Source: EURLEX
Language: es
Format: md

|  |  |  |  |
| --- | --- | --- | --- |
| 16.12.2014 | ES | Diario Oficial de la Unión Europea | C 451/31 |

---

Dictamen del Comité Económico y Social Europeo sobre el tema Ciberataques en la UE

(Dictamen de iniciativa)

(2014/C 451/05)

|  |  |
| --- | --- |
| Ponente: | Thomas McDonogh |

El 27 de febrero de 2014, de conformidad con el apartado 2 del artículo 29 de su Reglamento interno, el Comité Económico y Social Europeo decidió elaborar un dictamen de iniciativa sobre el tema

Ciberataques en la UE.

La Sección Especializada de Transportes, Energía, Infraestructuras y Sociedad de la Información, encargada de preparar los trabajos en este asunto, aprobó su dictamen el 18 de junio de 2014.

En su 500o pleno de los días 9 y 10 de julio de 2014 (sesión del 10 de julio), el Comité Económico y Social Europeo aprobó por 135 votos a favor y 1 en contra el presente dictamen.

1.   Conclusiones y recomendaciones

|  |  |  |
| --- | --- | --- |
|  | 1.1 | El Comité desea que se cree una autoridad a escala de la UE responsable de la ciberseguridad, de forma análoga a la autoridad central de la industria aeronáutica, la Agencia Europea de Seguridad Aérea (AESA), a fin de fortalecer el liderazgo que se requiere en el nivel de la UE para hacer frente a la complejidad que entraña poner en práctica una política de ciberseguridad eficaz a escala europea. |

|  |  |  |
| --- | --- | --- |
|  | 1.2 | Los ciudadanos informados y con poder de decisión son esenciales para alcanzar un elevado nivel de seguridad cibernética en Europa. La educación de los ciudadanos en materia de ciberseguridad personal y protección de datos debería constituir una parte fundamental de todos los planes de estudios en la escuela y de los programas de formación en el lugar de trabajo. Además, la UE debería impulsar programas de información pública e iniciativas sobre estas cuestiones en toda la Unión. |

|  |  |  |
| --- | --- | --- |
|  | 1.3 | Las empresas deberían estar obligadas por ley a mantener un enfoque proactivo para protegerse de los ataques cibernéticos, lo que incluye unas tecnologías de la información y de las comunicaciones (TIC) seguras y con capacidad de resistencia y una formación del personal sobre las políticas de seguridad semejante a la que existe sobre asuntos de salud y seguridad. |

|  |  |  |
| --- | --- | --- |
|  | 1.4 | Todos los Estados miembros deberían contar con un organismo encargado de informar, educar y apoyar al sector de las pymes en las cuestiones relacionadas con la ciberseguridad. Las grandes empresas pueden adquirir fácilmente los conocimientos que precisan, pero las pymes necesitan apoyo. |

|  |  |  |
| --- | --- | --- |
|  | 1.5 | Es preciso ampliar el mandato de la Agencia de Seguridad de las Redes y de la Información de la Unión Europea (ENISA) y proporcionar financiación para asumir una responsabilidad más directa en materia de educación para la ciberseguridad y programas de concienciación especialmente dirigidos a los ciudadanos y a las pequeñas y medianas empresas. |

|  |  |  |
| --- | --- | --- |
|  | 1.6 | Las empresas y las organizaciones han de incrementar el nivel de concienciación acerca de la responsabilidad en materia de ciberseguridad a nivel directivo. Es preciso comunicar explícitamente a los directores de todas las organizaciones las responsabilidades empresariales potenciales derivadas de la adopción de unas políticas y medidas inadecuadas en materia de ciberseguridad. |

|  |  |  |
| --- | --- | --- |
|  | 1.7 | Debido a su papel fundamental en la prestación de servicios en línea, todos los proveedores de servicios de internet de la UE deben asumir la responsabilidad específica de proteger a sus clientes frente a los ciberataques. Esta responsabilidad debería definirse y consagrarse en la legislación a escala de la UE. |

|  |  |  |
| --- | --- | --- |
|  | 1.8 | Para garantizar que se materialice rápidamente el gran potencial de crecimiento económico derivado de la expansión dinámica de la computación en nube[(1)](#ntr1-C_2014451ES.01003101-E0001), también deben imponerse requisitos y obligaciones especiales de seguridad a escala de la UE a los proveedores de servicios en nube. |

