ES Diario Oficial de la Unión Europea C 218/130

Dictamen del Comité Económico y Social Europeo sobre la «Propuesta de Directiva del Parlamento Europeo y del Consejo relativa a los ataques contra los sistemas de información, por la que se deroga la Decisión marco 2005/222/JAI del Consejo»

[COM(2010) 517 final — 2010/0273 (COD)]

2011/C 218/27

Ponente general: Peter MORGAN

El 20 de enero de 2011, de conformidad con el artículo 114 del Tratado de Funcionamiento de la Unión Europea, el Consejo decidió consultar al Comité Económico y Social Europeo sobre la

«Propuesta de Directiva del Parlamento Europeo y del Consejo relativa a los ataques contra los sistemas de información, por la que se deroga la Decisión marco 2005/222/JAI del Consejo»

COM(2010) 517 final — 2010/0273 (COD).

El 15 de febrero de 2011, la Mesa del Comité Económico y Social Europeo encargó a la Sección Especializada de Transportes, Energía, Infraestructuras y Sociedad de la Información la preparación de los trabajos en este asunto.

Dada la urgencia de los trabajos (artículo 59 del Reglamento interno), en su 471o Pleno de los días 4 y 5 de mayo de 2011 (sesión del 4 de mayo de 2011), el Comité Económico y Social Europeo ha nombrado ponente general a Peter Morgan y ha aprobado por 173 votos a favor, 1 en contra y 7 abstenciones el presente Dictamen.

1. Conclusiones y Recomendaciones

1.1 El Comité acoge positivamente la Comunicación de la Comisión sobre la Propuesta de Directiva del Parlamento Europeo y del Consejo relativa a los ataques contra los sistemas de información. El Comité comparte la honda inquietud de la Comisión por las dimensiones de la ciberdelincuencia en Europa y el daño real y potencial que esta amenaza cada vez mayor inflige a la economía y el bienestar de los ciudadanos.

1.2 El Comité comparte asimismo la decepción de la Comisión por que hasta la fecha solo diecisiete de los veintisiete Estados miembros hayan ratificado el Convenio del Consejo de Europa sobre ciberdelincuencia («Convenio sobre ciberdelincuencia») (1). El Comité pide a los restantes Estados miembros (2), a saber, Austria, Bélgica, Chequia, Grecia, Irlanda, Luxemburgo, Malta, Polonia, Suecia y el Reino Unido, que ratifiquen el Convenio sobre ciberdelincuencia lo antes posible.

1.3 El Comité coincide con la Comisión en que se necesita urgentemente una directiva para actualizar las definiciones de las infracciones cometidas en los ataques contra los sistemas de información, y aumentar la coordinación y cooperación europeas en materia penal para responder de manera eficaz a este importante problema.

1.4 Dada la necesidad urgente de una iniciativa legislativa para responder de manera específica a los ataques contra los sistemas de información, el Comité apoya la decisión de la Comisión de utilizar la opción de una Directiva respaldada con medidas no legislativas, que tenga específicamente por objeto este aspecto particular de la ciberdelincuencia.

1.5 No obstante, como ya señaló en un dictamen anterior (3), el CESE pide a la Comisión que al mismo tiempo trabaje con la elaboración de una normativa global de la UE para combatir la ciberdelincuencia. El Comité considera que un marco global resulta esencial para el éxito de la Agenda Digital y la Estrategia Europa 2020 (4). Este marco cubriría los aspectos relativos a la prevención, la detección y la educación, además de las cuestiones policiales y penales.

