La estrategia de ciberseguridad de la UE y, en particular, la inminente Directiva sobre Seguridad de las Redes y de la Información (Directiva SRI) allanarán el camino hacia una mayor cooperación a escala de la UE en todos los Estados miembros. La aplicación rápida y efectiva de la Directiva será clave en vista de la creciente digitalización de la vida económica y de la sociedad (teniendo también en cuenta la nube, la Internet de las Cosas y la comunicación máquina-máquina), el aumento de la interconexión transfronteriza y la rápida evolución del panorama de ciberamenazas. En este contexto, la UE necesita estar preparada ante la posibilidad de una crisis cibernética a gran escala, en la que se produzcan, por ejemplo, ataques simultáneos a sistemas de información vitales en varios Estados miembros.

Es necesario un compromiso firme para conseguir estos fines, y en particular:

Además, la Comisión también está abordando la ciberseguridad de las capacidades industriales de la Unión Europea. Aunque no sea posible tener bajo control toda la cadena de valor de las tecnologías digitales en Europa, es necesario conservar y desarrollar al menos determinadas capacidades esenciales. El suministro de productos y servicios que aporten el máximo nivel de ciberseguridad constituye una oportunidad para la industria de la ciberseguridad en Europa y podría convertirse en una importante ventaja competitiva. Se calcula que el mercado global de la ciberseguridad será uno de los segmentos de más rápido crecimiento dentro del sector de las TIC. Para dar a la UE un papel protagonista en este ámbito es necesario contar con el apoyo de una sólida cultura de la seguridad de los datos, incluso de los datos personales, y de una respuesta eficaz ante los incidentes. Esto se considerará un argumento de peso para invertir en la UE, contribuyendo de esta forma a lograr los ambiciosos objetivos del mercado único digital para crear crecimiento y empleo.

Habida cuenta de la naturaleza y multitud de las ciberamenazas, la Comisión anima a los Estados miembros a sacar el máximo partido de los mecanismos de cooperación de la SRI actualmente a su disposición, y también a potenciar la cooperación transfronteriza relativa a la preparación ante un ciberincidente a gran escala. Este tipo de cooperación adicional en caso de ciberincidente importante se beneficiaría del enfoque coordinado en la cooperación ante las crisis entre los diferentes elementos del ecosistema cibernético. Un enfoque de este tipo puede describirse en un «plan director» que también debe garantizar sinergias y coherencia con los mecanismos existentes de gestión de crisis. Posteriormente, deberá ponerse a prueba periódicamente en ejercicios de gestión de crisis, tanto cibernéticas como de otros tipos. Dicho programa debería reservar una función para los organismos a nivel de la UE, como la ENISA, el CERT-UE y el Centro Europeo de Ciberdelincuencia (EC3) de Europol, y utilizar las herramientas creadas en el marco de la Red CSIRT. En el primer semestre de 2017 la Comisión se propone someter dicho plan director de cooperación a la consideración del Grupo de Cooperación, la Red CSIRT y demás partes interesadas pertinentes.

En la actualidad, los conocimientos teóricos y prácticos sobre ciberseguridad están disponibles a escala de la UE, pero de forma dispersa y no estructurada. Para apoyar los mecanismos de cooperación de la SRI, la información debería agruparse en un «centro logístico de información» para ponerla fácilmente a disposición de todos los Estados miembros que la soliciten. Este «centro logístico» se convertiría en un recurso central que permitiría a las instituciones y Estados miembros de la UE el intercambio de información cuando fuera preciso. Un acceso simplificado a una información mejor estructurada sobre los riesgos y posibles soluciones en materia de ciberseguridad ayudaría a los Estados miembros a aumentar sus capacidades y a armonizar sus prácticas y, de este modo, a reforzar la capacidad general de resiliencia frente a los ataques. La Comisión, apoyada por la ENISA y el CERT-UE y con el asesoramiento técnico de su Centro Común de Investigación, facilitará la creación y garantizará la viabilidad del centro logístico.