|  |  |  |
| --- | --- | --- |
|  | 1.9 | El Comité considera que las medidas voluntarias son insuficientes, ya que es necesario imponer obligaciones reglamentarias rigurosas a los Estados miembros para garantizar la armonización, la gobernanza y el cumplimiento de la ciberseguridad en Europa, al tiempo que es necesario legislar para hacer obligatoria la notificación de los incidentes significativos en materia de seguridad cibernética para todas las empresas y organizaciones, no solo para los proveedores de infraestructuras críticas. Esto contribuiría a incrementar la respuesta de Europa a las amenazas, y aumentaría el conocimiento y la comprensión de los ciberataques, con el fin de poder desarrollar mejores defensas. |

|  |  |  |
| --- | --- | --- |
|  | 1.10 | El Comité recomienda firmemente que la UE adopte un enfoque relacionado con el diseño (design-led approach) para abordar la amenaza de los ciberataques, garantizando que todas las tecnologías y servicios utilizados en Europa para facilitar la conectividad a internet y los servicios en línea sean diseñados para ofrecer el máximo nivel posible de seguridad frente a los ciberataques. Las consideraciones basadas en el diseño deberían centrarse especialmente en la interfaz hombre-máquina. |

|  |  |  |
| --- | --- | --- |
|  | 1.11 | El CESE desea que las organizaciones europeas de normalización elaboren normas esenciales de ciberseguridad y las difundan para todos los servicios de las TIC y tecnologías de conexión a redes. Estas normas deberían incluir un código de conducta vinculante para garantizar que todos los equipos de TIC y servicios de internet que se vendan a los ciudadanos europeos respondan a las normas más exigentes. |

|  |  |  |
| --- | --- | --- |
|  | 1.12 | La UE debe actuar sin demora para asegurarse de que todos los Estados miembros pongan en marcha un equipo de respuesta a emergencias informáticas (CERT) plenamente operativo para proteger a Europa frente a los ciberataques. |

|  |  |  |
| --- | --- | --- |
|  | 1.13 | El Comité solicita que el Centro Europeo de Ciberdelincuencia (EC3) en Europol reciba la financiación adicional que necesita para reforzar la cooperación entre las fuerzas de policía europeas y las no pertenecientes a la UE, a fin de aumentar la capacidad de Europa para capturar y enjuiciar a los ciberdelincuentes. |

|  |  |  |
| --- | --- | --- |
|  | 1.14 | En resumen, el CESE considera que la política de la UE en materia de ciberseguridad debe hacer especial hincapié en los siguientes aspectos: liderazgo firme de la UE; políticas de ciberseguridad que refuercen la seguridad y, al mismo tiempo, preserven la intimidad y otros derechos fundamentales; concienciación de los ciudadanos y fomento de la protección proactiva; gobernanza integral de los Estados miembros; actuación empresarial responsable e informada, estrecha cooperación entre los gobiernos, el sector privado y los ciudadanos; adecuados niveles de inversión, buenas normas técnicas y suficientes inversiones en investigación, desarrollo e innovación; un compromiso internacional. En este sentido, el Comité reitera sus recomendaciones sobre la política de ciberseguridad expresadas en numerosos dictámenes anteriores[(2)](#ntr2-C_2014451ES.01003101-E0002) y pide a la Comisión que efectúe un seguimiento de las medidas solicitadas en ellos. |

2.   Alcance del dictamen

|  |  |  |
| --- | --- | --- |
|  | 2.1 | La economía de internet genera más de una quinta parte del crecimiento del PIB de la UE y doscientos millones de europeos compran en línea cada año. Dependemos de internet y de la tecnología digital conexa para mantener nuestra energía vital, la salud, la administración pública y los servicios financieros. Sin embargo, las infraestructuras y servicios digitales críticos, que desempeñan un papel fundamental en nuestra vida económica y social, son vulnerables a un riesgo cada vez mayor de ataques informáticos que ponen en peligro nuestra prosperidad y calidad de vida. |

