelencia de ciberdelincuencia financiados por la Comisión, ya creados en algunos Estados miembros; · junto con los Estados miembros, coordinará los esfuerzos para determinar, con el apoyo del JRC, las mejores prácticas y técnicas disponibles para luchar contra la ciberdelincuencia (por ejemplo, en relación con el diseño y uso de herramientas forenses o con el análisis de amenazas); · colaborará estrechamente con el Centro Europeo de Ciberdelincuencia (EC3), recién creado en el marco de Europol, y con Eurojust para adecuar estos enfoques a las mejores prácticas desde el punto de vista operativo. Mayor coordinación en la UE La UE puede completar el trabajo de los
Estados miembros proponiendo un enfoque coordinado y colaborativo, y reuniendo
a las autoridades policiales y judiciales, así como a las partes interesadas de
los sectores público y privado de la UE y del exterior. La Comisión: · apoyará al recién creado Centro Europeo de Ciberdelincuencia (EC3) como centro de referencia en la lucha contra la ciberdelincuencia; el EC3 proporcionará análisis e información, respaldará las investigaciones, aportará conocimientos forenses de alto nivel, facilitará la cooperación, creará canales de intercambio de información entre las autoridades competentes de los Estados miembros, el sector privado y otras partes interesadas, y se convertirá progresivamente en portavoz de la comunidad de cuerpos de seguridad[24]; · respaldará los esfuerzos por incrementar la responsabilidad de los registradores de nombres de dominio y velará por la exactitud de la información sobre los titulares de sitios web, especialmente sobre la base de las recomendaciones de los cuerpos de seguridad a la Corporación de Internet para la Asignación de Nombres y Números (ICANN), de conformidad con la normativa de la Unión y, en particular, las normas sobre protección de datos; · se basará en la normativa reciente para redoblar los esfuerzos de la UE contra el abuso sexual de menores en línea. La Comisión ha adoptado una estrategia europea en favor de una Internet más adecuada para los niños[25] y, junto con los Estados miembros y terceros países, ha creado una Alianza Mundial contra el abuso sexual de menores en línea[26]. Dicha Alianza impulsará nuevas medidas de los Estados miembros con el apoyo de la Comisión y el EC3. La Comisión pide a Europol (EC3) que: · centre inicialmente su apoyo analítico y operativo en las investigaciones sobre ciberdelincuencia de los Estados miembros con el fin de desmantelar y desbaratar las redes de ciberdelincuencia, sobre todo en los ámbitos del abuso sexual de menores, los fraudes en los pagos, las redes infectadas y la intrusión; · elabore periódicamente informes estratégicos y operativos sobre tendencias y amenazas incipientes a fin de determinar prioridades y centrar las actividades de investigación de los equipos de ciberdelincuencia de los Estados miembros. La Comisión solicita a la Escuela Europea de Policía (CEPOL) que coopere con Europol a fin de: · coordinar la preparación y planificación de cursos de formación que faciliten a los cuerpos de seguridad los conocimientos especializados necesarios para hacer frente a la ciberdelincuencia con eficacia. La Comisión pide a Eurojust que: · determine los principales obstáculos a la cooperación judicial en investigaciones de ciberdelincuencia y a la coordinación entre los Estados miembros y con terceros países, y apoye la investigación y represión de ciberdelitos a nivel operativo y estratégico, así como las actividades de formación en este ámbito. La Comisión solicita a Eurojust y a Europol (EC3) que: · cooperen estrechamente e intercambien información para ser más eficaces en la lucha contra la ciberdelincuencia, de acuerdo con sus respectivos mandatos y competencias. · 2.3. Desarrollo de una
política y de capacidades de ciberdefensa en el marco de la Política Común de
Seguridad y Defensa (PCSD) Los esfuerzos de ciberseguridad de la UE
entrañan asimismo una dimensión de ciberdefensa. Para aumentar la resiliencia
de los sistemas de comunicación e información que amparan los intereses de los
Estados miembros en materia de defensa y seguridad nacional, el desarrollo de
capacidades de ciberdefensa debería concentrarse en la detección, respuesta y
recuperación frente a complejas ciberamenazas. Ante tan polifacéticas amenazas, conviene
potenciar las sinergias entre los enfoques civil y militar para la protección
de ciberactivos críticos. Estos esfuerzos se han de apoyar con actividades de
investigación y desarrollo y una mayor cooperación entre las administraciones
públicas, el sector privado y la comunidad académica de la UE. Para evitar
duplicaciones, la UE examinará de qué modo pueden ella y la OTAN aunar sus
esfuerzos para aumentar la resiliencia de infraestructuras críticas públicas,
de defensa y de información de las que dependen los miembros de ambas
organizaciones. La Alta Representante centrará su atención en las siguientes
actividades clave e invitará a los Estados miembros y a la Agencia Europea de
Defensa a colaborar en ellas: ·
Evaluar los requisitos operativos de ciberdefensa
de la UE y promover el desarrollo de sus capacidades y tecnologías de
ciberdefensa en todos sus aspectos: doctrina, liderazgo, organización,
personal, formación, tecnología, infraestructuras, logística e
interoperabilidad. ·
Elaborar un marco político de ciberdefensa de
