El Reglamento (UE) 2025/38 del Parlamento Europeo y del Consejo, de 19 de diciembre de 2024, conocido como Reglamento de Cibersolidaridad, establece medidas destinadas a reforzar la solidaridad y las capacidades de la Unión para detectar ciberamenazas e incidentes, prepararse para ellos y responder a ellos. Modifica, además, el Reglamento (UE) 2021/694, por el que se establece el Programa Europa Digital.
A continuación, se sintetiza su contenido conforme al texto de la norma.
¿Por qué un Reglamento de Cibersolidaridad?
El propio Reglamento parte de una constatación: la utilización y la dependencia de las tecnologías de la información y la comunicación constituyen un elemento esencial en todos los sectores económicos y sociales, lo que, dada la creciente interconectividad e interdependencia entre administraciones públicas, empresas y ciudadanos, genera vulnerabilidades simultáneas que pueden propagarse rápidamente entre Estados miembros e incluso desde terceros países hacia la Unión.
El legislador europeo recoge en sus considerandos los antecedentes inmediatos de la iniciativa:
- Las Conclusiones del Consejo de 23 de mayo de 2022 sobre el desarrollo de la posición de la Unión en materia cibernética, que invitaron a la Comisión a presentar una propuesta sobre un nuevo Fondo de Respuesta de Emergencia para la Ciberseguridad.
- La Comunicación conjunta de 10 de noviembre de 2022 sobre la política de ciberdefensa de la UE, que anunció una Iniciativa de Cibersolidaridad orientada a reforzar las capacidades comunes de detección, la conciencia situacional y la respuesta de la Unión.
Sobre esta base, el Reglamento articula su intervención en torno a tres mecanismos.
Tres pilares conforme al artículo 1
El artículo 1 del Reglamento establece, como medidas para reforzar las capacidades de la Unión, la creación de:
- Una red paneuropea de centros cibernéticos, denominada Sistema Europeo de Alerta de Ciberseguridad, para desarrollar y mejorar las capacidades coordinadas de detección y la conciencia situacional común.
- Un Mecanismo de Emergencia en materia de ciberseguridad para ayudar a los Estados miembros a prepararse y responder a incidentes significativos, a gran escala o equivalentes a gran escala, atenuar sus repercusiones e iniciar la recuperación, así como para asistir a otros usuarios frente a incidentes significativos y equivalentes a gran escala.
- Un mecanismo europeo de revisión de incidentes de ciberseguridad para revisar y evaluar incidentes significativos o a gran escala.
Estas medidas persiguen reforzar la posición competitiva de la industria y los servicios en la Unión, incluidas microempresas, PYMES y empresas emergentes, contribuyéndose a la soberanía tecnológica y a la autonomía estratégica abierta de la Unión en el ámbito de la ciberseguridad.
El sistema europeo de alerta de ciberseguridad
El sistema europeo de alerta de ciberseguridad se concibe como una red de centros cibernéticos paneuropea integrada por centros cibernéticos transfronterizos interoperativos, cada uno de los cuales reunirá a tres o más centros cibernéticos nacionales.
Participación voluntaria y centros nacionales
La participación es voluntaria para los Estados miembros. Cada Estado miembro participante debe designar una única entidad a nivel nacional —el centro cibernético nacional— encargada de coordinar las actividades de detección de ciberamenazas y de actuar como punto de referencia y pasarela para la participación en el Sistema.
Estos centros nacionales deben garantizar que la información sobre ciberamenazas procedente de entidades públicas y privadas se ponga en común y se recopile a nivel nacional de manera eficaz y racional. Pueden, asimismo, reforzar la cooperación con comunidades sectoriales e intersectoriales, incluidos los centros de puesta en común y análisis de información.
Cuando proceda y, de conformidad con el Derecho de la Unión y nacional, la información solicitada o recibida puede incluir datos de telemetría, sensores y registro procedentes de entidades, como los proveedores de servicios de seguridad gestionados, que operen en sectores de alta criticidad u otros sectores críticos. Si el centro cibernético nacional no coincide con la autoridad competente designada en virtud del artículo 8, apartado 1, de la Directiva (UE) 2022/2555 (NIS2), deberá coordinarse con ella.
Centros cibernéticos transfronterizos
Los centros transfronterizos tienen por objeto reforzar las capacidades para analizar, prevenir y detectar ciberamenazas y apoyar la producción de inteligencia de alta calidad mediante la puesta en común —en su caso anonimizada— de información en un entorno de confianza y seguro, así como mediante la adquisición y uso conjuntos de herramientas de vanguardia.
La información intercambiada entre los participantes podrá incluir, entre otros, datos de redes y sensores, fuentes de información sobre amenazas, indicadores de compromiso, información sobre cuasiincidentes y vulnerabilidades, técnicas, tácticas y procedimientos de los adversarios, alertas y recomendaciones de configuración. Los centros transfronterizos deben celebrar acuerdos de cooperación entre sí, con cláusulas específicas sobre principios de puesta en común e interoperabilidad, guiándose por las directrices de interoperabilidad de ENISA (Reglamento (UE) 2019/881).
