ES    ES ES 
ES    ES  COMISIÓN DE LAS COMUNIDADES EUROPEAS 
Bruselas, 30.3.2009 
SEC(2009) 400 
  
DOCUMENTO DE TRABAJO DE LOS SERVICIOS DE LA COMISIÓN 
Documento complementario de la 
   
COMUNICACIÓN DE LA COMISIÓN AL PARLAMENTO EUROPEO, AL 
CONSEJO, AL COMITÉ ECONÓMICO Y SOCIAL EUROPEO Y AL COMITÉ DE 
LAS REGIONES 
 
sobre protección de infraestructuras críticas de información 
«Proteger Europa de ciberataques e interrupciones a gran escala:  
aumentar la preparación,  seguridad y resistencia » 
   
RESUMEN DE LA EVALUACIÓN DE IMPACTO 
 
{COM(2009) 149} 
{SEC(2009) 399} 
ES 2   ES RESUMEN DE LA EVALUACIÓN DE IMPACTO  
1. EL PROBLEMA  
El sector de las TIC es fundamental par a la economía y la sociedad de la UE 
Las tecnologías de la información y la comunicación (TIC) se han convertido en la columna 
vertebral de la economía y la sociedad de la UE en su conjunto. El sector de las TIC es 
esencial para todos los segmentos de la sociedad . Las empresas dependen de él  tanto para 
las ventas directas como para la eficiencia y eficacia de los procesos internos. Asimismo, las 
TIC están cada vez más presentes en el func ionamiento de los gobiernos y las 
administraciones públicas : la utilización de la administraci ón electrónica a t odos los niveles, 
si bien garantiza unos procedim ientos más eficientes, hace que el sector público dependa en 
gran medida de las TIC para muchas operaciones. Por último, los ciudadanos dependen cada 
vez más de los servicios de la sociedad de  la información y utilizan las TIC en sus 
actividades diarias : a pesar de los efectos negativos que tendría una ci berperturbación en 
tales actividades, cada vez se comunican y tran smiten más datos persona les de los ciudadanos 
por vía electrónica. Unas medidas de seguridad insuficientes pueden conducir a la pérdida de 
información personal sensible y crear el riesgo  de usurpación de identidad u otro tipo de 
fraude1. Aumentar la seguridad y resistencia de es e tipo de infraestructuras es asimismo, 
pues, absolutamente fundamental para la pr otección de los datos personales de los 
ciudadanos y la correcta aplicación del derecho a la privacidad.  
Los sistemas y servicios TIC constituyen una infraestructura fundamental por sí misma 
además de ser los cimientos de otras infraestruc turas tecnológicas y sociales críticas. Así se 
reconoce en el Libro Verde de la Comisión Europea sobre un programa europeo para la 
protección de infraestruc turas críticas, que recoge  en el concepto de infraestructuras críticas 
de información (ICI) todos  «los sistemas TIC que son infraestru cturas críticas por sí mismas 
o que son básicas para el func ionamiento de infraestructuras  críticas (telecomunicaciones, 
ordenadores o software, Inte rnet, satélites, etc.) »2, de modo parecido al planteamiento de la 
OCDE3.  
A pesar de las diferencias terminológicas existentes, lo importante es que la noción de ICI 
conduce a una perspectiva sistémica de estrat egias para un funcionamiento continuo y 
seguro de sistemas, servicios, redes e infraestructuras TIC  («infraestructuras TIC»), de las 
cuales Internet es un componente muy importante , debido a su difusión generalizada y al 
proceso de convergen cia tecnológica. 
                                                 