la UE para proteger las redes dentro de las misiones y operaciones de la PCSD,
especialmente a través de la gestión dinámica de riesgos, la mejora del
análisis de amenazas y el intercambio de información. Ofrecer mayores
posibilidades al ejército para formarse y adiestrarse en el contexto europeo e
internacional, incluyendo aspectos de ciberdefensa en los actuales manuales de
ejercicios. ·
Promover el diálogo y la coordinación entre
las esferas civil y militar de la UE, haciendo especial hincapié en el
intercambio de buenas prácticas, el intercambio de información y la alerta
temprana, la respuesta a incidentes, la evaluación de riesgos, la
concienciación y y la consideración de la ciberseguridad como objetivo
prioritario. ·
Garantizar el diálogo con los socios
internacionales, entre ellos la OTAN, otras organizaciones internacionales y
centros de excelencia plurinacionales con el fin de conseguir auténticas
capacidades de defensa, determinar las áreas de cooperación y evitar la
duplicación de esfuerzos. 2.4. Desarrollo de recursos
industriales y tecnológicos de ciberseguridad Europa dispone de excelentes capacidades de
investigación y desarrollo, pero muchas de las empresas punteras mundiales
proveedoras de productos y servicios de TIC innovadores están establecidas
fuera de la UE. Europa corre el riesgo de depender excesivamente no solo de las
TIC producidas en terceros países, sino también de las soluciones de seguridad
desarrolladas fuera de sus fronteras. Es esencial velar por que los equipos y
programas informáticos producidos en la UE y en terceros países que se utilizan
en infraestructuras y servicios críticos —y cada vez más en dispositivos
móviles— sean fiables y seguros y garanticen la protección de los datos
personales. Fomento de un mercado único de productos
de ciberseguridad Solo es posible garantizar un nivel elevado
de seguridad si todos los que intervienen en la cadena de valor (fabricantes de
equipos, desarrolladores de programas informáticos, proveedores de servicios de
la sociedad de la información, etc.) hacen de la seguridad un objetivo
prioritario. Parece ser[27],
empero, que muchos de ellos siguen considerando que la seguridad es poco más
que una carga suplementaria y prueba de ello es la limitada demanda de
soluciones de seguridad. Es necesario establecer requisitos apropiados de
eficacia en materia de ciberseguridad y aplicarlos en toda la cadena de valor
de los productos de TIC utilizados en Europa. Hay que ofrecer al sector privado
incentivos para garantizar un elevado nivel de ciberseguridad; así, por
ejemplo, unas etiquetas que indiquen que los resultados en materia de
ciberseguridad son adecuados permitirán a las empresas con buenos resultados e
historial en este campo presentar argumentos de venta positivos respecto del
producto y disfrutar de una ventaja competitiva. Asimismo, las obligaciones
establecidas en la Directiva sobre SRI propuesta contribuirían
significativamente a potenciar la competitividad de las empresas en los
sectores regulados. Por otra parte, conviene fomentar una
demanda de mercado europea de productos de alta seguridad. En primer lugar,
esta estrategia tiene por objetivo aumentar la cooperación y la transparencia
en lo que respecta a la seguridad de los productos de las TIC. Aboga por la
creación de una plataforma que reúna a las partes interesadas europeas, tanto
del sector público como del privado, con el fin de determinar buenas prácticas
de ciberseguridad en toda la cadena de valor y crear condiciones de mercado
favorables para el desarrollo y adopción de de soluciones de TIC seguras. Es
importante ofrecer incentivos para realizar una gestión de riesgos adecuada y
adoptar normas y soluciones de seguridad, así como, en su caso, establecer
regímenes de certificación voluntarios en la UE, que se basarían en los
regímenes existentes a escala europea e internacional. La Comisión fomentará la
adopción de planteamientos coherentes entre los Estados miembros para evitar
disparidades que les supongan desventajas de localización a las empresas. En segundo lugar, la Comisión respaldará la
elaboración de normas de seguridad y prestará asistencia en los regímenes de
certificación voluntarios en el campo de la computación en nube, teniendo muy
presente la necesidad de asegurar la protección de datos. El trabajo se debería
centrar en la seguridad de la cadena de suministro, especialmente en los
sectores económicos críticos (sistemas de control industrial, energía e
infraestructuras de transportes). Dicho trabajo se debería inspirar en las
actividades de normalización en curso de las organizaciones europeas de
normalización (CEN, CENELEC y ETSI)[28],
del Grupo de Coordinación de Ciberseguridad (CSCG), así como en los
conocimientos y experiencia de la ENISA, la Comisión y otras partes
