- El Reglamento (UE) 2019/881 convierte a ENISA en una agencia permanente y le da más funciones.
- Crea un marco europeo de certificación de ciberseguridad para productos, servicios y procesos, con tres niveles de garantía.
- En principio, la certificación es voluntaria, pero puede acabar siendo un requisito de clientes y licitaciones.
El Diario Oficial de la Unión Europea publicó el 7 de junio de 2019 el Reglamento (UE) 2019/881, conocido como Ley de Ciberseguridad de la UE, que entrará en vigor el 27 de junio. La norma tiene dos grandes partes: da a la Agencia de la Unión Europea para la Ciberseguridad, ENISA, un mandato permanente con más funciones y recursos, y crea un marco europeo de certificación de la ciberseguridad de productos, servicios y procesos de las tecnologías de la información.
Hasta ahora, cada país tenía sus propios esquemas de certificación, con criterios distintos y sin reconocimiento mutuo, lo que complicaba la venta de productos tecnológicos en varios mercados. El reglamento busca que un certificado emitido en un Estado miembro con arreglo a un esquema europeo sea válido en toda la Unión, de forma que fabricantes y clientes sepan qué nivel de seguridad pueden esperar de un producto.
Qué es el marco de certificación
La Comisión puede pedir a ENISA que prepare esquemas de certificación para determinadas categorías de productos o servicios, que luego se adoptan mediante actos europeos. Cada esquema define los requisitos de seguridad, los métodos de evaluación y el nivel de garantía, que puede ser básico, sustancial o alto, según el riesgo asociado al uso del producto.
La certificación es, como regla general, voluntaria, salvo que una norma europea o nacional diga lo contrario para ciertos productos. Un fabricante puede certificar un producto para demostrar su seguridad a los clientes, y la información que la acompaña debe ser accesible: qué cubre, durante cuánto tiempo y cómo se mantiene la seguridad con las actualizaciones.
Qué significa para las empresas
Para las empresas que fabrican o comercializan hardware, software o servicios conectados, el reglamento abre la posibilidad de contar con un sello de seguridad reconocido en toda la Unión. Con el tiempo, es previsible que grandes clientes, compradores públicos y aseguradoras empiecen a valorar o a exigir esas certificaciones, como ya ocurre con otras normas de seguridad de la información.
Para las empresas que usan tecnología, la consecuencia es indirecta pero útil: a medida que existan esquemas, será más fácil comparar productos y exigir garantías a los proveedores. Todo esto se suma a las obligaciones que ya existen para operadores de servicios esenciales y proveedores de servicios digitales, que en España recoge el Real Decreto-ley 12/2018 sobre seguridad de las redes y sistemas de información.
Qué conviene revisar
Un repaso razonable comienza por saber qué sistemas y datos son críticos, qué medidas de seguridad se aplican y quién es responsable de ellas. Después, conviene revisar los contratos con proveedores tecnológicos para ver qué compromisos de seguridad, de notificación de incidentes y de actualización asumen, y si hay certificaciones que puedan respaldar esas promesas.
Aún no existen esquemas europeos aprobados, de modo que no hay nada que certificar por esta vía, pero sí conviene ir preparando el terreno: documentar políticas, mantener inventarios y formar al personal. La mayoría de los incidentes empiezan por errores sencillos, y la certificación, cuando llegue, premiará a quien ya haya hecho esos deberes. Una medida de bajo coste con gran efecto es practicar la respuesta a incidentes: saber a quién llamar, cómo aislar un equipo afectado y cómo notificar el problema a clientes y autoridades cuando proceda, porque los primeros minutos suelen decidir cuánto daño acaba produciendo un ataque. En el caso de las pymes, además, puede ser razonable apoyarse en un proveedor de servicios gestionados de confianza, siempre que el contrato deje claras las responsabilidades, los plazos de respuesta ante incidentes y el acceso de la empresa a sus propios datos.
La ciberseguridad se demuestra con medidas verificables, y Europa empieza a dotarse de un lenguaje común para hacerlo.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