1.6 En su momento, el CESE desearía examinar las propuestas de la Comisión sobre la creación de un marco global de medidas para responder al problema general de la seguridad en Internet. Si consideramos que, dentro de diez años, la mayoría de la población utilizará Internet, y que de ella dependerá la mayor parte de la actividad económica y social, resulta impensable que todavía podamos basarnos en la utilización actual de la red, informal y sin estructura, en particular si se tiene en cuenta que el valor económico de esta actividad será incalculable. Se plantearán múltiples cuestiones, que incluirán nuevos desafíos, como la seguridad de los datos personales, la privacidad y la ciberdelincuencia. El control de la seguridad aérea depende de una autoridad central que fija normas para los aviones, los aeropuertos y las operaciones de las líneas aéreas. Ha llegado el momento de crear una autoridad análoga que establezca normas infalibles para los dispositivos terminales (ordenadores personales, tabletas, teléfonos móviles) y la seguridad de las redes, de los sitios web y de los datos. La configuración física de Internet es un elemento clave de la defensa contra la ciberdelincuencia. La UE va a necesitar un organismo regulador con competencias para Internet.

1.7 La directiva se centrará en la definición de este tipo de delincuencia y la amenaza de sanciones. El CESE pide que al mismo tiempo se insista en la prevención mediante medidas de seguridad más adecuadas. Los fabricantes de equipos deberían cumplir ciertas normas para garantizar que sus productos sean infalibles. Resulta inaceptable que la seguridad de los dispositivos, y por consiguiente de las redes, dependa de su propietario. Debería examinarse la posibilidad de instaurar un sistema de identidad electrónica para toda Europa, aunque diseñado con gran cuidado para evitar las violaciones de la privacidad; habría que impulsar la plena explotación de las capacidades del IPv6 en el ámbito de la seguridad, y la formación en ciberseguridad personal de los ciudadanos, incluida la seguridad de los datos, debería constituir una parte fundamental de todos los programas de estudio para la alfabetización digital. Conviene que la Comisión tenga en cuenta los dictámenes anteriores del Comité en los que ya se han abordado estas cuestiones (5).

1.8 El Comité se felicita por que la propuesta de Directiva cubra de manera adecuada los ataques contra los sistemas de información realizados mediante redes zombis de ordenadores infectados (botnets) (6), incluidos los ataques de denegación de servicio (7). Asimismo, el Comité considera que la Directiva ayudará a las autoridades a enjuiciar los casos de ciberdelincuencia que intentan explotar la interconectividad internacional de las redes, así como a los delincuentes que procuran esconderse tras el anonimato que ofrecen las sofisticadas herramientas de la ciberdelincuencia.

1.9 Asimismo, el Comité se muestra satisfecho con la lista de delitos cubiertos por la Directiva, y en especial por la inclusión del delito de «interceptación ilegal» y la clara explicación de los «instrumentos utilizados para cometer las infracciones».

1.10 No obstante, considerando que la confianza y la seguridad son primordiales para la economía digital, y el enorme coste anual de la ciberdelincuencia (8), el Comité propone que la severidad de las sanciones contempladas en la Directiva refleje la gravedad del delito, de forma que también funcionen como un auténtico elemento disuasorio para los delincuentes. La Directiva propuesta fija sanciones mínimas de dos a cinco años de prisión (cinco años en caso de circunstancias agravantes). El CESE considera que debe establecerse una escala de sanciones en función de la gravedad del delito.

1.11 El CESE propone que se aproveche esta oportunidad para enviar un mensaje enérgico a los delincuentes y a los ciudadanos que quieren garantías, estableciendo sanciones más duras. Por ejemplo, el Reino Unido (9) aplica sanciones de hasta diez años a los ataques a gran escala contra los sistemas de información, y Estonia ha aumentado sus sanciones de modo que el uso con fines terroristas de ataques a gran escala puede castigarse hasta con veinticinco años de cárcel (10).

1.12 El Comité acoge positivamente la propuesta de la Comisión para respaldar la Directiva con medidas no legislativas destinadas a seguir fomentando una acción coordinada a nivel de la UE y una aplicación más eficaz. Asimismo, el CESE desearía hacer hincapié en la necesidad de ampliar la coordinación de modo que abarque una cooperación estrecha con todos los países de la AELC y la OTAN.

1.13 El Comité respalda plenamente los programas de formación y las recomendaciones de buenas prácticas propuestos a fin de reforzar la red de puntos de contacto existentes durante 24 horas al día 7 días a la semana para los servicios policiales.

