Bruselas prepara la primera ley europea de seguridad cibernética

Los eurodiputados de la Comisión de Mercado Interior del Parlamento Europeo aprobaron ayer el borrador de la que será la primera ley europea de seguridad cibernética. La futura ley es fruto de un acuerdo entre el Parlamento y el Consejo Europeo alcanzado el pasado 7 de diciembre y deberá ser aprobada por el Pleno de la Eurocámara y por el Consejo.

La nueva directiva pretende lograr un mayor nivel de seguridad común de las redes y sistemas de información en toda la Unión Europea (conocida como NIS). Para ello, quiere acabar con la fragmentación actual en 28 sistemas nacionales de seguridad cibernética, elaborando una lista de aquellos sectores o empresas de servicios críticos que deberán tomar medidas especiales de ciberseguridad.

Así, las empresas que satisfacen servicios básicos, como la energía, el transporte, la banca y la salud, o servicios digitales tales como los motores de búsqueda y la nube donde almacenamos datos, tendrán que tomar medidas para mejorar su capacidad de resistencia a los ataques cibernéticos. Asimismo, tendrán la obligación de informar a las autoridades nacionales sobre eventuales violaciones graves de seguridad recibidas.

Según el proyecto de ley, los 28 Estados Miembros de la UE tendrán que identificar aquellos “operadores de servicios esenciales” en cada uno de los campos mencionados, utilizando los mismos criterios: si el servicio es fundamental para la sociedad y la economía, si depende de otros sistemas de redes y de información o si un incidente podría tener efectos perjudiciales significativos en la prestación de servicios o en la seguridad pública. Las pymes digitales quedarán excluidas de la directiva.

“El Parlamento ha presionado con fuerza para lograr la identificación armonizada de sectores críticos como la energía, transporte, salud o banca, que tendrán que cumplir con las nuevas reglas y notificar incidentes cibernéticos importantes. Los Estados Miembros también tendrán que cooperar más en materia de ciberseguridad, medidas que cobran aún más importancia a la luz de los ataques recientes a la seguridad en Europa”, aclaró el portavoz alemán Andreas Schwab (PPE), tras llegar a un acuerdo sobre la Directiva NIS.

Para garantizar un mayor nivel de seguridad y asegurar la confianza entre los Estados de la UE, el borrador prevé un “grupo de cooperación” estratégica dedicado al intercambio de información y mejores prácticas, a elaborar directrices y ayudar a los países a aumentar su capacidad en seguridad cibernética. Cada Estado deberá adoptar su propia estrategia NIS nacional.

Además, los países también tendrán que establecer una “red de Equipos de Respuesta a Incidentes de Seguridad Informática (CSIRT)”, para manejar incidentes y riesgos, discutir problemas de seguridad transfronterizos e identificar posibles respuestas coordinadas. La Agencia Europea de Seguridad de Redes y de la Información (ENISA) también jugará un papel clave en la aplicación de la directiva.

El proyecto de Directiva NIS, que recalca la necesidad de respetar la protección de datos personales, deberá ser revisado ahora por los juristas y lingüistas antes de ser aprobado por el Consejo y el Pleno del Euro parlamento. A continuación, entrará en vigor y los Estados Miembros tendrán 21 meses para trasponer la directiva a sus legislaciones nacionales, y seis meses adicionales para identificar a los operadores de los servicios esencailes.