Para reforzar la preparación y la respuesta a los incidentes cibernéticos graves, la Comisión también ha establecido un programa a corto plazo para apoyar a los Estados miembros, mediante financiación adicional asignada a ENISA, en particular las pruebas de penetración de las entidades críticas para detectar vulnerabilidades. Esto también puede ayudar a los Estados miembros a gestionar la respuesta a incidentes, proporcionada por ENISA con el apoyo de proveedores privados de servicios de ciberseguridad de confianza, tras un incidente grave que afecte a las entidades críticas. El siguiente paso será garantizar que los Estados miembros aprovechen plenamente estas oportunidades.

La Directiva SRI 2 prevé la creación de la red de funcionarios de enlace nacionales para la gestión de cibercrisis (EU-CyCLONe) para respaldar la gestión coordinada de los incidentes y las crisis de ciberseguridad a gran escala en el ámbito operativo y garantizar el intercambio regular de información pertinente entre los Estados miembros y las instituciones, los órganos y los organismos de la UE. La Comisión está desarrollando un centro de análisis y situación de la ciberseguridad para impulsar su capacidad interna. La Comisión está trabajando con los Estados miembros, en particular mediante el seguimiento de su Recomendación sobre una Unidad Cibernética Conjunta para garantizar una respuesta coordinada de la UE a los ciberincidentes a gran escala. La Comisión y el Alto Representante también participan activamente en los ejercicios cibernéticos organizados con los Estados miembros en 2022.

Incluso antes de los recientes ataques contra infraestructuras críticas, la UE estaba reforzando su resiliencia a través de dos iniciativas relacionadas: la Directiva revisada relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión («la Directiva SRI 2 sobre la seguridad de las infraestructuras de las redes») y una nueva Directiva relativa a la resiliencia de las entidades críticas («la Directiva REC sobre la resiliencia de las entidades críticas»). En conjunto, el presente marco aborda los riesgos actuales y futuros en línea y fuera de línea, y abarca desde los ciberataques hasta las catástrofes naturales. Los colegisladores han acordado estas Directivas que entrarán en vigor en las próximas semanas. La Directiva SRI 2 aumentará la cobertura de las entidades medianas y grandes en una serie de sectores clave. Refuerza los requisitos de seguridad, en particular para la respuesta a incidentes y la gestión de crisis, la seguridad de la cadena de suministro, la gestión y divulgación de las vulnerabilidades, las pruebas de ciberseguridad y el uso eficaz del cifrado. También simplifica las obligaciones de notificación de incidentes, introduce medidas de supervisión más estrictas y tiene por objeto armonizar los regímenes de sanciones en todos los Estados miembros. La Directiva REC regula la resiliencia física de las entidades críticas frente a los peligros naturales y provocados por el hombre. La Directiva, que abarca once sectores, constituye un paso importante para mejorar la capacidad de las entidades críticas que prestan servicios esenciales para prevenir, proteger, responder, resistir, mitigar, absorber, adaptarse y recuperarse de un incidente.

El presente informe de situación de la Unión de la Seguridad tiene por objeto ofrecer una visión «a medio plazo» de la aplicación de la Estrategia, destacar los logros y lo que queda por hacer, antes de que finalice el mandato de esta Comisión. Desde julio de 2020, la UE ha realizado grandes avances para completar las acciones en los ámbitos clave incluidos en los cuatro pilares de la Estrategia. El presente informe muestra que se ha abordado la inmensa mayoría de las acciones detalladas en la Estrategia. Sin embargo, aún queda trabajo por hacer para lograr el pleno efecto de la Estrategia de la Unión de la Seguridad para los ciudadanos, en particular, la adopción de propuestas legislativas pendientes por el Parlamento Europeo y el Consejo y la aplicación por parte de los Estados miembros de la legislación acordada. Los objetivos de la Unión de la Seguridad también pueden garantizarse mejor mediante una estrecha colaboración con iniciativas conexas de la UE en ámbitos como la seguridad energética, la Unión Europea de la Salud y el Plan de Acción para la Democracia Europea. La constante contribución de la Comisión incluye tres propuestas adoptadas junto con el presente informe, el tráfico de bienes culturales, la inteligencia esencial que ofrece la información anticipada sobre los pasajeros, así como una propuesta para luchar contra la trata de seres humanos.

