Recomendación (EU) 2021/1086 de la Comisión, de 23 de junio de 2021, sobre la creación de una Unidad Cibernética Conjunta

• Section: Serie L
• Issuing Organization: Comisión de las Comunidades Europeas

5.7.2021 ES Diario Oficial de la Unión Europea L 237/1

(1) La ciberseguridad es esencial para que la transformación digital de la economía y la sociedad se lleve a cabo con éxito. La UE se ha comprometido a movilizar unos niveles de inversión sin precedentes para apuntalar la confianza de los particulares, las empresas y las autoridades públicas en las herramientas digitales.

(2) La pandemia de COVID-19 ha incrementado la importancia de la conectividad y la dependencia de Europa de unas redes y unos sistemas de información estables, y ha puesto de manifiesto la necesidad de garantizar la protección a lo largo de toda la cadena de suministro. Disponer de redes y sistemas de información fiables y seguros es especialmente importante para las entidades que se encuentran en primera línea de batalla contra la pandemia, como los hospitales, los organismos sanitarios y los fabricantes de vacunas. La coordinación de los esfuerzos de la UE por prevenir, detectar, desalentar, disuadir, mitigar y responder a los ciberataques que tienen una mayor repercusión en dichas entidades podría evitar la pérdida de vidas humanas y neutralizar los intentos de socavar la capacidad de la UE para vencer a la pandemia lo más rápidamente posible. Por otra parte, el refuerzo de la capacidad de la UE para luchar contra los ciberataques contribuye eficazmente a impulsar un ciberespacio mundial, abierto, estable y seguro.

(3) Enfrentados a la naturaleza transfronteriza de las amenazas a la ciberseguridad y al continuo aumento de ataques más complejos, generalizados y específicos (1), las instituciones y agentes competentes en el ámbito de la ciberseguridad deben aumentar su capacidad de respuesta a tales amenazas y ataques aprovechando los recursos existentes y coordinando sus esfuerzos de forma más eficaz. Todos los agentes pertinentes de la UE deben estar preparados para ofrecer una respuesta colectiva y para intercambiar información atendiendo a la «necesidad de compartir», en lugar de a la «necesidad de conocer».

(4) Pese a los importantes avances logrados gracias a la cooperación entre los Estados miembros en materia de ciberseguridad, en particular a través del Grupo de cooperación («Grupo de cooperación SRI») y de la red de equipos de respuesta a incidentes de seguridad informática («red CSIRT», por sus siglas en inglés) creados en virtud de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo (2), todavía no existe una plataforma común de la UE en la que la información recopilada en las distintas comunidades de ciberseguridad pueda intercambiarse de manera eficiente y segura y en la que los agentes pertinentes puedan coordinar y movilizar sus capacidades operativas. Como consecuencia de ello, se corre el riesgo de abordar las amenazas e incidentes de seguridad en compartimentos estancos, lo que puede limitar la eficiencia e incrementar la vulnerabilidad. Además, no se dispone a escala de la UE de un canal para la cooperación técnica y operativa con el sector privado, ni en términos de puesta en común de información ni de apoyo a la respuesta ante incidentes.

(5) Los marcos y estructuras en vigor y los recursos y conocimientos especializados de que disponen los Estados miembros y las instituciones, órganos y organismos pertinentes de la UE proporcionan una base sólida para ofrecer una respuesta colectiva ante amenazas, incidentes y crisis de ciberseguridad (3). Desde el punto de vista operativo, la arquitectura en vigor incluye el Plan director de respuesta coordinada a los incidentes y crisis de ciberseguridad a gran escala («el Plan director») (4), la red CSIRT y la red europea de organizaciones de enlace de crisis cibernéticas («EU CyCLONe», por sus siglas en inglés) (5), así como el Centro Europeo de Ciberdelincuencia («EC3», por sus siglas en inglés) y el Grupo Conjunto sobre Ciberdelincuencia (J-CAT, por sus siglas en inglés) de la Agencia de la Unión Europea para la Cooperación Policial («Europol»), y el Protocolo de Respuesta Policial ante Emergencias de la UE. El Grupo de cooperación SRI, el Centro de Inteligencia y Situación de la UE («EU INTCEN», por sus siglas en inglés) así como el conjunto de instrumentos de ciberdiplomacia (6) y los proyectos relacionados con la ciberdefensa iniciados en el marco de la Cooperación Estructurada Permanente (CEP) (7) contribuyen también a la cooperación política y operativa entre las diferentes comunidades de ciberseguridad. La Agencia de la Unión Europea para la Ciberseguridad (ENISA), en virtud de su mandato reforzado, se encarga de apoyar la cooperación operativa (8) respecto de la ciberseguridad de las redes y sistemas de información, a los usuarios de dichos sistemas y a otras personas afectadas por amenazas e incidentes de ciberseguridad. A través del Dispositivo de Respuesta Política Integrada a las Crisis (RPIC), la UE es capaz de coordinar su respuesta política ante crisis de gran envergadura, incluso cuando se trata de ciberataques a gran escala.

