Source: EURLEX
Language: es
Format: md

|  |  |  |  |
| --- | --- | --- | --- |
| 10.3.2017 | ES | Diario Oficial de la Unión Europea | C 75/124 |

---

Dictamen del Comité Económico y Social Europeo sobre la «Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones — Reforzar el sistema de ciberresiliencia de Europa y promover una industria de la ciberseguridad competitiva e innovadora»

[COM(2016) 410 final]

(2017/C 075/21)

|  |  |
| --- | --- |
| Ponente: | Thomas McDONOGH |

|  |  |
| --- | --- |
| Consulta | Comisión Europea, 18.8.2016 |
| Fundamento jurídico | Artículo 304 del Tratado de Funcionamiento de la Unión Europea. |
| Sección competente | Sección de Transportes, Energía, Infraestructuras y Sociedad de la Información |
| Aprobado en sección | 15.11.2016 |
| Aprobado en el pleno | 14.12.2016 |
| Pleno n.o | 521 |
| Resultado de la votación  (a favor/en contra/abstenciones) | 148/0/1 |

1.   Conclusiones y recomendaciones

|  |  |  |
| --- | --- | --- |
|  | 1.1. | El Comité acoge favorablemente la Comunicación de la Comisión «Reforzar el sistema de ciberresiliencia de Europa y promover una industria de la ciberseguridad competitiva e innovadora». El Comité comparte la preocupación de la Comisión por la vulnerabilidad constante de Europa frente a los ciberataques, y observa que, como mínimo, el 80 % de las empresas europeas ha sido objeto de al menos un incidente de ciberseguridad durante el último año y que el número de incidentes de seguridad en todos los sectores a escala mundial aumentó un 38 % en 2015 (The Global State of Information Security Survey 2016, PWC). Coincide con la Comisión en que es necesaria una serie de medidas para reforzar el sistema de ciberresiliencia de Europa y promover una industria de la ciberseguridad competitiva e innovadora. |

|  |  |  |
| --- | --- | --- |
|  | 1.2. | El Comité acoge con especial satisfacción esta propuesta en el contexto de la recientemente adoptada Directiva sobre Seguridad de las Redes y de la Información (SRI)[(1)](#ntr1-C_2017075ES.01012401-E0001), cuyo objetivo consiste en armonizar el planteamiento con respecto a la ciberseguridad en la Unión, y la estrategia más amplia de ciberseguridad[(2)](#ntr2-C_2017075ES.01012401-E0002), que expone la visión actual sobre cómo prevenir y responder de la mejor forma a perturbaciones y ataques cibernéticos, a fin de promover los valores europeos de libertad y democracia, así como garantizar que la economía digital pueda prosperar de manera segura. |

|  |  |  |
| --- | --- | --- |
|  | 1.3. | El CESE está de acuerdo en que se requieren medidas globales para aumentar la protección de la infraestructura y los servicios digitales fundamentales de Europa frente a las amenazas para la seguridad, y se congratula de que las medidas propuestas ahora supondrán un avance significativo en la aplicación de buena parte de las recomendaciones del Comité formuladas en numerosos dictámenes anteriores[(3)](#ntr3-C_2017075ES.01012401-E0003) sobre el fortalecimiento de la ciberseguridad en toda la Unión. |

|  |  |  |
| --- | --- | --- |
|  | 1.4. | El CESE se congratula de que la Comisión haya firmado la asociación público-privada (APP) contractual sobre ciberseguridad, que debería desbloquear inversiones por valor de 1 800 millones EUR en la industria de la ciberseguridad de la UE a fin de fomentar la cooperación en las primeras etapas del proceso de investigación e innovación y desarrollar soluciones de ciberseguridad para distintos sectores, como la energía, la sanidad, los transportes y las finanzas. Esperamos, en particular, que esta APP se use en toda la Unión para apoyar el desarrollo de las empresas dedicadas a la ciberseguridad que se encuentran en su fase inicial. |