1 http://www.times online.co.uk/tol/news/uk/crime/article4211711.ece. 
2 COM(2005) 576 final. 
3 http://www.oecd.org/dataoecd/1/13/40825404.pdf . 
ES 3   ES Bazas en juego 
La omnipresencia de las ICI implica que lo s efectos de las ciberperturbaciones pueden 
sentirse mucho en toda la sociedad .  
Sucede con frecuencia que los riesgos provocados por el hombre, por desastres naturales o por 
fallos técnicos no se comprenden del todo ni se an alizan suficientemente,  por lo que el nivel 
de conciencia de los interesados es insuficien te para concebir salvaguardias y medidas de 
protección eficaces. 
Los ciberataques han alcanzado un nivel de complejidad inaudito y sucede con frecuencia 
que los cometen particulares o bandas de deli ncuentes para sacar provecho o por motivos 
políticos.  Los ciberataques a gran escala que han sufrido Estonia, Lituania y Georgia son 
ejemplos de una tendencia general. El enorme número de virus, gusanos y demás formas de 
malware , la expansión de botnets  y el continuo aumento de co rreo no deseado confirman la 
gravedad del problema4. Las infraestructuras TIC son el blanco de ataques constantes  y, 
si Europa no se prepara, los efectos de  estos ataques serán mucho más graves.  
La gran dependencia de las ICI, así como la interconexión transfronter iza e interdependencia 
de estas con respecto a otras infraestructu ras, hacen que aumente la necesidad de abordar su 
seguridad y resistencia desde una perspectiv a sistémica como primera línea de defensa  
contra los fallos y los ataques , y que se sume, complementándolas, a las medidas encaminadas 
a prevenir, combatir y llevar a juicio las activid ades delictivas y terroristas cuyo objetivo sean 
las ICI.  
Naturaleza del problema 
Actualmente, la seguridad y resistencia de las ICI se aborda fundamentalmente a escala 
nacional y la coordinación pa neuropea es escasa. La falta de cooperación transfronteriza 
sistemática reduce considerablemente la ef icacia de las medidas de protección 
nacionales. Además, el bajo nivel de seguridad y resistenc ia de las ICI en un país puede 
hacer que aumenten la  vulnerabilidad y los riesgos en otros. 
Dado que las ICI están estrechamente in terconectadas a escala mundial y son 
interdependientes de otras infraestructuras, garanti zar su seguridad y resistencia no puede 
lograrse mediante planteamientos pur amente nacionales y descoordinados. Además,  la 
impresión general es que las fuerzas del m ercado no ofrecen incentivos suficientes al 
sector privado para que invierta en la prot ección de las ICI al nivel que los gobiernos 
exigirían normalmente . 
Las causas subyacentes del problema general esbozado arriba son las siguientes: 
• Un planteamiento desigual en los distinto s Estados miembros respecta a las políticas 
públicas sobre seguridad y resistencia de las ICI . Hay diferencias entre las políticas de 
los Estados miembros sobre seguridad y resist encia de las ICI. Además, no parece que el 
nivel de conocimientos y preparación sea un iforme; este extremo queda patente en el 
análisis de los planteamientos nacionales r ealizado por la Comisión y se confirma en un 
informe de la Agencia Europea de Seguridad de las Redes y de la Información  
(ENISA)5. 
• Aceptación difícil de nuevos modelos de gobernanza europeos . La mejora de la 
seguridad y fiabilidad de las ICI plantea problemas de gobernanza particulares. Si bien 
                                                 
