COMISIÓN EUROPEA Bruselas,22.2.2018 COM(2017) 477 final/3 2017/0225(COD) CORRIGENDUM



This document corrects document COM(2017)477 final of 04.10.2017



Concerns all language versions.



Correction of errors of a clerical nature, correction of some references and adding the title of an article.



The text shall read as follows: Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a ENISA, la «Agencia de Ciberseguridad de la UE», y por el que se deroga el Reglamento (UE) n.º 526/2013, y relativo a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación («Reglamento de Ciberseguridad») (Texto pertinente a efectos del EEE) {SWD(2017) 500 final}



{SWD(2017) 501 final}



{SWD(2017) 502 final}



EXPOSICIÓN DE MOTIVOS 1.CONTEXTO DE LA PROPUESTA •Razones y objetivos de la propuesta La Unión Europea ha adoptado una serie de medidas para incrementar la resiliencia y mejorar su preparación en materia de ciberseguridad. La primera Estrategia de Ciberseguridad de la UE, adoptada en 2013, estableció objetivos estratégicos y acciones concretas para mejorar la resiliencia, reducir la ciberdelincuencia, desarrollar políticas y capacidades en materia de ciberdefensa, desarrollar recursos industriales y tecnológicos y establecer una política coherente del ciberespacio internacional para la UE. En este contexto, se han producido desde entonces acontecimientos importantes, en particular el segundo mandato de la Agencia Europea de Seguridad de las Redes y de la Información (ENISA) y la adopción de la Directiva sobre seguridad de las redes y los sistemas de información (en lo sucesivo, «Directiva SRI»), que constituyen la base de la presente propuesta. Por otra parte, en 2016 la Comisión Europea adoptó la Comunicación «Reforzar el sistema de ciberresiliencia de Europa y promover una industria de la ciberseguridad competitiva e innovadora», en la que se anunciaron nuevas medidas para intensificar la cooperación, la información y la puesta en común de conocimientos y para incrementar la resiliencia y preparación de la UE, teniendo también en cuenta la perspectiva de incidentes a gran escala y una posible crisis paneuropea de ciberseguridad. En este contexto, la Comisión anunció que presentaría la evaluación y revisión del Reglamento (UE) n.º 526/2013 del Parlamento Europeo y del Consejo relativo a ENISA y por el que se deroga el Reglamento (CE) n.º 460/2004 (el «Reglamento de ENISA»). El proceso de evaluación podría conducir a una posible reforma de la Agencia y a un reforzamiento de sus facultades y capacidades para apoyar a los Estados miembros de manera sostenible. Le conferiría, por tanto, un papel más operativo y central para lograr la resiliencia en materia de ciberseguridad y reconocería en su nuevo mandato las nuevas responsabilidades de la Agencia en virtud de la Directiva SRI. La Directiva SRI representa un primer paso esencial con vistas a fomentar una cultura de gestión de riesgos, al introducir requisitos de seguridad como obligaciones legales de los agentes económicos clave, en particular los operadores que prestan servicios esenciales (operadores de servicios esenciales u OSE) y los proveedores de algunos servicios digitales clave (proveedores de servicios digitales o PSE). Dado que los requisitos de seguridad se consideran esenciales para salvaguardar los beneficios de la digitalización de la sociedad en curso, y vista la rápida proliferación de dispositivos conectados (la «internet de las cosas»), la Comunicación de 2016 también proponía la idea de crear un marco para la certificación de seguridad de los productos y servicios de TIC a fin de incrementar la confianza y la seguridad en el mercado único digital. La certificación de ciberseguridad de las TIC adquiere particular importancia teniendo en cuenta el creciente uso de tecnologías que requieren un elevado nivel de ciberseguridad, como los automóviles conectados y automatizados, la sanidad electrónica o los sistemas de control de automatización industrial (IACS). Estas medidas y anuncios políticos quedaron aún más reforzados tras las conclusiones del Consejo de 2016, que reconocían que «las ciberamenazas y las vulnerabilidades siguen evolucionando e intensificándose, lo cual requerirá una cooperación continuada y más estrecha, sobre todo a la hora de dar respuesta a incidentes de ciberseguridad transfronterizos y de gran envergadura». Dichas conclusiones reafirmaban que «el Reglamento ENISA es uno de los elementos básicos del marco de la UE sobre ciberresiliencia» y pedían a la Comisión que tomase nuevas medidas para abordar la cuestión de la certificación a nivel europeo. El establecimiento de un sistema de certificación exigiría la implantación de un sistema de gobernanza adecuado a nivel de la UE, entre otras cosas gracias a los conocimientos aportados por una agencia de la UE independiente. A este respecto, la presente propuesta señala a ENISA como el organismo natural a nivel de la UE competente para la ciberseguridad que debería asumir esa función para reunir a los organismos nacionales competentes en materia de certificación y coordinar su trabajo. En su Comunicación sobre la revisión intermedia de la Estrategia para el Mercado Único Digital de mayo de 2017, la Comisión especificó además que, a más tardar en septiembre de 2017, revisaría el mandato de ENISA. Se trataría de definir su papel en el cambiante ecosistema de la ciberseguridad y de desarrollar medidas relativas a normas, certificación y etiquetado de ciberseguridad para aumentar la ciberseguridad de los sistemas basados en las TIC, incluidos los objetos conectados. Las conclusiones del Consejo Europeo de junio de 2017 saludaron la intención de la Comisión de revisar la estrategia de ciberseguridad en septiembre y de proponer nuevas acciones específicas antes de finalizar 2017. La propuesta de Reglamento establece un conjunto completo de medidas que se basan en actuaciones anteriores y fomentan objetivos específicos que se refuerzan mutuamente: ·aumentar las capacidades y la preparación de los Estados miembros y de las empresas; ·mejorar la cooperación y la coordinación entre los Estados miembros y las instituciones, órganos y organismos de la UE; ·aumentar las capacidades a nivel de la UE para complementar la acción de los Estados miembros, en particular en caso de cibercrisis transfronteriza; ·aumentar la sensibilización de los ciudadanos y las empresas sobre las cuestiones relacionadas con la ciberseguridad; ·aumentar en general la transparencia de la garantía de ciberseguridad de los productos y servicios de TIC, a fin de reforzar la confianza en el mercado único digital y en la innovación digital; y ·evitar la fragmentación de los sistemas de certificación en la UE y de los requisitos de seguridad y criterios de evaluación conexos en los distintos Estados miembros y sectores. La siguiente sección de la exposición de motivos explica con más detalle la justificación de la iniciativa con respecto a las acciones propuestas para ENISA y la certificación de ciberseguridad.

ENISA ENISA actúa como centro de conocimientos especializados para mejorar la seguridad de las redes y de la información en la Unión y apoyar la creación de capacidades en los Estados miembros. ENISA se creó en 2004 con el fin de contribuir al objetivo general de garantizar un elevado nivel de seguridad de las redes y de la información en la UE. En 2013, el Reglamento (UE) n.º 526/2013 estableció el nuevo mandato de la Agencia para un período de siete años, hasta 2020. La Agencia tiene sus oficinas en Grecia, en particular con sede administrativa en Heraklion (Creta) y operaciones principales en Atenas. ENISA es una agencia pequeña, cuyo presupuesto y efectivos son bajos en comparación con todas las agencias de la UE. Su mandato es de duración determinada. ENISA asiste a las instituciones europeas, los Estados miembros y la comunidad empresarial a la hora de abordar, dar respuesta y especialmente prevenir los problemas de seguridad de las redes y de la información. Lo hace a través de una serie de actividades en los cinco ámbitos enunciados en su estrategia: ·Asesoramiento: suministro de información y asesoramiento sobre las principales cuestiones de seguridad de las redes y de la información. ·Política: apoyo a la elaboración y aplicación de políticas en la Unión. ·Capacidad: apoyo a la creación de capacidad en la Unión (por ejemplo, mediante formación, recomendaciones y actividades de sensibilización). ·Comunidad: impulsar al colectivo de la seguridad de las redes y de la información (por ejemplo, apoyo a los equipos de respuesta a emergencias informáticas o CERT, o coordinación de ciberejercicios paneuropeos). ·Facilitación (por ejemplo, contactos con las partes interesadas y relaciones internacionales). En el curso de las negociaciones de la Directiva SRI, los colegisladores de la UE decidieron asignar importantes funciones a ENISA a la hora de aplicar dicha Directiva. En particular, la Agencia se encarga de la secretaría de la red de CSIRT (establecida para promover la cooperación operativa rápida y eficaz entre los Estados miembros sobre incidentes de ciberseguridad específicos y compartir información sobre riesgos), y también debe prestar asistencia al Grupo de cooperación en la ejecución de sus tareas. Además, la Directiva exige a ENISA que preste asistencia a los Estados miembros y a la Comisión ofreciéndoles sus conocimientos y asesoramiento y facilitando el intercambio de las mejores prácticas. De conformidad con el Reglamento de ENISA, la Comisión ha llevado a cabo una evaluación de la Agencia, que incluye un estudio independiente, así como una consulta pública. La evaluación se centró en la pertinencia, repercusión, eficacia, eficiencia, coherencia y valor añadido europeo de la Agencia en lo que se refiere a su rendimiento, gobernanza, estructura organizativa interna y prácticas de trabajo durante el período 2013-2016. El rendimiento global de ENISA fue evaluado positivamente por la mayoría de quienes respondieron (74 %) a la consulta pública. También fue mayoritaria la opinión de que ENISA estaba alcanzando sus diferentes objetivos (al menos un 63 % para cada uno de los objetivos). Los servicios y productos de ENISA son utilizados de forma regular (mensualmente o con mayor frecuencia) por casi la mitad de quienes respondieron (46 %) y apreciados por el hecho de proceder de un organismo a nivel de la UE (83 %) y por su calidad (62 %). No obstante, una gran mayoría (88 %) de las respuestas consideraba que los actuales instrumentos y mecanismos disponibles a nivel de la UE son insuficientes o solo parcialmente adecuados para hacer frente a los actuales desafíos en materia de ciberseguridad. Una gran mayoría de las respuestas (98 %) indicaba que un organismo de la UE debía abordar estas necesidades y, entre ellos, al 99 % ENISA le parecía la organización adecuada para ello. Además, el 67,5 % de las respuestas expresó la opinión de que ENISA podría desempeñar algún papel en el establecimiento de un marco armonizado para la certificación de seguridad de los productos y servicios de TI. La evaluación global (sobre la base no solo de la consulta pública, sino también de una serie de entrevistas personales, encuestas específicas adicionales y seminarios) llegó a las siguientes conclusiones: ·Los objetivos de ENISA siguen siendo pertinentes en la actualidad. En un contexto de rápida evolución tecnológica y de amenazas cambiantes, y visto que los riesgos globales relacionados con la ciberseguridad son cada vez mayores, existe una clara necesidad en la UE de fomentar y seguir reforzando los conocimientos técnicos de alto nivel sobre cuestiones de ciberseguridad. Deben crearse en los Estados miembros capacidades que permitan comprender y responder a las amenazas, y es precisa una cooperación de las partes interesadas en todos los ámbitos temáticos e instituciones. ·A pesar de su reducido presupuesto, la Agencia ha sido operativamente eficiente en la utilización de sus recursos y en el desempeño de sus funciones. La existencia de dos sedes en Atenas y Heraklion, no obstante, ha generado también costes administrativos suplementarios. ·En cuanto a eficacia, ENISA ha alcanzado parcialmente sus objetivos. La Agencia ha contribuido satisfactoriamente a la mejora de la seguridad de las redes y de la información en Europa merced a la oferta de creación de capacidad en 28 Estados miembros, mejorando la cooperación entre los Estados miembros y las partes interesadas de la seguridad de las redes y de la información y facilitando asesoramiento, creando comunidades y apoyando la formulación de políticas. Globalmente, ENISA se ha centrado diligentemente en la ejecución de su programa de trabajo y ha actuado como socio fiable de las partes interesadas, en un ámbito cuya acusada importancia transfronteriza ha sido reconocida solo recientemente. ·ENISA consiguió dejar su huella, al menos en cierta medida, en el amplio campo de la seguridad de las redes y de la información, pero no ha conseguido plenamente desarrollar una imagen sólida ni obtener visibilidad suficiente para ser reconocida como «el» centro de conocimientos especializados en Europa. La explicación reside en la amplitud de su mandato, que no iba acompañado de unos recursos proporcionalmente suficientes. Además, ENISA es la única agencia de la UE cuyo mandato es de duración determinada, lo que limita su capacidad para desarrollar una visión a largo plazo y apoyar a sus partes interesadas de manera sostenible. Esto contrasta también con las disposiciones de la Directiva SRI, que atribuye a ENISA tareas sin señalar fecha de finalización. Por último, la evaluación constató que esta limitada eficacia puede explicarse en parte por la fuerte dependencia de asesoramiento externo con preferencia al interno y por las dificultades para contratar y retener personal especializado. ·La última, pero no menos importante, conclusión de la evaluación es que el valor añadido de ENISA radica principalmente en su capacidad para potenciar la cooperación sobre todo entre los Estados miembros, y especialmente con los colectivos interesados en la seguridad de las redes y de la información (en particular entre los CSIRT). No existe nadie a nivel de la UE que preste apoyo a una gama tan amplia de partes interesadas en la seguridad de las redes y de la información. No obstante, debido a la necesidad de priorizar estrictamente sus actividades, el programa de trabajo de ENISA lo definen principalmente las necesidades de los Estados miembros. En consecuencia, no responde suficientemente a las de otras partes interesadas, en particular la industria. Además, esto hizo que la Agencia tratara de satisfacer las necesidades de sus interlocutores clave, lo que le impidió alcanzar un impacto mayor. Por lo tanto, el valor añadido aportado por la Agencia fue distinto según las necesidades divergentes de sus partes interesadas y la medida en que la Agencia pudo responder a ellas (por ejemplo, grandes frente a pequeños Estados miembros; Estados miembros frente a la industria).