|  |  |  |
| --- | --- | --- |
|  | 1.5. | El Comité acoge favorablemente la intención de la Comisión de evaluar la necesidad de modificar o ampliar el mandato de la Agencia de Seguridad de las Redes y de la Información de la Unión Europea (ENISA) antes de finales de 2017 y espera con interés una consulta de la Comisión sobre este asunto. El CESE considera que cualquier ampliación del mandato de la ENISA debería incluir la atribución de un mayor protagonismo operativo a la agencia para que pueda aumentar más eficazmente la concienciación sobre la amenaza de ciberataques y la capacidad de respuesta en toda la Unión, así como una mayor responsabilidad directa sobre los programas educativos y de concienciación en materia de ciberseguridad especialmente dirigidos a los ciudadanos y a las pequeñas y medianas empresas (pymes). |

|  |  |  |
| --- | --- | --- |
|  | 1.6. | A fin de proporcionar el nivel de liderazgo e integración que se requiere a nivel de la UE para afrontar las dificultades que entraña poner en práctica una política de ciberseguridad eficaz a escala europea, el Comité pide a la Comisión que evalúe la posibilidad de cambiar el estatuto de la ENISA por el de una autoridad a escala de la Unión responsable de la ciberseguridad, de forma análoga a la autoridad central de la industria aeronáutica, la Agencia Europea de Seguridad Aérea (AESA). Si dicho cambio de mandato de la ENISA no fuera factible, el CESE defiende que se cree esta autoridad desde cero. |

|  |  |  |
| --- | --- | --- |
|  | 1.7. | El CESE pide a la Comisión que considere la posibilidad de crear un modelo nacional de desarrollo en el ámbito de la ciberseguridad y un sistema de calificación similar al modelo de madurez de las capacidades (CMM) de la industria de las TI, a fin de poder medir de manera objetiva el grado de resiliencia en materia de ciberseguridad de cada Estado miembro. |

|  |  |  |
| --- | --- | --- |
|  | 1.8. | El Comité toma nota de que la Comisión estudiará la necesidad de actualizar la estrategia de ciberseguridad de la Unión de 2013 en un futuro próximo, y desea ser consultado sobre las ideas de la Comisión a su debido tiempo. |

|  |  |  |
| --- | --- | --- |
|  | 1.9. | Habida cuenta de la importancia de la ciberseguridad y la creciente amenaza de la ciberdelincuencia, el CESE pide que se asignen fondos y recursos adecuados al Centro Europeo de Ciberdelincuencia de Europol y a la Agencia Europea de Defensa. |

|  |  |  |
| --- | --- | --- |
|  | 1.10. | Dada la importancia considerable que reviste la protección de los datos personales de los ciudadanos almacenados por la administración, las instituciones y las agencias públicas, el Comité pide que se imparta a los trabajadores del sector público una formación específica sobre la gobernanza en el ámbito de la información, la protección de datos y la ciberseguridad. |

|  |  |  |
| --- | --- | --- |
|  | 1.11. | Sobre la base de una visión de conjunto sobre la protección de la Unión frente a la ciberdelincuencia y los ciberataques, así como el desarrollo de una industria de la ciberseguridad sólida en Europa, el CESE considera que la estrategia y la política de la Unión en materia de ciberseguridad debe hacer especial hincapié en los siguientes aspectos: un liderazgo firme de la Unión; políticas de ciberseguridad que refuercen la seguridad, preservando al mismo tiempo la intimidad y otros derechos fundamentales; la concienciación de los ciudadanos y el fomento de enfoques de protección proactiva; una gobernanza integral de los Estados miembros; una actuación con conocimiento de causa y responsable por parte de las empresas; una estrecha cooperación entre los gobiernos, el sector privado y los ciudadanos; unos niveles de inversión suficientes; unas normas técnicas apropiadas e inversiones suficientes en I+D+i; un compromiso internacional. |

2.   Síntesis de la Comunicación de la Comisión

|  |  |  |
| --- | --- | --- |
|  | 2.1. | La Comunicación propone medidas destinadas a reforzar el sistema de ciberresiliencia y promover una industria de la ciberseguridad competitiva e innovadora en Europa, como ya se anunció en la estrategia de ciberseguridad de la Unión y en la estrategia del mercado único digital. |

|  |  |  |
| --- | --- | --- |
|  | 2.2. | Para ello, las medidas propuestas por la Comisión hacen uso de las disposiciones de la Directiva SRI para reforzar la cooperación en materia de ciberseguridad, el intercambio de información, la formación y la organización de la seguridad en toda la Unión. Asimismo, la Comisión llevará a cabo una evaluación de la ENISA antes de finales de 2017 y estudiará la necesidad de modificar o ampliar su mandato. |