(6) Sin embargo, todavía no existe un mecanismo para aprovechar los recursos existentes y que permita al conjunto de comunidades cibernéticas responsables de la seguridad de las redes y los sistemas de información prestarse asistencia mutua, con vistas a combatir la ciberdelincuencia, ejercer la ciberdiplomacia y, en su caso, proceder a la ciberdefensa en caso de crisis. Tampoco existe un mecanismo global a escala de la UE para la cooperación técnica y operativa de todas las comunidades en materia de conocimiento de la situación, preparación y respuesta. Además, es preciso lograr sinergias con las comunidades policial y de inteligencia a través de Europol e INTCEN, respectivamente.

(7) La Comisión, el Alto Representante de la Unión para Asuntos Exteriores y Política de Seguridad, los Estados miembros y las instituciones, órganos y organismos pertinentes de la UE reconocen la importancia de analizar los puntos fuertes, las deficiencias, las lagunas y los solapamientos de la actual arquitectura de ciberseguridad de la UE, creada en los últimos años. En consulta con los Estados miembros, la Comisión, contando con la participación del Alto Representante, ha desarrollado el concepto de Unidad Cibernética Conjunta como respuesta a este análisis y como un componente importante de la Estrategia para una Unión de la Seguridad (9), la Estrategia Digital (10) y la Estrategia de Ciberseguridad (11).

(8) En caso de crisis, los Estados miembros deben poder confiar en la solidaridad de la UE, que adoptará la forma de asistencia coordinada, y que procederá también de las cuatro comunidades de ciberseguridad, es decir, la civil, la policial (12), la diplomática y, en su caso, la de defensa. El grado de intervención de los integrantes de una o varias comunidades puede depender de la naturaleza del incidente o de la crisis a gran escala y, por consiguiente, del tipo de contramedidas necesarias para responder a los mismos. Ante las amenazas, incidentes y crisis que surgen, los expertos con una formación sólida y el equipo técnico suponen unos activos esenciales que pueden contribuir a evitar perjuicios graves y lograr una recuperación eficaz. Por tanto, el núcleo de la Unidad Cibernética Conjunta estará constituido por capacidades técnicas y operativas claramente identificadas, principalmente expertos y equipos, listos para ser desplegados en los Estados miembros en caso de necesidad. Dentro de esa plataforma, los participantes se encontrarán en una posición privilegiada para fomentar y coordinar dichas capacidades a través de los equipos de reacción rápida de la UE en materia de ciberseguridad, garantizando al mismo tiempo las sinergias adecuadas con los proyectos cibernéticos ya existentes ejecutados en el marco de la CEP.

(9) La Unidad Cibernética Conjunta ofrece una plataforma virtual y física y no requiere la creación de un organismo independiente adicional. Su configuración no debe afectar a las competencias y poderes de las autoridades nacionales de ciberseguridad y las entidades pertinentes de la Unión. La Unidad Cibernética Conjunta debe estar fundamentada en memorandos de acuerdo entre sus participantes. Debe aprovechar las estructuras, recursos y capacidades existentes y añadirles valor en su calidad de plataforma para una cooperación operativa y técnica segura y rápida entre las entidades de la UE y las autoridades de los Estados miembros. También debe asociar a todas las comunidades de ciberseguridad, es decir, la civil, la policial, la diplomática y la de defensa. Los participantes en la plataforma deben desempeñar o bien una función operativa o bien una función de apoyo. Entre los participantes operativos deben figurar ENISA, Europol, el Equipo de Respuesta a Emergencias Informáticas de las instituciones, órganos y organismos de la UE (CERT-UE), la Comisión, el Servicio Europeo de Acción Exterior (incluido el INTCEN), la red de CSIRT y EU-CyCLONe. Entre los participantes de apoyo deben figurar la Agencia Europea de Defensa (AED), el presidente del Grupo de cooperación SRI, el presidente del Grupo horizontal sobre cuestiones cibernéticas del Consejo y un representante de los proyectos pertinentes de la CEP (13). Dado que los Estados miembros disponen de capacidades operativas y competencias para responder a las ciberamenazas, incidentes y crisis a gran escala, con vistas a alcanzar sus objetivos, los participantes en la plataforma deben recurrir en primer lugar a sus capacidades, aunque cuentan con la ayuda de las entidades de la Unión pertinentes.

(10) La Unidad Cibernética Conjunta debería imprimir un nuevo impulso al proceso iniciado en 2017 con el Plan director. Debería seguir dotando de operatividad a la arquitectura del Plan director y dar un paso decisivo hacia la creación de un marco europeo de gestión de crisis de ciberseguridad que sirva para identificar y mitigar los riesgos y amenazas y responder a ellos de forma coordinada y oportuna. Con este paso, la Unidad Cibernética Conjunta debería ayudar a la UE...