|  |  |  |
| --- | --- | --- |
|  | 2.2 | El Comité considera que la creciente dependencia de internet y la tecnología digital por parte de la Unión no está suficientemente acompañada de las prácticas y políticas que proporcionen un nivel adecuado de ciberseguridad en toda Europa, ahora y en el futuro. El objeto del presente dictamen es destacar las lagunas que el Comité considera que existen en la UE en la política de seguridad cibernética y recomendar mejoras que aumenten la mitigación de los riesgos de un ataque cibernético. |

|  |  |  |
| --- | --- | --- |
|  | 2.3 | Las motivaciones de los ciberataques pueden ir desde lo muy personal — por ejemplo, la venganza contra una persona o una empresa —, hasta el ciberespionaje por parte de los Estados y las guerras cibernéticas entre países. Al elaborar el presente dictamen, se decidió limitar su alcance y abordar únicamente los ataques por motivos puramente delictivos, a fin de centrar las recomendaciones en los problemas que suscitan un interés primordial para la mayoría de los miembros del Comité. El complejo debate político sobre los ciberataques provocados por los Estados miembros contra los ciudadanos y otros Estados podría ser tema de un futuro dictamen. |

|  |  |  |
| --- | --- | --- |
|  | 2.4 | El presente dictamen trata únicamente de los ciberataques perpetrados por ciberdelincuentes por motivos crematísticos, que representan la gran mayoría de los ataques. Poniendo en marcha políticas y prácticas de ciberseguridad para hacer frente con eficacia a los ciberataques por motivos delictivos, también se reducirán los riesgos de los ataques por motivos políticos o más personales. |

|  |  |  |
| --- | --- | --- |
|  | 2.5 | Aunque la UE ha progresado adecuadamente en la aplicación de las medidas de seguridad y confianza y en la Agenda Digital y ha desarrollado una amplia estrategia de ciberseguridad que cumple la mayoría de los objetivos expuestos anteriormente, aún es preciso hacer más. |

3.   Los ciberataques y la ciberseguridad

|  |  |  |
| --- | --- | --- |
|  | 3.1 | Un ciberataque es cualquier tipo de acción ofensiva que apunta a los sistemas informáticos, las infraestructuras, las redes de ordenadores o los dispositivos digitales personales y que se realiza mediante diversos actos malintencionados con el fin de sustraer, modificar o destruir un objetivo concreto. El objetivo puede ser el de obtener dinero, datos o tecnología de la información. |

|  |  |  |
| --- | --- | --- |
|  | 3.2 | Los ciberdelincuentes lanzan ataques para sustraer dinero o datos, para cometer fraude, espionaje ilegal o extorsión. La ciberdelincuencia puede dañar las principales redes y servicios de los que dependemos para la salud, la seguridad y el bienestar económico, incluidas las redes gubernamentales, de transporte y de energía. |

|  |  |  |
| --- | --- | --- |
|  | 3.3 | La amenaza de los ataques cibernéticos crece al mismo ritmo que crece nuestra dependencia de internet y de la tecnología digital. Según un reciente informe de Symantec, el número total de las violaciones de datos en el mundo aumentó un 62 % en 2013, alcanzando más de 552 millones de registros expuestos. Estas infracciones a menudo han expuesto nombres reales, fechas de nacimiento, números de identificación oficiales, historiales médicos o información financiera. Además, el 38 % de los usuarios de teléfonos móviles han sido víctimas de delitos cibernéticos en los últimos doce meses. |

|  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
|  | 3.4 | Los ciberataques pueden tener un impacto importante en las empresas y en la economía en general:   |  |  | | --- | --- | | — | Un informe del sector de 2011 sugiere que las víctimas de los ataques cibernéticos pierden unos 290 mil millones de euros cada año en todo el mundo, lo cual supone unos beneficios superiores al comercio mundial de marihuana, cocaína y heroína juntos. |  |  |  | | --- | --- | | — | Los ciudadanos se hallan bajo la constante amenaza de la usurpación de identidad frente a los ciberataques. En mayo de 2014, se sustrajeron, en un único ataque, los registros de una base de datos que contenía datos personales de 145 millones de titulares de cuentas en eBay. Según una encuesta sobre ciberseguridad efectuada por la Universidad de Kent en 2013, solo en un año (2012/13) más de nueve millones de adultos en Gran Bretaña sufrieron ataques de piratas informáticos en sus cuentas en línea; el 8 % de la población perdió dinero debido a la ciberdelincuencia, y el 2,3 % de la población del Reino Unido perdió más de 10  000 libras a causa de la ciberdelincuencia. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | | — | En 2011, un informe del Gobierno británico estimó que el coste global de la ciberdelincuencia para la economía del Reino Unido ascendió a 27  000 millones de libras esterlinas:   |  |  | | --- | --- | | — | Fraude en línea: 1  400 millones de libras |  |  |  | | --- | --- | | — | Usurpación de identidad: 1  700 millones de libras |  |  |  | | --- | --- | | — | Robo de propiedad intelectual: 9  200 millones de libras |  |  |  | | --- | --- | | — | Espionaje: 7  600 millones de libras |  |  |  | | --- | --- | | — | Pérdida de datos de los clientes: 1  000 millones de libras |  |  |  | | --- | --- | | — | Robo en línea (directo) a empresas: 1  300 millones de libras |  |  |  | | --- | --- | | — | Extorsión: 2  200 millones de libras |  |  |  | | --- | --- | | — | Fraude fiscal: 2  300 millones de libras | |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | | — | Los ciberataques causan enormes daños económicos en Europa cada año. El coste debe tener en cuenta lo siguiente:   |  |  | | --- | --- | | — | pérdida de propiedad intelectual y de datos confidenciales; |  |  |  | | --- | --- | | — | costes de oportunidad, incluidas las interrupciones de servicio y de trabajo; |  |  |  | | --- | --- | | — | daños a la imagen de marca y la reputación de la empresa; |  |  |  | | --- | --- | | — | sanciones e indemnizaciones a los clientes (por los inconvenientes o las pérdidas consiguientes), o compensaciones contractuales (por retrasos, etc.); |  |  |  | | --- | --- | | — | coste de las medidas para contrarrestar los daños y de los seguros; |  |  |  | | --- | --- | | — | coste de las estrategias de mitigación y recuperación de los ciberataques; |  |  |  | | --- | --- | | — | pérdida de actividad comercial y de competitividad; |  |  |  | | --- | --- | | — | distorsión de los intercambios comerciales; y |  |  |  | | --- | --- | | — | pérdida de empleos. | |  |  |  | | --- | --- | | — | Según el informe de 2014 de Information Security Breaches Survey, una publicación del Gobierno del Reino Unido, el 81 % de las grandes empresas y el 60 % de las pymes sufrieron alguna violación de su seguridad en 2013. |  |  |  | | --- | --- | | — | En el mismo informe se estima que el coste medio que supone a una gran organización su peor supuesto de violación de la ciberseguridad puede alcanzar hasta 1 4 00  000 euros, y 1 40  000 euros en el caso de una pyme. |  |  |  | | --- | --- | | — | Incluso aunque los ataques no tengan éxito, el coste de mitigarlos está aumentando rápidamente. En 2014, el crecimiento del mercado mundial de la seguridad de la información se acelerará a un 8,6 % y superará los 73  000 millones de dólares. | |