En resumen, los resultados de las consultas con las partes interesadas y de la evaluación sugirieron la necesidad de adaptar los recursos y el mandato de ENISA para que pueda desempeñar un papel adecuado en la respuesta a los retos actuales y futuros. Habida cuenta de estos resultados, la presente propuesta revisa el actual mandato de ENISA y establece un nuevo conjunto de tareas y funciones, con vistas a apoyar de manera efectiva y eficaz los esfuerzos de los Estados miembros, las instituciones de la UE y otras partes interesadas para garantizar la seguridad del ciberespacio en la Unión Europea. El nuevo mandato propuesto pretende atribuir a la Agencia funciones más sólidas y centrales, en particular respaldando también a los Estados miembros a la hora de aplicar la Directiva SRI y hacer frente a amenazas específicas de manera más activa (capacidad operativa), y convirtiéndose en un centro de conocimientos especializados que asista a los Estados miembros y la Comisión en el ámbito de la certificación de la ciberseguridad. En virtud de la presente propuesta: ·ENISA recibiría un mandato permanente que le proporcionaría una base estable para el futuro. El mandato, los objetivos y las funciones deberían seguir sujetos a revisión periódica. ·El mandato propuesto aclara en mayor medida el papel de ENISA como agencia de la UE para la ciberseguridad y como punto de referencia en el ecosistema de ciberseguridad de la UE, actuando en estrecha cooperación con todos los demás organismos pertinentes de dicho ecosistema. ·La organización y la gobernanza de la Agencia, que se consideraron positivas en la evaluación, serían moderadamente revisadas, en particular para cerciorarse de que queden mejor reflejadas en su trabajo las necesidades de la comunidad de partes interesadas en general. ·Se delinea el alcance propuesto del mandato, que refuerza los ámbitos en los que la Agencia ha mostrado un claro valor añadido y añade otros nuevos en los que se necesita apoyo a la vista de los nuevos instrumentos y prioridades políticas, en especial la Directiva SRI, la revisión de la Estrategia de Ciberseguridad de la UE, el inminente plan director de ciberseguridad de la UE para la cooperación en caso de cibercrisis y la certificación de seguridad de las TIC. ·Formulación y ejecución de las políticas de la UE: ENISA se encargaría de contribuir proactivamente a la elaboración de políticas en el ámbito de la seguridad de las redes y la información, así como a otras iniciativas políticas con elementos de ciberseguridad en los distintos sectores (como energía, transporte o finanzas). Para ello, debería poseer un sólido papel consultivo, que podría desempeñar aportando dictámenes independientes y trabajos preparatorios para el desarrollo y la actualización de las políticas y la legislación. ENISA también prestaría apoyo a las políticas y la legislación de la UE en el ámbito de las comunicaciones electrónicas, la identidad electrónica y los servicios de confianza, con vistas a promover un mayor nivel de ciberseguridad. En la fase de aplicación, en particular en el contexto del Grupo de cooperación de la SRI, ENISA asistiría a los Estados miembros en la consecución de un planteamiento coherente sobre la aplicación de la Directiva SRI a través de fronteras y sectores, así como en otras leyes y políticas pertinentes. A fin de sostener la revisión periódica de las políticas y la legislación en el ámbito de la ciberseguridad, ENISA proporcionaría también informes periódicos sobre el estado de la aplicación del marco jurídico de la UE. ·Creación de capacidades: ENISA contribuiría a la mejora de las capacidades y conocimientos técnicos de las autoridades públicas nacionales y de la UE, en particular en lo que se refiere a la respuesta a incidentes y a la supervisión de las medidas reglamentarias relacionadas con la ciberseguridad. La Agencia también debería contribuir al establecimiento de los centros de puesta en común y análisis de la información (ISACS) en diversos sectores, aportando mejores prácticas y orientaciones sobre los procedimientos e instrumentos disponibles, así como abordando adecuadamente las cuestiones reglamentarias relacionadas con el intercambio de información. ·Conocimientos e información, sensibilización: ENISA se convertiría en la plataforma de información de la UE. Esto implicaría la promoción y el intercambio de las mejores prácticas e iniciativas en toda la UE mediante la puesta en común de información sobre ciberseguridad procedente de las instituciones, órganos y organismos nacionales y de la UE. La Agencia facilitaría asimismo asesoramiento, orientación y mejores prácticas sobre la seguridad de las infraestructuras críticas. Tras un incidente transfronterizo de ciberseguridad importante, ENISA elaboraría también informes con el fin de ofrecer orientaciones a las empresas y los ciudadanos de toda la UE. Esta línea de trabajo implicaría también la organización periódica de actividades de sensibilización, en coordinación con las autoridades de los Estados miembros. ·Tareas relacionadas con el mercado (normalización, certificación de la ciberseguridad): ENISA desempeñaría una serie de funciones específicas de apoyo del mercado interior, incluido un «observatorio del mercado» de la ciberseguridad, analizando las tendencias pertinentes en el mercado de la ciberseguridad para adecuar mejor la oferta y la demanda, y respaldando el desarrollo de las políticas de la UE en los ámbitos de la normalización de las TIC y la certificación de ciberseguridad de las TIC. En particular, en relación con la normalización, facilitaría el establecimiento y la adopción de normas de ciberseguridad. ENISA también ejecutaría las tareas previstas en el contexto del futuro marco de certificación (véase la sección siguiente). ·Investigación e innovación: ENISA aportaría sus conocimientos técnicos asesorando a las autoridades nacionales y de la UE sobre la fijación de prioridades de investigación y desarrollo, especialmente en el contexto de la asociación público-privada contractual (APPc) sobre ciberseguridad. Las recomendaciones de ENISA en materia de investigación se trasladarían al nuevo Centro Europeo de Investigación y Competencias sobre Ciberseguridad en virtud del próximo marco financiero plurianual. ENISA también participaría, previa solicitud de la Comisión, en la ejecución de los programas de financiación de la investigación y la innovación. de la UE. ·Cooperación operativa y gestión de crisis: Esta línea de trabajo debería reforzar las capacidades operativas preventivas existentes, especialmente potenciando los ejercicios paneuropeos en la materia (Cyber Europe) para que se celebren anualmente, y facilitar la cooperación operativa en tanto que secretaría de la red de CSIRT (con arreglo a la Directiva SRI), garantizando, entre otras cosas, el buen funcionamiento de la infraestructura de TI y de los canales de comunicación de la mencionada red. En este contexto, resultaría necesaria una cooperación estructurada con el CERT-UE, el Centro Europeo de Ciberdelincuencia (EC3) y otros organismos pertinentes de la UE. Además, una cooperación estructurada con el CERT-UE, en estrecha proximidad física, debería desembocar en una función que facilitase asistencia técnica en caso de incidentes significativos y apoyase el análisis de incidentes. Los Estados miembros de la UE que la solicitasen recibirían asistencia para gestionar incidentes y apoyo para el análisis de vulnerabilidades, artefactos e incidentes a fin de reforzar su propia capacidad de prevención y respuesta. ·ENISA también intervendría en el plan director de ciberseguridad de la UE presentado en el marco de este conjunto de medidas y que contiene la recomendación de la Comisión a los Estados miembros para dar una respuesta coordinada a los incidentes y crisis de ciberseguridad de gran escala y carácter transfronterizo a nivel de la UE. ENISA facilitaría la cooperación entre Estados miembros concretos en la gestión de la respuesta de emergencia mediante el análisis y la agregación de los informes de situación nacionales sobre la base de la información que los Estados miembros y otras entidades pongan a disposición de la Agencia de forma voluntaria. ·Certificación de la ciberseguridad de los productos y servicios de TIC A fin de establecer y preservar la confianza y la seguridad, es preciso que los productos y servicios de TIC incorporen directamente las características de seguridad en las etapas iniciales de su diseño y desarrollo técnicos (seguridad a través del diseño). Por otra parte, los clientes y usuarios necesitan poder comprobar el nivel de garantía de la seguridad de los productos y servicios que compran o adquieren. La certificación, que consiste en la evaluación formal de los productos, servicios y procesos por un organismo independiente y acreditado en función de un conjunto de criterios claramente definidos y la expedición de un certificado que atestigüe la conformidad, desempeña un papel importante a la hora de aumentar la confianza y la seguridad en los productos y servicios. Mientras que la evaluación de la seguridad tiene un carácter bastante técnico, la certificación cumple el objetivo de informar y tranquilizar a los compradores y usuarios sobre las propiedades de seguridad de los productos y servicios de TIC que compran o utilizan. Como ya se ha dicho, esto reviste especial importancia en el caso de los nuevos sistemas que hacen amplio uso de las tecnologías digitales y que requieren un alto nivel de seguridad, como los automóviles conectados y automatizados, la sanidad electrónica, los sistemas de control de la automatización industrial (IACS) o las redes inteligentes. En la actualidad, el paisaje de la certificación de la ciberseguridad de los productos y servicios de TIC en la UE es muy desigual. Existen diversas iniciativas internacionales, como los denominados criterios comunes para la evaluación de la seguridad de la tecnología de la información (ISO 15408), que es una norma internacional para la evaluación de la seguridad informática. Se basa en la evaluación por un tercero y contempla siete niveles de garantía de la evaluación. Los criterios comunes y la metodología común para la evaluación de la seguridad de la tecnología de la información (CEM) asociada constituyen la base técnica de un acuerdo internacional, el Acuerdo de reconocimiento de los criterios comunes (CCRA), que garantiza que los certificados de criterios comunes sean reconocidos por todos sus signatarios. No obstante, en la versión actual del CCRA solo gozan de reconocimiento mutuo las evaluaciones hasta el nivel 2. Además, solo trece Estados miembros han firmado el Acuerdo. Las autoridades de certificación de doce Estados miembros han celebrado un acuerdo de reconocimiento mutuo relativo a los certificados expedidos de conformidad con el Acuerdo sobre la base de los criterios comunes. Por otra parte, existen actualmente o se están estableciendo en los Estados miembros una serie de iniciativas de certificación de las TIC. Estas iniciativas, aunque sean importantes, conllevan el riesgo de fragmentar el mercado y provocar problemas de interoperabilidad. En consecuencia, una empresa puede tener que someterse a varios procedimientos de certificación en distintos Estados miembros para poder ofrecer su producto en múltiples mercados. Así, un fabricante de contadores inteligentes que desee vender sus productos en tres Estados miembros, por ejemplo Alemania, Francia y el Reino Unido, tiene que ajustarse actualmente a tres regímenes de certificación diferentes. Se trata del Commercial Product Assurance (CPA) en el Reino Unido, la Certification de Sécurité de Premier Niveau (CSPN) en Francia y un perfil de protección específico basado en los criterios comunes en Alemania. Esta situación propicia un incremento de los costes y constituye una carga administrativa considerable para las empresas que operan en varios Estados miembros. Aun cuando el coste de la certificación puede variar considerablemente dependiendo del producto o servicio de que se trate, el nivel de garantía de la evaluación requerido y/u otros componentes, en términos generales suele resultar bastante elevado para las empresas. El certificado Smart Meter Gateway del BSI, por ejemplo, tiene un coste superior al millón de euros (nivel más elevado de ensayo y garantía, afecta no solo a un producto, sino a toda la infraestructura que lo rodea). El coste de la certificación de contadores inteligentes en el Reino Unido asciende a casi 150 000 EUR. En Francia, el coste es similar al del Reino Unido, unos 150 000 EUR o más.