En julio de 2020, la Comisión adoptó la Estrategia integral de la Unión de la Seguridad. Desde entonces, el entorno de amenazas ha evolucionado de manera muy significativa. La crisis de la COVID-19 acentuó algunas vulnerabilidades, en particular con el impulso de la actividad en línea. Los ataques a la ciberseguridad han seguido aumentando en escala y se han extendido a nuevas formas de ataque. Los efectos de la guerra de agresión de Rusia contra Ucrania se han dejado sentir en la seguridad interior de la UE, con un mayor riesgo de trata de seres humanos, la amenaza de incidentes químicos y nucleares y la circulación ilícita de armas de fuego. La guerra, también ha espoleado el uso de la manipulación de información y la injerencia por parte de agentes extranjeros. El reciente sabotaje de los gasoductos Nord Stream ha puesto de relieve que los sectores esenciales como el de la energía, la infraestructura digital, el transporte y el espacio dependen de infraestructuras críticas resilientes. Ha demostrado, una vez más, cómo la seguridad física y la seguridad digital están estrechamente entrelazadas y deben protegerse conjuntamente.

La certificación desempeña un papel crucial en el aumento de la confianza y la seguridad en productos y servicios importantes para el mundo digital. El Reglamento sobre la Ciberseguridad establece el marco europeo de certificación de la ciberseguridad en virtud del cual la Comisión puede pedir a ENISA que elabore esquemas de certificación. Se ha desarrollado un esquema europeo de certificación de la ciberseguridad basado en criterios comunes y se están preparando esquemas para los servicios en la nube y la seguridad 5G.

La Comisión sigue colaborando con los Estados miembros para garantizar que las redes 5G sean seguras y resilientes, así como para supervisar la aplicación del conjunto de instrumentos para la seguridad de las redes 5G de la UE a escala nacional y de la UE. Si bien la gran mayoría de los Estados miembros ya han reforzado o están en proceso de reforzar los requisitos de seguridad para las redes 5G, ahora es urgente que todos los Estados miembros completen la aplicación de las medidas del conjunto de instrumentos, en particular que los Estados miembros adopten restricciones sobre los proveedores de alto riesgo, teniendo en cuenta que la pérdida de tiempo puede aumentar la vulnerabilidad de las redes en la Unión, y también reforzar la protección física y no física de los componentes críticos y sensibles de las redes 5G, en particular mediante controles de acceso estrictos.

Para ayudar a la UE y a los Estados miembros a adoptar un enfoque estratégico proactivo de la política industrial en materia de ciberseguridad, el Centro Europeo de Competencia en Ciberseguridad colaborará con los Centros Nacionales de Coordinación para apoyar la innovación en ciberseguridad y reforzar las capacidades de la comunidad tecnológica de ciberseguridad.

En septiembre de 2022, ENISA puso en marcha formalmente un marco europeo para las capacidades en ciberseguridad que determina los perfiles laborales más necesarios en este ámbito y proporciona una base europea común para facilitar el reconocimiento de las capacidades y el desarrollo de la formación relacionada con la ciberseguridad. Este marco constituirá un elemento fundamental para la Academia de Competencias en materia de Ciberseguridad propuesta en el marco del Programa de trabajo de la Comisión para 2023, que ofrecerá un enfoque integral para abordar la creciente necesidad de profesionales de la ciberseguridad en Europa.