|  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
|  | 3.5 | Las técnicas de ataque cibernético están en constante evolución:   |  |  | | --- | --- | | — | Un ciberataque por lo general implica utilizar un vector de ataque mediante el cual un ciberdelincuente puede obtener acceso a credenciales de identidad en línea, a un ordenador o un servidor a fin de conseguir un resultado malintencionado. Entre los vectores de ataque más comunes se incluyen dispositivos USB, ficheros adjuntos en el correo electrónico, páginas web, ventanas emergentes, mensajes instantáneos, foros de diálogo (chats), y también técnicas de engaño, como los ataques por suplantación de identidad (phishing). |  |  |  | | --- | --- | | — | Las formas más comunes de ciberataque implican introducir los llamados «programas maliciosos». Un programa malicioso (malware) es un programa informático que piratea un dispositivo digital con objetivos ilícitos, por ejemplo, para robar credenciales o dinero, o para expandirse a otros dispositivos. Los programas maliciosos incluyen virus (incluidos gusanos y troyanos), ransomeware, spyware, adware, scareware y otros programas malintencionados. Por ejemplo, el ransomeware es un tipo especial de programa malicioso que bloquea el acceso al sistema al que infecta y exige un rescate para desbloquearlo. |  |  |  | | --- | --- | | — | Los programas maliciosos también pueden hacer que un ordenador se convierta en un «zombi» conectado a una red infectada (botnet), que el delincuente controla para atacar a las víctimas. |  |  |  | | --- | --- | | — | Los ataques de envío de correos basura, también denominados spam, se producen enviando mensajes de correo electrónico masivos no deseados, con frecuencia para engañar a la víctima para gastar dinero en productos falsificados. Las redes infectadas se utilizan para enviar la mayoría de los mensajes de correo basura. |  |  |  | | --- | --- | | — | Los ataques por suplantación de identidad son intentos de hacerse con la identificación de usuario, la contraseña y los detalles de las tarjetas de crédito de un usuario, haciéndose pasar por una entidad de confianza, de modo que el delincuente pueda asumir el control de las cuentas de correo electrónico, las redes sociales y las cuentas bancarias de la víctima. Los ataques por suplantación de identidad son un instrumento especialmente eficaz para los delincuentes, ya que el 70 % de los usuarios de internet eligen la misma contraseña para casi todos los servicios web que utilizan. |  |  |  | | --- | --- | | — | Los ciberdelincuentes a veces utilizan un ataque de denegación de servicio (Denial of Service, DoS) para extorsionar a las empresas u organizaciones. Un ataque de denegación de servicio es un intento de saturar un sistema o un recurso de red con solicitudes externas de comunicación, de manera que no pueda responder al tráfico legítimo de datos o que su respuesta sea tan lenta que en esencia quede indisponible. En los ataques de denegación de servicio los delincuentes utilizan, nuevamente, las redes infectadas. | |

|  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
|  | 3.6 | Las organizaciones encargadas de la ciberseguridad han decidido de común acuerdo las medidas prioritarias que los ciudadanos y las empresas deben adoptar para protegerse de los ataques cibernéticos. Estas prácticas deberían comunicarse en todos y cada uno de los programas de formación y sensibilización en materia de ciberseguridad:   |  |  |  |  |  |  |  |  |  |  |  |  | | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | | a. | Los ciudadanos deben:   |  |  | | --- | --- | | — | utilizar contraseñas de acceso sólidas y fáciles de recordar; |  |  |  | | --- | --- | | — | instalar programas antivirus en los productos nuevos; |  |  |  | | --- | --- | | — | controlar la configuración de su privacidad en las redes sociales; |  |  |  | | --- | --- | | — | comprar en línea de forma segura, controlando siempre que los puntos de venta minorista en línea sean seguros; y |  |  |  | | --- | --- | | — | descargar los parches de las aplicaciones y los programas informáticos cuando se les solicite que lo hagan. | |  |  |  |  |  |  |  |  |  |  |  |  |  | | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | | b. | Las empresas deben:   |  |  | | --- | --- | | — | crear «listas autorizadas» (whitelisting); |  |  |  | | --- | --- | | — | utilizar configuraciones de sistema seguras y conformes con las normas; |  |  |  | | --- | --- | | — | aplicar parches de actualización de programas de aplicaciones en un plazo de 48 horas; |  |  |  | | --- | --- | | — | aplicar parches de actualización de sistemas en un plazo de 48 horas; y |  |  |  | | --- | --- | | — | reducir el número de usuarios que tienen «privilegios de administración». | | |

|  |  |  |
| --- | --- | --- |
|  | 3.7 | Las pequeñas empresas a menudo carecen de suficiente apoyo en materia de TI para mantenerse al día de las amenazas cibernéticas potenciales; por ello necesitan una ayuda especial con el fin de protegerse contra los ciberataques. |

|  |  |  |
| --- | --- | --- |
|  | 3.8 | Divulgar los ciberataques y los puntos vulnerables del sistema es esencial para luchar contra los ataques cibernéticos, especialmente a la hora de abordar los llamados «ataques de día cero», es decir, nuevas variedades de ataques no conocidos previamente en la comunidad responsable de la ciberseguridad. No obstante, las empresas muchas veces no hacen públicos los ciberataques debido al miedo de que sean perjudiciales para su fiabilidad y su reputación. Este silencio atenta contra la capacidad de Europa para responder con celeridad y eficacia a las amenazas cibernéticas y para mejorar en general la ciberseguridad mediante el intercambio de conocimientos. |