Las principales partes interesadas tanto públicas como privadas reconocieron que, en ausencia de un régimen de certificación de la ciberseguridad a escala de la UE, en muchos casos las empresas han de certificarse individualmente en cada Estado miembro, lo que conduce a la fragmentación del mercado. Lo que es más importante, en ausencia de legislación de armonización de la UE para los productos y servicios de TIC, las diferencias en las normas y prácticas de certificación de la ciberseguridad en los Estados miembros pueden crear en la práctica 28 mercados de la seguridad diferentes en la UE, cada uno de ellos con sus propios requisitos técnicos, métodos de ensayo y procedimientos de certificación de la ciberseguridad. Estos enfoques divergentes a nivel nacional pueden provocar, si no se toman medidas adecuadas a nivel de la UE, un importante retraso en la consecución del mercado único digital, ralentizando o anulando los efectos positivos asociados en términos de crecimiento y empleo. Sobre la base de lo anterior, en el Reglamento propuesto se establece un marco europeo de certificación de la ciberseguridad (el «Marco») para los productos y servicios de TIC y se especifican las funciones y tareas esenciales de ENISA en el ámbito de la certificación de la ciberseguridad. La presente propuesta establece un marco general de normas que regulan los regímenes europeos de certificación de la ciberseguridad. La propuesta no introduce directamente regímenes de certificación operativos, sino que crea un sistema (marco) para el establecimiento de regímenes específicos para productos/servicios de TIC concretos (en lo sucesivo, «regímenes europeos de certificación de la ciberseguridad»). La creación de regímenes europeos de certificación de la ciberseguridad de conformidad con el Marco permitirá que los certificados expedidos con arreglo a dichos regímenes obtengan validez y reconocimiento en todos los Estados miembros y se combata la fragmentación actual del mercado. El objetivo general de un régimen europeo de certificación de la ciberseguridad es dejar constancia de que los productos y servicios de TIC certificados con arreglo a dicho régimen cumplen unos requisitos de ciberseguridad especificados. Entre ellos figurarían, por ejemplo, su capacidad para proteger los datos (conservados, transmitidos o procesados de la manera que sea) del almacenamiento, tratamiento, acceso, divulgación, destrucción, pérdida o alteración accidentales o no autorizados. Los regímenes de certificación de la ciberseguridad de la UE harían uso de normas existentes en relación con los requisitos técnicos y procedimientos de evaluación que los productos deben cumplir, pero no desarrollarían las normas técnicas en sí. Por ejemplo, una certificación a escala de la UE de productos tales como las tarjetas inteligentes, que actualmente se someten a ensayo en función de normas internacionales de criterios comunes en el marco del sistema multilateral (descrito anteriormente) SOG-IS, significaría que el régimen tendría validez en toda la UE. Además de indicar un conjunto específico de objetivos de seguridad que deben tenerse en cuenta al diseñar un régimen concreto de certificación de la ciberseguridad de la UE, la propuesta establece el contenido mínimo de este tipo de regímenes. Los regímenes tendrán que definir, entre otras cosas, una serie de elementos específicos que determinan el alcance y objeto de la certificación de ciberseguridad. Esto incluye la indicación de las categorías de productos y servicios cubiertos, la especificación detallada de los requisitos de ciberseguridad (por ejemplo, remitiéndose a las normas o especificaciones técnicas pertinentes), los métodos y criterios específicos de evaluación y el nivel de garantía que se proponen asegurar (a saber, básico, sustancial o elevado). Los regímenes europeos de certificación de la ciberseguridad serán preparados por ENISA con la asistencia, asesoramiento y estrecha cooperación del Grupo Europeo de Certificación de la Ciberseguridad (véase más adelante), y adoptados por la Comisión mediante actos de ejecución. Cuando se detecte la necesidad de un régimen de certificación de la ciberseguridad, la Comisión solicitará a ENISA que prepare un régimen para determinados productos o servicios de TIC. ENISA trabajará al respecto en estrecha colaboración con las autoridades nacionales de supervisión de la certificación representadas en el Grupo. Los Estados miembros y el Grupo podrán proponer a la Comisión que solicite a ENISA la preparación de un régimen particular. La certificación puede resultar un proceso muy costoso, que podría traducirse en un alza de los precios para los clientes y los consumidores. La necesidad de certificar puede variar también considerablemente en función del contexto específico de uso de los productos y servicios y de la rapidez del cambio tecnológico. El recurso a la certificación europea de la ciberseguridad debe, por tanto, seguir siendo voluntario, a menos que se disponga otra cosa en la legislación de la Unión que establezca los requisitos de seguridad de productos y servicios de TIC. Con el fin de garantizar la armonización y evitar la fragmentación, los regímenes o procedimientos nacionales de certificación de la ciberseguridad para productos y servicios de TIC cubiertos por un régimen europeo de certificación de la ciberseguridad dejarán de aplicarse a partir de la fecha establecida en el acto de ejecución por el que se adopte este régimen. Además, los Estados miembros deberían abstenerse de introducir nuevos regímenes nacionales de certificación de la ciberseguridad para productos y servicios de TIC cubiertos por un régimen europeo de certificación de la ciberseguridad existente. Una vez que se adopte un régimen europeo de certificación de la ciberseguridad, los fabricantes de productos de TIC o los proveedores de servicios de TIC tendrán la posibilidad de presentar una solicitud de certificación de sus productos o servicios al organismo de evaluación de la conformidad que prefieran. Los organismos de evaluación de la conformidad deberían ser acreditados por un organismo de acreditación si cumplen determinados requisitos especificados. La acreditación se expedirá por un período máximo de cinco años y podrá ser renovada en las mismas condiciones, siempre y cuando el organismo de evaluación de la conformidad cumpla los requisitos. Los organismos de acreditación revocarán la acreditación de un organismo de evaluación de la conformidad cuando no se cumplan, o hayan dejado de cumplirse, las condiciones de la acreditación, o si la actuación de dicho organismo de evaluación de la conformidad viola el presente Reglamento. Con arreglo a la propuesta, las tareas de seguimiento, supervisión y ejecución recaen en los Estados miembros. Los Estados miembros deberán contar con una autoridad de supervisión de la certificación. Esta autoridad estará encargada de supervisar que los organismos de evaluación de la conformidad, así como los certificados expedidos por los organismos de evaluación de la conformidad establecidos en su territorio, se ajustan a los requisitos del presente Reglamento y de los pertinentes regímenes europeos de certificación de la ciberseguridad. Las autoridades nacionales de supervisión de la certificación serán competentes para tramitar las reclamaciones presentadas por personas físicas o jurídicas en relación con los certificados expedidos por los organismos de evaluación de la conformidad establecidos en su territorio. En la medida que proceda, investigarán el objeto de la reclamación e informarán en un plazo razonable al reclamante sobre el curso y el resultado de la investigación. Además, cooperarán con otras autoridades de supervisión de la certificación y autoridades públicas, por ejemplo mediante el intercambio de información sobre posibles productos y servicios de TIC que no se ajusten a los requisitos del presente Reglamento o a determinados regímenes europeos de certificación de la ciberseguridad. Por último, la propuesta establece el Grupo Europeo de Certificación de la Ciberseguridad (en lo sucesivo, «el Grupo»), constituido por las autoridades nacionales de supervisión de la certificación de todos los Estados miembros. La principal tarea del Grupo es asesorar a la Comisión sobre las cuestiones relativas a la política de certificación de la ciberseguridad y trabajar con ENISA en la elaboración de proyectos de regímenes europeos de certificación de la ciberseguridad. ENISA asistirá a la Comisión a encargarse de la secretaría del Grupo y conservará un inventario público actualizado de los regímenes aprobados en virtud del marco europeo de certificación de la ciberseguridad. ENISA también mantendrá contactos con los organismos de normalización a fin de garantizar la adecuación de las normas utilizadas en regímenes autorizados y detectar ámbitos que precisen de normas de ciberseguridad. El marco europeo de certificación de la ciberseguridad (en lo sucesivo, «el Marco») aportará diversos beneficios a los ciudadanos y las empresas. En particular: ·La creación de sistemas de certificación de la ciberseguridad a escala de la UE para determinados productos o servicios proporcionará a las empresas una «ventanilla única» para la certificación de la ciberseguridad en la UE. Las empresas estarán en condiciones de certificar su producto una sola vez y obtener un certificado válido en todos los Estados miembros. No estarán obligadas a volver a certificar sus productos ante diferentes organismos nacionales de certificación. De este modo disminuirán significativamente los costes para las empresas, se facilitarán las operaciones transfronterizas y, en última instancia, se reducirá y evitará la fragmentación del mercado interior de los productos de que se trate. ·El Marco establece la primacía de los regímenes europeos de certificación de la ciberseguridad sobre los nacionales. Por ello, la adopción de un régimen europeo de certificación de la ciberseguridad sustituirá a todos los regímenes nacionales paralelos existentes para los mismos productos o servicios de TIC a un determinado nivel de garantía. Esto aportará más claridad, reduciendo la actual proliferación de regímenes nacionales de certificación de la ciberseguridad que se solapan y posiblemente se contradicen. ·La propuesta sostiene y complementa la aplicación de la Directiva SRI, proporcionando a las empresas sometidas a ella una herramienta muy útil para demostrar el cumplimiento de los requisitos de la SRI en el conjunto de la Unión. Al desarrollar nuevos regímenes de certificación de la ciberseguridad, la Comisión y ENISA prestarán especial atención a la necesidad de garantizar que los requisitos de SRI se vean reflejados en dichos regímenes. ·La propuesta respaldará y facilitará el desarrollo de una política europea de ciberseguridad, armonizando las condiciones y los requisitos sustantivos para la certificación de la ciberseguridad de los productos y servicios de TIC en la UE. Los regímenes europeos de certificación de la ciberseguridad harán referencia a normas o criterios comunes de evaluación y metodologías de ensayo. De este modo, se contribuirá de manera significativa, aunque indirecta, a la asimilación de soluciones de seguridad comunes en la UE y, por ende, a la eliminación de obstáculos al mercado interior. ·El Marco está concebido con vistas a garantizar la flexibilidad necesaria para los regímenes de certificación de la ciberseguridad. En función de las necesidades específicas en materia de ciberseguridad, un producto o servicio podrá ser certificado en función de niveles de seguridad más o menos elevados. Los regímenes europeos de certificación de la ciberseguridad se diseñarán teniendo en mente esta flexibilidad y, por lo tanto, aportarán distintos niveles de garantía (a saber, básico, sustancial o elevado) con el fin de que puedan usarse con fines distintos o en contextos diferentes. ·En virtud de todos los elementos mencionados, la certificación de la ciberseguridad resultará más atractiva para las empresas como medio eficaz de comunicar el nivel de garantía de la ciberseguridad de los productos o servicios de TIC. En la medida en que la certificación de la ciberseguridad resulte más barata, eficaz y comercialmente atractiva, las empresas tendrán un mayor incentivo para certificar sus productos frente a los riesgos en materia de ciberseguridad, contribuyendo así a la difusión de las mejores prácticas de ciberseguridad en el diseño de productos y servicios de TIC (ciberseguridad a través del diseño). •Coherencia con las disposiciones existentes en la misma política sectorial En virtud de la Directiva SRI, los operadores de los sectores que son vitales para nuestra economía y sociedad, como la energía, el transporte, el agua, la banca, las infraestructuras de los mercados financieros, la sanidad y la infraestructura digital, así como los proveedores de servicios digitales (por ejemplo, motores de búsqueda, servicios de computación en la nube y mercados en línea) están obligados a tomar las medidas necesarias para gestionar adecuadamente los riesgos para la seguridad. Las nuevas normas de la presente propuesta complementan las disposiciones de la Directiva SRI y garantizan la coherencia con ellas para fortalecer la ciberresiliencia de la UE mediante la mejora de las capacidades, la cooperación, la gestión de riesgos y la sensibilización.