|  |  |  |
| --- | --- | --- |
|  | 2.2.1. | La Comisión trabajará en estrecha cooperación con los Estados miembros, la ENISA, el SEAE y otros organismos competentes de la Unión para establecer una plataforma de formación en materia de ciberseguridad. |

|  |  |  |
| --- | --- | --- |
|  | 2.2.2. | Se propone una serie de medidas destinadas a abordar las interdependencias entre sectores y aumentar la resiliencia de la infraestructura de redes públicas clave, en particular, el desarrollo de centros sectoriales europeos de puesta en común y análisis de la información y su colaboración con los equipos de respuesta a incidentes de seguridad informática (CSIRT, por sus siglas en inglés). La Comisión también propone permitir a las autoridades nacionales pedir a los CSIRT que efectúen controles periódicos de las infraestructuras de red fundamentales. |

|  |  |  |
| --- | --- | --- |
|  | 2.3. | Las medidas propuestas por la Comisión también abordarán la necesidad de aumentar el apoyo al crecimiento y el desarrollo de una fuerte industria de la ciberseguridad europea a través de la formación, las inversiones, los requisitos del mercado único y la creación de una nueva asociación público-privada sobre ciberseguridad que debería movilizar inversiones por valor de 1 800 millones EUR de aquí a 2020. |

|  |  |  |
| --- | --- | --- |
|  | 2.3.1. | Asimismo, se propone desarrollar un marco europeo de certificación de seguridad de las TIC, que se presentaría a finales de 2017, y evaluar la viabilidad y el impacto de un marco sobre etiquetado simplificado europeo de ciberseguridad. |

|  |  |  |
| --- | --- | --- |
|  | 2.3.2. | A fin de aumentar las inversiones en ciberseguridad en Europa y apoyar a las pymes, la Comisión: aumentará la concienciación sobre los actuales mecanismos de financiación entre la comunidad de la ciberseguridad; potenciará el uso de las herramientas e instrumentos de la Unión para apoyar a las pymes innovadoras a la hora de explorar las posibles sinergias entre el mercado de la ciberseguridad civil y el de la de defensa (por ejemplo, la Red Europea para las Empresas y la Red europea de regiones relacionadas con la defensa ofrecerán nuevas oportunidades a las regiones para explorar la cooperación transfronteriza en ámbitos como el doble uso, incluida la ciberseguridad, y a las pymes para participar en actividades de emparejamiento); estudiará la viabilidad de facilitar el acceso a la inversión a través de una plataforma específica de inversión en materia de ciberseguridad o de otros mecanismos; desarrollará una plataforma de especialización inteligente en ciberseguridad para ayudar a los Estados miembros y regiones interesados en invertir en ciberseguridad (RIS3). |

|  |  |  |
| --- | --- | --- |
|  | 2.3.3. | Además, para estimular y consolidar la industria europea de la ciberseguridad a través de la innovación, la Comisión: firmará con la industria un acuerdo para una asociación público-privada (APP) contractual en materia de ciberseguridad; pondrá en marcha convocatorias de propuestas de Horizonte 2020 en el marco de la APP contractual de ciberseguridad; garantizará la coordinación de la APP contractual de ciberseguridad con las estrategias sectoriales pertinentes, los instrumentos de Horizonte 2020 y las APP sectoriales. |

3.   Observaciones generales

|  |  |  |
| --- | --- | --- |
|  | 3.1. | La economía digital genera más de una quinta parte del crecimiento del PIB de la UE y la mayoría de los europeos compra en línea cada año. Dependemos de internet y de la tecnología digital conexa para apoyar nuestra energía vital, la salud, la administración pública y los servicios financieros. Sin embargo, las infraestructuras y servicios digitales críticos, que desempeñan un papel tan esencial en nuestra vida económica y social, son vulnerables a un riesgo cada vez mayor de ciberdelincuencia y ciberataques que ponen en peligro nuestra prosperidad y calidad de vida. |