Es importante que la información sensible no clasificada y la información clasificada de la UE que manejan las instituciones, órganos y organismos de la UE (IOUE) estén bien protegidas contra los ciberataques. En marzo de 2022, la Comisión propuso un Reglamento para garantizar un nivel común de ciberseguridad elevado en todos estos organismos, que aplicara los principios en los que se basa la Directiva SRI 2 al entorno institucional de la UE. Incluye un nuevo Consejo Interinstitucional de Ciberseguridad y un centro de ciberseguridad reforzado (CERT-UE) para garantizar un intercambio de información adecuado y una cooperación con las autoridades de los Estados miembros, por ejemplo, a través de la red de equipos de respuesta a incidentes de seguridad informática (CSIRT). Paralelamente, la Comisión ha adoptado una propuesta de Reglamento sobre la seguridad de la información en las IOUE para aumentar la resiliencia frente a las amenazas cibernéticas e híbridas mediante la creación de un conjunto común de normas de seguridad de la información de alto nivel para todas las instituciones, órganos y organismos de la Unión. Es esencial que el Consejo acelere su trabajo sobre esta propuesta y tenga en cuenta las múltiples peticiones de los Estados miembros, que solicitan a la Comisión que trabaje para desarrollar medidas que protejan mejor el proceso de toma de decisiones de la UE de cualquier tipo de actividades malintencionadas. CERT-UE y ENISA también han diseñado y probado un nuevo tipo de ejercicio cibernético adaptado a las agencias de la UE, tal como recomienda el Tribunal de Cuentas Europeo.

Ejemplos de resultados clave Mes Europeo de la Ciberseguridad (ECSM, por sus siglas en inglés): la iniciativa ECSM, que incluye talleres, campañas en las redes sociales y conferencias, ha pasado de tener 184 actividades en 2014 a 500 actividades en octubre de 2022, las cuales contribuyen a mejorar la respuesta de los usuarios en línea cuando se enfrentan a una amenaza para la ciberseguridad (según informó el 73 % de los Estados miembros encuestados en 2021). La base de datos de educación superior en ciberseguridad (CyberHEAD): CyberHEAD ha sido la página web más visitada de ENISA durante los últimos dos años, con unas 70 000 visitas al año. Permite a los jóvenes talentos tomar decisiones con conocimiento de causa sobre la variedad de posibilidades que ofrece la educación superior en ciberseguridad y ayuda a las universidades a atraer a estudiantes con capacidades de alta calidad, motivados para mantener la ciberseguridad de Europa.

Lucha contra las amenazas híbridas, lucha contra las injerencias extranjeras y mejora de la ciberdefensa de la UE

La Brújula Estratégica de la UE para la Seguridad y la Defensa esboza un ambicioso plan de acción para aumentar la capacidad de actuación de la UE, reforzar la resiliencia e invertir mejor en las capacidades de defensa de la UE.

Si bien la lucha contra las amenazas híbridas es principalmente responsabilidad de los Estados miembros, la UE complementa las medidas nacionales apoyando la coordinación, mejorando el conocimiento de la situación, promoviendo la cooperación con países y organizaciones internacionales de ideas afines y ofreciendo opciones de respuesta conjunta. Durante la última década, se han puesto en marcha más de doscientas medidas para mejorar la resiliencia y contrarrestar las amenazas híbridas a escala de la UE. La Célula de Fusión contra las Amenazas Híbridas del INTCEN de la UE contribuye a la toma de decisiones de la UE y es el órgano central para proporcionar un conocimiento exhaustivo de la situación y una prospectiva estratégica que agrega información procedente de todo tipo de fuentes y lleva a cabo evaluaciones de inteligencia sobre amenazas híbridas. Se ha empezado a trabajar en la creación de equipos de respuesta rápida de la UE contra amenazas híbridas, anunciados por la Brújula Estratégica, para apoyar a los Estados miembros y las misiones y operaciones de la política común de seguridad y defensa, así como a los países socios, en la lucha contra las amenazas híbridas, aprovechando los conocimientos técnicos nacionales y de la UE pertinentes a corto plazo, en particular los conocimientos militares cuando sea necesario. Se está preparando un conjunto de instrumentos híbridos de la UE que proporcionará un marco para una respuesta coordinada a las campañas híbridas que afecten a la UE y a los Estados miembros, mediante la integración de la dimensión externa e interna en un flujo fluido y la agrupación de las consideraciones nacionales y de la UE. También se han logrado avances significativos en la mejora de la resiliencia y la lucha contra las amenazas híbridas mediante la identificación de las bases de referencia sectoriales existentes en materia de resiliencia. La Comisión también ha proseguido su investigación analítica sobre el refuerzo de la resiliencia frente a las amenazas híbridas y ha completado la integración de las consideraciones híbridas en la elaboración de políticas.