Por otra parte, las normas sobre certificación de la ciberseguridad ponen una herramienta esencial en manos de las empresas sujetas a la Directiva SRI, dado que podrán certificar sus productos y servicios de TIC frente a los riesgos de ciberseguridad sobre la base de regímenes de certificación de la ciberseguridad válidos y reconocidos en todo el territorio de la UE. También serán complementarias de los requisitos de seguridad mencionados en el Reglamento eIDAS y la Directiva sobre equipos radioeléctricos. •Coherencia con otras políticas de la Unión El Reglamento (UE) 2016/679 (Reglamento general de protección de datos o «RGPD») contiene disposiciones para establecer mecanismos de certificación y sellos y marcas de protección de datos a fin de demostrar la conformidad con el Reglamento de las operaciones realizadas por los responsables y los encargados del tratamiento. El presente Reglamento se entiende sin perjuicio de la certificación de las operaciones de tratamiento de datos en el marco del RGPD, incluso cuando dichas operaciones se encuentran integradas en productos y servicios. El Reglamento propuesto garantizará la compatibilidad con el Reglamento (CE) n.º 765/2008 sobre los requisitos de acreditación y de vigilancia del mercado haciendo referencia a las normas de dicho marco sobre los organismos nacionales de acreditación y de evaluación de la conformidad. En lo que respecta a las autoridades de supervisión, el Reglamento propuesto exigirá que los Estados miembros designen autoridades nacionales de supervisión de la certificación responsables de la supervisión, el seguimiento y la ejecución de las normas. Estos organismos serán independientes de los organismos de evaluación de la conformidad prescritos en el Reglamento (CE) n.º 765/2008. 2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD •Base jurídica La base jurídica de la acción de la UE es el artículo 114 del Tratado de Funcionamiento de la Unión Europea (TFUE), que se refiere a la aproximación de las legislaciones de los Estados miembros a fin de alcanzar los objetivos del artículo 26 del TFUE, a saber, el correcto funcionamiento del mercado interior. La base jurídica relativa al mercado interior para la creación de ENISA fue respaldada por el Tribunal de Justicia (asunto C-217/04 Reino Unido contra Parlamento Europeo y Consejo) y confirmada nuevamente por el Reglamento de 2013 que estableció el mandato actual de la Agencia. Además, las actividades que reflejasen los objetivos de aumentar la cooperación y la coordinación entre los Estados miembros y añadiesen capacidades a nivel de la UE para complementar la acción de los Estados miembros entrarían en la categoría de «cooperación operativa». La Directiva SRI (cuya base jurídica es el artículo 114 del TFUE) la señala específicamente como objetivo que debe perseguirse en el marco de la red de CSIRT, pues «ENISA se hará cargo de la secretaría y apoyará activamente la cooperación» (artículo 12, apartado 2). En particular, el artículo 12, apartado 3, letra f), indica también la identificación de otras formas de cooperación operativa como tarea de la red de CSIRT, en particular en relación con: i) categorías de riesgos e incidentes, ii) alertas tempranas, iii) asistencia mutua, y iv) principios y modalidades de coordinación, cuando los Estados miembros respondan a incidentes y riesgos transfronterizos. ·La actual fragmentación de los regímenes de certificación de productos y servicios de TIC es también consecuencia de la falta de un marco común, eficaz y jurídicamente vinculante, aplicable a los Estados miembros. Esto dificulta la creación de un mercado interior de productos y servicios de TIC y obstaculiza la competitividad de la industria europea en el sector. La presente propuesta tiene por objeto combatir la fragmentación existente y los obstáculos relacionados con el mercado interior ofreciendo un marco común para el establecimiento de regímenes de certificación de la ciberseguridad válidos en toda la UE. Subsidiariedad (en el caso de competencia no exclusiva) El principio de subsidiariedad exige evaluar la necesidad y el valor añadido de la acción de la UE. El respeto de la subsidiariedad en este ámbito se reconoció ya en el momento de adoptar el actual Reglamento de ENISA. La ciberseguridad es una cuestión de interés común de la Unión. Las interdependencias entre las redes y los sistemas de información son tales que muy a menudo los diferentes agentes (públicos y privados, incluidos los ciudadanos) no pueden hacer frente por sí solos a las amenazas y gestionar los riesgos y las posibles repercusiones de los ciberincidentes. Por una parte, las interdependencias entre los Estados miembros, en particular en lo que se refiere a la explotación de las infraestructuras críticas (energía, transporte o agua, por citar solo algunas) hacen que la intervención pública a nivel europeo resulte no solo beneficiosa, sino también necesaria. Por otra, la intervención de la UE puede aportar un efecto «de contagio» positivo gracias al intercambio de buenas prácticas entre los Estados miembros, lo que puede dar lugar a una mejora de la ciberseguridad de la Unión. En resumen, en el contexto actual y teniendo en cuenta las perspectivas de futuro, parece que si se quiere incrementar la ciberresiliencia colectiva de la Unión, las actuaciones individuales de sus Estados miembros y un enfoque fragmentado en materia de ciberseguridad no serán suficientes. La intervención de la UE también se considera necesaria para hacer frente a la fragmentación de los actuales regímenes de certificación de la ciberseguridad. Permitiría que los fabricantes se beneficiasen plenamente de un mercado interior, con ahorros significativos en relación con los costes de ensayo y rediseño. Aun cuando el actual Acuerdo de Reconocimiento Mutuo (ARM) del Grupo de altos funcionarios sobre seguridad de los sistemas de información (SOG-IS) ha logrado, por ejemplo, resultados considerables en este sentido, también ha acusado limitaciones importantes que merman su idoneidad para ofrecer soluciones sostenibles a largo plazo que permitan aprovechar todas las posibilidades del mercado interior. El valor añadido de la actuación a nivel de la UE, en particular para reforzar la cooperación entre los Estados miembros, pero también entre las comunidades de la seguridad de las redes y de la información, fue reconocido por las Conclusiones del Consejo de 2016 y también se desprende claramente de la evaluación de ENISA. •Proporcionalidad La medida propuesta no excede de lo necesario para alcanzar sus objetivos. Además, el ámbito de la intervención de la UE no impide ulteriores medidas nacionales en el campo de la seguridad nacional. Por lo tanto, la acción de la UE está justificada en cuanto a la subsidiariedad y la proporcionalidad.