4 COM(2006)688 final. 
5 http://www.enisa.europa.eu/d oc/pdf/resilience/stock_ta king_final_report_2008.pdf  
ES 4   ES compete a los gobiernos establecer las políticas relacionadas con las ICI, la participación 
del sector privado es fundamental para llevarlas a la práctica . Han aparecido 
asociaciones público-privadas  a escala nacional como mode lo de referencia para 
gestionar esta combinación de  responsabilidades. Con to do, y a pesar del consenso 
existente en cuanto a la conveniencia de que también haya asociaciones público-privadas a 
escala europea, estas no se han materializado todavía.  
• Capacidad europea limitada de alerta temprana y respuesta a los incidentes . Las 
consultas han puesto de relieve la existencia de diferencias en los sistemas nacionales de 
alerta temprana y respuesta a los incide ntes. Algunos Estados miembros no reciben 
habitualmente informes sobre incidentes de la seguridad de las redes —aun cuando ello 
puedan hacerlo algunos operadores de mane ra informal— ni han establecido una 
organización que actúe como centro de at ención informativo. La cooperación y el 
intercambio de información entre entidades gubernamentales  están infradesarrollados y 
se ven entorpecidos por la inexistencia de  mecanismos de comunicación y coordinación de 
confianza, que, a su vez, necesitan que todos los equipos nacionales o gubernamentales 
de respuesta a incidentes de seguridad de la información ( CERT) funcionen 
correctamente, es decir, contar con una ba se común en términos de capacidades. 
Además, los ejercicios y simulaciones prácticas de ámbito europeo , que son un 
elemento básico para mejorar la seguridad  y resistencia de las ICI, están aún en fase 
embrionaria . 
• Escasa conciencia de los riesgos de  seguridad y resistencia de Internet . Internet, gracias 
a su diseño distribuido y redundante, ha demostra do por el momento ser una 
infraestructura bastante sólida y resistente . Ahora bien, es razonable poner en duda  su 
capacidad para segui r resistiendo el número cada vez mayo r de perturbaciones y 
ciberataques, habida cuenta de su espectacular crecimiento , su creciente complejidad  y 
la aparición de nuevos servicios . 
Ningún país es una isla . La naturaleza mundial de las IC I y, en particular, de Internet 
requiere un planteamiento común y mundial  para la seguridad y la resistencia. Gracias a 
una coordinación europea sólida puede lograr se un efecto directo a escala internacional . 
2. FUNDAMENTO DE LA ACTUACIÓN COMUNITARIA  
Un planteamiento puramente nacional para abordar los problemas esbozados arriba 
puede no ser suficiente . Debido a los importantes efectos transfronterizos, numerosas 
amenazas a la seguridad de las redes y de la información pueden causar externalidades 
transfronterizas negativas que no pueden resolverse eficazment e a escala nacional y pueden 
causar perturbaciones en otros países.  
Un planteamiento europeo integrado para mejo rar la seguridad y resistencia de las ICI 
aportaría valor añadido europeo a los progr amas nacionales de protección de las 
infraestructuras críticas de información y a los regímenes de cooperación entre los Estados 
miembros vigentes,  complementándolos de forma útil . Puesto que muchos de los problemas 
y cuestiones son comunes, todos saldrían beneficiados con un planteamiento común. 
Los debates que se han sucedido tras los ataque s ocurridos en Estonia dejan entrever que los 
efectos de sucesos similares pueden limitarse con medidas preventivas  —como un 
intercambio de información más estr ucturado a escala europea— y una actuación 
coordinada  durante la propia crisis. La Comi sión, respetando escrupulosamente el principio 
de subsidiariedad , reúne unas condiciones ideales para coordinar esos efectos en estrecha 
cooperación con los Estados miembros y otras organizaciones internacionales. 
ES 5   ES Además, los asuntos relacionados con la segur idad nacional, aun cuando desempeñan una 
función importante para el establecimiento de las obligaciones  y políticas de seguridad de las 
redes y de la información, pueden dar lugar a una fragmentación de la normativa y afectar a la 
competitividad de la Unión Europea en su conjunto y a la capacidad de creación de riqueza del mercado único europeo. 
En 2006, la Comisión anunció
6 su intención de crear, al ampa ro del Programa Europeo para la 
Protección de Infraestructuras Críticas (PEPIC)7, una política específica para el sector de las 
TIC « con vistas a mejorar la seguridad y resistencia de las redes y sistemas de información ». 
El Consejo Europeo dio la bien venida a este anuncio en 20078. 
Esta iniciativa tendría debidamente en cuen ta la dimensión internacional, basándose en 
principios reconocidos, como los del G8 sobre protección de infraestructuras críticas de 
información, la Resolución 58/199 de la Asam blea General de la ONU «Creación de una 
cultura mundial de seguridad ci bernética y protección de las in fraestructuras de información 
esenciales» y la reciente Recome ndación de la OCDE sobre la pr otección de infraestructuras 
críticas de información. 
Por último, la iniciativa propuesta tiene en cuenta, sin duplicarlas, las actividades sobre 
ciberseguridad de la OTAN, que se centran en la defensa militar —es decir, la política común 
de ciberdefensa y las actividades de la Autori dad de Gestión de la Ciberdefensa (CDMA en 
sus siglas en inglés), además de las actividades  del Centro de Excelencia para la Ciberdefensa 
Cooperativa (CCD-COE en sus sigl as en inglés) de la OTAN—. 
3. OBJETIVOS  
La finalidad de esta iniciativa es aumentar al nivel de prep aración y respuesta en toda 
Europa  contra los riesgos y amenazas descritos, evitando un planteamiento fragmentado por 
parte de los Estados miembros. Se prestará es pecial atención a la elaboración de procesos 
compartidos para hacer frente de manera flex ible a las amenazas conocidas y desconocidas. 
Los interesados públicos y privados pertinente s se encargarán de garantizar la puesta en 
práctica de un número suficiente y coherente de medidas  preventivas, de detección, 
emergencia y recuperación  para alcanzar el nivel apropiado de seguridad y resistencia de 
las ICI y garantizar la continuidad de los servicios . La mejora de la seguridad y resistencia 
también repercutirá de modo positivo en la  protección de los datos personales y la 
privacidad de los ciudadanos de la UE . 
Los objetivos generales de es ta propuesta, es decir, garantizar la seguridad y resistencia de 
las ICI en tanto que primera línea de defensa , pueden alcanzarse mediante cuatro objetivos 
específicos: 
(1) Colmar lagunas en las políticas nacionales de seguridad y resistencia de las ICI. 
(2) Mejorar la gobernanza europea sobre se guridad y resistencia de las ICI. 
(3) Fortalecer la capacidad operativa de re spuesta a los incidentes de Europa. 
(4) Mejorar la seguridad y re sistencia de Internet. 
                                                 
