La Unión Europea está impulsando legislación para reforzar los requisitos de seguridad de todos los productos de hardware y software digitales.
La propuesta busca frenar la ciberdelincuencia, que costó a la economía mundial unos 5,5 billones de euros en 2021.
Muchos dispositivos personales conectados a internet son especialmente vulnerables a los ataques informáticos.
Los legisladores buscan reforzar los requisitos de ciberseguridad en toda la Unión Europea e impulsan nueva legislación para fortalecer los requisitos de seguridad de todos los productos de hardware y software digitales. La ley propuesta, titulada Ley de Ciberresiliencia, abarcaría desde ordenadores y teléfonos móviles hasta electrodomésticos de cocina inteligentes y juguetes digitales para niños.
«En materia de ciberseguridad, Europa solo es tan fuerte como su eslabón más débil: ya sea un Estado miembro vulnerable o un producto inseguro en la cadena de suministro», afirmó Thierry Breton, comisario de Mercado Interior de la UE.
La legislación propuesta, presentada por la Comisión Europea a principios de este mes, exige que los productos se diseñen, desarrollen y fabriquen de manera que mitiguen los riesgos de ciberseguridad. Esto incluye, por ejemplo, la obligación de vender productos con una configuración predeterminada segura, mantener un sistema exhaustivo de identificación de productos y garantizar que las vulnerabilidades explotables puedan subsanarse mediante actualizaciones de seguridad, entre otras normas de divulgación sobre ciberdelincuencia.
En los últimos años, ha aumentado considerablemente el número de dispositivos personales conectados a internet.
Sin embargo, muchos de estos llamados Internet de las cosas productos son muy vulnerables a los ataques informáticos y a la ciberdelincuencia. De hecho, los ataques de ransomware ocurren en todo el mundo cada 11 segundos y, según Cybersecurity Ventures, el año pasado costaron a la economía mundial unos 20.000 millones de euros. Mientras tanto, los ataques DDoS —intentos maliciosos de interrumpir o cortar el acceso a servicios de internet o sitios web— costaron solo a la economía de la UE alrededor de 65.000 millones de euros en 2020.
En Bélgica, por ejemplo, casi 1.000 empresas fueron víctimas de ciberdelitos en 2021, un aumento del 300 % con respecto al año anterior, según un análisis de Mastercard. La mayoría de los ciberataques implicaron ataques con malware y ransomware.
«Merecemos sentirnos seguros con los productos que compramos en el mercado único», afirmó Margrethe Vestager, vicepresidenta ejecutiva de la Comisión Europea para Una Europa Adaptada a la Era Digital. «La Ley de Ciberresiliencia garantizará que los objetos conectados y el software que compramos cumplan sólidas salvaguardias de ciberseguridad».
También se espera que unos protocolos de ciberseguridad reforzados ayuden a las empresas y a los fabricantes, especialmente a las pequeñas empresas que quizá no tengan los recursos técnicos ni los medios financieros para sobrevivir a un ciberataque.
A principios de este año, el Panorama mundial de la ciberseguridad del Foro Económico Mundial informó de que el coste medio de una brecha de ciberseguridad para una empresa era de 3,6 millones de dólares. Además, las empresas atacadas vieron caer sus cotizaciones bursátiles y tardaron, en promedio, 280 días en identificar y responder a un ciberataque.
«A los líderes tecnológicos, las empresas y sus consejos de administración les convendría prestar atención a estos acontecimientos y reconocer que la estrategia cibernética es una estrategia empresarial, y que comprender el riesgo cibernético forma parte de una buena gobernanza en la era digital», afirmó Daniel Dobrygowski, responsable de gobernanza y confianza del Centro de Ciberseguridad del Foro.
La Ley de Ciberresiliencia propuesta fue bienvenida por grupos del sector como el Consejo TIC, una organización mundial que abarca los sectores de pruebas, inspección y certificación independientes. «La propuesta constituye un buen primer paso hacia un mercado único más ciberresiliente», afirmó Martin Michelot, director ejecutivo para Europa del Consejo TIC.
La legislación fue presentada por primera vez por la presidenta de la Comisión Europea, Ursula von der Leyen, en noviembre de 2021. Si el Parlamento Europeo y el Consejo Europeo aprueban la ley, los países de la UE tendrán dos años para adaptar las nuevas normas.
«La confianza digital es una necesidad en una economía mundial que depende de una conectividad cada vez mayor, del uso de datos y de nuevas tecnologías innovadoras», afirmó Akshay Joshi, responsable de industria y asociaciones del Centro de Ciberseguridad del Foro. «A medida que la ciudadanía desconfía cada vez más de las tecnologías con las que interactúa, esta regulación aumentará aún más la transparencia y permitirá a los usuarios finales tomar decisiones fundamentadas».
La Ley de Ciberresiliencia de la UE se suma a otras iniciativas legislativas propuestas en todo el mundo que buscan frenar la ciberdelincuencia, que costó a la economía mundial 5,5 billones de euros en 2021, según Cybersecurity Ventures. Para 2025, se prevé que los daños causados por la ciberdelincuencia superen los 10 billones de euros.
A principios de este año, Estados Unidos promulgó una nueva ley que refuerza los requisitos de divulgación de incidentes de ciberdelincuencia para las empresas que operan en sectores de infraestructuras críticas. La política se adoptó tras un importante ataque de ransomware en mayo de 2021 contra Colonial Pipeline, que gestiona el mayor sistema de oleoductos y gasoductos del país para combustible de aviación, gasolina y diésel. Según se informó, el ataque se lanzó mediante una antigua red privada virtual corporativa, paralizó oleoductos y gasoductos en toda la costa este de Estados Unidos y llevó a que Colonial Pipeline pagara a los piratas informáticos unos 5 millones de dólares en bitcoins. Más tarde, el Departamento de Justicia de Estados Unidos recuperó casi la mitad del pago del rescate.
En la actualidad, la Comisión de Bolsa y Valores de Estados Unidos y el Congreso de Estados Unidos también están impulsando nuevas normas para reforzar y estandarizar los parámetros de referencia de ciberseguridad y los requisitos de divulgación de incidentes de ciberdelincuencia.
«La regulación tiene un papel importante que desempeñar para incentivar la ciberresiliencia», añadió Dobrygowski.
