La UE da luz verde a normas que obligan a operadores de infraestructuras críticas a protegerse de ciberataques

La directiva sobre la seguridad de la información y de las redes reforzará la seguridad de las redes de información y de comunicación y la cooperación en ciberseguridad entre los Estados miembros para hacer frente a una amenaza creciente como son los ciberataques.

Además, fija obligaciones de seguridad para los operadores que ofrecen servicios esenciales en sectores críticos como la energía, los transportes y los servicios financieros y también para los proveedores de servicios digitales como los motores de búsqueda, los servicios de computación en la nube y los puntos de venta online o plataformas de comercio electrónico.

Cada Estado miembro, que deberá identificar a los operadores que ofrecen servicios críticos, deberá designar además a autoridades nacionales competentes responsables de la seguridad de la información y las redes y a poner en marcha una estrategia para hacer frente a las amenazas de ciberataques.

Un equipo permanente de respuesta a emergencias informáticas responsable de la seguridad de los sistemas informáticos de las instituciones europeas fue creado en 2012 en el marco de la directiva, que busca reforzar la cooperación entre los Estados miembros para afianzar la ciberseguridad.

Para ello, se contempla crear una red de equipos nacionales de respuesta a incidentes de seguridad informáticos para promover la cooperación en términos operativos, mientras que el grupo de coordinación a nivel europeo contribuirá a la cooperación estratégica y a promover el intercambio de mejores prácticas entre países.

Tras el visto bueno formal de los Veintiocho este lunes a las nuevas normas de ciberseguridad -confirmando así el principio de acuerdo sobre las mismas con la Eurocámara alcanzado en diciembre--, el Parlamento Europeo todavía deberá dar su aprobación final. Se espera que la directiva entre en vigor en agosto. Posteriormente los Estados miembro tendrán 21 meses para adoptar las medidas nacionales necesarias desde la entrada en vigor de la directiva y un plazo adicional de seis meses para identificar a los operadores de servicios esenciales.