Cuatro recomendaciones para mejorar la Ley de Resiliencia Cibernética
Los legisladores de la UE se preparan para la próxima ronda de negociaciones trilogas sobre la Ley de Resiliencia Cibernética de la UE (CRA), que tiene el importante objetivo de mejorar la ciberseguridad en todo el mercado único europeo. Como los encargados de la formulación de políticas examinan las características fundamentales de la nueva reglamentación, incluidos el alcance y las definiciones, la clasificación de productos críticos y las obligaciones de presentación de informes de los fabricantes, les instamos a que velen por que el nuevo marco resultante para la seguridad del hardware y el software sea factible en la práctica y no crea un efecto escalofriante en la innovación mediante obligaciones en el extranjero para las empresas.
El ITI y otros interesados de diferentes industrias han expresado reiteradamente su preocupación por los elementos de la regulación que podrían socavar la capacidad de mejorar eficazmente la ciberseguridad. Estas preocupaciones siguen siendo, a pesar de nuestras recomendacionesAlentamos a los colegisladores a que tengan en cuenta más detenidamente las opiniones de la industria para asegurar que el CRA sea aplicable y pertinente en la práctica. Como los responsables de la formulación de políticas miran hacia los próximos trilogues, ofrecemos las siguientes recomendaciones clave:
1. Reducir el alcance del CRA e incluir definiciones claras. El alcance del texto examinado por el Parlamento y el Consejo sigue siendo desproporcionadamente amplio. Es crítico que los colegisladores reduzcan el alcance y clarifiquen las definiciones clave, como se describe en “actividad comercial” en el contexto del software de código abierto, así como el papel de trilogo de ITI, incluyendo lo que se entiende por “remover soluciones de procesamiento de datos”, “actividad comercial” en el contexto del software de código abierto, así como “modificación sustancial”. Mantener un amplio alcance en el texto final y tratar de aclararlo mediante instrumentos de derecho blando, como directrices, no proporcionará suficiente certeza jurídica para una amplia variedad de productos con elementos digitales.
2. Establecer un enfoque proporcional basado en el riesgo para determinar el nivel de riesgo de un producto con elementos digitalesLos responsables de la formulación de políticas deben adoptar un enfoque más proporcional y basado en el riesgo para determinar el nivel de riesgo de un producto con elementos digitales y ofrecer mayor certeza para que los fabricantes determinen si un producto es crítico. Si bien la propuesta original de la Comisión categorizó todos los productos en varias categorías generales como críticos, los colegisladores tienen ahora la oportunidad de adoptar un enfoque más sofisticado. Recomendamos aprovechar el enfoque basado en el riesgo del Consejo con algunas enmiendas clave, esbozadas Aquí..
También acogemos con beneplácito el mantenimiento de la disposición que crearía un Grupo de Expertos sobre Resiliencia Cibernética propuesto por el Parlamento Europeo, ya que es importante que se consulte debidamente a diferentes interesados y expertos para crear y actualizar la lista de productos críticos, así como sobre la aplicación y adopción de planes europeos de certificación de la ciberseguridad.
3. Evitar la presentación de informes sobre vulnerabilidades explotadas activamenteTenemos preocupaciones muy importantes con disposiciones que requerirían la presentación de informes sobre vulnerabilidades explotadas activamente. Such reporting would unintencionally crear más grave riesgo de seguridad mediante la introducción de un amplio conjunto de información confidencial en lugar de mitigar los daños.
Análogamente, es fundamental que las obligaciones de presentación de informes se ajusten a la Directiva NIS 2 para simplificar los requisitos de presentación de informes y evitar una carga imponible de presentación de informes para los fabricantes y las autoridades responsables. Esto significa que la presentación de informes debe hacerse a los CSIRT bajo una única plataforma de presentación de informes distribuida, y que la presentación de informes sobre incidentes de seguridad sólo debe referirse a " incidentes significativos " , como se indica en el texto del Parlamento Europeo.
4. Evitar la superposición y duplicación con otras leyes aplicables y proporcionar un período de transición suficiente. Además de la Directiva NIS 2, la CRA también debe evitar solapamientos con otras leyes aplicables, principalmente el Reglamento Delegado (UE) 2022/30 (Régimen Delegado). En este sentido, acogemos con beneplácito la propuesta del Parlamento Europeo de derogar la Ley RED Delegada cuando el CRA entre en vigor. Sugerimos firmemente mantener esta adición en el texto final del CRA. Por último, dado el alcance extremadamente amplio de la CRA, instamos a los colegisladores a que consideren la posibilidad de prorrogar el período de transición por lo menos a 48 meses para garantizar que las entidades puedan cumplir.
Authors
Courtney Lang
Guido Lobrano
Related News & Analysis
Por qué un «interruptor de apagado» de IA no es una solución universal
AI es Supercarging Cyber Threats. Los defensores necesitan nuevas herramientas y asociaciones.