•Elección del instrumento La presente propuesta revisa el Reglamento (UE) n.º 526/2013, que establece el mandato y las tareas actuales de ENISA. Además, habida cuenta del importante papel de ENISA en la creación y gestión de un marco de certificación de la ciberseguridad de la UE, conviene establecer el nuevo mandato de ENISA y el citado marco en un único instrumento jurídico, utilizando como instrumento un Reglamento. 3.RESULTADOS DE LAS EVALUACIONES EX POST, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO Evaluaciones ex post / control de calidad de la legislación existente La Comisión, de acuerdo con la hoja de ruta de la evaluación, evaluó la pertinencia, repercusión, eficacia, eficiencia, coherencia y valor añadido de la Agencia en lo que se refiere a su rendimiento, gobernanza, estructura organizativa interna y prácticas de trabajo durante el período 2013-2016. Los resultados principales pueden resumirse del siguiente modo (para más información, véase el documento de trabajo de los servicios sobre el tema, que acompaña a la evaluación de impacto). ·Pertinencia: En un contexto de avances tecnológicos y amenazas cambiantes, y teniendo en cuenta la significativa necesidad de reforzar la ciberseguridad en la UE, los objetivos de ENISA se han demostrado pertinentes. De hecho, los Estados miembros y los organismos de la UE confían en sus sustanciales conocimientos en materia de ciberseguridad. Además, deben desarrollarse en los Estados miembros capacidades que permitan comprender y responder mejor a las amenazas, y es precisa una cooperación de las partes interesadas de todos los ámbitos temáticos e instituciones. La ciberseguridad sigue siendo una prioridad política clave de la UE a la que se espera responda ENISA; sin embargo, el diseño de ENISA como agencia de la UE con un mandato de duración determinada: i) no permite una planificación a largo plazo y un apoyo sostenible a los Estados miembros y las instituciones de la UE, ii) puede dar lugar a un vacío legal en la medida en que las disposiciones de la Directiva SRI encomiendan a ENISA tareas de carácter permanente, iii) carece de coherencia con una visión que vincule a ENISA con un ecosistema de ciberseguridad de la UE reforzado. ·Eficacia: ENISA alcanzó en general sus objetivos y desempeñó sus cometidos. Contribuyó al incremento de la seguridad de las redes y de la información en Europa por medio de sus actividades principales (creación de capacidades, asistencia técnica, creación de comunidades y apoyo a las políticas). Sin embargo, mostró que había margen de mejora en relación con cada una de ellas. La evaluación llegó a la conclusión de que ENISA ha creado efectivamente unas relaciones sólidas y de confianza con algunas de sus partes interesadas, especialmente con los Estados miembros y la comunidad de CSIRT. Las intervenciones en materia de creación de capacidades se consideraron eficaces, en particular en los Estados miembros que cuentan con menos recursos. El estímulo de una amplia cooperación ha sido uno de los aspectos más destacados, coincidiendo las partes interesadas en el papel positivo que desempeña ENISA para acercar a las personas. Sin embargo, ENISA encontró dificultades para lograr un impacto notable en el extenso campo de la seguridad de las redes y de la información. Ello se debió también al hecho de que dispuso de unos recursos humanos y financieros bastante limitados para cumplir un mandato muy amplio. La evaluación también llegó a la conclusión de que ENISA alcanzó parcialmente el objetivo de proporcionar asesoramiento, dados los problemas para contratar expertos (véase también la sección sobre eficiencia). ·Eficiencia: A pesar de su reducido presupuesto (entre los más bajos de las agencias de la UE), la Agencia ha sido capaz de contribuir a alcanzar objetivos concretos, demostrando una eficiencia global en el uso de sus recursos. La evaluación concluyó que los procesos eran por regla general eficientes y que la clara delimitación de responsabilidades dentro de la organización propiciaba una buena ejecución del trabajo. Uno de los principales retos para la eficiencia de la Agencia guarda relación con las dificultades de ENISA para contratar y retener a expertos altamente cualificados. Las conclusiones muestran que esto se puede explicar por una combinación de factores, entre los que figuran las dificultades de carácter general del sector público para competir con el privado en la contratación de expertos altamente especializados, el tipo de contrato (temporal) que la Agencia podría ofrecer básicamente y el escaso atractivo de la ubicación de ENISA en lo que se refiere, por ejemplo, a las dificultades de los cónyuges para encontrar trabajo. La doble localización en Atenas y Heraklion exigió esfuerzos adicionales de coordinación y generó costes suplementarios, pero el traslado a Atenas en 2013 del departamento de operaciones esenciales reforzó la eficacia operativa de la Agencia. ·Coherencia: Las actividades de ENISA han sido coherentes por regla general con las políticas y actividades de las partes interesadas, a escala nacional y de la UE, pero es necesario un enfoque más coordinado a nivel de la UE en materia de ciberseguridad . No se ha aprovechado plenamente el potencial para la cooperación entre ENISA y otros organismos de la UE. La evolución del panorama jurídico y político de la UE hace que el vigente mandato resulte menos coherente en la actualidad. ·Valor añadido de la UE: El valor añadido de ENISA radica principalmente en la capacidad de la Agencia para mejorar la cooperación, principalmente entre los Estados miembros, pero también con las comunidades de la seguridad de las redes y de la información relacionadas. No existe ningún otro agente a nivel de la UE que facilite la cooperación de una variedad análoga de partes interesadas en la seguridad de las redes y de la información. El valor añadido aportado por la Agencia osciló en función de las diferentes necesidades y recursos de sus partes interesadas (por ejemplo, Estados miembros grandes o pequeños; Estados miembros e industria) y de la necesidad de que la Agencia priorizase sus actividades con arreglo al programa de trabajo. La evaluación llegó a la conclusión de que una eventual clausura de ENISA representaría la pérdida de una oportunidad para todos los Estados miembros. No será posible garantizar el mismo grado de creación de comunidades y cooperación en los Estados miembros en el ámbito de la ciberseguridad. Sin una agencia de la UE más centralizada, la fragmentación aumentaría y la cooperación bilateral o regional intentaría colmar el vacío dejado por ENISA. En lo que se refiere concretamente al rendimiento pasado y al futuro de ENISA, las principales tendencias que se desprenden de la consulta de 2017 son las siguientes: ·El rendimiento global de ENISA durante el período de 2013 a 2016 fue evaluado positivamente en la mayoría de las respuestas (74 %). También fue mayoritaria la opinión de que ENISA estaba alcanzando sus diferentes objetivos (al menos un 63 % para cada uno de los objetivos). Los servicios y productos de ENISA son utilizados de forma regular (mensualmente o con mayor frecuencia) por casi la mitad de quienes respondieron (46 %) y apreciados por el hecho de proceder de un organismo a nivel de la UE (83 %) y por su calidad (62 %). ·En las respuestas se mencionan diversas lagunas y retos para el futuro de la ciberseguridad en la UE, siendo los cinco principales (en una lista de 16): la cooperación entre los Estados miembros; la capacidad para prevenir, detectar y solucionar los ciberataques a gran escala; la cooperación entre los Estados miembros en las cuestiones relacionadas con la ciberseguridad; la cooperación y el intercambio de información entre las distintas partes interesadas, incluida la cooperación entre los sectores público y privado; la protección de las infraestructuras críticas frente a ciberataques. ·Una gran mayoría (88 %) de las respuestas consideraba que los actuales instrumentos y mecanismos disponibles a nivel de la UE son insuficientes o adecuados solo parcialmente para abordar estos problemas. Una gran mayoría de las respuestas (98 %) indicó que un organismo de la UE debía dar respuesta a estas necesidades y, entre ellos, el 99 % consideraba que ENISA era la organización adecuada para ello. Consultas con las partes interesadas ·La Comisión organizó una consulta pública para la revisión de ENISA, abierta entre el 12 de abril y el 5 de julio de 2016, y recibió 421 respuestas. Según los resultados, el 67,5 % de las respuestas expresaron la opinión de que ENISA podría desempeñar cierto papel en el establecimiento de un marco armonizado para la certificación de la seguridad de los productos y servicios de TI. Los resultados de la consulta de 2016 sobre la APP contractual de ciberseguridad, en la sección relativa a la certificación, muestran que: ·El 50,4 % (121 de 240) desconoce si los regímenes nacionales de certificación están reconocidos mutuamente en los Estados miembros de la UE. El 25,8 % (62 de 240) responde «no», mientras que el 23,8 % (57 de 240) responde «sí».

·El 37,9 % de las respuestas (91 de 240) considera que los actuales regímenes de certificación no atienden las necesidades de la industria europea. Por otra parte, en 17,5 % (42 de 240), principalmente empresas internacionales que operan en el mercado europeo, opina lo contrario. ·El 49,6 % (119 de 240) de las respuestas afirma que no es fácil demostrar la equivalencia entre normas, regímenes de certificación y etiquetas. El 37,9 % (91 de 240) responde «no lo sé», mientras que solo el 12,5 % (30 de 240) responde «sí». Obtención y uso de asesoramiento especializado La Comisión se basó en el siguiente asesoramiento externo: ·Study on the Evaluation of ENISA (Estudio de evaluación de ENISA) (Ramboll/Carsa 2017; SMART n.º 2016/0077), ·Study on ICT Security Certification and labelling – Evidence gathering and impact assessment (Estudio sobre certificación y el etiquetado de seguridad de las TIC — Recogida de pruebas y evaluación de impacto) (PriceWaterhouseCoopers 2017; SMART n.º 2016/0029). Evaluación de impacto El informe de evaluación de impacto sobre esta iniciativa señaló los siguientes problemas principales que deben abordarse: ·fragmentación de las políticas y enfoques en materia de ciberseguridad en los distintos Estados miembros; ·dispersión de los recursos y fragmentación de los enfoques en materia de ciberseguridad en las instituciones, órganos y organismos de la UE; e ·insuficiencia de los conocimientos e información de los ciudadanos y las empresas, junto con la creciente aparición de múltiples regímenes de certificación nacionales y sectoriales. El informe evaluó las siguientes posibles opciones en relación con el mandato de ENISA: ·mantenimiento del statu quo, es decir, mandato ampliado pero todavía limitado en el tiempo (opción de referencia); ·expiración del mandato actual de ENISA sin renovación y cierre de ENISA (ausencia de intervención); ·una «reforma de ENISA»; y ·una agencia de ciberseguridad de la UE con plena capacidad operativa. El informe evaluó las siguientes posibles opciones en relación con la certificación de la ciberseguridad: ·ausencia de intervención (opción de referencia);

·medidas no legislativas (Derecho indicativo); ·un acto legislativo de la Unión con el fin de crear un régimen obligatorio para todos los Estados miembros basado en el sistema SOG-IS; y ·un marco general de certificación de la ciberseguridad de las TIC en la UE. El análisis llevó a la conclusión de que la opción preferida es una «reforma de ENISA», combinada con un marco general de la UE para la certificación de la ciberseguridad de las TIC. La opción preferida ha sido considerada la más eficaz para que la UE alcance los objetivos de: aumentar las capacidades de ciberseguridad, preparación, cooperación, sensibilización, transparencia y evitación de la fragmentación del mercado. También la más coherente con las prioridades políticas de la Estrategia de Ciberseguridad de la UE y sus demás políticas relacionadas (por ejemplo, la Directiva SRI) y la Estrategia para el Mercado Único Digital. Además, el proceso de consulta puso de manifiesto que la opción preferida cuenta con el apoyo de la mayoría de las partes interesadas. El análisis efectuado en la evaluación de impacto mostró asimismo que la opción preferida permitiría alcanzar los objetivos mediante un empleo razonable de los recursos. El Comité de Control Reglamentario de la Comisión emitió inicialmente un dictamen negativo el 24 de julio, y posteriormente un dictamen favorable tras una nueva presentación el 25 de agosto de 2017. El informe de evaluación de impacto modificado incorporaba nuevos justificativos, las conclusiones finales de la evaluación de ENISA y explicaciones adicionales sobre las opciones políticas y su impacto. El anexo 1 del informe final sobre la evaluación de impacto resume cómo se había respondido a las observaciones del Comité en el segundo dictamen. En particular, se actualizó el informe para incorporar con mayor detalle el contexto de ciberseguridad de la UE, incluidas las medidas que figuran en la Comunicación conjunta «Resiliencia, disuasión y defensa: Reforzar la ciberseguridad de la UE» [JOIN(2017) 450] y tienen una especial relevancia para ENISA: el plan director de ciberseguridad de la UE y el Centro Europeo de Investigación y Competencias sobre Ciberseguridad, al que la Agencia sometería sus recomendaciones sobre las necesidades de la UE en materia de investigación. El informe explica cómo la reforma de la Agencia, incluidas las nuevas funciones, las mejores condiciones de empleo y la cooperación estructural con los órganos de la UE en este ámbito, podría mejorar su atractivo como empleador y ayudar a afrontar los problemas relacionados con la contratación de expertos. El anexo 6 del informe presenta también una estimación revisada de los costes asociados a las opciones políticas de ENISA. En relación con el tema de la certificación, se ha revisado el informe con el fin de proporcionar una explicación más detallada, incluida una presentación gráfica, de la opción preferida, y de ofrecer estimaciones sobre los costes para los Estados miembros y la Comisión en relación con el nuevo marco de certificación. También se ha justificado la elección de ENISA como agente clave en el marco sobre la base de su experiencia en este ámbito y el hecho de ser la única agencia de ciberseguridad a nivel de la UE. Por último, se han revisado las secciones sobre certificación para aclarar los aspectos relacionados con la diferencia con el actual sistema SOG-IS y los beneficios asociados a las diferentes opciones y para explicar el hecho de que el tipo de producto y servicio de TIC cubierto por un régimen europeo de certificación se defina en el propio régimen aprobado. Adecuación regulatoria y simplificación No procede Impacto en los derechos fundamentales La ciberseguridad desempeña un papel esencial en la protección de los datos personales y la intimidad de las personas físicas de conformidad con lo dispuesto en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la UE. Cuando se produce un ciberincidente, la intimidad y la protección de nuestros datos personales quedan claramente en entredicho. La ciberseguridad es, pues, condición necesaria para el respeto de la intimidad y la confidencialidad de nuestros datos personales. Desde esta perspectiva, con el objetivo de reforzar la ciberseguridad en Europa, la propuesta constituye un importante complemento de la legislación vigente que protege el derecho fundamental al respeto de la intimidad y de los datos personales. La ciberseguridad es esencial asimismo para proteger la confidencialidad de nuestras comunicaciones electrónicas y, por tanto, para ejercer la libertad de expresión y de información y otros derechos afines, tales como la libertad de pensamiento, conciencia y religión. 4.REPERCUSIONES PRESUPUESTARIAS Véase la ficha financiera 5.OTROS ELEMENTOS •Planes de ejecución y modalidades de seguimiento, evaluación e información La Comisión supervisará la aplicación del Reglamento y presentará cada cinco años un informe sobre su evaluación al Parlamento Europeo y al Consejo, así como al Comité Económico y Social Europeo. Estos informes serán públicos y analizarán la aplicación y el cumplimiento efectivos del presente Reglamento. •Explicación detallada de las disposiciones específicas de la propuesta El título I del Reglamento contiene las disposiciones generales: el objeto (artículo 1), las definiciones (artículo 2), incluidas las referencias a las definiciones pertinentes de otros instrumentos de la UE, como la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, relativa a las medidas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (Directiva SRI), el Reglamento (CE) n.º 765/2008 del Parlamento Europeo y del Consejo por el que se establecen los requisitos de acreditación y vigilancia del mercado relativos a la comercialización de los productos y por el que se deroga el Reglamento (CEE) n.º 339/93, y el Reglamento (UE) n.º 1025/2012 del Parlamento Europeo y del Consejo, sobre la normalización europea.