interesadas. La Comisión: · creará en 2013 una plataforma público-privada sobre soluciones de SRI con el fin de impulsar la adopción de soluciones seguras de TIC y la adopción de requisitos de eficacia en materia de ciberseguridad que se apliquen a todos los productos de las TIC utilizados en Europa; · propondrá en 2014 una serie de recomendaciones, basadas en los trabajos de dicha plataforma, para garantizar la ciberseguridad en la cadena de valor de las TIC; · examinará cómo pueden los principales proveedores de equipos y programas informáticos de TIC informar a las autoridades nacionales competentes de los puntos vulnerables detectados que puedan tener efectos significativos en la seguridad. La Comisión pide a la ENISA que: · elabore, en cooperación con las autoridades nacionales competentes, las partes interesadas, los organismos europeos e internacionales de normalización y el Centro Común de Investigación de la Comisión Europea, directrices y recomendaciones técnicas para la adopción de normas y buenas prácticas de SRI en los sectores público y privado. La Comisión invita a las partes interesadas de los sectores público y privado a: · fomentar la elaboración y adopción, a iniciativa de la industria, de normas de seguridad, normas técnicas y principios de seguridad por diseño y privacidad por diseño por parte de los fabricantes de productos de TIC y proveedores de servicios, entre ellos los proveedores de servicios en nube; los equipos y programas informáticos de nueva generación deberán disponer de elementos de seguridad más sólidos, integrados y de fácil utilización; · elaborar, a iniciativa de la industria, normas sobre los resultados de las empresas en materia de ciberseguridad y proporcionar más información al público diseñando etiquetas de seguridad o marchamos de calidad que ayuden al consumidor a orientarse en el mercado. Fomento de la inversión en I+D y de la
innovación La I+D puede respaldar una política
industrial sólida, promover un sector europeo de las TIC fiable, impulsar el
mercado interior y reducir la dependencia de Europa respecto de las tecnologías
extranjeras. La I+D debe colmar las lagunas tecnológicas que comprometen la
seguridad de las TIC, prever los problemas de seguridad que puedan plantearse
en el futuro, tener en cuenta la constante evolución de las necesidades de los
usuarios y sacar partido de las tecnologías de doble uso. También debería
seguir apoyando el desarrollo de la criptografía. Todo ello ha de completarse
con el esfuerzo por plasmar los resultados de I+D en soluciones comerciales,
ofreciendo los incentivos necesarios y creando las condiciones adecuadas. La UE debe sacar el máximo provecho del
Programa Marco de Investigación e Innovación («Horizonte 2020»)[29], que comenzará su
andadura en 2014. La propuesta de la Comisión establece unos objetivos
específicos para garantizar la fiabilidad de las TIC y luchar contra la
ciberdelincuencia que concuerdan con la presente estrategia. «Horizonte 2020»
apoyará la investigación sobre seguridad en relación con las TIC emergentes;
ofrecerá soluciones para sistemas, servicios y aplicaciones de TIC seguros de
extremo a extremo; incentivará la aplicación y adopción de las soluciones
existentes; y examinará la interoperabilidad de redes y sistemas de
información. A escala de la UE, se pondrá especial empeño en optimizar y
coordinar mejor los diversos programas de financiación («Horizonte 2020», Fondo
de Seguridad Interior, investigación de la AED, incluido el Marco Europeo de
Cooperación). La Comisión: · recurrirá a «Horizonte 2020» para abordar varios aspectos de protección de la intimidad y seguridad en las TIC, desde la I+D a la innovación y el despliegue; «Horizonte 2020» permitirá también desarrollar herramientas e instrumentos de lucha contra las actividades delictivas y terroristas que tienen el ciberespacio como objetivo; · creará mecanismos con miras a una mayor coordinación de los programas de investigación de las instituciones de la Unión Europea y los Estados miembros, y alentará a estos a invertir más en I+D. La Comisión invita a los Estados miembros a: · elaborar para finales de 2013 buenas prácticas para el uso del poder de compra de las administraciones públicas (por ejemplo, a través de la contratación pública) a fin de fomentar el desarrollo y despliegue de elementos de seguridad en los productos y servicios de TIC; · promover la rápida incorporación de la industria y del mundo académico a las actividades de elaboración y coordinación de soluciones; para ello se sacará el mayor partido posible de la base industrial europea y de las innovaciones tecnológicas de la I+D conexa, y se garantizará la coordinación entre los programas de investigación de los organismos civiles y militares. La Comisión solicita a Europol y a la ENISA que: · determinen las tendencias y necesidades emergentes en función de la evolución de las pautas de ciberdelincuencia y ciberseguridad para así desarrollar herramientas y tecnologías forenses digitales adecuadas. La Comisión invita a las partes interesadas de los sectores público y privado a: · elaborar, en cooperación con el sector de los seguros, sistemas de medición armonizados para el cálculo de las primas de riesgo, merced a los cuales las empresas que hayan invertido en seguridad puedan obtener primas de riesgo menos elevadas. 2.5. Creación de una política
internacional coherente del ciberespacio para la Unión Europea y promoción de
los valores esenciales de la UE Mantener un ciberespacio abierto, libre y
seguro es un reto mundial al que la UE ha de hacer frente junto con los socios
y organizaciones internacionales pertinentes, el sector privado y la sociedad
civil. En su política internacional del
ciberespacio, la UE promoverá la apertura y la libertad de Internet, alentará
las actividades de elaboración de normas de conducta y aplicará el Derecho
internacional existente en este campo. Asimismo, la UE tomará medidas para
superar la brecha digital y participará activamente en los esfuerzos
internacionales de creación de capacidades de ciberseguridad. El compromiso
internacional de la Unión en este ámbito estará presidido por los valores
esenciales de la UE; a saber: la dignidad humana, la libertad, la democracia,
la igualdad, el Estado de derecho y el respeto de los derechos fundamentales. Integración de las cuestiones vinculadas
al ciberespacio en las relaciones exteriores y la Política Exterior y de Seguridad
Común de la UE La Comisión, la Alta Representante y los
Estados miembros deben formular una política internacional de la UE coherente
en relación con el ciberespacio, cuyo objetivo sea aumentar su compromiso y
estrechar las relaciones con los principales socios y organizaciones
internacionales, así como con la sociedad civil y el sector privado. Las
consultas de la UE con sus socios internacionales sobre cuestiones referentes
al ciberespacio deben prepararse, coordinarse y llevarse a la práctica de modo
que supongan un valor añadido en los diálogos bilaterales existentes entre los
Estados miembros de la UE y los terceros países. La UE podrá renovado empeño en
el diálogo con los terceros países, favoreciendo los contactos con aquellos
socios que persiguen los mismos objetivos y comparten sus valores. La UE
promoverá un elevado nivel de protección de datos, especialmente en la
transferencia a terceros países de datos
personales. Para hacer frente a los problemas mundiales que plantea el
ciberespacio, la UE procurará cooperar más estrechamente con organizaciones que
trabajan en este campo, como el Consejo de Europa, la OCDE, las Naciones
Unidas, la OSCE, la OTAN, la UA, la ASEAN y la OEA. A
nivel bilateral, la cooperación con los Estados Unidos reviste especial
importancia y se potenciará, en particular en el contexto del Grupo de Trabajo
UE-EE.UU. sobre Ciberseguridad y Ciberdelincuencia. Uno de los aspectos primordiales de la
política internacional de ciberseguridad de la UE será la promoción del ciberespacio
como ámbito de libertad y derechos fundamentales. Es de esperar que la
ampliación del acceso a Internet impulse los procesos de reforma democrática y
los promueva en todo el mundo. Esta mayor conectividad mundial no ha de ir
acompañada de censura ni de actividades de vigilancia masiva. La UE debe
promover la responsabilidad social de las empresas[30] y presentar
iniciativas internacionales para mejorar la coordinación mundial en este campo.
Corresponde a todos los que intervienen en
la sociedad de la información mundial, de los ciudadanos a los Estados, velar
por un ciberespacio más seguro. La UE apoya los esfuerzos por establecer unas
normas de conducta en el ciberespacio que sean respetadas por todas las partes
interesadas. Así como los ciudadanos de la UE deben cumplir sus derechos
cívicos, asumir sus responsabilidades sociales y respetar las leyes en línea,
de igual modo deben los Estados observar las normas y leyes existentes. En
cuestiones de seguridad internacional, la UE aboga por la adopción de medidas
de fomento de la confianza en la ciberseguridad a fin de aumentar la
transparencia y reducir el riesgo de que se malinterprete la manera de actuar
de los Estados. La UE no defiende la creación de nuevos
instrumentos jurídicos internacionales para abordar las cuestiones relacionadas
con el ciberespacio. También deberán respetarse en línea las
obligaciones jurídicas establecidas en el Pacto Internacional de Derechos
Civiles y Políticos, el Convenio Europeo de Derechos Humanos y la Carta de los
Derechos Fundamentales de la Unión Europea. La UE examinará de qué modo puede
garantizarse que esas disposiciones se aplican también en el ciberespacio. A fin de combatir la ciberdelincuencia, el
Convenio de Budapest es un instrumento abierto a la adopción por los terceros
países. Ofrece un modelo para redactar actos jurídicos nacionales en materia de
ciberdelincuencia y una base para la cooperación internacional en este ámbito. En caso de que los conflictos armados se
extiendan al ciberespacio, se aplicarán el Derecho humanitario internacional y,
en su caso, el Derecho internacional en materia de derechos humanos. Capacitación en materia de
ciberseguridad e infraestructuras de información resilientes en terceros países Una mayor cooperación internacional facilitará
el correcto funcionamiento de las infraestructuras subyacentes que prestan y
facilitan servicios de comunicación. Esa cooperación consistirá en intercambiar
mejores prácticas, compartir información, realizar ejercicios de alerta
temprana y de gestión conjunta de incidentes, etc. La UE contribuirá al logro
de este objetivo intensificando los esfuerzos internacionales en curso para
reforzar las redes de cooperación entre las administraciones públicas y el
sector privado con miras a la protección de las infraestructuras críticas de
información (PICI). No todas las zonas del mundo se benefician
de los efectos positivos de Internet al no existir un acceso abierto, seguro,
interoperable y fiable. Por consiguiente, la Unión Europea continuará
respaldando los esfuerzos de los países por garantizar un mayor acceso y uso de
Internet a sus ciudadanos, asegurar su integridad y seguridad y luchar con
