PREGUNTA ESCRITA P-0780/03

de Elly Plooij-van Gorsel (ELDR) a la Comisión

(7 de marzo de 2003)

Asunto: Competencias del Presidente Bush para llevar a cabo ataques cibernéticos

Hasta hace poco tiempo la atención prestada a posibles ataques cibernéticos y a las consecuencias de los mismos era mínima. En Europa, la responsabilidad primaria con respecto a la vulnerabilidad de los sistemas informáticos se dejaba en manos de las propias empresas y organizaciones, política que también siguió el Parlamento Europeo. Desde los ataques terroristas del 11 de septiembre de 2001 en los Estados Unidos y las persistentes advertencias en relación con posibles ataques cibernéticos, ha aumentado considerablemente la atención a la seguridad.

En este sentido, no sólo cabe temer los daños derivados de ataques cibernéticos por parte del Iraq o de grupos islamistas como Unix Security Guards o Anti-India Crew. En el marco de la lucha contra el terrorismo a través de Internet, el Presidente B ush firmó hace medio año una ley especial que le permite llevar a cabo por su cuenta ataques cibernéticos. Dichos ataques no tienen por qué estar dirigidos exclusivamente contra el Iraq, sino que pueden afectar al funcionamiento de la World Wide Web en su conjunto. Dicho otro modo: el Sr. Bush está autorizado a paralizar totalmente la red si así lo desea. Se afirma que sólo están permitidos los ataques a objetivos militarmente relevantes. El gran problema con los ataques en línea es que pueden causar muchos daños colaterales. Debido al alto grado de interdependencia que se da en Internet, una actuación de este tipo puede afectar a otros países y empresas. Un ataque en forma de denegación de servicio (denial-of-service), que resulta una forma clásica de hundir la red, también repercutirá en las redes situadas entre el atacante y el objetivo.

1. ¿Está enterada la Comisión de esta nueva ley que otorga al Presidente Bush las competencias necesarias para llevar a cabo ataques cibernéticos, y, en caso afirmativo, qué opinión le merece dicha ley?

2. ¿De qué forma tiene previsto la Comisión proteger a los ciudadanos y empresas europeos contra semejantes ataques y contra sus consecuencias?

3. ¿Quién debe indemnizar, en opinión de la Comisión, los daños derivados de semejantes ataques y de qué forma puede reclamarse la indemnización de los mismos a los responsables?

Respuesta del Sr. Liikanen en nombre de la Comisión

(7 de abril de 2003)

La Comisión conoce el artículo publicado en el Washington Post de 7 de febrero de 2003 en el que se afirma que, según los funcionarios de la Administración de Estados Unidos, el Presidente Bush firmó una orden secreta en julio de 2002 conocida como la Directiva presidencial 16 sobre Seguridad Nacional. Según el Washington Post, en esta Directiva se pide al Gobierno de Estados Unidos que elaboren directrices a nivel nacional para determinar cuándo y cómo Estados Unidos lanzaría ataques cibernéticos contra redes de ordenadores enemigos. Según se indica, los planificadores militares imaginan a expertos informáticos pirateando las redes electrónicas enemigas para, por ejemplo, inutilizar radares, instalaciones eléctricas o servicios telefónicos.

La Comisión no es consciente de ninguna publicación o confirmación oficial de esta Directiva del Gobierno de Estados Unidos.

Las medidas en el campo de la defensa contra la guerra cibernética incluyen elementos similares a los del refuerzo de la seguridad cibernética y la lucha contra el ciberdelito, por lo que la Comisión ha estado muy activa en el desarrollo de medidas en estos ámbitos.

La Comisión adoptó el 26 de enero de 2001 una Comunicación sobre Creación de una sociedad de la información más segura mediante la mejora de la seguridad de las infraestructuras de información y la lucha contra los delitos informáticos(1) en la que se reconoce la importancia de las infraestructuras de información y comunicación, incluida Internet, como un componente crítico de la economía, y se proponen medidas específicas.

Como se propone en la Comunicación, la Comisión adoptó el 19 de abril de 2002 una propuesta de Decisión-marco del Consejo relativa a los ataques de los que son objeto los sistemas de información(2). La propuesta requiere que los Estados miembros incluyan en el derecho nacional los delitos de acceso ilegal a sistemas de información y de interferencia ilegal de dichos sistemas. Además, dicha propuesta contenía disposiciones sobre sanciones penales, normas sobre la responsabilidad de las personas jurídicas y las correspondientes sanciones, normas sobre jurisdicción, y el requisito de que los Estados miembros unan la actual red de puntos de contacto operativos en materia de delitos informáticos disponibles 24 horas al día, siete días a la semana. El Parlamento adoptó su dictamen sobre el proyecto de Decisión marco en octubre de 2002(3), y el Consejo alcanzó el acuerdo político sobre el texto de los artículos principales el 28 de febrero de 2003.

El Plan de acción eEuropa 2005 aspira a fomentar los servicios de seguridad y contribuir así a hacer más segura la infraestructura de información. Asimismo, los anteriores planes de acción de eEuropa se centraron en la prioridad de mejorar la seguridad cibernética.

En febrero de 2003, la Comisión propuso la creación de una Agencia Europea de Seguridad de las Redes y de la Información(4). La Agencia tendrá por objeto servir de centro de referencia, donde tanto los Estados miembros como la Comisión puedan asesorarse sobre asuntos de ciberseguridad. El organismo también proporcionará ayuda a las autoridades de los Estados miembros, incluidos los diversos equipos de respuesta rápida ante emergencias informáticas.

Por otro lado, la Comisión acaba de poner en marcha el 6o Programa Marco de Investigación y Desarrollo Tecnológico (IDT), en el que la I+D en tecnologías de seguridad física y de funcionamiento es un componente clave de la prioridad Tecnologías para la sociedad de la información. También en el Quinto Programa Marco, se prestó amplia atención a las tecnologías de seguridad física y de funcionamiento de la infraestructura de información, incluida la investigación sobre interdependencias.

En la mayoría de los casos, conforme al Derecho Civil y Penal de los Estados miembros, el perpetrador del ataque es considerado responsable en la mayoría de los casos de ataque contra sistemas de información. Tras la aplicación de la Decisión Marco sobre ataques contra sistemas de información, los ataques en los que existe responsabilidad criminal se ampliarán para incluir, por ejemplo, los ataques por denegación de servicio en todos los Estados miembros.

En el caso de los actos llevados a cabo por o en nombre de un Estado extranjero (incluidos los actos de guerra), podría plantearse la cuestión de si este Estado disfruta de inmunidad estatal de la jurisdicción de los tribunales de otros Estados para tales actos. No obstante, la respuesta a esta cuestión dependería del estado concreto del Derecho internacional en este cambiante ámbito, y de las circunstancias específicas del acto en cuestión.

(1) COM(2000) 890 final.

(2) DO C 203 E de 27.8.2002.

(3) A5-0328/2002 final.

(4) COM(2003) 63 final.