El título II del Reglamento contiene las disposiciones clave relacionadas con ENISA, la Agencia de Ciberseguridad de la UE. El capítulo I de este título describe el mandato (artículo 3), los objetivos (artículo 4) y las funciones de la Agencia (artículos 5 a 11). El capítulo II describe la organización de ENISA y contiene disposiciones fundamentales sobre su estructura (artículo 12). Aborda la composición, las normas de votación y las funciones del Consejo de Administración (sección 1, artículos 13 a 17), del Comité Ejecutivo (sección 2, artículo 18) y del director ejecutivo (Sección 3, artículo 19). También incluye disposiciones sobre la composición y funciones del Grupo Permanente de Partes Interesadas (Sección 4, artículo 20). Por último, la sección 5 del capítulo detalla las normas operativas de la Agencia, en particular en lo que respecta a la programación de sus operaciones, conflictos de intereses, transparencia, confidencialidad y acceso a los documentos (artículos 21 a 25). El capítulo III se refiere al establecimiento y la estructura del presupuesto de la Agencia (artículos 26 y 27), así como a las normas que rigen su aplicación (artículos 28 y 29). Incluye, asimismo, disposiciones para facilitar la lucha contra el fraude, la corrupción y otras actividades ilícitas (artículo 30). El capítulo IV se refiere a la dotación de personal de la Agencia. Incluye disposiciones generales sobre el Estatuto y el Régimen aplicable y las normas sobre privilegios e inmunidades (artículo 31 y 32). Asimismo, se detallan las normas de contratación y nombramiento del director ejecutivo de la Agencia (artículo 33). Por último, incluye las disposiciones que rigen la utilización de expertos nacionales en comisión de servicios u otro personal no contratado por la Agencia (artículo 34). Finalmente, el capítulo V reúne las disposiciones generales relativas a la Agencia. Indica su estatuto jurídico (artículo 35) e incluye disposiciones que regulan las cuestiones de responsabilidad, régimen lingüístico, protección de los datos personales (artículos 36-38), así como las normas de seguridad sobre la protección de la información clasificada y de la información sensible no clasificada (artículo 40). En él se describen las normas que regulan la cooperación de la Agencia con terceros países y organizaciones internacionales (artículo 39). Por último, contiene disposiciones relativas a la sede de la Agencia y las condiciones operativas, así como al control administrativo por parte del Defensor del Pueblo (artículos 41 y 42). El título III del Reglamento establece el marco europeo de certificación de la ciberseguridad (el «Marco») para los productos y servicios de TIC como lex generalis (artículo 1). Define el objetivo general de los regímenes europeos de certificación de la ciberseguridad, a saber, garantizar que los productos y servicios de TIC cumplan los requisitos de ciberseguridad especificados en lo que respecta a su capacidad para resistir, con un nivel de garantía dado, las acciones que comprometan la disponibilidad, autenticidad, integridad o confidencialidad de los datos almacenados, transmitidos o procesados, o las funciones relacionadas o los servicios (artículo 43). Por otra parte, enumera los objetivos de seguridad que deben proponerse los regímenes europeos de certificación de la ciberseguridad (artículo 45), como por ejemplo la capacidad para proteger los datos del acceso o la revelación, destrucción o alteración accidentales o no autorizados y el contenido (es decir, los elementos) de los regímenes europeos de certificación de la ciberseguridad, por ejemplo la definición detallada de su ámbito de aplicación, los objetivos de seguridad, los criterios de evaluación, etc. (artículo 47). El título III establece también los principales efectos jurídicos de los regímenes europeos de certificación de la ciberseguridad, a saber, i) la obligación de aplicar el régimen a nivel nacional y el carácter voluntario de la certificación, ii) el hecho de que los regímenes europeos de certificación de la ciberseguridad invaliden los regímenes nacionales relativos a los mismos productos o servicios (artículos 48 y 49). Este título establece asimismo el procedimiento para la adopción de los regímenes europeos de certificación de la ciberseguridad y las funciones respectivas de la Comisión, ENISA y el Grupo Europeo de Certificación de la Ciberseguridad («el Grupo») (artículo 44). Por último, establece las disposiciones relativas a los organismos de evaluación de la conformidad, incluidos sus requisitos, competencias y funciones, las autoridades nacionales de supervisión de la certificación y las sanciones. Se establece asimismo en este título el Grupo como organismo esencial integrado por representantes de las autoridades nacionales de supervisión de la certificación, cuya función principal es trabajar con ENISA en la preparación de los regímenes europeos de certificación de la ciberseguridad y asesorar a la Comisión sobre cuestiones generales o específicas relativas a la política de certificación de la ciberseguridad. El título IV del Reglamento contiene las disposiciones finales que describen el ejercicio de la delegación, los requisitos de evaluación, la derogación y sucesión, así como la entrada en vigor.