6 COM(2006) 251. 
7 COM(2006) 786. 
8 Resolución 2007/C 68/01 del Consejo. 
ES 6   ES 4. OPCIONES  
Opción 1 : ninguna medida nueva  
No proponer ninguna actuación nueva no sería una opción viable . Sin actuaciones 
horizontales a escala de la UE, los Estados miembros seguir ían actuando individualmente o en 
el marco de una colaboración bilateral o multilateral limitada. Se correría un riesgo vinculado 
a la evolución de planteamie ntos nacionales diferentes , que podrían ser incompatibles. 
Además, la cooperación transfronteriza sería ad hoc y podría ser ineficaz debido a la 
complejidad y amplitud de los ciberataques. 
Puesto que los Estados miembros seguirían ab ordando estos asuntos a r itmos diferentes, los 
interesados podrían abstenerse de invertir en seguridad y resistencia , ya que la multitud 
de normas y obligaciones reduciría su compe titividad. La naturaleza transfronteriza del 
problema acentuaría las diferencias de segurida d, resistencia y preparación en Europa, donde 
la vulnerabilidad de las ICI se guiría siendo elevada y posiblement e aumentaría, a pesar de los 
esfuerzos individuales. 
Opción 2: marco no obligatorio 
La Comisión propondría el marco de coordinación y cooperación , que revestiría la forma 
de una Comunicación y un Plan de acción dirigido a los Estados miembros, el sector privado 
y la sociedad civil. La Comunicación podría reci bir el respaldo del Consejo de la UE y el 
Parlamento Europeo podría decidir también contribuir al debate. 
La iniciativa se centraría en  los objetivos destacados arri ba y propondría específicamente: 
(1) Promover la coherencia entre las políticas nacionales de seguridad y resistencia 
de las ICI : 
• determinando ejemplos transferibles de prácticas y aspectos comunes públicos; 
• estableciendo un foro europeo en el que  los Estados miembros intercambien 
información y buenas prácticas sobre se guridad y resistencia de las ICI. 
(2) Mejorar la gobernanza europea sobre seguridad y resistencia de las ICI : 
• poniendo en marcha una asociación público-privada europea de resistencia  
para fomentar la cooperación entre los s ectores público y privado sobre objetivos 
de seguridad y resistencia,  requisitos de base, buena s prácticas y medidas.  
(3) Fortalecer la capacidad operativa de respuesta a los incidentes de Europa : 
• estableciendo CERT9 nacionales o gubernamentales que funcionen bien como 
componente fundamental de la capacidad nacional de preparación, intercambio de 
información, coordinación y respuesta; 
• acordando un nivel mínimo de capacidades y servicios para los CERT nacionales 
o gubernamentales; 
• fomentando la cooperación eu ropea de los CERT nacionales o gubernamentales; 
facilitando el contacto y la cooperación entre las capacidades de respuesta 
nacionales; organizando ejer cicios paneuropeos y/o regi onales sobre incidentes 
simulados a gran escala; 
                                                 
