(1)

El Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo (3) establece un marco para la creación de esquemas europeos de certificación de la ciberseguridad, a efectos de garantizar un nivel adecuado de ciberseguridad de los productos, servicios y procesos de las tecnologías de la información y la comunicación (TIC) en la Unión, así como de evitar la fragmentación del mercado interior respecto a los esquemas de certificación de la ciberseguridad en la Unión.

(2)

A fin de garantizar la resiliencia de la Unión frente a los ciberataques y prevenir cualquier vulnerabilidad en el mercado interior, el presente Reglamento complementará el marco regulador horizontal que establece requisitos globales de ciberseguridad para los productos con elementos digitales en virtud del Reglamento (UE) 2024/2847 del Parlamento Europeo y del Consejo (4), estableciendo requisitos esenciales para los servicios de seguridad gestionados, así como la aplicación y fiabilidad de dichos servicios.

(3)

Los servicios de seguridad gestionados son prestados por proveedores de servicios de seguridad gestionados tal como se definen en el artículo 6, punto 40, de la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo (5). Por lo tanto, la definición de servicios de seguridad gestionados en el presente Reglamento debe ser coherente con la de proveedores de servicios de seguridad gestionados establecida en la Directiva (UE) 2022/2555. Dichos servicios consisten en llevar a cabo o prestar asistencia para actividades relacionadas con la gestión de los riesgos de ciberseguridad de los clientes de tales servicios y han ido adquiriendo cada vez más importancia en el contexto de la prevención y atenuación de los efectos de incidentes. En consecuencia, los proveedores de dichos servicios se consideran, de conformidad con la Directiva (UE) 2022/2555, entidades esenciales o importantes pertenecientes a un sector de alta criticidad. Como se indica en el considerando 86 de la citada Directiva, los proveedores de servicios de seguridad gestionados en ámbitos como la respuesta a incidentes, las pruebas de penetración, las auditorías de seguridad y la consultoría desempeñan un papel especialmente importante prestando asistencia a las entidades en sus esfuerzos de prevención, detección, respuesta y recuperación en relación con los incidentes. No obstante, los propios proveedores de servicios de seguridad gestionados también han sido víctimas de ciberataques y plantean un riesgo especial como consecuencia de su estrecha integración en las actividades de sus clientes. Por lo tanto, es importante que las entidades que se consideren esenciales e importantes de acuerdo con la Directiva (UE) 2022/2555 redoblen su diligencia a la hora de seleccionar proveedores de servicios de seguridad gestionados.

(4)

La definición de servicios de seguridad gestionados en el presente Reglamento incluye una lista no exhaustiva de servicios de seguridad gestionados que podrían acogerse a esquemas europeos de certificación de la ciberseguridad, como la respuesta a incidentes, las pruebas de penetración, las auditorías de seguridad y la consultoría, relacionada con la asistencia técnica. Los servicios de seguridad gestionados podrían abarcar servicios de ciberseguridad que ayudan en la preparación, la prevención, la detección, el análisis, la atenuación de los efectos, la respuesta y la recuperación de incidentes. El suministro de información sobre ciberamenazas y la evaluación de riesgos relacionados con la asistencia técnica también podrían considerarse servicios de seguridad gestionados. Pueden existir diferentes esquemas europeos de certificación de la ciberseguridad para diferentes servicios de seguridad gestionados. Los certificados europeos de ciberseguridad expedidos de conformidad con dichos esquemas deben referirse a servicios de seguridad gestionados específicos de un proveedor específico de tales servicios.

(5)

Los proveedores de servicios de seguridad gestionados también pueden desempeñar un papel importante en relación con las acciones de apoyo a la respuesta y recuperación inicial de la Unión en caso de incidentes significativos e incidentes de ciberseguridad a gran escala, basándose en servicios de proveedores de confianza y en la realización de pruebas de entidades críticas para detectar posibles vulnerabilidades basadas en las evaluaciones coordinadas de riesgos a escala de la Unión. La certificación de los servicios de seguridad gestionados puede ser pertinente en la selección de los proveedores de confianza de servicios de seguridad gestionados tal como se define en el Reglamento (UE) 2025/38 del Parlamento Europeo y del Consejo (6).

(6)

La certificación de los servicios de seguridad gestionados no solo es pertinente en el marco del proceso de selección de la Reserva de Ciberseguridad de la UE establecida por el Reglamento (UE) 2025/38 sino que constituye también un indicador de calidad fundamental para las entidades públicas y privadas que tengan intención de contratar esos servicios. En vista de la criticidad de los servicios de seguridad gestionados y de la sensibilidad de los datos tratados, la certificación podría proporcionar importantes orientaciones y garantías sobre la fiabilidad de esos servicios a los clientes potenciales. Se pretende que los esquemas europeos de certificación de la ciberseguridad en relación con los servicios de seguridad gestionados contribuyan a evitar la fragmentación del mercado interior. Por consiguiente, el presente Reglamento tiene por objeto mejorar el funcionamiento del mercado interior.