2017/0225 (COD) Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a ENISA, la «Agencia de Ciberseguridad de la UE», y por el que se deroga el Reglamento (UE) n.º 526/2013, y relativo a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación («Reglamento de Ciberseguridad») (Texto pertinente a efectos del EEE) EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA, Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 114, Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los parlamentos nacionales, Visto el dictamen del Comité Económico y Social Europeo, Visto el dictamen del Comité de las Regiones, De conformidad con el procedimiento legislativo ordinario, Considerando lo siguiente: (1)Las redes y los sistemas de información y las redes y servicios de telecomunicaciones desempeñan un papel vital para la sociedad y se han convertido en la espina dorsal del crecimiento económico. Las tecnologías de la información y la comunicación están en la base de los complejos sistemas que sustentan las actividades de la sociedad, garantizan el funcionamiento de nuestras economías en sectores clave como la salud, la energía, las finanzas y el transporte y, en particular, respaldan el funcionamiento del mercado interior. (2)La utilización de las redes y los sistemas de información por los ciudadanos, empresas y administraciones de toda la Unión está ya muy generalizada. La digitalización y la conectividad se convierten en elementos básicos en un número cada vez mayor de productos y servicios, y con la llegada de la internet de las cosas, se espera el despliegue en la UE de millones, si no miles de millones, de dispositivos digitales conectados durante la próxima década. Mientras aumenta el número de dispositivos conectados a internet, la seguridad y la resiliencia no se tienen suficientemente en cuenta desde el diseño, lo que provoca insuficiencias en la ciberseguridad. En este contexto, el uso limitado de la certificación priva a los usuarios individuales y las organizaciones de información suficiente sobre las características de ciberseguridad de los productos y servicios de TIC y socava la confianza en las soluciones digitales. (3)La intensificación de la digitalización y la conectividad dará lugar a un aumento de los riesgos en materia de ciberseguridad, con lo que la sociedad en general resultará más vulnerable a las ciberamenazas y se exacerbarán los peligros a que se enfrentan las personas, incluidas las personas vulnerables como los niños. A fin de atenuar este riesgo para la sociedad, es preciso adoptar las medidas necesarias para mejorar la ciberseguridad en la UE con vistas a proteger mejor de las ciberamenazas las redes y los sistemas de información, las redes de telecomunicaciones y los productos, servicios y dispositivos digitales utilizados por los ciudadanos, los gobiernos y las empresas, desde las pymes a los operadores de infraestructuras críticas. (4)Los ciberataques van en aumento, y una economía y una sociedad conectadas, más vulnerables a las ciberamenazas y ciberataques, requieren unas defensas más sólidas. Sin embargo, mientras que los ciberataques a menudo son transfronterizos, las respuestas políticas de las autoridades de ciberseguridad y las competencias policiales son predominantemente nacionales. Los ciberincidentes a gran escala podrían perturbar la prestación de servicios esenciales en toda la UE. Esta situación requiere una respuesta y una gestión de crisis efectivas a nivel de la UE, basadas en políticas específicas y en instrumentos más amplios que propicien la solidaridad europea y la asistencia mutua. En consecuencia, también una evaluación periódica del estado de la ciberseguridad y la resiliencia en la Unión, basada en datos fiables, y una previsión sistemática de los futuros avances, retos y amenazas, tanto en la Unión como en el mundo, son importantes para los responsables políticos, la industria y los usuarios. (5)A la luz de los crecientes retos que tiene planteados la Unión en materia de ciberseguridad, es necesario un conjunto completo de medidas que se apoye en actuaciones previas de la Unión y promueva objetivos que se refuercen mutuamente. Entre ellas se incluye la necesidad de aumentar las capacidades y la preparación de los Estados miembros y de las empresas, así como de mejorar la cooperación y la coordinación en los Estados miembros y las instituciones, órganos y organismos de la UE. Por otra parte, habida cuenta de la naturaleza transfronteriza de las ciberamenazas, es necesario aumentar las capacidades a nivel de la Unión que podrían complementar la acción de los Estados miembros, en particular en caso de ciberincidentes y crisis transfronterizas a gran escala. Son necesarios igualmente esfuerzos adicionales para aumentar la sensibilización de los ciudadanos y las empresas sobre las cuestiones de ciberseguridad. Además, debe reforzarse la confianza en el mercado único digital ofreciendo información transparente sobre el nivel de seguridad de los productos y servicios de TIC. Esto puede verse facilitado por una certificación a escala de la UE que aporte requisitos y criterios de evaluación de la ciberseguridad comunes en todos los mercados y sectores nacionales. (6)En 2004 el Parlamento Europeo y el Consejo adoptaron el Reglamento (CE) n.º 460/2004 por el que se creaba ENISA con el objetivo de contribuir a garantizar un nivel efectivo y elevado de seguridad de las redes y de la información dentro de la Unión y a desarrollar una cultura de la seguridad de las redes y de la información en beneficio de ciudadanos, consumidores, empresas y administraciones públicas. En 2008, el Parlamento Europeo y el Consejo adoptaron el Reglamento (CE) n.º 1007/2008, que prorrogaba el mandato de la Agencia hasta marzo de 2012. El Reglamento (CE) n.º 580/2011 prorrogó nuevamente dicho mandato hasta el 13 de septiembre de 2013. En 2013, el Parlamento Europeo y el Consejo adoptaron el Reglamento (UE) n.º 526/2013 relativo a ENISA y por el que se derogaba el Reglamento (CE) n.º 460/2004, que prorrogaba el mandato de la Agencia hasta junio de 2020. (7)La Unión ha adoptado ya medidas importantes para garantizar la ciberseguridad y aumentar la confianza en las tecnologías digitales. En 2013, se adoptó una Estrategia de ciberseguridad de la UE para orientar la respuesta política de la Unión a las amenazas y riesgos relacionados con la ciberseguridad. En su esfuerzo por proteger mejor a los europeos en línea, la Unión adoptó en 2016 el primer acto legislativo en el ámbito de la ciberseguridad, la Directiva (UE) 2016/1148 relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (en lo sucesivo, «Directiva SRI»). La Directiva SRI instauró requisitos relativos a las capacidades nacionales en el ámbito de la ciberseguridad, estableció los primeros mecanismos para mejorar la cooperación estratégica y operativa entre los Estados miembros e introdujo obligaciones relativas a medidas de seguridad y notificaciones de incidentes en todos los sectores fundamentales para la economía y la sociedad, como la energía, los transportes, el agua, la banca, las infraestructuras de los mercados financieros, la sanidad, las infraestructuras digitales, así como los proveedores de servicios digitales clave (motores de búsqueda, servicios de computación en la nube y mercados en línea). Se atribuyó un papel clave a ENISA para respaldar la aplicación de esta Directiva. Además, una lucha eficaz contra la ciberdelincuencia constituye una prioridad importante de la Agenda Europea de Seguridad, contribuyendo al objetivo general de conseguir un elevado nivel de ciberseguridad. (8)Se reconoce que, desde la adopción de la Estrategia de ciberseguridad de la UE de 2013 y la última revisión del mandato de la Agencia, el contexto político general ha cambiado considerablemente, en particular en relación con un contexto mundial más incierto y menos seguro. En este contexto, y en el marco de la nueva política de ciberseguridad de la Unión, es necesario revisar el mandato de ENISA para definir su función en el ecosistema en mutación de la ciberseguridad y garantizar que contribuya eficazmente a configurar la respuesta de la Unión a los desafíos derivados de esta transformación radical del panorama de las amenazas, para lo cual no basta, como reconoció la evaluación de la Agencia, el actual mandato. (9)La Agencia establecida por el presente Reglamente debe suceder a ENISA, tal como fue establecida por el Reglamento (UE) n.º 526/2013. La Agencia debe llevar a cabo las tareas que le confiere el presente Reglamento y los actos jurídicos de la Unión en el ámbito de la ciberseguridad aportando, entre otras cosas, conocimientos y asesoramiento y actuando como centro de información y conocimientos de la Unión. Debe fomentar el intercambio de mejores prácticas entre los Estados miembros y las partes interesadas del sector privado, sugiriendo políticas a la Comisión Europea y los Estados miembros, actuando como punto de referencia para las iniciativas políticas sectoriales de la Unión en lo que respecta a la ciberseguridad y fomentando la cooperación operativa entre los Estados miembros, así como entre los Estados miembros y las instituciones, órganos y organismos de la UE. (10)En el marco de la Decisión 2004/97/CE, Euratom, adoptada en la reunión del Consejo Europeo celebrada el 13 de diciembre de 2003, los representantes de los Estados miembros decidieron que ENISA tendría su sede en una ciudad de Grecia que determinaría el Gobierno griego. El Estado miembro que acoge a la Agencia debe ofrecer las mejores condiciones posibles para un funcionamiento fluido y eficaz de la misma. Para el desempeño correcto y eficaz de sus funciones, para atraer y conservar al personal y para facilitar el establecimiento de contactos con el exterior, es necesario que la Agencia tenga su sede en un lugar adecuado que, entre otras cosas, ofrezca conexiones de transporte adecuadas y servicios para los cónyuges y los hijos que acompañen a su personal. Las disposiciones necesarias deben recogerse en un acuerdo entre la Agencia y el Estado miembro anfitrión, cuya celebración ha de contar con la aprobación del Consejo de Administración de la Agencia. (11)En vista de los crecientes retos en materia de ciberseguridad a que se enfrenta la Unión, deben incrementarse los recursos financieros y humanos asignados a la Agencia, en consonancia con la ampliación de sus cometidos y tareas, así como su posición crítica en el ecosistema de organizaciones que defienden el ecosistema digital europeo. (12)La Agencia debe desarrollar y mantener un elevado nivel de conocimientos técnicos y actuar como punto de referencia que genere confianza en el mercado único en virtud de su independencia, la calidad del asesoramiento prestado y la información difundida, la transparencia de sus procedimientos y métodos de funcionamiento y su diligencia en el desempeño de sus tareas. La Agencia debe contribuir proactivamente a los esfuerzos nacionales y de la Unión y desempeñar sus funciones cooperando plenamente con las instituciones, órganos y organismos de la Unión y los Estados miembros. Además, la Agencia debe apoyarse en las aportaciones del sector privado y en la cooperación con el mismo, así como con otras partes interesadas pertinentes. Debe existir un conjunto de funciones que establezca cómo debe alcanzar la Agencia sus objetivos, pero permita cierta flexibilidad en su funcionamiento. (13)La Agencia debe prestar asistencia a la Comisión mediante asesoramiento, dictámenes y análisis en todos los asuntos de la Unión relacionados con la formulación de políticas y disposiciones legislativas, actualizaciones y revisiones en el ámbito de la ciberseguridad, con inclusión de la protección de infraestructuras críticas y la ciberresiliencia. La Agencia debe actuar como punto de referencia de asesoramiento y conocimientos para la política y las iniciativas legislativas sectoriales de la Unión, cuando intervengan cuestiones relacionadas con la ciberseguridad. (14)El cometido subyacente de la Agencia es promover la aplicación coherente del marco jurídico pertinente, en particular la aplicación efectiva de la Directiva SRI, que es esencial para aumentar la ciberresiliencia. Habida cuenta de la constante evolución de las amenazas para la ciberseguridad, es evidente que los Estados miembros deben estar respaldados por un enfoque más global y transversal en lo que se refiere a la creación de ciberresiliencia. (15)La Agencia debe asistir a los Estados miembros y a las instituciones, órganos y organismos de la Unión en sus esfuerzos por conformar y mejorar su capacidad y preparación para prevenir, detectar y dar respuesta a los problemas e incidentes de ciberseguridad, así como en relación con la seguridad de las redes y los sistemas de información. En particular, la Agencia debe prestar apoyo al desarrollo y potenciación de los CSIRT nacionales, con vistas a que alcancen un elevado nivel común de madurez en la Unión. La Agencia debe también prestar asistencia en la elaboración y actualización de las estrategias de los Estados miembros y de la Unión en materia de seguridad de las redes y los sistemas de información, y en particular de ciberseguridad, promover su difusión y hacer un seguimiento de los avances en su aplicación. La Agencia debe ofrecer asimismo cursos y material de formación a los organismos públicos y, cuando proceda, «formar formadores» con el fin de ayudar a los Estados miembros a desarrollar sus propias capacidades de formación.

