La Fundación ESYS (Empresa, Seguridad y Sociedad Digital) acaba de publicar un detallado informe sobre uno de los temas más relevantes y polémicos en materia de Ciberseguridad y Riesgos: Una Propuesta de Gobernanza Pública de la Ciberseguridad en España.
¿Por qué ESYS hace esta propuesta?
En la era digital, caracterizada por la interconexión global de sistemas, la digitalización y la creciente dependencia de la tecnología, la ciberseguridad se ha convertido en uno de los pilares fundamentales para la estabilidad, la prosperidad y la seguridad de los Estados.
Los avances tecnológicos han transformado radicalmente la forma en la que interactuamos, brindando innumerables beneficios, pero también exponiendo a gobiernos, empresas y ciudadanos a un panorama de ciberamenazas cada vez más sofisticadas y omnipresentes. Así lo demuestran los hechos. Constantemente se asiste a la proliferación de noticias que señalan el alarmante aumento de la presencia y actividad de actores maliciosos en el ciberespacio, bien sean gobiernos, organizaciones criminales u otro tipo de entidades.
La ciberseguridad se ha convertido en uno de los pilares fundamentales para la estabilidad, la prosperidad y la seguridad de los Estados
España, como país miembro de la Unión Europea y actor en la comunidad internacional, no es ajena a las complejidades y desafíos de la ciberseguridad. Su economía, infraestructura, organismos y servicios públicos son dependientes de las redes y sistemas de información.
Por todo lo anterior, los poderes públicos pueden y deben acometer la tarea de crear un modelo de gobernanza que se articule a través de regulaciones y de la ejecución de políticas públicas. La implementación de una gobernanza sólida y coordinada entre los principales actores competentes en materia de ciberseguridad se vuelve imperativa para garantizar la seguridad y la resiliencia del país.
El propósito principal de nuestro informe es proponer un modelo de gobernanza pública en materia de ciberseguridad específico para España, que permita optimizar las potencialidades necesarias para cumplir adecuadamente con sus objetivos a partir de la revisión de la experiencia actual y el análisis comparado.
Un análisis comparado
A la hora de analizar el marco de referencia para la articulación del sistema de Gobernanza es imperativo un análisis comparado de los sistemas de Gobernanza existentes en aquellos países más relevantes, seleccionados teniendo en cuenta requisitos como la proximidad o pertenencia a la UE, el desarrollo y avance en la materia, que pueden aportar visiones distintas a la hora de formular recomendaciones.
Estos países son: Francia, Gran Bretaña, Japón, Israel, Italia, Estados Unidos, Polonia y Estonia.
De este análisis hemos obtenido las siguientes conclusiones:
- Coordinación a través de Órganos Colegiados: la presencia de órganos colegiados en todos los Estados subraya la necesidad de coordinación entre diversas agencias y organismos competentes en ciberseguridad.
- Flexibilidad en la disponibilidad de recursos de inteligencia, técnicos y de personal propios y a través de iniciativas de colaboración público-privadas.
- Identificación de un Primus Interpares: a pesar de la dispersión de competencias, un organismo que asuma un papel destacado y lidere el ecosistema de ciberseguridad.
- Vinculación indispensable con una Estrategia Nacional: la gobernanza efectiva en ciberseguridad debe estar intrínsecamente ligada a una estrategia nacional.
- Necesidad de establecer una única entidad competente en ciberseguridad a nivel nacional.
Los poderes públicos pueden y deben acometer la tarea de crear un modelo de gobernanza que se articule a través de regulaciones y de la ejecución de políticas públicas
La necesidad de un nuevo modelo
Una vez analizados estos sistemas comparados de Gobernanza, cabe detenerse en cuáles son las razones más relevantes que recomiendan la necesidad de revisar el modelo de Gobernanza pública de la ciberseguridad en España:
- La ciberseguridad es un aspecto muy relevante de la revolución digital que estamos viviendo de forma acelerada.
- El incremento en los últimos dos años del número de normas reguladoras de la ciberseguridad procedentes de la UE.
- El incremento del nivel y sofisticación de la amenaza en un contexto geopolítico y de seguridad cada vez más complejo.
- La indefensión de las pequeñas y medianas empresas frente a las amenazas cada vez más omnipresentes.
- La necesidad de reevaluar el modelo de gobernanza creado con la aprobación de la Directiva NIS 1 y la necesidad de actualizarlo conforme con las exigencias de la Directiva NIS 2.
- La necesidad de mejorar, simplificar y coordinar el régimen de ventanilla única para la notificación de incidentes a las AAPP y la coordinación de las diferentes autoridades competentes.
Con todos estos antecedentes, el Informe de la Fundación ESYS propone la creación en España de un organismo único en materia de ciberseguridad que dirija y coordine toda la importantísima actividad pública y privada en esta materia.
Competencias del nuevo órgano
La propuesta de crear una Agencia Española de Ciberseguridad se conformaría por la asunción de competencias hasta ahora asumidas por otros órganos de la Administración General de Estado. Por ello, el diseño que se propone aglutina:
- Las capacidades de prevención.
- Colaboración público-privada en materia de inteligencia de amenazas a través de mecanismos válidos de intercambio de información.
- Las capacidades de supervisión y control de los mecanismos de gestión de riesgos.
Asistir a las PYMES en sus procesos de digitalización.
Por otra parte, se deberían integrar en esta agencia un significativo número de las competencias y funciones que en estos momentos ejerce el CCN relativas a la seguridad de las redes y sistemas de las administraciones públicas y el Gobierno, puesto que la Directiva NIS 2 incluye estos servicios como esenciales sujetos a las mismas normas que el resto de los sectores económicos.
Un aspecto de gran relevancia son las capacidades de detección y respuesta en forma de una plataforma de ventanilla única y un CSIRT único (con el que se coordinarán todas las AAPP necesarias).
Por otro lado, estarían las capacidades de apoyo operativo, con la dotación suficiente tanto en capacidad como en flexibilidad, de los recursos técnicos, financieros y humanos necesarios para adaptarse a la evolución del contexto tecnológico.