eficacia contra la ciberdelincuencia. En cooperación con los Estados miembros, la Comisión y la Alta Representante: · trabajarán en pro de una política internacional coherente de la UE en el ámbito del ciberespacio para incrementar su colaboración con los socios y organizaciones internacionales clave, integrar las cuestiones vinculadas al ciberespacio en la PESC y mejorar la coordinación de las cuestiones de alcance mundial; · apoyarán la elaboración de normas de conducta y medidas de fomento de la confianza en la ciberseguridad, facilitarán el diálogo sobre la manera de aplicar el Derecho internacional vigente en este ámbito y promoverán el Convenio de Budapest para hacer frente a la ciberdelincuencia; · respaldarán la promoción y protección de los derechos fundamentales, en particular el acceso a la información y la libertad de expresión, centrándose en: a) la elaboración de nuevas directrices públicas sobre la libertad de expresión en línea y fuera de línea; b) el control de las exportaciones de productos o servicios que puedan utilizarse para fines de censura o vigilancia masiva en línea; c) la elaboración de medidas y herramientas para ampliar el acceso a Internet e incrementar su apertura y resiliencia para sustraerse a la censura o la vigilancia masiva mediante las tecnologías de la comunicación; d) el fomento entre las partes interesadas del uso de las tecnologías de la comunicación para promover los derechos fundamentales; · apoyarán, junto con los socios y organizaciones internacionales clave, el sector privado y la sociedad civil, el desarrollo de capacidades globales en los terceros países para mejorar el acceso a la información y a una Internet abierta, prevenir y combatir las ciberamenazas, incluidos los incidentes accidentales, la ciberdelincuencia y el ciberterrorismo, e impulsar la coordinación entre los donantes para orientar los esfuerzos de desarrollo de capacidades; · recurrirán a diversos instrumentos de ayuda de la UE para desarrollar capacidades en materia de ciberseguridad, subvencionando la formación del personal policial, judicial y técnico para hacer frente a las ciberamenazas, y apoyando asimismo la creación de las políticas, estrategias e instituciones pertinentes en los terceros países; · intensificarán la coordinación de políticas y el intercambio de información a través de redes de protección de infraestructuras críticas de información, tales como la red Meridian, así como la cooperación entre las autoridades competentes en materia de SRI y otras autoridades. 3. Funciones y responsabilidades En una economía y una sociedad digitales
interconectadas, los ciberincidentes no se detienen en las fronteras. Todas las
partes interesadas, de las autoridades competentes en materia de SRI, los CERT
y los cuerpos de seguridad a la industria, han de asumir sus responsabilidades
a escala nacional y de la UE, y trabajar en común para aumentar la
ciberseguridad. Como pueden intervenir distintos marcos jurídicos y
jurisdicciones, reviste suma importancia que la UE aclare las funciones y
responsabilidades de las numerosas partes interesadas. Dada la complejidad del problema y las
muchas partes que intervienen, la solución no puede consistir en una
supervisión europea centralizada. Las administraciones nacionales son las que
se hallan en mejores condiciones para organizar las actividades de prevención y
respuesta a incidentes y ataques cibernéticos, así como para establecer contactos
y redes con el sector privado y los ciudadanos a través de los procedimientos y
marcos jurídicos establecidos. Al mismo tiempo, habida cuenta del carácter
transfronterizo potencial o real de los riesgos, una respuesta efectiva a
escala nacional requeriría a menudo la intervención de la UE. Para abordar la
ciberseguridad de forma global, las actividades deben articularse en torno a
tres pilares esenciales—SRI, cuerpos de seguridad y defensa—, también regulados
por diferentes marcos jurídicos: 3.1. Coordinación entre
autoridades competentes en materia de SRI/CERT, cuerpos de seguridad y defensa A escala nacional Los Estados miembros deberían disponer, ya
en la actualidad o como resultado de esta estrategia, de estructuras para
abordar la ciberresiliencia, la ciberdelincuencia y la ciberdefensa; deben
asimismo alcanzar el nivel de capacidades requerido para resolver los
ciberincidentes. No obstante, dado que una serie de entidades pueden tener
responsabilidades operativas en distintas dimensiones de la ciberseguridad y
habida cuenta de la importancia que reviste la participación del sector
privado, conviene lograr una coordinación óptima entre ministerios a escala
nacional. Los Estados miembros deberán establecer en sus estrategias nacionales
de ciberseguridad las funciones y responsabilidades de sus diversas entidades
nacionales. Debe fomentarse el intercambio de
información entre entidades nacionales y con el sector privado para que este y
los Estados miembros puedan tener una visión global de las diversas amenazas y
comprender mejor las nuevas tendencias y las técnicas utilizadas tanto para
cometer ciberataques como para reaccionar ante ellos con mayor rapidez. La
elaboración de planes nacionales de cooperación en materia de SRI, que se han
de activar en caso de que se produzcan ciberincidentes, facilitará a los
Estados miembros la tarea de asignar claramente funciones y responsabilidades y
optimizar las medidas de respuesta. A escala de la UE Como ocurre a escala nacional, en la UE hay
distintas entidades responsables de ciberseguridad. Cabe citar, en particular,