(7)

Los esquemas europeos de certificación de la ciberseguridad en relación con los servicios de seguridad gestionados deben conducir a la adopción de dichos servicios y a una mayor competencia entre los proveedores de servicios de seguridad gestionados. Sin perjuicio del objetivo de garantizar unos niveles suficientes y adecuados de conocimientos técnicos pertinentes e integridad profesional de dichos proveedores, dichos esquemas de certificación deben, por tanto, facilitar la entrada en el mercado y la oferta de servicios de seguridad gestionados, simplificando, en la medida de lo posible, la potencial carga normativa, administrativa y financiera que podría recaer en los proveedores, en particular las pequeñas y medianas empresas (pymes), incluidas las microempresas, al ofrecer servicios de seguridad gestionados. Además, con el fin de fomentar la adopción de servicios de seguridad gestionados y estimular la demanda de tales servicios, los esquemas europeos de certificación de la ciberseguridad deben contribuir a su accesibilidad, en particular para los agentes más pequeños, como las pymes, incluidas las microempresas, así como para las autoridades locales y regionales que tienen capacidades y recursos limitados, pero que tienen más probabilidades de verse afectadas por vulneraciones de la ciberseguridad con implicaciones financieras, jurídicas, de reputación y operativas.

(8)

Es importante ofrecer apoyo a las pymes, incluidas las microempresas en la aplicación del presente Reglamento y en la obtención de las capacidades y capacidades especializadas en materia de ciberseguridad necesarios para prestar servicios de seguridad gestionados de conformidad con los requisitos establecidos en el presente Reglamento. El Programa Europa Digital establecido por el Reglamento (UE) 2021/694 del Parlamento Europeo y del Consejo (7) y otros programas pertinentes de la Unión disponen que la Comisión establezca un apoyo financiero y técnico que permita a esas empresas contribuir al crecimiento de la economía de la Unión y al fortalecimiento de un nivel común de ciberseguridad en la Unión, incluido a través de la racionalización del apoyo financiero del Programa Europa Digital y otros programas pertinentes de la Unión y apoyando a las pymes, incluidas las microempresas.

(9)

Los esquemas europeos de certificación de la ciberseguridad en relación con los servicios de seguridad gestionados deben contribuir a la disponibilidad de servicios seguros y de alta calidad que garanticen una transición digital segura y a la consecución de los objetivos establecido en el Programa Estratégico de la Década Digital para 2030 establecido por la Decisión (UE) 2022/2481 del Parlamento Europeo y del Consejo (8), en particular en lo que se refiere al objetivo de que el 75 % de las empresas de la Unión empiecen a utilizar servicios de computación en nube, macrodatos («big data») o inteligencia artificial, de que más del 90 % de las pymes, incluidas las microempresas, alcancen al menos un nivel básico de intensidad digital y de que los servicios públicos esenciales sean accesibles en línea.

(10)

Además de la implementación de productos, servicios o procesos de TIC, los servicios de seguridad gestionados a menudo ofrecen características adicionales que dependen de las competencias, conocimientos especializados y experiencia del personal de los proveedores de dichos servicios. A fin de garantizar que los servicios de seguridad gestionados que se presten sean de muy alta calidad, debe exigirse, dentro de los objetivos de seguridad, un nivel muy elevado de dichas competencias, conocimientos especializados y experiencia, así como unos procedimientos internos adecuados. Para asegurar que todos los aspectos de los servicios de seguridad gestionados puedan estar incluidos en los esquemas europeos de certificación de la ciberseguridad específicos, es necesario, por tanto, modificar el Reglamento (UE) 2019/881. Deben tenerse en cuenta los resultados y recomendaciones de la evaluación y revisión previstas en el Reglamento (UE) 2019/881.

(11)

Con el fin de facilitar el crecimiento de un mercado interior fiable, al tiempo que se crean asociaciones con terceros países afines, el proceso de certificación previsto en el marco europeo de certificación de la ciberseguridad previsto en el Reglamento (UE) 2019/881 debe ejecutarse de manera que facilite el reconocimiento internacional y la armonización con las normas internacionales.

(12)