|  |  |  |
| --- | --- | --- |
|  | 3.9 | Los ciudadanos y las empresas compran accesos y servicios de internet a través de los proveedores de servicios de internet. Debido a su papel fundamental en la prestación de servicios en línea es vital que los proveedores de servicios de internet proporcionen a sus clientes el mayor nivel posible de protección contra los ataques cibernéticos. Además de garantizar que sus propios servicios e infraestructuras estén diseñados y mantenidos para proporcionar los máximos niveles de ciberseguridad, los proveedores de servicios de internet deberían proporcionar un excelente asesoramiento a sus clientes en materia de seguridad cibernética, y deberían poner en marcha protocolos especiales para ayudar a detectar y combatir los ciberataques a los clientes en el momento en que se produzcan. Esta responsabilidad debería definirse y consagrarse en la legislación a escala de la UE. |

|  |  |  |
| --- | --- | --- |
|  | 3.10 | Para la economía de la UE es muy importante acelerar la adopción de la computación en nube por parte de los ciudadanos y las empresas en Europa[(3)](#ntr3-C_2014451ES.01003101-E0003). Dado que la confianza en la computación en nube para las aplicaciones personales y empresariales está aumentando, es importante que Europa garantice especialmente la ciberseguridad de los proveedores de servicios en nube. La incertidumbre sobre la seguridad de los servicios en nube repercute negativamente en el ritmo de adopción de esta tecnología dinámica. El Comité considera deseable que la UE imponga requisitos especiales de seguridad nacional y obligaciones a los proveedores de servicios en nube para apoyar el desarrollo de la computación en nube en Europa. |

|  |  |  |
| --- | --- | --- |
|  | 3.11 | Es preciso hacer un esfuerzo especial para contratar personal para el sector de la ciberseguridad en Europa. Se prevé que la demanda de trabajadores de nivel universitario en el ámbito de la seguridad de la información como mínimo duplicará la tasa de crecimiento global de la industria informática. En este contexto, el Comité llama la atención de la Comisión sobre el éxito de las competiciones llevadas a cabo en los EE.UU. y en algunos Estados miembros para sensibilizar con respecto a la seguridad cibernética e instruir a la próxima generación de profesionales en materia de ciberseguridad. |

|  |  |  |
| --- | --- | --- |
|  | 3.12 | Una de las mejores estrategias para protegerse contra los ciberataques es adoptar un enfoque basado en el diseño garantizando que todas las tecnologías y los servicios utilizados en Europa para facilitar la conectividad a internet y los servicios en línea estén diseñados para proporcionar el mayor nivel posible de seguridad frente a los ciberataques. Las consideraciones basadas en el diseño deberían centrarse especialmente en la interfaz hombre-máquina. Esto supondría la colaboración entre los fabricantes, los proveedores de servicios de internet, la industria de la seguridad cibernética, el EC3, la ENISA, las agencias nacionales de defensa y seguridad de los Estados miembros y los ciudadanos. La organización de este enfoque basado en el diseño en materia de ciberseguridad podría correr a cargo de la Comisión, a escala de la UE, y eventualmente estar coordinada por la ENISA. |

4.   Política de ciberseguridad de la UE

|  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
|  | 4.1 | La UE está desarrollando una estrategia global[(4)](#ntr4-C_2014451ES.01003101-E0004) para aumentar la seguridad cibernética de los ciudadanos europeos:   |  |  | | --- | --- | | — | El pilar de la Agenda Digital relativo a la confianza y la seguridad incluye catorce acciones dirigidas a incrementar la ciberseguridad y la protección de datos. |  |  |  | | --- | --- | | — | La Directiva sobre los ciberataques[(5)](#ntr5-C_2014451ES.01003101-E0005), que deberá transponerse a la legislación nacional antes del 4 de septiembre de 2015, establece normas relativas a la definición de las infracciones penales en este ámbito y las sanciones para quienes sean declarados culpables de ellas. |  |  |  | | --- | --- | | — | Para incrementar los conocimientos y la seguridad cibernética y facilitar la colaboración transfronteriza entre los Estados miembros, la UE ha reforzado el mandato de la Agencia de Seguridad de las Redes y de la Información de la Unión Europea (ENISA). |  |  |  | | --- | --- | | — | Para luchar contra la ciberdelincuencia, se ha creado en el seno de Europol el Centro Europeo de Ciberdelincuencia (EC3). |  |  |  | | --- | --- | | — | La iniciativa política sobre protección de infraestructuras críticas de información (PICI) se centra en proteger a Europa de las perturbaciones cibernéticas, incluidos los ataques, mejorando la ciberseguridad y la capacidad de resistencia en toda la UE. |  |  |  | | --- | --- | | — | La estrategia en favor de una internet más adecuada para la infancia tiene por objeto crear un entorno seguro para los niños en internet y luchar contra el material pornográfico infantil en línea y la explotación sexual infantil. |  |  |  | | --- | --- | | — | La propuesta de Directiva sobre la seguridad de las redes y de la información (SRI) exige a los Estados miembros que pongan en marcha un conjunto de capacidades en materia de SRI, por ejemplo, un equipo de respuesta a emergencias informáticas (CERT) que sea plenamente operativo. También especifica la seguridad de la red y los requisitos de información para los proveedores de infraestructuras críticas. | |

