Los organismos de la UE deben intensificar su preparación en materia de ciberseguridad

El número de ciberataques a organismos de la UE está aumentando considerablemente. El nivel
de preparación en materia de ciberseguridad dentro de los organismos de la UE varía y, en general, no es
en consonancia con las crecientes amenazas. Dado que los organismos de la UE están fuertemente
interconectados, una debilidad en uno puede exponer a otros a amenazas de seguridad.
Esta es la conclusión de un informe especial del Tribunal Europeo de
Auditores, que examina el grado de preparación de los órganos rectores de la UE
contra las amenazas cibernéticas. Los auditores recomiendan que la ciberseguridad vinculante
deben introducirse reglas, y la cantidad de recursos disponibles para el
Debe aumentarse el Equipo de Respuesta a Emergencias Informáticas (CERT-EU). los
La Comisión Europea también debería promover una mayor cooperación entre la UE
organismos, dicen los auditores, mientras que CERT-EU y la Agencia de la Unión Europea para
La ciberseguridad debería centrarse más en aquellos organismos de la UE que tienen menos
experiencia en la gestión de la ciberseguridad.*

Los incidentes significativos de ciberseguridad en los organismos de la UE aumentaron más de
diez veces entre 2018 y 2021; el teletrabajo ha aumentado considerablemente
el número de puntos de acceso potenciales para los atacantes. Incidentes significativos
generalmente son causados ​​​​por ataques cibernéticos complejos que generalmente involucran el uso
de nuevos métodos y tecnologías, y puede llevar semanas, si no meses,
investigar y recuperarse. Un ejemplo fue el ciberataque a la
Agencia Europea de Medicamentos, donde se filtraron y manipularon datos sensibles
socavar la confianza en las vacunas.

“*Las instituciones, organismos y agencias de la UE son objetivos atractivos para potenciales
atacantes, particularmente grupos capaces de ejecutar ataques altamente sofisticados
ataques sigilosos para ciberespionaje y otros propósitos nefastos*”, dijo
Bettina Jakobsen, miembro del Tribunal de Cuentas Europeo que dirigió la auditoría. “*Tales ataques pueden tener
implicaciones políticas significativas, dañar la reputación general de la UE,
y socavar la confianza en sus instituciones. La UE debe redoblar sus esfuerzos para
proteger a sus propias organizaciones.*”

La principal conclusión de los auditores fue que las instituciones, órganos y
Las agencias no siempre están bien protegidas contra las ciberamenazas. Ellos no
abordar la ciberseguridad de manera consistente, controles esenciales y claves
Las buenas prácticas de ciberseguridad no siempre existen, y la ciberseguridad
la formación no se proporciona sistemáticamente. La asignación de recursos a
la ciberseguridad varía mucho, y varios organismos de la UE están gastando
considerablemente menos que sus pares comparables. Aunque las diferencias en
Los niveles de ciberseguridad teóricamente podrían estar justificados por los diferentes riesgos
perfiles de cada organización y los diferentes niveles de sensibilidad de los
datos que manejan, los auditores destacan que las debilidades de ciberseguridad en un
un solo organismo de la UE puede exponer a varias otras organizaciones a la ciberseguridad
amenazas (los órganos de la UE están todos conectados entre sí y, a menudo, con
organizaciones privadas en los Estados miembros).

El Equipo de Respuesta a Emergencias Informáticas (CERT-EU) y la Unión Europea
Europea para la Ciberseguridad (ENISA) son las dos principales entidades de la UE encargadas de
brindando apoyo en ciberseguridad. Sin embargo, no han podido
proporcionar a los organismos de la UE todo el apoyo que necesitan, debido a los recursos
limitaciones o se da prioridad a otras áreas. compartir información es
también una deficiencia, dicen los auditores: por ejemplo, no todos los organismos de la UE llevan
realizar informes oportunos sobre vulnerabilidades y seguridad cibernética significativa
incidentes que los han impactado y pueden impactar a otros.

Actualmente, no existe un marco legal para la seguridad de la información y
ciberseguridad en las instituciones, agencias y organismos de la UE. no son sujetos
a la legislación más amplia de la UE sobre ciberseguridad, la directiva NIS de 2016, o
a su revisión propuesta, la directiva NIS2. tampoco hay
información completa sobre el importe gastado por los organismos de la UE en
la seguridad cibernética. Las normas comunes sobre seguridad de la información y sobre
la ciberseguridad para todos los organismos de la UE se incluyen en la comunicación sobre la UE
Estrategia de la Unión de la Seguridad para el período 2020-2025, publicada por el
Comisión en julio de 2020. En la Estrategia de ciberseguridad de la UE para el sector digital
Década, publicado en diciembre de 2020, la Comisión se comprometió a proponer un
Reglamento sobre normas comunes de ciberseguridad para todos los organismos de la UE. También
propuso el establecimiento de una nueva base legal para CERT-EU para reforzar
su mandato y financiación.

e>

Anuncio

Comparte este artículo: