Nuevas medidas de la Comisión Europea para mejorar la ciberseguridad en la UE

La Comisión Europea ha presentado un nuevo paquete de medidas para fortalecer la resiliencia y las capacidades de ciberseguridad de la Unión Europea, en respuesta al aumento de ciberataques y amenazas híbridas dirigidas contra servicios esenciales, infraestructuras críticas e instituciones democráticas. Estas amenazas, cada vez más sofisticadas, provienen tanto de actores estatales como de redes criminales organizadas.

El núcleo de la propuesta es una revisión del Cybersecurity Act, cuyo objetivo principal es mejorar la seguridad de las cadenas de suministro de tecnologías de la información y comunicación (TIC) en el mercado europeo. La Comisión destaca que la seguridad de estas cadenas es un elemento clave para el funcionamiento de sectores estratégicos y que, en el actual contexto geopolítico, los riesgos no se limitan únicamente a aspectos técnicos, sino que también incluyen dependencias estratégicas y posibles interferencias externas.

El nuevo marco establece un enfoque armonizado, proporcional y basado en riesgos, que permitirá a la UE y a los Estados miembros identificar y mitigar riesgos en 18 sectores críticos. Entre las medidas previstas se incluye la reducción obligatoria de riesgos en las redes móviles europeas frente a proveedores considerados de alto riesgo, en línea con el trabajo ya realizado en el marco del 5G security toolbox.

Otro elemento central del paquete es la simplificación y mejora del Marco Europeo de Certificación de Ciberseguridad. La Comisión propone procedimientos más claros y ágiles que faciliten el desarrollo de esquemas de certificación en plazos más cortos. Gestionadas por la Agencia de la Unión Europea para la Ciberseguridad (ENISA), estas certificaciones serán voluntarias y permitirán a las empresas demostrar el cumplimiento de la legislación europea, reduciendo cargas administrativas y costos. Además, no solo se podrán certificar productos y servicios TIC, sino también la postura general de ciberseguridad de las organizaciones.

El paquete también contempla ajustes a la Directiva NIS2, con el objetivo de facilitar el cumplimiento normativo y aportar mayor claridad jurídica. Estas modificaciones están diseñadas para reducir la carga regulatoria de miles de empresas, incluidas micro, pequeñas y medianas, así como una nueva categoría de empresas de mediana capitalización, manteniendo al mismo tiempo un alto nivel de protección. En este contexto, las empresas fuera de la UE que colaboran con socios europeos (incluidas aquellas en El Salvador) podrían verse incentivadas a alinearse con estándares europeos de ciberseguridad, especialmente en actividades vinculadas a servicios digitales y cadenas de suministro tecnológicas.

Finalmente, la propuesta refuerza el papel de ENISA como pilar del ecosistema europeo de ciberseguridad. La agencia ampliará su apoyo a los Estados miembros y a las empresas mediante alertas tempranas, asistencia en la respuesta a incidentes, apoyo frente a ataques de ransomware y el impulso de capacidades y competencias en ciberseguridad a escala europea.

Las propuestas deberán ahora ser examinadas por el Parlamento Europeo y el Consejo de la Unión Europea. Una vez adoptadas, los Estados miembros dispondrán de un plazo de un año para transponer las disposiciones correspondientes a su legislación nacional.

Fuentes: European Comission