(16)La Agencia debe asistir al Grupo de cooperación establecido en la Directiva SRI en la ejecución de sus tareas, en particular ofreciendo asesoramiento y consejo y facilitando el intercambio de mejores prácticas, particularmente con respecto a la identificación de los operadores de servicios esenciales por parte de los Estados miembros, en especial en relación con las dependencias transfronterizas, en lo que se refiere a riesgos e incidentes. (17)Con el fin de estimular la cooperación entre los sectores público y privado y dentro del sector privado, y en particular para apoyar la protección de las infraestructuras críticas, la Agencia debe facilitar la creación de centros sectoriales de puesta en común y análisis de la información (ISAC, por sus siglas en inglés), proporcionando directrices y mejores prácticas sobre las herramientas disponibles y los procedimientos, y orientando sobre la manera de abordar los asuntos normativos relacionados con la puesta en común de la información. (18)La Agencia debe agregar y analizar los informes nacionales de los CSIRT y el CERT-UE y establecer unas normas, un lenguaje y una terminología comunes para el intercambio de información. Debe también fomentar la participación del sector privado, en el marco de la Directiva SRI, que estableció las bases para el intercambio voluntario de información técnica a nivel operativo con la creación de la red de CSIRT. (19)La Agencia debe contribuir a aportar una respuesta a nivel de la UE en caso de incidentes y crisis de ciberseguridad transfronterizos a gran escala. Esta función debe incluir la recogida de información pertinente y el desempeño del papel de mediador entre la red de CSIRT y la comunidad técnica, así como los responsables políticos de gestionar la crisis. Por otra parte, la Agencia podría apoyar la gestión de incidentes desde una perspectiva técnica facilitando el intercambio de soluciones técnicas pertinentes entre los Estados miembros y aportando información a las comunicaciones públicas. La Agencia debe apoyar el proceso ensayando modalidades de esta cooperación a través de ejercicios anuales de ciberseguridad. (20)Para llevar a cabo sus tareas operativas, la Agencia debe hacer uso de las competencias disponibles del CERT-UE a través de una cooperación estructurada, en estrecha proximidad física. La cooperación estructurada facilitará las sinergias necesarias y permitirá acumular conocimientos a ENISA. Cuando proceda, deben establecerse disposiciones específicas adecuadas entre las dos organizaciones para definir los aspectos prácticos de dicha cooperación. (21)En cumplimiento de sus tareas operativas, la Agencia debe poder prestar ayuda a los Estados miembros, por ejemplo, mediante asesoramiento, asistencia técnica o análisis de amenazas e incidentes. La Recomendación de la Comisión sobre la respuesta coordinada a las crisis e incidentes de ciberseguridad a gran escala recomienda que los Estados miembros cooperen de buena fe y compartan entre ellos y con ENISA información sobre las crisis e incidentes de ciberseguridad a gran escala sin demora indebida. Dicha información debe servir de ayuda a ENISA en el desempeño de sus funciones operativas. (22)Dentro de la cooperación regular a nivel técnico para ayudar a la Unión a conocer la situación, la Agencia debe elaborar periódicamente el informe técnico de ciberseguridad de la UE sobre incidentes y amenazas, basándose en la información públicamente disponible, en su propio análisis y en los informes compartidos por los CSIRT de los Estados miembros (voluntariamente) o los puntos de contacto únicos de la Directiva SRI, el Centro Europeo de Ciberdelincuencia (EC3) de Europol, el CERT-UE y, cuando proceda, el Centro de Inteligencia de la Unión Europea (INTCEN) del Servicio Europeo de Acción Exterior (SEAE). El informe debe ponerse a disposición de las instancias pertinentes del Consejo, la Comisión, la Alta Representante de la Unión para Asuntos Exteriores y Política de Seguridad y la red de CSIRT. (23)Las investigaciones técnicas ex post en relación con incidentes con efectos significativos en más de un Estado miembro respaldadas o efectuadas por la Agencia a petición o con el acuerdo de los Estados miembros afectados deben centrarse en la prevención de incidentes futuros y llevarse a cabo sin perjuicio de eventuales procedimientos judiciales o administrativos destinados a determinar culpas o responsabilidades. (24)Los Estados miembros afectados deben proporcionar a la Agencia la información y asistencia necesarias a efectos de la investigación, sin perjuicio de lo dispuesto en el artículo 346 del Tratado de Funcionamiento de la Unión Europea u otras razones de interés público. (25)Los Estados miembros podrán invitar a las empresas afectadas por el incidente a colaborar facilitando a la Agencia toda la información y asistencia necesarias, sin perjuicio de su derecho a proteger la información sensible desde el punto de vista comercial. (26)Para comprender mejor los retos en el campo de la ciberseguridad, y con el fin de facilitar asesoramiento estratégico a largo plazo a los Estados miembros y las instituciones de la Unión, la Agencia necesita analizar los riesgos actuales y emergentes. A tal efecto, la Agencia, en cooperación con los Estados miembros y, si procede, con los organismos estadísticos o de otro tipo, debe recopilar la información pertinente y llevar a cabo análisis de las tecnologías emergentes y proporcionar evaluaciones temáticas sobre los efectos jurídicos, económicos, sociales y reglamentarios que se esperan de las innovaciones tecnológicas sobre la seguridad de las redes y de la información, en particular la ciberseguridad. Además, la Agencia debe apoyar a los Estados miembros y a las instituciones, órganos y organismos de la Unión a la hora de detectar nuevas tendencias y prevenir los problemas relacionados con la ciberseguridad, mediante la realización de análisis de amenazas e incidentes. (27)Con el fin de aumentar la resiliencia de la Unión, la Agencia debe desarrollar la excelencia en el ámbito de la seguridad de la infraestructura de internet y de las infraestructuras críticas, ofreciendo asesoramiento, directrices y mejores prácticas. Con el fin de facilitar el acceso a una información mejor estructurada sobre los riesgos para la ciberseguridad y las posibles soluciones, la Agencia debe crear y mantener la «plataforma de información» de la Unión, un portal único con información sobre ciberseguridad para los ciudadanos procedente de las instituciones, órganos y organismos nacionales y de la UE. (28)La Agencia debe contribuir a la sensibilización del público sobre los riesgos para la ciberseguridad y facilitar orientaciones sobre buenas prácticas para usuarios individuales dirigidas a ciudadanos y organizaciones. Debe contribuir asimismo a promover las mejores prácticas y soluciones a nivel de personas y organizaciones mediante la recogida y análisis de la información disponible públicamente relativa a incidentes significativos y la elaboración de informes con vistas a ofrecer orientaciones a empresas y ciudadanos y mejorar el nivel general de preparación y resiliencia. La Agencia debe además, en colaboración con los Estados miembros y las instituciones, órganos y organismos de la Unión, organizar campañas sistemáticas de comunicación y educación pública destinadas a los usuarios finales, con miras a promover comportamientos individuales en línea más seguros y a concienciar sobre las amenazas potenciales en el ciberespacio, incluyendo ciberdelitos como los ataques por suplantación de identidad (phishing), las redes infectadas (botnets) o los fraudes bancarios y financieros, así como dar consejos básicos en materia de autenticación y protección de datos. La Agencia debe desempeñar un papel central para acelerar la sensibilización de los usuarios finales con respecto a la seguridad de los dispositivos. (29)Con el fin de apoyar a las empresas que trabajan en el sector de la ciberseguridad, así como a los usuarios de soluciones de ciberseguridad, la Agencia debe crear y mantener un «observatorio del mercado», llevando a cabo análisis y difundiendo las principales tendencias en el mercado de la ciberseguridad, tanto en el lado de la oferta como en el de la demanda. (30)Para asegurar que cumple plenamente sus objetivos, la Agencia debe permanecer en contacto con las instituciones, órganos y organismos pertinentes, incluidos el CERT-UE, el Centro Europeo de Ciberdelincuencia (EC3) de Europol, la Agencia Europea de Defensa (AED), la Agencia europea para la gestión operativa de los sistemas informáticos de gran magnitud (eu-LISA), la Agencia Europea de Seguridad Aérea (EASA) y cualquier otro órgano de la UE relacionado con la ciberseguridad. También debe mantener contactos con las autoridades encargadas de la protección de datos a fin de intercambiar conocimientos y mejores prácticas y facilitar asesoramiento sobre los aspectos de la ciberseguridad que podrían repercutir en su trabajo. Los representantes de las autoridades nacionales y de la Unión encargadas de hacer cumplir la ley y proteger los datos deben poder estar representados en el Grupo Permanente de Partes Interesadas de la Agencia. En sus relaciones con los organismos encargados de hacer cumplir la ley sobre aspectos relacionados con la seguridad de las redes y de la información que puedan tener repercusiones en el trabajo de dichos organismos, la Agencia debe respetar los canales de información y las redes existentes. (31)La Agencia, como miembro de la red de CSIRT que además se encarga de su secretaría, debe prestar apoyo a los CSIRT de los Estados miembros y al CERT-UE en la cooperación operativa relativa a todas las tareas pertinentes de la red de CSIRT, tal como se definen en la Directiva SRI. Además, la Agencia debe promover y apoyar la cooperación entre los CSIRT pertinentes en caso de incidentes, ataques o perturbaciones en las redes o infraestructuras gestionadas o protegidas por los CSIRT y que impliquen o puedan implicar al menos a dos CERT, teniendo siempre debidamente en cuenta los procedimientos operativos estándar de la red de CSIRT. (32)Con el fin de aumentar la preparación de la Unión para una respuesta a los incidentes de ciberseguridad, la Agencia debe organizar anualmente ejercicios de ciberseguridad a nivel de la Unión y, cuando lo soliciten, apoyar a los Estados miembros y las instituciones, órganos y organismos de la UE en la organización de ejercicios. (33)La Agencia debe desarrollar y mantener sus conocimientos técnicos en materia de certificación de la ciberseguridad con vistas a respaldar la política de la Unión en este ámbito. Debe igualmente promover la asimilación de la certificación de la ciberseguridad en la Unión, en particular contribuyendo a la creación y mantenimiento de un marco de certificación de la ciberseguridad a nivel de la Unión, con el fin de aumentar la transparencia de la garantía de ciberseguridad de los productos y servicios de TIC y reforzar así la confianza en el mercado interior digital. (34)Unas políticas de ciberseguridad eficientes deben basarse en métodos de evaluación de riesgos bien desarrollados, tanto en el sector público como en el privado. Los métodos de evaluación de riesgos se utilizan en distintos niveles sin que existan prácticas comunes para su aplicación eficiente. La promoción y el desarrollo de las mejores prácticas de evaluación de riesgos y de soluciones interoperables de gestión de riesgos en las organizaciones de los sectores público y privado incrementarán el nivel de ciberseguridad en la Unión. A tal efecto, la Agencia debe apoyar la cooperación entre las partes interesadas a escala de la Unión, facilitando sus esfuerzos en relación con el establecimiento y la adopción de normas a escala europea e internacional para la gestión del riesgo y la seguridad mensurable de los productos, sistemas, redes y servicios electrónicos que, junto a los programas informáticos, conforman las redes y los sistemas de información. (35)La Agencia debe alentar a los Estados miembros y a los proveedores de servicios a aumentar sus niveles generales de seguridad, a fin de que todos los usuarios de internet puedan tomar las medidas necesarias para garantizar su propia ciberseguridad personal. En particular, los prestadores de servicios y los fabricantes de productos deben retirar o reciclar los productos y servicios que no cumplan las normas de ciberseguridad. En cooperación con las autoridades competentes, ENISA podrá difundir información relativa al nivel de ciberseguridad de los productos y servicios ofrecidos en el mercado interior, y emitir advertencias dirigidas a los proveedores y los fabricantes solicitándoles que mejoren la seguridad, incluida la ciberseguridad, de sus productos y servicios.

(36)La Agencia debe tener plenamente en cuenta las actividades en curso de investigación, desarrollo y evaluación tecnológica, en especial las llevadas a cabo por las distintas iniciativas de investigación de la Unión, para asesorar a las instituciones, órganos y organismos de la Unión y, cuando proceda, a los Estados miembros que lo soliciten sobre las necesidades de investigación en el ámbito de la seguridad de las redes y de la información, y en particular de la ciberseguridad. (37)Los problemas de ciberseguridad tienen un alcance mundial. Es necesaria una cooperación internacional más estrecha para mejorar las normas de seguridad, incluida la definición de normas de comportamiento comunes, y el intercambio de información, promoviendo una colaboración internacional que responda con mayor prontitud a los problemas de seguridad de las redes y de la información, así como un enfoque mundial común al respecto. A tal efecto, la Agencia debe respaldar una mayor relación y cooperación de la Unión con los terceros países y las organizaciones internacionales proporcionando, cuando proceda, los conocimientos y el análisis necesarios a las instituciones, órganos y organismos pertinentes de la Unión. (38)La Agencia debe estar en condiciones de responder a las solicitudes específicas de asesoramiento y asistencia por parte de los Estados miembros y las instituciones, órganos y organismos de la UE que cuadren con los objetivos de la Agencia. (39)Es necesario aplicar determinados principios al gobierno de la Agencia con el fin de atenerse a la declaración conjunta y el enfoque común aprobados en julio de 2012 por el Grupo de trabajo interinstitucional sobre las agencias descentralizadas, declaración y enfoque cuya finalidad es la racionalización las actividades de las agencias y la mejora de su rendimiento. La declaración conjunta y el enfoque común también han de quedar reflejados, cuando proceda, en los programas de trabajo de la Agencia, sus evaluaciones y sus prácticas administrativas y de presentación de informes. (40)El Consejo de Administración, integrado por los Estados miembros y la Comisión, debe definir la orientación general del funcionamiento de la Agencia y garantizar que desempeña su cometido de conformidad con el presente Reglamento. El Consejo de Administración debe estar dotado de las facultades necesarias para establecer el presupuesto, supervisar su ejecución, aprobar el correspondiente reglamento financiero, establecer procedimientos de trabajo transparentes para la toma de decisiones por la Agencia, adoptar el documento único de programación de la Agencia, adoptar su propio reglamento interno, nombrar al director ejecutivo y decidir la prolongación del mandato del director ejecutivo o el cese de dicho mandato. (41)Para que la Agencia funcione correcta y eficazmente, la Comisión y los Estados miembros deben garantizar que las personas que se nombren como miembros del Consejo