ITI, Grupos de Industria ofrecen recomendaciones para mejorar la Ley de Seguridad Cibernética de la UE
BRUSSELS – Today, global tech trade association ITI, the Information Technology Industry Council, led industry partners Developers Alliance, BSA VidaThe Software Alliance, and the Computer & Communications Industry Association (CCIA) on a set of recommendations (se abre en una pestaña nueva)para promover los objetivos de la Ley de Resiliencia Cibernética de la UE (CRA) al mismo tiempo que se abordan las preocupaciones en la propuesta actual. En las recomendaciones, los grupos alientan a los encargados de la formulación de políticas a aclarar y reducir el alcance del CRA, evitar la duplicación con otras leyes aplicables, y asegurar que el CRA sea compatible con las normas internacionales y las mejores prácticas de la industria existentes, así como con diferentes modelos de negocio.
“A medida que los colegisladores de la UE están progresando en el establecimiento de sus posiciones sobre la Ley de Resiliencia Cibernética, nuestras asociaciones desean formular recomendaciones concretas para apoyar los esfuerzos de la UE por mejorar la ciberseguridad y la resiliencia, abordando al mismo tiempo las críticas restantes en la propuesta actual”, los grupos escribieron. “Aunque tanto el Parlamento Europeo como el Consejo han hecho algunas mejoras significativas, todavía hay que abordar muchos aspectos problemáticos. Por lo tanto, instamos a los colegisladores a que no prioricen la velocidad sobre la calidad al finalizar sus posiciones para evitar resultados no deseados”.
Los grupos alientan a los legisladores de la UE a que ofrezcan enfoques proporcionales y viables para lo siguiente:
- The scope of the CRA should be clearer and narrower. En particular, toda referencia a las " soluciones de procesamiento de datos " debe excluirse del alcance.
- Debe haber un enfoque más proporcional y basado en el riesgo para determinar el nivel de riesgo de un producto con elementos digitales en el artículo 6, y una mayor certeza para que los fabricantes determinen si un producto es crítico.
- Sólo las vulnerabilidades parcheadas que han sido explotadas activamente y plantean un riesgo significativo de ciberseguridad deben ser reportadas bajo el CRA.
- En general, es fundamental que las obligaciones en materia de presentación de informes, incluido el calendario de presentación de informes y la autoridad competente, tanto en el párrafo 1 del artículo 11 como en el párrafo 2 del artículo 2 estén en consonancia con la Directiva NIS 2. Además, sólo deben informarse incidentes “significantes”.
- Es necesario seguir trabajando para evitar obligaciones desproporcionadas o imposibles, y obligaciones que en la práctica aumentarían los riesgos de ciberseguridad, como la obligación de “entregar un producto sin vulnerabilidades explotables conocidas” en la sección I del anexo I, la posibilidad de que la Comisión encargue el formato y los elementos de la Carta de Materiales de Software (SBOM), y la extensión del principio del GDPR de minimización de datos no personales en el anexo I.
Lea las recomendaciones completas Aquí. (se abre en una pestaña nueva).
Related News & Analysis
Por qué un «interruptor de apagado» de IA no es una solución universal
AI es Supercarging Cyber Threats. Los defensores necesitan nuevas herramientas y asociaciones.