1.14 Además de las medidas no legislativas mencionadas en la propuesta, el Comité pide a la Comisión que considere la posibilidad de dedicar específicamente fondos de I+D al desarrollo de sistemas de detección temprana y de respuesta para combatir los ataques contra los sistemas de información. Los últimos avances tecnológicos en materia de computación en nube (11) y procesamiento de datos descentralizado (12) ofrecen el potencial necesario para proteger mejor a Europa de muchas amenazas.

1.15 El Comité propone que la ENISA patrocine un programa de desarrollo de competencias específicas para reforzar el sector de la seguridad de las TIC en Europa aparte de los servicios policiales (13).

1.16 A fin de fortalecer las defensas europeas contra los ciberataques, el Comité desea reiterar la importancia de crear una Asociación público-privada europea de resistencia (EP3R) e integrarla en los trabajos de la Agencia Europea de Seguridad de las Redes y de la Información (ENISA) y el Grupo gubernamental europeo de CERT (EGC).

1.17 Es preciso fomentar un sector europeo de seguridad de la información fuerte y capaz de competir con el estadounidense, que está muy bien financiado (14). Deberían incrementarse de manera significativa las inversiones en I+D y educación en el ámbito de la ciberseguridad.

1.18 El Comité constata las exenciones que los protocolos del Tratado conceden al Reino Unido, Irlanda y Dinamarca para la aplicación de la Directiva propuesta. A pesar de estas exenciones, el Comité insta a los Estados miembros a que apoyen en el mayor grado posible las disposiciones de esta Directiva, a fin de evitar que los delincuentes exploten las deficiencias de las políticas en el conjunto de la Unión.

2. Introducción

2.1 En la actualidad Europa depende enormemente de los sistemas de información para crear riqueza y para nuestra calidad de vida. Es importante que nuestra dependencia creciente vaya acompañada de una sofisticación cada vez mayor de las medidas de seguridad y de una legislación firme que permita proteger los sistemas de información de posibles ataques.

2.2 Internet es la plataforma clave de la sociedad digital. Responder a los retos que plantea la seguridad de los sistemas de información es crucial para el desarrollo de la sociedad y la economía digitales. En Internet se basa la mayor parte de las infraestructuras críticas de información de Europa, pues constituye el fundamento de las plataformas de información y comunicación para proveer los productos y servicios básicos. La posibilidad de un ataque contra los sistemas de información –sistemas gubernamentales, financieros, seguridad social e infraestructuras esenciales como el abastecimiento energético, el agua, el transporte o los servicios sanitarios y de emergencia– se ha convertido en un problema de primer orden.

2.3 La arquitectura de Internet está basada en la interconexión de millones de ordenadores cuya capacidad de proceso, comunicación y control está distribuida por todo el mundo. Esta arquitectura distribuida es clave para conseguir que Internet sea estable y resistente y que los flujos de tráfico se recuperen con rapidez cuando haya algún problema. Sin embargo, también significa que cualquier persona malintencionada que posea los conocimientos básicos puede lanzar ciberataques a gran escala desde los márgenes de la red, por ejemplo utilizando redes zombis.

2.4 El desarrollo de la tecnología informática ha agravado estos problemas al facilitar la producción y distribución de herramientas (programas nocivos o malware (15), y redes zombis), al mismo tiempo que permite el anonimato de los autores y reparte las responsabilidades entre las jurisdicciones. Las dificultades para llevar a cabo el enjuiciamiento permiten a la delincuencia organizada obtener beneficios considerables con pocos riesgos.

2.5 Según un estudio de 2009 (16), presentado en el Foro Económico Mundial, los costes globales de la ciberdelincuencia ascienden a un billón de dólares y crecen rápidamente. Un informe reciente (17) del Gobierno del Reino Unido evalúa los costes anuales solo para este país en 27 000 millones de libras esterlinas. El coste elevado de la ciberdelincuencia requiere medidas rigurosas, un control estricto de su cumplimiento y sanciones elevadas para los delincuentes.

2.6 Como se señala en el documento de trabajo de la Comisión que acompaña la propuesta de Directiva (18), la delincuencia organizada y los gobiernos hostiles explotan el potencial destructivo de los ataques contra los sistemas de información en toda la Unión. Los ataques procedentes de estas redes zombis pueden ser muy peligrosos para el conjunto del país afectado y también pueden ser utilizados por terroristas u otros para ejercer presión política sobre un gobierno.

2.7 El ataque contra Estonia de abril-mayo de 2007 puso el problema sobre el tapete. Durante días, el ataque bloqueó partes importantes de la infraestructura de información crítica del Gobierno y el sector privado, que debido a los amplios ataques dejaron de funcionar, con un coste de entre 19 y 28 millones de euros, además del considerable coste político. También Lituania y Georgia fueron objeto de ataques destructivos similares.

2.8 Las redes de comunicaciones globales requieren un alto grado de interconectividad transfronteriza. Resulta esencial que los 27 Estados miembros de la UE emprendan una acción colectiva y uniforme para combatir la ciberdelincuencia, y en particular los ataques contra los sistemas de información. Esta interdependencia internacional supone para la UE la responsabilidad de disponer de una política integrada para proteger los sistemas de información de los ataques y castigar a los delincuentes.

2.9 En su Dictamen sobre la propuesta de la Comisión «Una estrategia para una sociedad de la información segura» (19), el Comité formula su deseo de que se elabore una normativa global de la UE contra la ciberdelincuencia. Además de los ataques contra los sistemas de información, un marco jurídico global debería abarcar también cuestiones como la ciberdelincuencia financiera, los contenidos ilícitos en Internet, la recogida/almacenamiento/transferencia de pruebas electrónicas y unas normas más detalladas en materia de competencias.

2.10 El Comité reconoce que la elaboración de un marco global es una tarea ardua, dificultada todavía más si cabe por la falta de consenso político (20) y por los problemas causados por las diferencias significativas entre Estados miembros en relación con la admisibilidad de las pruebas electrónicas en los tribunales. No obstante, un marco global de este tipo maximizaría los beneficios de los instrumentos tanto legislativos como no legislativos para hacer frente al amplio abanico de problemas relacionados con la ciberdelincuencia. Asimismo, se ocuparía del marco jurídico penal y mejoraría al mismo tiempo la cooperación policial en la UE. El Comité insta a la Comisión a que siga trabajando con el objetivo de establecer un marco jurídico global en materia de ciberdelincuencia.

2.11 La lucha contra la ciberdelincuencia requiere competencias especiales. El dictamen del Comité sobre la propuesta de Reglamento relativo a la ENISA (21) destacaba la importancia de la formación de los funcionarios de policía. El Comité acoge positivamente que la Comisión avance con la creación de una plataforma de formación en materia de ciberdelincuencia en la que participen la policía y el sector privado, como se propone en el COM(2007) 267 (22).

2.12 Partes interesadas en la ciberseguridad de la UE son todos los ciudadanos, cuya vida puede depender de servicios fundamentales. Estos mismos ciudadanos tienen la responsabilidad de hacer todo lo que esté en su mano para proteger su conexión a Internet contra posibles ataques. Todavía más responsables son los proveedores de tecnología y servicios de las TIC que suministran sistemas de información.

2.13 Es crucial que todas las partes interesadas estén debidamente informadas sobre la ciberseguridad. También es importante que Europa tenga un gran número de expertos cualificados en el ámbito de la ciberseguridad.

2.14 Es preciso fomentar un sector europeo de seguridad de la información fuerte y capaz de competir con el estadounidense, que está muy bien financiado (23). Deberían incrementarse de manera significativa las inversiones en I+D y educación en el ámbito de la ciberseguridad.

3. Síntesis de la propuesta de directiva

3.1 El objetivo de la propuesta es sustituir la Decisión marco 2005/222/JAI del Consejo, de 24 de febrero de 2005, relativa a los ataques contra los sistemas de información (24). La Decisión marco respondía, tal como se declaraba en sus considerandos, al objetivo de reforzar la cooperación entre las autoridades judiciales y otras autoridades competentes, incluida la policía y otros servicios especializados de los Estados miembros competentes en materia de seguridad, mediante la aproximación de las normas de Derecho penal de los Estados miembros relativas a los ataques contra los sistemas de información. La Decisión marco introdujo una normativa de la UE para regular infracciones penales como el acceso ilegal a los sistemas de información, la intromisión ilegal en el sistema y la intromisión ilegal en los datos, así como normas específicas sobre la responsabilidad de las personas jurídicas, la competencia y el intercambio de información. Se instó a los Estados miembros a que adoptaran las medidas necesarias para cumplir las disposiciones de la Decisión marco a más tardar el 16 de marzo de 2007.

3.2 El 14 de julio de 2008, la Comisión publicó un informe sobre la aplicación de la Decisión marco (25). En las conclusiones se señalaba que «desde la adopción de la Decisión marco, los recientes ataques sufridos en toda Europa han puesto de manifiesto las diversas amenazas que están apareciendo y, en particular, los ataques simultáneos y masivos contra los sistemas de información y la creciente utilización delictiva de los denominados botnets». En el momento de la adopción de la Decisión marco, estos ataques no estaban en el centro de atención.

3.3 La propuesta analizada tiene en cuenta los nuevos métodos de comisión de delitos informáticos y, en particular, la utilización de redes de ordenadores infectados (26). Es muy difícil rastrear a los autores porque los ordenadores que constituyen la red infectada y realizan el ataque pueden encontrarse en un lugar diferente del propio infractor.

3.4 Con frecuencia, los ataques originados en las redes zombis se ejecutan a gran escala. Los ataques a gran escala pueden ser ataques realizados mediante el uso de herramientas que afectan a un número significativo de sistemas de información (ordenadores), o ataques que causan daños considerables como, por ejemplo, interrupción de los servicios del sistema, costes económicos, pérdida de datos personales, etc. Los daños causados por los ataques a gran escala tienen un gran impacto en el funcionamiento del propio objetivo y pueden afectar a su entorno de trabajo. En este contexto, se considera que una gran red zombi puede causar graves daños. Es difícil definir las redes zombis en función de su tamaño, pero se estima que las mayores redes de este tipo observadas tienen entre 40 000 y 100 000 conexiones (es decir, ordenadores infectados) por periodo de 24 horas (27).

3.5 La Decisión marco tiene una serie de deficiencias que se explican por la tendencia en relación con el tamaño y el número de los delitos (ciberataques). Aproxima las legislaciones sólo para un número limitado de infracciones penales, pero no aborda en su totalidad la amenaza potencial que representan los ataques a gran escala para la sociedad. Tampoco tiene suficientemente en cuenta la gravedad de las infracciones y las sanciones previstas.

3.6 El objetivo de esta Directiva es aproximar las normas de Derecho penal de los Estados miembros en materia de ataques contra los sistemas de información, y mejorar la cooperación entre las autoridades judiciales y otras autoridades competentes, incluida la policía y los demás servicios especializados de los Estados miembros competentes en materia de seguridad.

3.7 Los ataques contra los sistemas de información, en particular los dirigidos por la delincuencia organizada, son una amenaza creciente, y cada vez preocupa más la posibilidad de atentados terroristas o con motivaciones políticas contra los sistemas de información que forman parte de las infraestructuras críticas de los Estados miembros y la Unión. Esta situación pone en peligro la realización de una sociedad de la información segura y de un espacio de libertad, seguridad y justicia y exige, por tanto, una respuesta por parte de la Unión Europea.

3.8 Se comprueba una tendencia hacia ataques de gran escala cada vez más graves y recurrentes contra sistemas de información que son críticos para los Estados o para determinadas funciones del sector público o privado. Esta tendencia coincide con el desarrollo de instrumentos cada vez más sofisticados que pueden utilizar los delincuentes para lanzar ataques informáticos de diverso tipo.

3.9 Es importante en esta materia disponer de definiciones comunes, especialmente de los sistemas de información y los datos informáticos, a fin de garantizar la aplicación coherente de la Directiva.