|  |  |  |
| --- | --- | --- |
|  | 3.2. | Los gobiernos, así como las instituciones y agencias públicas, almacenan muchos datos personales de los ciudadanos en soporte informático. Por tanto, asegurar una buena gobernanza en el ámbito de la información, la ciberseguridad y la protección de datos es esencial para los ciudadanos de toda la Unión, que necesitan tener la certeza de que sus datos personales y su privacidad están protegidos de conformidad con las directivas y los reglamentos de la UE. Esto se aplica, en particular, a los datos sanitarios, financieros y jurídicos, así como a cualesquiera otros que pudieran ser utilizados para robar una identidad o divulgados de forma inadecuada a terceros. Es esencial que todo el personal que trabaja en el sector público reciba una formación adecuada en el ámbito de la buena gobernanza sobre información, la ciberseguridad y la protección de datos. |

|  |  |  |
| --- | --- | --- |
|  | 3.3. | Enseñar a los ciudadanos ciberseguridad personal, incluida la seguridad de los datos, debe ser parte fundamental de todos los programas de estudios de alfabetización digital. Un programa de educación impulsado por la Unión puede respaldar los esfuerzos de los Estados miembros menos activos y asegurar, asimismo, la correcta comprensión de la estrategia, reduciendo así los temores relacionados con la privacidad e incrementando la confianza en la economía digital. Este programa podría ponerse en práctica con la participación de las asociaciones de consumidores y las organizaciones de la sociedad civil de toda la Unión, así como de los centros educativos, respondiendo a las necesidades de los ciudadanos de mayor edad. |

|  |  |  |
| --- | --- | --- |
|  | 3.4. | Todos los Estados miembros deberían capacitar a las organizaciones existentes de desarrollo industrial para que se encarguen de informar, educar y apoyar al sector de las pymes sobre cuestiones relacionadas con la ciberseguridad. Las grandes empresas pueden adquirir fácilmente los conocimientos que precisan, pero las pymes necesitan apoyo. |

|  |  |  |
| --- | --- | --- |
|  | 3.5. | Sería muy útil disponer de un instrumento de medición objetivo del grado de resiliencia de cada Estado miembro en materia de ciberseguridad, para que la comparación permita corregir las deficiencias e impulsar mejoras. Podría contemplarse la creación de un modelo de desarrollo nacional en el ámbito de la ciberseguridad y de un sistema de calificación, similar al modelo de madurez de las capacidades (CMM) de la industria de las TI, que permita medir el nivel nacional de protección y resiliencia en materia de ciberseguridad. |

|  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
|  | 3.6. | Una estrategia global de ciberseguridad deberá incluir las siguientes medidas:   |  |  | | --- | --- | | — | un firme liderazgo de la Unión para establecer las políticas, leyes e instituciones necesarias para mantener niveles elevados de ciberseguridad en toda la Unión, |  |  |  | | --- | --- | | — | políticas de ciberseguridad que refuercen la seguridad individual y colectiva, preservando al mismo tiempo el derecho a la intimidad de los ciudadanos y otros valores y las libertades fundamentales, |  |  |  | | --- | --- | | — | un nivel elevado de concienciación entre todos los ciudadanos sobre los riesgos que plantea la utilización de internet y el fomento de un enfoque proactivo para la protección de sus dispositivos digitales, identidad, privacidad y transacciones en línea, |  |  |  | | --- | --- | | — | una gobernanza integral de todos los Estados miembros para garantizar que las infraestructuras de información críticas son seguras y poseen capacidad de resistencia, |  |  |  | | --- | --- | | — | una actuación con conocimiento de causa y responsable por parte de todas las empresas a fin de garantizar que sus sistemas de TIC son seguros y resistentes para proteger sus actividades y los intereses de sus clientes, |  |  |  | | --- | --- | | — | un enfoque proactivo por parte de los proveedores de servicios de internet para proteger a sus clientes frente a ciberataques, |  |  |  | | --- | --- | | — | un enfoque de estrecha cooperación en materia de ciberseguridad en toda la Unión entre los gobiernos, el sector privado y los ciudadanos, a nivel estratégico y operativo, |  |  |  | | --- | --- | | — | un enfoque de la seguridad cibernética incorporada al diseño cuando se desarrollan tecnologías y servicios de internet, |  |  |  | | --- | --- | | — | unos niveles adecuados de inversión en conocimientos y competencias en materia de seguridad cibernética para propiciar un fuerte desarrollo de la mano de obra de seguridad cibernética, |  |  |  | | --- | --- | | — | buenas normas técnicas de seguridad cibernética y una inversión suficiente en I+D+i para apoyar el desarrollo de una sólida industria de seguridad cibernética y soluciones de primera categoría, |  |  |  | | --- | --- | | — | un compromiso activo a nivel internacional con países no pertenecientes a la Unión, para desarrollar una política global y coordinada de respuesta ante las amenazas para la ciberseguridad. | |

