La UE aprova la seva Llei de Ciberseguretat

El Diari Oficial de la Unió Europea va publicar el 7 de juny del 2019 el Reglament (UE) 2019/881, conegut com a Llei de Ciberseguretat de la UE, que entrarà en vigor el 27 de juny. La norma té dues grans parts: dona a l’Agència de la Unió Europea per a la Ciberseguretat, l’ENISA, un mandat permanent amb més funcions i recursos, i crea un marc europeu de certificació de la ciberseguretat de productes, serveis i processos de les tecnologies de la informació.

Fins ara, cada país tenia els seus propis esquemes de certificació, amb criteris diferents i sense reconeixement mutu, cosa que complicava la venda de productes tecnològics en diversos mercats. El reglament busca que un certificat emès en un estat membre d’acord amb un esquema europeu sigui vàlid a tota la Unió, de manera que fabricants i clients sàpiguen quin nivell de seguretat poden esperar d’un producte.

Què és el marc de certificació

La Comissió pot demanar a l’ENISA que prepari esquemes de certificació per a determinades categories de productes o serveis, que després s’adopten mitjançant actes europeus. Cada esquema defineix els requisits de seguretat, els mètodes d’avaluació i el nivell de garantia, que pot ser bàsic, substancial o alt, segons el risc associat a l’ús del producte.

La certificació és, com a regla general, voluntària, tret que una norma europea o nacional digui el contrari per a certs productes. Un fabricant pot certificar un producte per demostrar-ne la seguretat als clients, i la informació que l’acompanya ha de ser accessible: què cobreix, durant quant de temps i com es manté la seguretat amb les actualitzacions.

Què significa per a les empreses

Per a les empreses que fabriquen o comercialitzen maquinari, programari o serveis connectats, el reglament obre la possibilitat de comptar amb un segell de seguretat reconegut a tota la Unió. Amb el temps, és previsible que grans clients, compradors públics i asseguradores comencin a valorar o a exigir aquestes certificacions, com ja passa amb altres normes de seguretat de la informació.

Per a les empreses que fan servir tecnologia, la conseqüència és indirecta però útil: a mesura que hi hagi esquemes, serà més fàcil comparar productes i exigir garanties als proveïdors. Tot això se suma a les obligacions que ja existeixen per a operadors de serveis essencials i proveïdors de serveis digitals, que a Espanya recull el Reial decret llei 12/2018 sobre seguretat de les xarxes i sistemes d’informació.

Què convé revisar

Un repàs raonable comença per saber quins sistemes i dades són crítics, quines mesures de seguretat s’apliquen i qui n’és responsable. Després, convé revisar els contractes amb proveïdors tecnològics per veure quins compromisos de seguretat, de notificació d’incidents i d’actualització assumeixen, i si hi ha certificacions que puguin avalar aquestes promeses.

Encara no hi ha esquemes europeus aprovats, de manera que no hi ha res a certificar per aquesta via, però sí que convé anar preparant el terreny: documentar polítiques, mantenir inventaris i formar el personal. La majoria d’incidents comencen per errors senzills, i la certificació, quan arribi, premiarà qui ja hagi fet aquests deures. Una mesura de baix cost amb gran efecte és practicar la resposta a incidents: saber a qui trucar, com aïllar un equip afectat i com notificar el problema a clients i autoritats quan correspongui, perquè els primers minuts solen decidir quant de dany acaba produint un atac. En el cas de les pimes, a més, pot ser raonable recolzar-se en un proveïdor de serveis gestionats de confiança, sempre que el contracte deixi clares les responsabilitats, els terminis de resposta davant d’incidents i l’accés de l’empresa a les seves pròpies dades.

La ciberseguretat es demostra amb mesures verificables, i Europa comença a dotar-se d’un llenguatge comú per fer-ho.

Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.