La Comisión celebra el acuerdo político alcanzado entre el Parlamento Europeo y el Consejo sobre la Ley de Ciberresiliencia, propuesta por la Comisión en septiembre de 2022
La Ley de Ciberresiliencia es la primera legislación de este tipo en el mundo. Esta Ley mejorará el nivel de ciberseguridad de los productos digitales en beneficio de los consumidores y las empresas de toda la UE, ya que introduce requisitos de ciberseguridad obligatorios proporcionados para todos los equipos y programas informáticos, desde monitores para bebés, relojes inteligentes y juegos de ordenador hasta cortafuegos y encaminadores. Los productos tendrán requisitos de seguridad diferentes en función de sus diferentes niveles de riesgo asociados. Menos del 10 % de los productos serán objeto de evaluaciones realizadas por terceros.
Con este nuevo Reglamento, todos los productos comercializados en la UE tendrán que ser ciberseguros. Se trata de un paso crucial en la lucha contra la creciente amenaza de los ciberdelincuentes y otros agentes malintencionados.
Una vez que la Ley de Ciberresiliencia entre en vigor, los fabricantes de equipos y programas informáticos tendrán que aplicar medidas de ciberseguridad a lo largo de todo el ciclo de vida del producto, desde el diseño y el desarrollo, para mantener la seguridad después de la introducción del producto en el mercado. Los productos de software y hardware llevarán el marcado CE para indicar que cumplen los requisitos del Reglamento y, por tanto, pueden venderse en la UE.
La Ley también introducirá la obligación legal de que los fabricantes proporcionen a los consumidores actualizaciones de seguridad oportunas durante varios años después de la compra. Este período debe reflejar el tiempo que se espera que se utilicen los productos.
A través de estas medidas, la nueva Ley permitirá a los usuarios tomar decisiones mejor informadas y más seguras, ya que los fabricantes tendrán que ser más transparentes y responsables de la seguridad de sus productos.
“Los consumidores deben sentirse seguros con los productos disponibles en el mercado de la UE. La Ley de Ciberresiliencia acordada hoy garantizará que los productos digitales que utilizamos en casa y en el trabajo cumplan normas estrictas en materia de ciberseguridad. Quienes comercializan estos productos deben ser considerados responsables de su seguridad.”, dijo Věra Jourová, vicepresidenta responsable de Valores y Transparencia.
Mientras, Margaritis Schinas, vicepresidente responsable de Promoción de nuestro Modo de Vida Europeo, manifestó que “La seguridad de todos los productos que circulan en la UE siempre ha sido una prioridad y un ejemplo de éxito. Con la Ley de Ciberresiliencia, estamos colmando una laguna completando las normas de seguridad, de modo que la seguridad desde el diseño se aplique a todos los productos que lleguen a los consumidores y usuarios de la UE. Las nuevas normas exigen que todos los productos interconectados vendidos en la UE sean ciberseguros y garanticen que nuestras empresas y hogares sean más seguros.”
Por último, Thierry Breton, comisario responsable de Mercado Interior, dijo: “Me congratulo del acuerdo alcanzado por el Parlamento y el Consejo sobre este importante Reglamento presentado por mis servicios. Esta Ley garantiza que los dispositivos digitales dentro de la UE incorporen una ciberseguridad sólida desde su concepción a lo largo de todo su ciclo de vida. Esta ciberseguridad desde el diseño es esencial para la seguridad tanto de los consumidores como de la sociedad en general.”
Próximas etapas
El acuerdo alcanzado depende ahora de la aprobación formal del Parlamento Europeo y del Consejo. Una vez adoptada, la Ley de Ciberresiliencia entrará en vigor a los veinte días de su publicación en el Diario Oficial.
En el momento de la entrada en vigor, los fabricantes, importadores y distribuidores de productos de hardware y software dispondrán de 36 meses para adaptarse a los nuevos requisitos, con la excepción de un período de gracia más limitado de 21 meses en relación con la obligación de notificación de los fabricantes en caso de incidentes y vulnerabilidades.
Contexto
La ciberseguridad es una de las principales prioridades de la Comisión Europea. Debemos adoptar medidas enérgicas para que nuestros productos digitales sean seguros, tanto los productos de software como de hardware.
La Ley de Ciberresiliencia se basa en la Estrategia de Ciberseguridad de la UE de 2020 y la Estrategia de la UE para una Unión de la Seguridad de 2020, y se anunció en el discurso sobre el estado de la Unión Europea de 2021 como parte del plan para construir una Europa adaptada a la era digital. Complementará la legislación vigente, en particular el marco SRI 2, adoptado en 2022.
En el último año, el número de ataques a la cadena de suministro de software se ha triplicado y, cada día, los ciberdelincuentes atacan a pequeñas empresas e instituciones críticas, como los hospitales. Cada once segundos, una organización se ve afectada por un ataque con programas de secuestro, con un coste estimado de 20 000 millones EUR al año. Solo en 2021, los ciberdelincuentes piratearon dispositivos y lanzaron alrededor de 10 millones de ataques distribuidos de denegación de servicio (DDoS) en todo el mundo, impidiendo a los usuarios el acceso a sitios web y servicios en línea.
Arriba, en la foto, Margaritis Schinas, vicepresidente responsable de Promoción de nuestro Modo de Vida Europeo / Imagen cortesía de la CE
