La Comisión Europea, junto con la Alta Representante de la Unión para Asuntos Exteriores y Política de Seguridad, ha publicado una estrategia de ciberseguridad acompañada de una propuesta de Directiva de la Comisión sobre la seguridad de las redes y de la información (SRI).

La estrategia de ciberseguridad, «Un ciberespacio abierto, protegido y seguro», representa la visión de conjunto de la UE sobre cómo prevenir y resolver mejor las perturbaciones de la red y los ciberataques. El objetivo consiste en impulsar los valores europeos de libertad y democracia y velar por un crecimiento seguro de la economía digital. Se prevén una serie de medidas específicas para reforzar la ciberresiliencia de los sistemas informáticos, reduciendo la delincuencia en la red y fortaleciendo la política de ciberseguridad y ciberdefensa internacional de la UE.

La estrategia articula la visión de la UE sobre la ciberseguridad en torno a cinco prioridades:

1. la ciberresiliencia;

2. la reducción drástica de la delincuencia en la red;

3. el desarrollo de una política de ciberdefensa y de las capacidades correspondientes en el ámbito de la Política Común de Seguridad y Defensa (PCSD);

4. el desarrollo de los recursos industriales y tecnológicos necesarios en materia de ciberseguridad;

5. el establecimiento de una política internacional coherente del ciberespacio en la Unión Europea y la promoción de los valores europeos esenciales.

La política internacional del ciberespacio de la UE promueve el respeto de los valores europeos esenciales, define las normas sobre comportamiento responsable, impulsa la aplicación al ciberespacio de la legislación internacional vigente, ayudando a los países de fuera de la UE mediante la creación de capacidades de ciberseguridad, y fomenta la cooperación internacional en este ámbito.

La UE ha logrado avances esenciales en la mejora de la protección de los ciudadanos frente a la ciberdelincuencia, entre los que destacan el establecimiento del Centro Europeo de Ciberdelincuencia (IP/13/13), la propuesta de legislación sobre los ataques informáticos (IP/10/1239) y el lanzamiento de una alianza mundial contra los abusos sexuales a menores en línea (IP/12/1308). La estrategia pretende asimismo desarrollar y financiar una red de centros de excelencia sobre ciberdelincuencia para facilitar la formación y la creación de capacidades.

La Directiva sobre la SRI propuesta es un elemento central de la estrategia de conjunto; exigiría a todos los Estados miembros, facilitadores clave de Internet y operadores de infraestructuras críticas —plataformas de comercio electrónico, redes sociales y operadores de servicios de energía, transportes, banca y sanidad— a velar por un entorno digital seguro y fiable en toda la UE. La propuesta de Directiva prevé un conjunto de medidas, entre las que cabe resaltar las siguientes:

a) los Estados miembros deben adoptar una estrategia de SRI y designar a una autoridad competente en la materia dotada de los recursos financieros y humanos adecuados para la prevención, la gestión y la resolución de riesgos e incidentes de SRI;

b) se creará un mecanismo de cooperación entre los Estados miembros y la Comisión que permitirá difundir alertas tempranas sobre riesgos e incidentes a través de una infraestructura segura, así como cooperar y organizar revisiones por homólogos periódicas;

c) los operadores de infraestructuras críticas de algunos sectores (servicios financieros, transportes, energía y sanidad), los facilitadores de servicios de la sociedad de la información (en particular, tiendas de aplicaciones, plataformas de comercio electrónico, servicios de pagos por Internet, computación en nube, motores de búsqueda y redes sociales) y las administraciones públicas deben adoptar prácticas de gestión de riesgos y comunicar los incidentes significativos de seguridad que se produzcan en relación con sus servicios principales.

Neelie Kroes, vicepresidenta de la Comisión Europea responsable de la Agenda Digital, ha asegurado:

«Cuanta más gente dependa de Internet, más gente dependerá de que la red sea segura. Una red segura protege nuestros derechos y libertades y nuestra capacidad de ejercer actividades económicas. Ha llegado el momento de coordinar nuestra acción: el coste de la inacción es mucho más elevado que el de la acción.».

Catherine Ashton, Alta Representante de la Unión para Asuntos Exteriores y Política de Seguridad y vicepresidenta de la Comisión, ha señalado:

«Para que el ciberespacio no deje de ser abierto y gratuito, deben aplicarse las mismas normas, los mismos principios y los mismos valores que rigen fuera de él en la UE. Debemos proteger los derechos fundamentales, la democracia y la primacía del Derecho en Internet. La UE está trabajando con sus socios internacionales, así como con la sociedad civil y el sector privado, para promover esos derechos desde una perspectiva global.».

Por su parte, la comisaria de la UE responsable de los asuntos de interior, Cecilia Malmström, ha afirmado:

«La estrategia pone de relieve nuestras iniciativas concretas para reducir drásticamente la ciberdelincuencia. Muchos países de la Unión carecen de las herramientas necesarias para rastrear y combatir la delincuencia organizada en Internet. Todos los Estados miembros deben establecer unidades nacionales de ciberdelincuencia efectivas que puedan beneficiarse de la experiencia y el apoyo del Centro Europeo de Ciberdelincuencia (EC3).».

Antecedentes

Los incidentes de ciberseguridad están aumentando en frecuencia y magnitud, son cada vez más complejos y no conocen fronteras. Esos incidentes pueden causar daños graves a la seguridad y la economía. Deben redoblarse los esfuerzos de prevención, cooperación y transparencia en relación con los incidentes en el ciberespacio.

Los esfuerzos previos de la Comisión Europea y de diversos Estados miembros a título individual estaban demasiado fragmentados para poder responder a un desafío que crece día a día.

Datos actuales sobre ciberseguridad

1. Se estima que cada día hay 150 000 virus informáticos en circulación y 148 000 ordenadores infectados.

2. El Foro Económico Mundial ha estimado en un 10 % la probabilidad de que se interrumpan infraestructuras de información críticas en los próximos diez años, lo que podría causar daños por valor de 250 000 millones de dólares.

3. La ciberdelincuencia es responsable de una gran proporción de los incidentes de ciberseguridad. Symantec estima que las víctimas de la ciberdelincuencia pierden a escala mundial alrededor de 290 000 millones de euros al año, mientras que un estudio de McAfee cifra los beneficios de la ciberdelincuencia en 750 000 millones de euros anuales.

4. La encuesta del Eurobarómetro sobre ciberseguridad de 2012 reveló que el 38 % de los internautas de la UE ha modificado su comportamiento porque le preocupa la ciberseguridad: el 18 % se inclina menos por comprar en línea y el 15 % se muestra más reacio a utilizar los servicios de banca electrónica. Además, el 74 % de los consultados coincide en que el riesgo de sufrir un ciberdelito ha aumentado, el 12 % ya ha sido víctima de fraude en la red y el 89 % evita divulgar información personal.

5. En la consulta pública sobre la SRI, el 56,8 % de los consultados señaló haber sufrido el año pasado incidentes de seguridad en la red con un impacto significativo en sus actividades.

6. Entretanto, las cifras de Eurostat revelan que, hasta enero de 2012, solo el 26 % de las empresas de la UE había definido una política formal de seguridad de las TIC.