Respuesta inicial de ITI a la Cybersecurity Act: avances en certificación y en ENISA, pero la simplificación sigue siendo insuficiente
BRUSELAS – La asociación comercial tecnológica global ITI, el Information Technology Industry Council, reaccionó a la revisión de la Cybersecurity Act (Ley de Ciberseguridad, CSA) por parte de la Comisión Europea y subrayó que, pese a los importantes pasos hacia la armonización y la mejora de los esquemas de certificación y del mandato de ENISA, no logra ofrecer una simplificación significativa.
Si bien la propuesta reitera el compromiso de agilizar las políticas, las nuevas medidas sustantivas de simplificación son limitadas.
“Tras la oportunidad perdida del Digital Omnibus, la Cybersecurity Act se queda corta en medidas concretas para reducir las cargas de cumplimiento y permitir que las organizaciones se centren en reforzar la seguridad en lugar de en la burocracia”, afirmó Guido Lobrano, director general de ITI para Europa.
“La propuesta muestra intención, pero las medidas reales de simplificación son decepcionantes”, añadió el Sr. Lobrano.
ITI valora los esfuerzos por mejorar el Marco Europeo de Certificación de la Ciberseguridad (ECCF). En particular, la propuesta aborda retos anteriores al hacer hincapié en un enfoque más eficaz y basado en el riesgo, y no contiene restricciones explícitas relacionadas con la soberanía. Sin embargo, pese a la clara obligación de consultar a las partes interesadas durante el proceso de elaboración de la certificación, no hay referencias a un mecanismo concreto que lo permita. El plazo de 12 meses para elaborar un borrador es un arma de doble filo: aunque podría generar eficiencias, también corre el riesgo de dar lugar a calendarios demasiado ajustados para permitir una participación significativa de las partes interesadas.
La ampliación del mandato de ENISA reconoce acertadamente el papel crucial de la Agencia para la ciberseguridad de Europa y para promover la cooperación internacional. La propuesta también exige explícitamente que ENISA colabore con las partes interesadas del sector privado y permite el establecimiento de asociaciones público-privadas, lo que facilita el desarrollo conjunto de orientaciones, certificaciones e iniciativas de desarrollo de capacidades.
La ciberseguridad es una piedra angular de la soberanía tecnológica. En el contexto actual, la UE busca acertadamente reforzar su seguridad y la resiliencia de la cadena de suministro digital. La introducción en la propuesta del marco de cadena de suministro de TIC de confianza está, en principio, en consonancia con las recomendaciones de ITI (se abre en una pestaña nueva) de definir criterios claros, objetivos y basados en el riesgo para evaluar a los “proveedores de tecnología de confianza” y, si se aplica correctamente, probablemente aportará mayor claridad a este respecto. Cuando se consideren criterios no técnicos para determinar los proveedores de tecnología de confianza, estos deben definirse de forma restrictiva, ser proporcionados y complementarse con un enfoque de seguridad técnico basado en el riesgo.
Related News & Analysis
Por qué un «interruptor de apagado» de IA no es una solución universal
AI es Supercarging Cyber Threats. Los defensores necesitan nuevas herramientas y asociaciones.