a la ENISA, Europol/EC3 y la AED, tres agencias que actúan desde la perspectiva
de la SRI, los cuerpos de seguridad y la defensa, respectivamente. Estas
agencias cuentan con consejos de administración en que están representados los
Estados miembros y constituyen plataformas de coordinación a escala de la UE. Se impulsarán la coordinación y la
colaboración entre la ENISA, Europol/EC3 y la AED en una serie de ámbitos de
interés para las tres agencias, en particular el análisis de tendencias, la
evaluación de riesgos, la formación y el intercambio de mejores prácticas. Las
tres han de colaborar, manteniendo al mismo tiempo sus especificidades. Estas
agencias, junto con el CERT-UE, la Comisión y los
Estados miembros, deberán apoyar la creación de una comunidad de especialistas
técnicos y policiales de confianza en este campo. Los canales informales de coordinación y
colaboración se completarán con vínculos más estructurados. El personal militar
de la UE y el equipo encargado del proyecto de ciberdefensa de la AED podrán
servir de vector de coordinación en el ámbito de la defensa. El Consejo de
Programación de Europol/EC3 reunirá, entre otros, a EUROJUST, CEPOL, los
Estados miembros[31],
la ENISA y la Comisión, y les ofrecerá la oportunidad de compartir sus
respectivos conocimientos especializados y de comprobar que las actuaciones del
EC3 se llevan a cabo en concertación, reconociéndose las aportaciones de cada
parte y respetándose sus mandatos. El nuevo mandato de la ENISA permitirá que
esta estreche sus relaciones con Europol y refuerce sus relaciones con la
industria. Ante todo, la propuesta legislativa de la Comisión sobre la SRI
establecerá un marco de cooperación a través de una red de autoridades
nacionales competentes en materia de SRI y fomentará el intercambio de
información entre dichas autoridades y los cuerpos de seguridad. A escala internacional La Comisión y la Alta Representante
garantizan, junto con los Estados miembros, una actuación internacional
coordinada en el ámbito de la ciberseguridad. En este marco, la Comisión y la
Alta Representante defenderán los valores esenciales de la UE y promoverán una
utilización pacífica, abierta y transparente de las cibertecnologías. La
Comisión, la Alta Representante y los Estados miembros mantienen diálogos
políticos con los socios internacionales y organizaciones internacionales tales
como el Consejo de Europa, la OCDE, la OSCE, la OTAN y las Naciones Unidas. 3.2. Apoyo de la UE ante
incidentes y ataques cibernéticos graves Los incidentes o ataques cibernéticos
graves pueden repercutir en las administraciones públicas, las empresas y los
ciudadanos de la UE. Cabe esperar que, gracias a esta estrategia —y en
particular la propuesta de Directiva sobre la SRI—, la prevención, la detección
y la respuesta ante los ciberincidentes sean más eficaces, y los Estados
miembros y la Comisión se mantengan mejor informados acerca de los incidentes o
ataques cibernéticos graves. Con todo, los mecanismos de respuesta diferirán en
función de la naturaleza, la magnitud y los efectos transfronterizos del
incidente. Si el incidente tiene efectos graves en la
continuidad de las actividades, la Directiva sobre la SRI propone la activación
de planes de cooperación nacionales o de la Unión en materia de SRI, según la
naturaleza transfronteriza del incidente. En este contexto, se recurrirá a la
red de autoridades competentes en materia de SRI para compartir información y
prestar apoyo, lo cual permitirá mantener o restaurar las redes y los servicios
afectados. Si el incidente parece tener origen
delictivo, se deberá informar a Europol/EC3 para que, junto con las autoridades
policiales de los países afectados, pueda iniciar una investigación, conservar
las pruebas, identificar a los autores y velar por que se castigue su delito. Si el incidente parece estar relacionado
con el ciberespionaje o con un ataque promovido por un Estado, o afecta a la
seguridad nacional, las autoridades policiales y de defensa nacionales deberán
alertar a sus homólogos de que sufren un ataque y se hallan en condiciones de
defenderse. Entonces se activarán mecanismos de alerta temprana y, en caso
necesario, procedimientos de gestión de crisis o de otros tipos. Un incidente o
ataque cibernético de especial gravedad podría ser motivo suficiente para que
un Estado miembro invocara la cláusula de solidaridad de la UE (artículo 222
del Tratado de Funcionamiento de la Unión Europea). Si el incidente parece haber comprometido
datos personales, intervendrán las autoridades nacionales responsables de la
protección de datos o la autoridad reguladora nacional, de conformidad con la
Directiva 2002/58/CE. Por último, la gestión de ciberincidentes y
ciberataques se verá facilitada por las redes de contacto y el apoyo de los
socios internacionales, que podrá consistir en medidas técnicas de atenuación,
investigaciones penales o la activación de mecanismos de gestión de crisis y
respuesta. 4. Conclusión y próximas etapas La presente estrategia de ciberseguridad de
la Unión Europea, presentada por la Comisión y la Alta Representante de la
Unión para Asuntos Exteriores y Política de Seguridad, expone la visión de la
UE y describe las medidas necesarias, basadas en la defensa y la promoción
tenaces de los derechos de los ciudadanos, con el fin de convertir el entorno
en línea de la UE en el más seguro del mundo[32].