|  |  |  |
| --- | --- | --- |
|  | 4.2 | El CESE reaccionó enérgicamente a la propuesta de Directiva de la Comisión sobre seguridad de las redes y de la información (SRI)[(6)](#ntr6-C_2014451ES.01003101-E0006), por considerar que las medidas propuestas son demasiado blandas y no van a incitar suficientemente a los Estados miembros a proteger a sus ciudadanos y empresas contra los ciberataques. No obstante, si bien aprobó la propuesta de Directiva, el Parlamento ha debilitado aún más su utilidad al limitar estrictamente la aplicación de la Directiva a los proveedores de «infraestructuras críticas», lo que elimina su aplicación a los motores de búsqueda de internet, plataformas de medios sociales, pasarelas de pago en línea y proveedores de servicios de computación en nube. |

|  |  |  |
| --- | --- | --- |
|  | 4.3 | La Directiva SRI que se propone no será suficiente para establecer la legislación necesaria para aumentar la sensibilización y la capacidad de respuesta a las amenazas de ciberataques en la Unión. El Comité desearía que la nueva legislación hiciese obligatoria la notificación de todos los incidentes importantes en materia de seguridad cibernética no solo en el caso de los proveedores de infraestructuras críticas. La no obligatoriedad de la notificación hace que los ciberdelincuentes se aprovechen de la ignorancia de objetivos vulnerables. |

|  |  |  |
| --- | --- | --- |
|  | 4.4 | La UE debe considerar la posibilidad de ampliar el mandato de la ENISA para reforzar la conciencia de las amenazas de ciberataques y la respuesta en toda la Unión. Quizás podría ampliarse la función de la ENISA de modo que asumiera más responsabilidad directa sobre los programas educativos y de sensibilización en materia de ciberseguridad especialmente dirigidos a los ciudadanos y las pymes. |

|  |  |  |
| --- | --- | --- |
|  | 4.5 | El Centro Europeo de Ciberdelincuencia (EC3) se creó en Europol en 2013 con el fin de aumentar la capacidad de Europa para luchar contra la ciberdelincuencia. El EC3 actúa como nodo central de inteligencia criminal en Europa y apoya las operaciones e investigaciones de los Estados miembros sobre los ciberataques. Sin embargo, en su primer informe anual el EC3 advierte de que sus actuales recursos limitan el desarrollo de las investigaciones y que no va a poder hacer frente al nivel que exigen las grandes investigaciones que deberá realizar. |

|  |  |  |
| --- | --- | --- |
|  | 4.6 | La UE debe pedir a las organizaciones europeas de normalización — CEN, CENELEC y ETSI — que elaboren unas normas de ciberseguridad para cualquier tipo de software y hardware de TIC o servicios basados en internet que estén a la venta en la UE. Estas normas deben actualizarse periódicamente para mantenerse al día de las nuevas amenazas. |