4.   Observaciones específicas

|  |  |  |
| --- | --- | --- |
|  | 4.1. | Sobre la base del marco de gobernanza en materia de ciberseguridad expuesto en la Directiva SRI y las medidas adicionales incluidas en la Comunicación sometida a examen, la Unión debería estudiar la posibilidad de afrontar el enfoque fragmentado a fin de reforzar la ciberseguridad en la Unión, creando una autoridad de ciberseguridad fuerte y centralizada —similar a la Agencia Europea de Seguridad Aérea (AESA) o al responsable principal a nivel federal de la seguridad de la información, nombrado recientemente en los Estados Unidos (Cybersecurity National Action Plan, Casa Blanca, 9 de febrero de 2016) —, responsable de supervisar la ejecución de la política de ciberseguridad a escala de la UE e integrar los esfuerzos de los diversos organismos que trabajan en este ámbito. |

|  |  |  |
| --- | --- | --- |
|  | 4.2. | El Comité expresa su admiración por la competencia desarrollada a lo largo de los años por la ENISA y considera que podría contribuir aún más a la resiliencia y la seguridad de Europa en materia de ciberseguridad. Debería reforzarse el mandato operativo de la ENISA para aumentar de forma más eficaz la conciencia de la amenaza de ciberataques y la respuesta en toda la Unión. Sería oportuna una revisión del mandato, habida cuenta de la forma en que ha evolucionado el entorno de la ciberseguridad desde la creación de ENISA. Sobre la base de la Directiva SRI, el papel operativo de la ENISA quizá podría ampliarse para aumentar el valor que puede aportar a la UE, los Estados miembros, los ciudadanos y las empresas, movilizando sus competencias y sinergias con las de otras instituciones, agencias y organismos de la UE y los Estados miembros, como el CERT- UE, el Centro Europeo de Ciberdelincuencia y la Agencia Europea de Defensa. Asimismo, la ENISA debería asumir más responsabilidad directa sobre los programas educativos y de concienciación en materia de ciberseguridad dirigidos de manera específica a los ciudadanos y las pymes. |

|  |  |  |
| --- | --- | --- |
|  | 4.3. | Cuando el Centro Europeo de Ciberdelincuencia (EC3) se creó en 2013, solo contaba con un presupuesto operativo de 7 millones EUR, es decir, menos del 10 % del presupuesto total de Europol (Nota 13/6 de la Comisión Europea de 9 de enero de 2012). En 2014, el director del EC3 señaló que los recortes habían limitado seriamente los recursos asignados a su unidad que apenas podía seguir el ritmo de la rápida evolución de las amenazas que plantea la ciberdelincuencia (Security Magazine, 1 de noviembre de 2014). El CESE considera que los recursos asignados a Europol para luchar contra la ciberdelincuencia deben aumentarse de manera significativa para hacer frente a la evolución de la amenaza. El presupuesto de Europol para 2016 sigue siendo de solo 100 millones EUR[(4)](#ntr4-C_2017075ES.01012401-E0004). |

|  |  |  |
| --- | --- | --- |
|  | 4.4. | El Comité acoge favorablemente las disposiciones de la Directiva SRI y las medidas propuestas en la Comunicación con el fin de mejorar la cooperación en materia de ciberseguridad entre Estados miembros. A fin de garantizar la seguridad de todos los ciudadanos y lograr un elevado grado de ciberresiliencia en toda la UE, donde los sistemas de información de infraestructuras críticas están a menudo interconectados, es importante que las medidas de cooperación aborden la creciente brecha entre los Estados miembros con los sistemas de ciberseguridad más avanzados y los que cuentan con sistemas menos desarrollados. |

Bruselas, 14 de diciembre de 2016.

El Presidente del Comité Económico y Social Europeo

Georges DASSIS

---

[Top](#document1)