Además, debería constituirse a nivel de la UE un grupo consultivo de alto nivel integrado por expertos y responsables de las decisiones en materia de ciberseguridad procedentes de la industria, el mundo académico, la sociedad civil y otras organizaciones relevantes. El grupo permitiría a la Comisión obtener asesoramiento técnico y aportaciones del exterior, de una forma abierta y transparente, sobre sus políticas y estrategias en materia de ciberseguridad y sobre posibles actuaciones normativas o políticas públicas de otro tipo. Conectaría con otras estructuras en materia de ciberseguridad y las complementaría.

Además, la Comisión tiene que realizar una evaluación de la ENISA a más tardar el 20 de junio de 2018 y la posible modificación o renovación de su mandato ha de adoptarse antes del 19 de junio de 2020. Habida cuenta del actual panorama en lo que respecta a la ciberseguridad, la Comisión quisiera adelantar la evaluación y, en función de los resultados obtenidos, presentar una propuesta lo antes posible.

A la hora de evaluar la posible necesidad de cambiar el mandato de la ENISA, la Comisión tendría que tener en cuenta los desafíos a la ciberseguridad descritos anteriormente y el esfuerzo global para intensificar la cooperación y la puesta en común de conocimientos. Este proceso será la ocasión de plantearse el posible refuerzo del potencial de la Agencia y de su capacidad para ayudar a los Estados miembros de manera sostenible para lograr la resiliencia en materia de ciberseguridad. La reflexión sobre el mandato de la ENISA, además, necesita tener en cuenta las nuevas responsabilidades de la Agencia, en el marco de la Directiva SRI; los nuevos objetivos estratégicos para apoyar a la industria de la ciberseguridad (la estrategia del DSM y, en particular, el acuerdo contractual de asociación público-privada); las nuevas necesidades en materia de protección de los sectores vitales y los nuevos retos relacionados con incidentes transfronterizos, incluida la respuesta coordinada ante crisis cibernéticas.

La Comisión: -someterá a consideración un plan director de cooperación para hacer frente a los ciberincidentes a gran escala a nivel de la UE en el primer semestre de 2017; -facilitará la creación de un «centro logístico de información» para apoyar el intercambio de información entre los organismos de la UE y los Estados miembros; -creará un grupo consultivo de alto nivel sobre ciberseguridad; y -finalizará la evaluación de la ENISA antes de finales de 2017. Dicha evaluación abordará la necesidad de modificar o ampliar el mandato de la ENISA, con el fin de presentar una propuesta lo antes posible.

2.2 Aumentar los esfuerzos en materia de educación, formación y ejercicios

Algunos de los aspectos clave para lograr la resiliencia en materia de ciberseguridad son una formación y unas cualificaciones profesionales adecuadas, relacionadas con la prevención de los incidentes de ciberseguridad y con el tratamiento y mitigación de sus efectos.

En la actualidad, la ENISA, el Grupo Europeo de Educación y Formación contra la Ciberdelincuencia (ECTEG), en cooperación con el EC3 de Europol y con la Escuela Europea de Policía (CEPOL), desempeñan un importante papel a la hora de facilitar el apoyo a la capacitación, incluso en materia de análisis forense digital, mediante la elaboración de manuales y la organización de cursos de formación y ejercicios de ciberseguridad.

Al mismo tiempo, el ciberespacio es un ámbito en rápida evolución en el que las capacidades de doble uso desempeñan un papel esencial. Es necesario, por tanto, desarrollar la cooperación civil-militar y las sinergias en la formación y los ejercicios prácticos para mejorar la resiliencia y la capacidad de respuesta ante incidentes de la UE.

Para responder a esta necesidad, y en la línea de la adopción de la Directiva SRI y del Marco Político de Ciberdefensa de la UE, los servicios de la Comisión cooperarán con los Estados miembros, el Servicio Europeo de Acción Exterior (SEAE), la ENISA y demás organismos competentes de la UE para establecer una plataforma de educación, formación y ejercicios en materia de ciberseguridad que fomentará las sinergias entre las actividades de formación civil y de defensa.