|  |  |  |
| --- | --- | --- |
|  | 4.7 | Es necesario legislar para hacer obligatoria la notificación de los incidentes significativos en materia de seguridad cibernética para todas las empresas y organizaciones, no solo para los proveedores de infraestructuras críticas. Esto contribuiría a incrementar respuesta de atenuación a las amenazas directas y aumentaría el conocimiento y la comprensión de los ciberataques que se cometen, ayudando de este modo a las autoridades, la industria de la ciberseguridad, las empresas y los ciudadanos a mejorar la seguridad cibernética y a luchar contra este tipo de amenazas. Para fomentar la puesta en común de la información sobre los ciberataques, la legislación debería garantizar el anonimato a las empresas y organizaciones que notifiquen un ataque. También debería prestarse atención a garantizar la protección de la responsabilidad cuando proceda. |

|  |  |  |
| --- | --- | --- |
|  | 4.8 | Pese a las iniciativas emprendidas, los niveles de capacidad y preparación de los Estados miembros son muy distintos y dan lugar a respuestas fragmentadas en la UE. Dada la interconexión de las redes y los sistemas, los Estados miembros con un enfoque muy débil en materia de ciberseguridad debilitan la capacidad global de la UE para hacer frente a los ciberataques. Es necesario actuar para que todos los Estados miembros alcancen un nivel aceptable de ciberseguridad. Deberá prestarse una atención especial para garantizar que todos los Estados miembros cuentan con un equipo de respuesta a emergencias informáticas (CERT) que sea plenamente operativo. |

|  |  |  |
| --- | --- | --- |
|  | 4.9 | Como ya se ha señalado en dictámenes precedentes[(7)](#ntr7-C_2014451ES.01003101-E0007), para incrementar la protección de la UE frente a los ciberataques, el CESE considera que las medidas voluntarias no funcionan y que los Estados miembros deben contar con obligaciones reglamentarias fuertes para garantizar la armonización, la gobernanza y el cumplimiento de la ciberseguridad en Europa. |

|  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
|  | 4.10 | En resumen, para estar en condiciones de ofrecer una protección real y actualizada a los ciudadanos y las empresas frente a los ataques cibernéticos, la política de ciberseguridad de la UE debería centrarse en las acciones siguientes:   |  |  | | --- | --- | | — | un firme liderazgo de la UE para poner en marcha las políticas, leyes e instituciones y mantener niveles elevados de ciberseguridad en toda la Unión; |  |  |  | | --- | --- | | — | políticas de ciberseguridad que refuercen la seguridad individual y colectiva, preservando al mismo tiempo los derechos de los ciudadanos a la intimidad y otros valores y las libertades fundamentales; |  |  |  | | --- | --- | | — | un nivel elevado de concienciación entre todos los ciudadanos de los riesgos vinculados a la utilización de internet y el fomento de un enfoque proactivo para proteger sus dispositivos digitales, identidad, privacidad y transacciones en línea; |  |  |  | | --- | --- | | — | una gobernanza integral de todos los Estados miembros para garantizar que las infraestructuras de información críticas son seguras y poseen capacidad de resistencia; |  |  |  | | --- | --- | | — | una actuación responsable e informada por parte de todas las empresas a fin de garantizar que sus sistemas de TIC son seguros y poseen capacidad de resistencia para proteger sus actividades y los intereses de sus clientes; |  |  |  | | --- | --- | | — | un enfoque proactivo por parte de los proveedores de servicios de internet para proteger a sus clientes frente a los ciberataques; |  |  |  | | --- | --- | | — | un enfoque de estrecha cooperación en materia de ciberseguridad en toda la UE entre los gobiernos, el sector privado y los ciudadanos, a nivel estratégico y operativo; |  |  |  | | --- | --- | | — | un enfoque de la seguridad cibernética incorporada al diseño cuando se desarrollan tecnologías y servicios de internet; |  |  |  | | --- | --- | | — | unos niveles adecuados de inversión en conocimientos y competencias en materia de seguridad cibernética para propiciar un fuerte desarrollo de la mano de obra en seguridad cibernética; |  |  |  | | --- | --- | | — | buenas normas técnicas de seguridad cibernética y una inversión suficiente en I+D+i para apoyar el desarrollo de una potente industria de seguridad cibernética y soluciones de ámbito mundial; |  |  |  | | --- | --- | | — | un compromiso activo a nivel internacional con países no pertenecientes a la UE para desarrollar una política global y coordinada de respuesta ante las amenazas para la ciberseguridad. | |

Bruselas, 10 de julio de 2014

El Presidente del Comité Económico y Social Europeo

Henri MALOSSE

---

[Top](#document1)