Esta visión solamente puede hacerse
realidad mediante una auténtica cooperación entre las numerosas partes
interesadas, que deberán comprometerse a asumir sus responsabilidades y a
afrontar los retos que se planteen en el futuro. La Comisión y la Alta Representante
invitan, por tanto, al Consejo y al Parlamento Europeo a aprobar la estrategia
y a contribuir a llevar a la práctica las medidas propuestas. También será
necesario contar con el firme apoyo y el compromiso del sector privado y la
sociedad civil, cuya participación es crucial para aumentar nuestro nivel de
seguridad y proteger los derechos de los ciudadanos. Ha llegado el momento de actuar. La
Comisión y la Alta Representante están dispuestas a colaborar con todas las
partes interesadas para lograr la seguridad que Europa necesita. Para
garantizar la pronta aplicación de la estrategia y su análisis en función de lo
que acontezca, tienen la intención de reunir a todas las partes interesadas en
una conferencia de alto nivel y evaluar los avances conseguidos en 12 meses. [1] http://www.epc.eu/dsm/2/Study_by_Copenhagen.pdf [2] Por ejemplo, plantas en
las que se han insertado sensores que indican al sistema de aspersión cuándo
hay que regar. [3] Eurobarómetro especial 390 sobre ciberseguridad,
2012. [4] La ciberseguridad abarca por lo general las
salvaguardias y medidas que pueden utilizarse para proteger el ciberespacio, en
los ámbitos tanto civil como militar, de las amenazas inherentes a sus redes
interdependientes e infraestructuras de información, o que pueden dañarlas. La
ciberseguridad tiene como objetivo mantener la disponibilidad e integridad de
las redes e infraestructuras y la confidencialidad de la información que
contienen. [5] La ciberdelincuencia abarca por lo general una
amplia gama de actividades delictivas en las que los ordenadores y los sistemas
de información se utilizan como principales herramientas para delinquir o son
objeto principal del delito. La ciberdelincuencia comprende delitos
tradicionales (por ejemplo, fraude, falsificación o usurpación de identidad), delitos
relacionados con los contenidos (por ejemplo, distribución en línea de
pornografía infantil o incitación al odio racial) y delitos exclusivos de
ordenadores y sistemas de información (por ejemplo, ataques contra los sistemas
de información, denegación de servicio o programas maliciosos). [6] Véase asimismo COM(2009) 277, Comunicación de la
Comisión al Parlamento Europeo y al Consejo, La gobernanza de Internet: los
próximos pasos. [7] Las medidas relativas al intercambio de información
en que se manejen datos personales deben cumplir la normativa de protección de
datos de la UE. [8] Véanse referencias en la presente Comunicación, así
como en la evaluación de impacto que figura en el documento de trabajo de los
servicios de la Comisión adjunto a la propuesta de Directiva de la Comisión
relativa a la seguridad de las redes y la información, y en particular, las
secciones 4.1.4 y 5.2, y los anexos 2, 6 y 8. [9] En 2001,
la Comisión adoptó la Comunicación titulada Seguridad de las redes y de la
información: Propuesta para un enfoque político europeo [COM(2001)298]; en 2006, adoptó una estrategia para una sociedad de la información
segura [COM(2006)251]. Desde 2009, la Comisión también ha adoptado un plan de
acción y una Comunicación sobre protección de infraestructuras críticas de
información (PICI) [COM(2009)149, aprobado por
la Resolución 2009/C 321/01 del Consejo, y COM(2011)163, aprobado por las
conclusiones 10299/11 del Consejo]. [10] Reglamento
(CE) nº 460/2004. [11] COM(2010)521. Las medidas propuestas en la presente
estrategia no entrañan la modificación del mandato actual o futuro de la ENISA.