9 Equipos de respuesta a incidentes de seguridad de la información. 
ES 7   ES • promoviendo planes de contingencia de respuesta a incident es de las redes y 
recuperación de catástrofes; 
• financiando la concepción de ejercicios eu ropeos sobre incidentes simulados de 
seguridad de las redes a gran escala; 
• apoyando la concepción y utilización de un sistema europeo de intercambio de 
información y alerta (EISAS) que llegue de manera eficaz y equitativa a los 
ciudadanos y las PYME.  
(4) Mejorar la seguridad y resistencia de Internet : 
• definiendo las prioridades comunitarias sobre estabilidad y resistencia a largo 
plazo de Internet; 
• acordando un conjunto de principios eur opeos y, posteriormente, internacionales 
sobre la seguridad y resi stencia de Internet.  
Opción 3: marco obligatorio 
La mayoría de los asuntos mencionados antes se abordarían mediante diversas medidas 
obligatorias: directivas, reglamentos o decisiones, según conviniera. 
La Comisión puede proponer medidas obligatorias para: 
(1) definir una base que armonice las políticas nacionales ; esas medidas pueden 
centrarse en la seguridad y resistencia adicionales de la s ICI fuera del marco de la 
legislación del mercado ya propuesta; 
(2) definir la función y competencias de  los interesados públicos y privados en materia 
de seguridad y resist encia de las ICI; 
(3) mejorar la preparación operativa , p. ej. mediante: 
(a) un conjunto mínimo de normas sobre func iones y servicios armonizados de los 
CERT nacionales o gubernamentales; 
(b) un marco para la elaboración de planes de  contingencia nacionales con vistas al 
establecimiento de planes de contingencia comunitarios. 
5. CUALIDADES DE LAS RESPECTIVAS OPCIONES POLÍTICAS  
La opción política «ninguna medida nueva» no presenta ninguna ventaja clara  desde el 
punto de vista de la mejora de la  seguridad y resistencia de las ICI en Europa. La decisión se 
sitúa, por lo tanto, entre un marco no obligator io y un marco obligatorio. A estas alturas, la 
opción del «marco obligatorio» no parece factible debido entre otros motivos a lo siguiente:  
• la realidad política  de los Estados soberanos, que cualquier política comunitaria de 
seguridad de las redes y de la inform ación debe tener debidamente en cuenta; 
• la necesidad de tener presente la responsab ilidad operativa ampliamente distribuida del 
sector privado; 
• la falta de experiencia acumulada sobre inte rcambio de información y cooperación relativa 
a las políticas sobre las ICI entr e los sectores público y privado. 
Además, la poca calidad de los datos existentes en la actualidad sobre incidentes de la 
seguridad —debido a la asimetría de la inform ación y a las preocupaciones sobre la seguridad 
nacional— dificulta la posibilidad de es tablecer medidas reglamentarias desde una 
perspectiva normativa pública y eco nómica coherente y plantea un problema en cuanto al 
ES 8   ES cumplimiento del principio de proporcionalidad , ya que es imposible proponer  actuaciones 
proporcionadas cuando se desconoce el alcance preciso del problema. 
Por último, debido al dilatado proceso de adopci ón, el espacio de tiempo de un planteamiento 
basado en el marco obligatorio se ría incompatible con la necesid ad de una actuación rápida de 
todos los interesados. 
En conclusión, de acuerdo con la presente eval uación de impacto, a corto y medio plazo es 
preferible elegir la opción 2:  poner en marcha inmediatamente las medidas propuestas y, a su 
debido tiempo, examinar de nuevo los resultados,  incluidos los relativos al debate público 
sobre una estrategia reforzada y modernizada de seguridad de las redes y de la información en 
la UE. Esos resultados serían la base de la  evaluación de las necesidades y opciones respecto 
de posibles medidas obligatorias en el futuro. 
Entonces podría quizás recome ndarse la aplicación de medidas similares a las de la opción 3.