La Comisión: -trabajará en estrecha cooperación con los Estados miembros, la ENISA, el SEAE y demás organismos competentes de la UE para establecer una plataforma de formación en materia de ciberseguridad.

2.3. Abordar las interdependencias entre sectores y la resiliencia de la infraestructura de redes públicas clave

Un factor importante a la hora de evaluar el riesgo y el impacto de un ciberincidente a gran escala es el grado de interdependencia transfronteriza e intersectorial. Un ciberincidente grave en un sector o en un Estado miembro puede repercutir directa o indirectamente en otros sectores o en otros Estados miembros o propagarse a ellos.

La cooperación transfronteriza e intersectorial facilita el intercambio de información y conocimientos especializados, incrementando así la preparación y la resiliencia. La Comisión ha apoyado el trabajo realizado en diversos sectores para comprender mejor las interdependencias mediante la aplicación del Programa Europeo de Protección de Infraestructuras Críticas.

Al mismo tiempo, un requisito indispensable para abordar los riesgos intersectoriales es la capacidad de cada uno de los sectores de identificar, prepararse y responder a los ciberincidentes. La Comisión evaluará el riesgo derivado de ciberincidentes en sectores altamente interdependientes dentro y a través de las fronteras nacionales, en particular, en los sectores regulados por la Directiva SRI, teniendo también en cuenta los acontecimientos a nivel internacional. Después de dicha evaluación, la Comisión estudiará si son necesarias otras normas específicas y/o directrices sobre la preparación frente a riesgos cibernéticos para estos sectores vitales.

A escala europea, los centros sectoriales de puesta en común y análisis de la información (ISAC, por sus siglas en inglés), y los CSIRT correspondientes pueden desempeñar un papel clave en la preparación y respuesta ante los ciberincidentes. Para garantizar unos flujos de información eficaces sobre la evolución de las amenazas y para facilitar la respuesta ante los ciberincidentes, debe animarse a los ISAC a engranarse en la Red de CSIRT dentro de la Directiva SRI y a colaborar con el Centro Europeo de Ciberdelincuencia (EC3) de Europol, con el CERT-UE, así como con las fuerzas y cuerpos de seguridad competentes.

El intercambio de información entre las partes interesadas y las autoridades a lo largo de todo el ciclo de vida de los riesgos cibernéticos exige que los participantes confíen en que su responsabilidad no se verá comprometida. La Comisión ha observado una serie de inquietudes de este tipo que hacen que las empresas no compartan valiosos conocimientos concretos sobre las amenazas con sus homólogos, con otros sectores o con las autoridades, en particular entre países. La Comisión tratará de resolver y despejar estas inquietudes en aras de una mejora del intercambio de información sobre las ciberamenazas.

También es fundamental contar con unos canales de información fiables que garanticen la confidencialidad para animar a las empresas a informar sobre la sustracción de secretos comerciales. Esto permitiría controlar y evaluar el perjuicio sufrido por la industria europea (que también daría lugar a pérdidas de ventas y empleos) y los organismos de investigación. También contribuiría a diseñar una respuesta política adecuada. Con la ayuda de la ENISA, la Oficina de Propiedad Intelectual de la Unión Europea (EUIPO por sus siglas en inglés) y la EC3 de Europol, la Comisión, en el marco de un diálogo con las partes interesadas del sector privado, creará canales fiables para la notificación voluntaria de la sustracción de secretos comerciales. Ello debería permitir la compilación de datos anonimizados y agregados a nivel de la UE. Dichos datos pueden ser compartidos con los Estados miembros para apoyar la labor diplomática y las acciones de sensibilización tendentes a proteger los activos intangibles de la UE frente a los ciberataques.

Para brindar apoyo a la ciberseguridad sectorial, la Comisión también promoverá la incorporación de la ciberseguridad en el desarrollo de varias políticas sectoriales de la UE comprometidas en el terreno de la ciberseguridad.