[12] Artículos 13 bis y 13 ter de la
Directiva 2002/21/CE. [13] Artículo 17 de la Directiva 95/46/CE; artículo 4 de
la Directiva 2002/58/CE. [14] El Foro Europeo de Estados Miembros se creó mediante
la Comunicación COM(2009) 149 como plataforma para fomentar el debate entre las
administraciones públicas de los Estados miembros en relación con las buenas
prácticas en materia de seguridad y resiliencia de las infraestructuras
críticas de información. [15] La Asociación público-privada europea de resiliencia
se presentó en la Comunicación COM(2009) 149. Esta plataforma ha comenzado su
labor fomentando la cooperación entre los sectores público y privado en torno a
la determinación de los principales activos, recursos, funciones y requisitos
básicos para garantizar la resiliencia, así como de las necesidades y
mecanismos de cooperación precisos para responder a perturbaciones de gran
alcance de las comunicaciones electrónicas. [16] https://ec.europa.eu/digital-agenda/en/connecting-europe-facility.
MCE Línea presupuestaria 09.03.02 – Redes de telecomunicaciones (promover la
interconexión y la interoperabilidad de los servicios públicos nacionales en
línea, así como el acceso a estas redes). [17] CIP-ICT PSP-2012-6, 325188. El proyecto tiene un
presupuesto global de 15 millones EUR, al que la UE contribuye con 7,7 millones
EUR. [18] http://www.trustindigitallife.eu/. [19] Este Grupo de Trabajo, creado en la Cumbre UE-EE.UU.
de noviembre de 2010 (MEMO/10/597), se encarga de desarrollar planteamientos
colaborativos con respecto a una amplia gama de cuestiones relacionadas con la ciberseguridad
y la ciberdelincuencia. [20] El programa «Una Internet más Segura» financia una
red de ONG que promueven el bienestar de los niños en línea, una red de cuerpos
de seguridad que intercambian información y mejores prácticas sobre la
explotación delictiva de Internet mediante la difusión de material sobre abusos
sexuales a menores y una red de investigadores que recopilan información sobre
usos, riesgos y consecuencias de las tecnologías en línea en las vidas de los
menores. [21] Con la participación de las autoridades nacionales
competentes, entre ellas las responsables de la SRI y de la protección de
datos. [22] Directiva 2011/93/UE, que sustituye la Decisión Marco
2004/68/JAI del Consejo. [23] En 2013, en el marco del
Programa «Prevención y lucha contra la delincuencia» (ISEC). A partir de 2013, en
el marco del Fondo de Seguridad Interior (nuevo instrumento del MFP). [24] El 28 de marzo de 2012, la Comisión Europea adoptó la
Comunicación La represión del delito en la era digital: creación de un
centro europeo de ciberdelincuencia. [25] COM(2012) 196 final. [26] Conclusiones del Consejo sobre una Alianza Mundial
contra el abuso sexual de menores en línea (Declaración conjunta UE-EE.UU.) de
7 y 8 de junio de 2012, y Declaración sobre la creación de la Alianza Mundial
contra el abuso sexual de menores en línea (http://europa.eu/rapid/press-release_MEMO-12-944_en.htm).
[27] Véase la evaluación de impacto que figura en el
documento de trabajo de los servicios de la Comisión adjunto a la propuesta de
Directiva de la Comisión relativa a la seguridad de las redes y la información,
sección 4.1.5.2. [28] En particular, en relación con la norma M/490 sobre
redes inteligentes para la primera serie de normas sobre redes inteligentes y
arquitectura de referencia. [29] «Horizonte 2020» es el instrumento financiero de
ejecución de la Unión por la Innovación, la iniciativa emblemática de la Estrategia
Europa 2020 destinada
a garantizar la competitividad de Europa a escala mundial. El nuevo Programa Marco
de Investigación e Innovación de la UE para el período 2014-2020 se inscribe en
un proceso que tiene por objeto generar crecimiento y crear nuevos puestos de
trabajo en Europa. [30] Estrategia renovada de la UE para 2011-2014 sobre
la responsabilidad social de las empresas, COM(2011) 681 final. [31] Mediante la representación en el
grupo de trabajo sobre ciberdelincuencia de la UE, integrado por los jefes de
las unidades de ciberdelincuencia de los Estados miembros. [32] La estrategia se financiará con los importes
previstos para cada uno de los ámbitos de actuación (MCE, Horizonte 2020, Fondo
de Seguridad Interior, PESC y Cooperación Exterior, en particular el Instrumento
de Estabilidad), de conformidad con la propuesta de la Comisión referente al
marco financiero plurianual para 2014-2020 (a reserva de la aprobación de la
Autoridad Presupuestaria y de los importes finales del MFP adoptado para
2014-2020). En lo tocante a la necesidad de garantizar la compatibilidad global
con el número de puestos disponibles para las agencias descentralizadas y el
sublímite para las agencias descentralizadas de cada rúbrica de gastos del
próximo MFP, las agencias (CEPOL, AED, ENISA, EUROJUST y EUROPOL/EC3) a las que
la presente Comunicación confía nuevas tareas deberán asumirlas en la medida en
que se hayan determinado tanto la capacidad real de la agencia para absorber
nuevos recursos como todas las posibilidades de redistribución.