Las delegaciones y equipos negociadores empiezan a moverse ante la tramitación de la reforma de la Ley Europea de Ciberseguridad, diseñada en buena medida para aislar a Huawei del ámbito digital europeo. En enero, la Comisión Europea impulsó una reducción obligatoria de riesgos en las redes móviles y ahora algunos Estados, entre ellos España, empiezan a reclamar mantener su autonomía en la gestión de esta materia.
Bruselas pretende cercar a aquellas compañías consideradas “de alto riesgo”. Una medida que afectaría directamente a empresas como la gigante asiática, con la que el Gobierno de España mantiene contratos en vigor. De hecho, el Ejecutivo comunitario ya ha elevado distintos avisos al país por las dependencias que podrían derivarse de una concesión vinculada al almacenamiento de interceptaciones telefónicas del sistema SITEL.
Noticia destacada
Bruselas blinda su ciberseguridad: las claves técnicas de la reforma que pone en jaque a Huawei
5 minutos
Ante este expediente legislativo, fuentes de Moncloa consultadas por Demócrata piden al Ejecutivo comunitario que sean los Estados miembros los que sigan teniendo capacidad de decisión sobre si un país, un proveedor o un producto plantean demasiados riesgos estructurales. Una posición que se extiende también a las decisiones sobre qué activos TIC deben ser considerados esenciales en materia de seguridad.
“Defendemos que esta clasificación se base en criterios técnicos objetivos, proporcionados y viables, que garanticen la seguridad jurídica para todas las partes y respeten la soberanía nacional”, exponen desde el Ministerio para la Transformación Digital y de la Función Pública, que dirige Óscar López.
Bien es cierto que la Comisión ya ha identificado en varias ocasiones a los operadores chinos Huawei y ZTE como proveedores con “riesgos significativamente mayores” en comparación con otros actores del mercado 5G. En consecuencia, Bruselas se ha comprometido a limitar su acceso a financiación europea y a proteger las redes de comunicaciones corporativas del continente frente a posibles vulnerabilidades derivadas de dependencias tecnológicas externas.
Más allá de los debates sobre la posibilidad de vetar o no a determinadas compañías consideradas de riesgo, España quiere trasladar una posición constructiva durante las conversaciones y mostrar que “es firme defensora de la integración europea y apoya avanzar en la armonización de las decisiones en Europa”. “Participar activamente en relación con los riesgos que pueda haber en el ámbito digital y de las telecomunicaciones”, sostienen fuentes gubernamentales.
Bruselas endurece el control sobre proveedores “de alto riesgo”
Por este motivo, el departamento de Óscar López sí confirma su respaldo al fortalecimiento de ENISA como agencia técnica de referencia y a su papel en el análisis de amenazas, la coordinación entre autoridades nacionales y el apoyo a la respuesta ante incidentes.
Para el Gobierno, esta reforma es una “pieza clave” para reforzar la confianza del mercado digital europeo y construir “un marco común más fuerte, jurídicamente sólido y coherente con el reparto de competencias establecido en los Tratados”.
La reforma legislativa se produce además en un contexto marcado por la creciente rivalidad tecnológica entre Occidente y China, la presión de Washington para limitar la presencia de proveedores chinos en infraestructuras críticas y la consolidación del concepto de “autonomía estratégica europea” como eje transversal de las políticas digitales y de seguridad comunitarias.
Noticia destacada
China lanza una advertencia a la Unión Europea por vetar a empresas chinas en su nueva ley de ciberseguridad
1 minuto
En Bruselas existe la percepción de que la dependencia europea de determinados suministradores extranjeros puede convertirse en un riesgo estructural para las comunicaciones, las infraestructuras críticas y los sistemas gubernamentales. El debate ya no se limita únicamente a la ciberseguridad clásica, sino que afecta también a la resiliencia industrial, la protección de datos sensibles, la seguridad económica y la capacidad de la Unión para reducir vulnerabilidades estratégicas.
La Comisión considera que las futuras amenazas híbridas combinarán elementos tecnológicos, económicos y geopolíticos, razón por la que pretende incorporar criterios de evaluación más amplios que los puramente técnicos. Esto supone un cambio de paradigma respecto a etapas anteriores, en las que las auditorías se centraban casi exclusivamente en vulnerabilidades informáticas o fallos de software.
La certificación europea, otro de los grandes puntos de fricción
La lentitud de los procesos de certificación ha sido uno de los principales puntos de fricción durante la negociación de la reforma. El nuevo Marco Europeo de Certificación de Ciberseguridad fija como objetivo que los esquemas se desarrollen en un plazo máximo de doce meses.
Desde la Comisión defienden que una certificación más sencilla y transparente no es solo un trámite administrativo, sino un “activo competitivo” que permitirá a las empresas europeas demostrar que sus productos son seguros por diseño de forma más eficiente y económica.
Bruselas considera que la fragmentación regulatoria entre Estados miembros ha generado un ecosistema excesivamente complejo para fabricantes, operadores y desarrolladores tecnológicos. En consecuencia, la reforma busca reducir cargas burocráticas, acelerar procedimientos y evitar que cada país mantenga sistemas de validación completamente distintos.
No obstante, varios Estados miembros temen que un exceso de centralización pueda acabar reduciendo su margen de maniobra en ámbitos vinculados directamente con la seguridad nacional. Ese es precisamente uno de los principales puntos que España pretende defender durante la negociación del expediente.
Fuentes diplomáticas reconocen que existe preocupación ante la posibilidad de que la Comisión pueda terminar acumulando competencias de facto sobre infraestructuras consideradas críticas, especialmente en sectores vinculados a las telecomunicaciones, los satélites, la nube o los servicios gubernamentales digitales.
ENISA gana peso dentro de la arquitectura de seguridad europea
La nueva ley también pretende reforzar el papel de la Agencia de la Unión Europea para la Ciberseguridad (ENISA), a la que hacía referencia España, y que gestionará un punto de entrada único para el reporte de incidentes, en línea con el denominado Omnibus Digital.
A ello se sumará una mayor cooperación entre ENISA, Europol y los equipos europeos de respuesta ante incidentes de seguridad informática. El objetivo es construir un sistema de coordinación más rápido y homogéneo frente a ataques que puedan afectar simultáneamente a varios Estados miembros.
El Ejecutivo comunitario considera que el aumento de ataques contra infraestructuras críticas, hospitales, administraciones públicas y operadores energéticos obliga a reforzar las capacidades comunes de detección y respuesta. Especialmente en un momento marcado por el incremento de operaciones híbridas vinculadas a tensiones geopolíticas internacionales.
La Comisión también busca reforzar el intercambio de inteligencia entre Estados miembros y mejorar la interoperabilidad de los sistemas nacionales de ciberseguridad. Bruselas considera que la fragmentación actual dificulta una respuesta coordinada frente a amenazas cada vez más sofisticadas y transnacionales.
¿Cómo funcionará el mecanismo de evaluación de riesgos?
La Comisión podrá designar a un país tercero como una preocupación de ciberseguridad si considera que plantea riesgos estructurales graves más allá de aspectos puramente técnicos.
Para ello, se tendrán en cuenta cuatro elementos clave:
-
Leyes y prácticas obligatorias: existencia de normativas que obliguen a las empresas a comunicar vulnerabilidades de software o hardware a las autoridades antes de que sean públicas.
-
Falta de garantías legales: ausencia de recursos judiciales efectivos y de mecanismos democráticos independientes de control.
-
Historial de ciberataques: información contrastada sobre incidentes previos llevados a cabo por actores vinculados al país en cuestión.
-
Falta de cooperación: incapacidad o falta de voluntad para colaborar con la Unión Europea o sus Estados miembros en la mitigación de riesgos.
Un proveedor de alto riesgo será cualquier entidad establecida en un país designado como tal o controlada directa o indirectamente por ese Estado, por una empresa allí establecida o por uno de sus nacionales. El concepto de control incluye la capacidad de ejercer una influencia decisiva, incluso a través de intermediarios o estructuras societarias complejas.
La intención de Bruselas es impedir que compañías potencialmente sujetas a presiones gubernamentales externas puedan participar en infraestructuras consideradas críticas para el funcionamiento del mercado interior, las administraciones públicas o los servicios esenciales.
Posibles vetos y restricciones para proveedores señalados
Una vez identificados, los proveedores vinculados a países de riesgo deberán hacer frente a prohibiciones estrictas para proteger la soberanía tecnológica del continente.
Los vetos podrán ampliarse desde la instalación o integración de sus componentes en redes 5G, redes fijas o sistemas satelitales, hasta su exclusión de la contratación pública y del acceso a financiación europea.Además, la Comisión contempla restricciones adicionales para proveedores implicados en servicios cloud, almacenamiento de datos sensibles, inteligencia artificial o infraestructuras digitales utilizadas por administraciones públicas y operadores estratégicos.
El debate de fondo gira sobre hasta qué punto la Unión Europea está dispuesta a sacrificar costes, rapidez de despliegue o competitividad industrial en favor de una mayor seguridad y autonomía estratégica.
Mientras tanto, las negociaciones avanzan entre equilibrios complejos. Por un lado, Bruselas intenta construir un marco regulatorio común cada vez más duro frente a proveedores considerados problemáticos. Por otro, varios Estados miembros buscan preservar espacios de soberanía nacional en un ámbito que afecta directamente a su seguridad, sus contratos públicos y sus relaciones económicas internacionales.