La pandemia de COVID-19 y la guerra de Rusia contra Ucrania han demostrado cómo la manipulación del entorno informativo puede afectar a la UE y a sus socios de todo el mundo. Con el fin de erosionar la confianza en la UE y en el orden internacional basado en normas, la manipulación de información y las injerencias por parte de agentes extranjeros son también un componente cada vez más importante de los ataques híbridos. Partiendo del Plan de Acción para la Democracia Europea, la Comisión ha puesto en marcha un conjunto de medidas y estructuras tangibles, entre las que se encuentra el Código de Buenas Prácticas en materia de Desinformación revisado, la Ley de Servicios Digitales y la propuesta sobre transparencia de la publicidad política, actualmente en proceso de negociación interinstitucional, para hacer frente a la manipulación de la información y la desinformación. El resultado serían nuevas obligaciones para las plataformas y, por primera vez, un marco de supervisión jurídicamente vinculante. Además, como se anunció en la Brújula Estratégica, en estrecha cooperación con la Comisión y los Estados miembros, el SEAE sigue desarrollando el conjunto de instrumentos de la UE para hacer frente a la manipulación de información e injerencia por parte de agentes extranjeros, a fin de impulsar una respuesta coordinada a las conductas de manipulación de agentes extranjeros. El SEAE también ha seguido reforzando la cooperación con socios internacionales, como el mecanismo de respuesta rápida del G-7 y la OTAN.

La Comisión condena toda injerencia extranjera en el territorio soberano de los Estados miembros de la UE y manifiesta su preocupación por los informes relativos a la existencia de «comisarías de servicio en el extranjero de la policía china» en la UE, lo que, de ser cierto, sería totalmente inaceptable. Aunque corresponde a las autoridades de los Estados miembros investigar estas alegaciones, la Comisión, con el apoyo de Europol, está dispuesta a facilitar el intercambio entre los Estados miembros. La Comisión planteó esta cuestión en el Consejo de Justicia y Asuntos de Interior en diciembre de 2022.

En noviembre de 2022, la Comisión y el Alto Representante presentaron una nueva política de la UE en materia de ciberdefensa, por la que se establecen los medios para mejorar la cooperación y las inversiones en ciberdefensa a fin de proteger mejor contra los ciberataques. El objetivo es defender los intereses de la UE en el ciberespacio mediante una mayor cooperación entre los agentes de ciberdefensa de la UE, desarrollar mecanismos para aprovechar las capacidades a escala de la UE, también en el contexto de las misiones y operaciones de la PCSD. Impulsará el desarrollo de todo el abanico de capacidades de ciberdefensa y reforzará la cooperación entre las comunidades cibernéticas militares y civiles de la UE, mejorará el conocimiento de la situación, la coordinación de las crisis y la formación, en particular con el sector privado. También contribuirá a reducir las dependencias estratégicas en las cibertecnologías críticas, mediante el desarrollo de una hoja de ruta estratégica para las tecnologías críticas de ciberseguridad y ciberdefensa, y a reforzar la base industrial y tecnológica de la defensa europea.

La Brújula Estratégica identifica el espacio como el quinto teatro de operaciones bélicas (junto con la tierra, el mar, el aire y el ciberespacio) y pide a la Comisión y al Alto Representante que desarrollen la primera estrategia espacial para la seguridad y la defensa. La Estrategia propondrá medidas para mejorar el nivel colectivo de protección y resiliencia de los sistemas, y servicios espaciales, así como para disuadir y responder a cualquier amenaza, como la cibernética, a los sistemas y servicios espaciales sensibles dentro de la UE.

3 LUCHA CONTRA EL TERRORISMO Y LA RADICALIZACIÓN

Se han adoptado casi todas las iniciativas clave presentadas en la Estrategia de Seguridad de la UE para apoyar a los Estados miembros en la lucha contra el terrorismo y la radicalización. Un tema concreto ha sido la protección contra las amenazas en línea. El siguiente paso es garantizar que estas iniciativas tengan una repercusión plena.