3.10 Es necesario llegar a un enfoque común respecto de los elementos constitutivos de las infracciones penales introduciendo las infracciones comunes de acceso ilegal a un sistema de información, de intromisión ilegal en el sistema, de intromisión ilegal en los datos y de interceptación ilegal.

3.11 Los Estados miembros deben prever sanciones para los ataques contra los sistemas de información. Estas sanciones deben ser efectivas, proporcionadas y disuasorias.

3.12 La Directiva, al derogar la Decisión marco 2005/222/JAI, mantendrá sus disposiciones actuales e incluirá los nuevos elementos siguientes: (a) penaliza la producción, la venta, la adquisición para el uso, la importación, la distribución y cualquier otra forma de puesta a disposición de los dispositivos/instrumentos utilizados para cometer las infracciones. (b) Incluye circunstancias agravantes: — el aspecto de gran escala de los ataques, las redes de ordenadores infectados y los dispositivos similares constituiría nuevas circunstancias agravantes, en el sentido de que el acto de poner en funcionamiento una red de este tipo o un dispositivo similar sería un factor agravante al cometerse las infracciones penales enumeradas en la Decisión marco existente; — cuando tales ataques se cometan ocultando la identidad real del autor y causando daños al legítimo titular de la identidad. (c) Introduce la infracción penal de la «interceptación ilícita». (d) Introduce medidas para mejorar la cooperación judicial europea en materia penal al reforzar la estructura existente de puntos de contacto 24/7 (28). (e) Aborda la necesidad de proporcionar datos estadísticos sobre la ciberdelincuencia, incluidas las infracciones a que se refiere la Decisión marco existente y la «interceptación ilícita» recientemente introducida. (f) En las definiciones de las infracciones penales recogidas en los artículos 3, 4 y 5 (acceso ilegal a los sistemas de información, intromisión ilegal en los sistemas de información e intromisión ilegal en los datos), contiene una disposición que, en el proceso de incorporación de la Directiva al ordenamiento interno, permite tipificar como infracciones penales «sólo los casos que no sean de menor gravedad».

Bruselas, 4 de mayo de 2011. El Presidente del Comité Económico y Social Europeo Staffan NILSSON

(1) Convenio del Consejo de Europa sobre ciberdelincuencia, Budapest, 23.11.2001, CEST no 185.

(2) Véase: http://conventions.coe.int/Treaty/Commun/ChercheSig.asp?NT=185&CM=&DF=&CL=ENG

(3) Dictamen del CESE sobre el tema «Una estrategia para una sociedad de la información segura», DO C 97 de 28.4.2007, p. 21.

(4) COM(2010) 245, COM(2010) 2020.

(5) Dictamen del CESE sobre el tema «Una estrategia para una sociedad de la información segura», DO C 97 de 28.4.2007, p. 21. Dictamen del CESE sobre el tema «Promover el progreso de Internet», DO C 175 de 28.7.2009, p. 92. Dictamen del CESE sobre el tema «Protección de infraestructuras críticas de información», DO C 255 de 22.9.2010, p. 98. Dictamen del CESE sobre el tema «Una Agenda Digital para Europa», DO C 54 de 19.2.11, p. 58. Dictamen del CESE sobre el «“Nuevo” Reglamento ENISA», pendiente de publicación en el DO. Dictamen del CESE sobre el tema «Fomentar la alfabetización, la capacitación y la inclusión digitales», pendiente de publicación en el DO.

(6) El término botnet se refiere a una red de ordenadores que han sido infectados por programas nocivos (virus informáticos). Esta red de ordenadores afectados (zombis) puede ser activada para realizar determinadas acciones como ataques a los sistemas de información (ciberataques). Los zombis pueden ser controlados –con frecuencia sin el conocimiento de los usuarios de los ordenadores afectados– por otro ordenador. Es muy difícil rastrear a los autores porque los ordenadores que forman esta red y realizan el ataque pueden encontrarse en un lugar diferente del propio infractor.

(7) Ataque de denegación de servicio – se trata de un acto cuya finalidad es cortar el acceso a un recurso informático (como un sitio web o un servicio Internet) a sus usuarios. El servidor o la página web contactados aparecerán como «no disponibles» para sus usuarios. A raíz de un ataque de este tipo, un sistema de pago en línea podría dejar de funcionar, por poner un ejemplo, ocasionando pérdidas a los usuarios.

(8) Según un estudio de 2009, presentado en el Foro Económico Mundial, los costes globales de la ciberdelincuencia ascienden a un billón de dólares y crecen rápidamente. Véanse los puntos 2.5 y 2.7.

(9) http://www.legislation.gov.uk/ukpga/2006/48/contents.

(10) SEC(2010) 1122 final – Documento de trabajo de los servicios de la Comisión y evaluación de impacto, que acompañan a la Propuesta de Directiva relativa a los ataques contra los sistemas de información.

(11) La computación en nube es un término que cubre la facilitación de recursos informáticos, a la carta o de manera automática, a través de Internet. La presentación resulta simple de entender para sus usuarios, que no necesitan saber cómo funciona el suministro de estos servicios. Cabría la posibilidad de facilitar a todos los usuarios europeos conectados, a través de una plataforma en nube, programas de última generación para usuarios finales, antivirus y de seguridad en Internet, que reducirían la necesidad de los usuarios de protegerse a título individual.

(12) Los procesamientos descentralizados de datos son un modelo de informática distribuida por el que un «superordenador virtual», compuesto de muchos ordenadores vagamente interrelacionados en una red, actúa para llevar a cabo tareas muy complejas. Las tecnologías de procesamiento descentralizado de datos pueden proporcionar una plataforma para los sistemas de análisis y respuesta de los ciberataques en tiempo real.

(13) Dictamen del CESE sobre el «Nuevo» Reglamento ENISA, DO C 107 de 6.4.2011, p. 58.

(14) Las cifras oficiales de la Casa Blanca muestran que, en 2010, el Gobierno de Estados Unidos destinó 407 millones de dólares a la investigación, el desarrollo y la educación en material de ciberseguridad, y propone destinar 548 millones de dólares en el ejercicio 2012 (http://www.whitehouse.gov/sites/default/files/microsites/ostp/FY12-slides.pdf).

(15) Malware, abreviación de malicious software: se trata de un programa diseñado para acceder secretamente a un sistema informático sin el consentimiento de su propietario.

(16) «Unsecured Economies: Protecting Vital Information», estudio realizado por investigadores del Purdue University’s Centre for Education and Research in Information Assurance and Security for McAfee (2009), http://www.cerias.purdue.edu/assets/pdf/mfe_unsec_econ_pr_rpt_fnl_online_012109.pdf.

(17) http://www.cabinetoffice.gov.uk/resource-library/cost-of-cyber-crime.

(18) SEC(2010) 1122.

(19) Dictamen del CESE sobre el tema «Una estrategia para una sociedad de la información segura», DO C 97 de 28.4.2007, p. 21 (TEN/254).

(20) SEC(2010) 1122, Evaluación de impacto del COM(2010) 517.

(21) Dictamen del CESE sobre el «Nuevo» Reglamento ENISA, DO C 107 de 6.4.2011, p. 58.

(22) COM(2007) 267, «Hacia una política general de lucha contra la ciberdelincuencia».

(23) Las cifras oficiales de la Casa Blanca muestran que, en 2010, el Gobierno de Estados Unidos destinó 407 millones de dólares a la investigación, el desarrollo y la educación en material de ciberseguridad, y propone destinar 548 millones de dólares en el ejercicio 2012 (http://www.whitehouse.gov/sites/default/files/microsites/ostp/FY12-slides.pdf).

(24) DO L 69 de 16.3.2005, p. 68.

(25) Informe de la Comisión al Consejo basado en el artículo 12 de la Decisión marco del Consejo, de 24 de febrero de 2005, relativa a los ataques contra los sistemas de información, COM(2008) 448.

(26) Véase la nota a pie de página no 6.

(27) El número de conexiones por 24 horas es la unidad de medida generalmente utilizada para estimar el tamaño de estas redes.

(28) Introducida por el Convenio y la Decisión marco 2005/222/JAI relativa a los ataques contra los sistemas de información.