La Unión se enfrenta a una brecha de talento, caracterizada por una escasez de profesionales cualificados, y a un panorama de amenazas en rápida evolución, como se reconoce en la Comunicación de la Comisión, de 18 de abril de 2023, titulada «Colmar la brecha de talento en materia de ciberseguridad para impulsar la competitividad, el crecimiento y la resiliencia de la UE (“Academia de Cibercapacidades”)». Los recursos educativos y la oferta de formación formal difieren y los conocimientos pueden adquirirse de diversas maneras: formalmente, por ejemplo, a través de la universidad o cursos o no formalmente, por ejemplo, mediante la formación en el puesto de trabajo o la experiencia profesional en el ámbito pertinente. Por consiguiente, a fin de facilitar la aparición de servicios de seguridad gestionados de alta calidad y tener una mejor visión de conjunto de la composición de la mano de obra de la Unión en materia de ciberseguridad, es importante reforzar la cooperación entre los Estados miembros, la Comisión, la Agencia de la Unión Europea para la Ciberseguridad establecida por el Reglamento (UE) 2019/881 (ENISA) y las partes interesadas, incluidas las provenientes del sector privado y del mundo académico, mediante el desarrollo de asociaciones público-privadas, el apoyo a iniciativas de investigación e innovación, el desarrollo y el reconocimiento mutuo de normas comunes y la certificación de capacidades en materia de ciberseguridad, también a través del marco europeo de capacidades en ciberseguridad. Tal cooperación también facilitaría la movilidad de los profesionales de la ciberseguridad dentro de la Unión, así como la integración de los conocimientos y la formación en materia de ciberseguridad en los programas educativos, garantizando al mismo tiempo el acceso de las personas jóvenes a períodos de prácticas y aprendizaje profesional, incluidas las personas que viven en regiones desfavorecidas, como las islas y las zonas escasamente pobladas, rurales y remotas. Es importante que dicha cooperación tenga el objetivo de atraer a más mujeres y niñas a este ámbito y contribuya a superar la brecha de género en la ciencia, la tecnología, la ingeniería y las matemáticas, y que el sector privado trate de impartir formación en el puesto de trabajo que aborde las capacidades más demandadas, con la participación de la administración pública y las empresas emergentes, así como las pymes, incluidas las microempresas. Asimismo, es importante que los proveedores y los Estados miembros colaboren y contribuyan a la recopilación de datos sobre la situación y la evolución del mercado laboral en el ámbito de la ciberseguridad.

(13)

ENISA desempeña un papel importante en la preparación de las propuestas de esquemas europeos de certificación de la ciberseguridad. Al preparar el proyecto de presupuesto general de la Unión, la Comisión debe evaluar los recursos presupuestarios necesarios para la plantilla de personal de ENISA, de conformidad con el procedimiento establecido en el artículo 29 del Reglamento (UE) 2019/881.

(14)

El presente Reglamento prevé modificaciones específicas del Reglamento (UE) 2019/881 para permitir el establecimiento de esquemas europeos de certificación de la ciberseguridad para los servicios de seguridad gestionados. Al hacerlo, también especifica y aclara determinadas disposiciones de dicho Reglamento relativas a la preparación y el funcionamiento de todos los esquemas europeos de certificación de la ciberseguridad con vistas a garantizar su transparencia y apertura. Estas últimas modificaciones, que se limitan a la especificación o aclaración del Reglamento (UE) 2019/881, en particular las modificaciones relativas a la información que debe facilitar ENISA al transmitir la propuesta de esquema, a los grupos de trabajo ad hoc creados para cada propuesta de esquema, y a la información y consulta sobre los esquemas europeos de certificación de la ciberseguridad, no deben perjudicar en modo alguno la evaluación y revisión más amplias de dicho Reglamento que se exigen en virtud del artículo 67 de dicho Reglamento, en particular la evaluación de los efectos, la eficacia y la eficiencia del título de dicho Reglamento relativo al marco de certificación de la ciberseguridad. La evaluación y revisión de dicho título deben basarse en una consulta amplia a las partes interesadas y en un análisis completo y exhaustivo de los procedimientos pertinentes.

(15)

Dado que el objetivo del presente Reglamento, a saber, facilitar el establecimiento de esquemas europeos de certificación de la ciberseguridad para los servicios de seguridad gestionados, no puede ser alcanzado de manera suficiente por los Estados miembros, sino que, debido a su dimensión y efectos, puede lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dicho objetivo.

(16)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (9), emitió su dictamen el 10 de enero de 2024.

1)

En el artículo 1, apartado 1, párrafo primero, la letra b) se sustituye por el texto siguiente:

2)

El artículo 2 se modifica como sigue:

3)

En el artículo 4, el apartado 6 se sustituye por el texto siguiente:

4)

El artículo 8 se modifica como sigue:

5)

El artículo 46 se sustituye por el texto siguiente:

6)

El artículo 47 se modifica como sigue:

7)

El artículo 49 se modifica como sigue:

8)

Se inserta el artículo siguiente:

9)

El artículo 51 se modifica como sigue:

10)

Se inserta el artículo siguiente:

11)

El artículo 52 se modifica como sigue:

12)

En el artículo 53, los apartados 1, 2 y 3 se sustituyen por el texto siguiente:

13)

En el artículo 54, el apartado 1 se modifica como sigue:

14)

El artículo 56 se modifica como sigue:

15)

En el artículo 57, los apartados 1 y 2 se sustituyen por el texto siguiente:

16)

El artículo 58 se modifica como sigue:

17)

En el artículo 59, apartado 3, las letras b) y c) se sustituyen por el texto siguiente:

18)

En el artículo 67, los apartados 2 y 3 se sustituyen por el texto siguiente:

19)

El anexo se modifica de conformidad con el anexo del presente Reglamento.