Articulación con la red de CSIRT y la EU-CyCLONe
El sistema europeo de alerta de ciberseguridad se concibe como una capacidad complementaria de la red de CSIRT prevista en la Directiva NIS2, que debe coordinarse y cooperar estrechamente con ella, así como apoyar a la EU-CyCLONe y a las demás entidades de la Unión responsables de la gestión de crisis.
El mecanismo de emergencia en materia de ciberseguridad
El mecanismo de emergencia se concibe como un instrumento de apoyo a las crisis ante incidentes significativos, a gran escala o equivalentes a gran escala, articulándose a través de apoyo financiero de emergencia para preparación, respuesta y recuperación inicial de los servicios esenciales.
El Reglamento subraya que la responsabilidad principal de prevenir incidentes y crisis, prepararse y responder, recae en los Estados miembros, y que el mecanismo promueve la solidaridad entre ellos en el sentido del artículo 3, apartado 3, del TUE, complementando sus medidas y otras vías de apoyo ya existentes (servicios de ENISA, asistencia coordinada de la red de CSIRT, atenuación por parte de la EU-CyCLONe, asistencia mutua —incluida la del artículo 42, apartado 7, del TUE— y los equipos creados por la Decisión (PESC) 2017/2315).
La Reserva de Ciberseguridad de la UE
Como parte del Mecanismo, debe crearse gradualmente una Reserva de Ciberseguridad de la UE compuesta por servicios de proveedores de servicios de seguridad gestionados de confianza para apoyar la respuesta y la recuperación inicial frente a incidentes significativos, a gran escala o equivalentes a gran escala que afecten a Estados miembros, a instituciones, órganos y organismos de la Unión o a terceros países asociados al Programa Europa Digital.
Aspectos relevantes de la Reserva:
- El apoyo se limita a la fase inicial del proceso de recuperación, conducente al restablecimiento de las funcionalidades básicas de los sistemas.
- Debe garantizar disponibilidad y estado de preparación, incluyendo servicios comprometidos con antelación y capacidades desplegables a corto plazo.
- Sirve para asistir a las autoridades nacionales en su apoyo a entidades afectadas en sectores de alta criticidad o en otros sectores críticos.
- Es importante tener en cuenta el marco europeo de capacidades en ciberseguridad de ENISA al contratar estos servicios.
- Las solicitudes de apoyo deben aportar información sobre la entidad afectada, las posibles repercusiones, el servicio requerido, el apoyo nacional ya prestado y, en su caso, los acuerdos contractuales vigentes y los contratos de seguro que puedan cubrir el incidente.
El Reglamento también reconoce el valor de la cooperación voluntaria y gratuita de empresas privadas que ofrezcan servicios sin remuneración en caso de incidentes y crisis a gran escala. ENISA, en cooperación con la EU-CyCLONe, podrá realizar el seguimiento de tales iniciativas y promover su alineamiento con los criterios aplicables a los proveedores de confianza.
Selección de proveedores
La norma exige establecer un conjunto de criterios y requisitos mínimos que deberán incluirse en la licitación para seleccionar a los proveedores privados de la Reserva, garantizando la cobertura de las necesidades de las autoridades y de las entidades en sectores de alta criticidad y en otros sectores críticos. El órgano de contratación podrá desarrollar criterios complementarios para atender necesidades específicas, y se subraya la importancia de fomentar la participación de proveedores más pequeños, activos a nivel regional y local.
Garantías transversales: competencias estatales y confidencialidad
El artículo 1 del Reglamento incorpora salvaguardas relevantes:
- Las acciones se llevan a cabo respetando las competencias de los Estados miembros y son complementarias de las actividades de la red de CSIRT, la EU-CyCLONe y el Grupo de Cooperación.
- El Reglamento se entiende sin perjuicio de las funciones estatales esenciales, incluida la integridad territorial, el orden público y la salvaguardia de la seguridad nacional, que sigue siendo responsabilidad exclusiva de cada Estado miembro.
- La puesta en común o intercambio de información confidencial se limitará a la pertinente y proporcionada, preservando la confidencialidad y los intereses comerciales y de seguridad de las entidades afectadas, y sin facilitar información cuya divulgación sea contraria a los intereses esenciales en materia de seguridad nacional, seguridad pública o defensa.
En materia de protección de datos, el Reglamento exige que el destinatario de la información aplique medidas técnicas y organizativas para salvaguardar los derechos y libertades de los interesados, destruya los datos tan pronto como dejen de ser necesarios para la finalidad declarada e informe a la entidad que los puso a disposición de su destrucción.
Reflexión final
El Reglamento de Cibersolidaridad se inserta con naturalidad en el ecosistema normativo de ciberseguridad de la Unión —junto a la Directiva NIS2 y al Reglamento (UE) 2019/881 sobre ENISA— y aporta una arquitectura operativa específica para la detección coordinada, la respuesta a crisis y la revisión de incidentes. Sus tres mecanismos —sistema europeo de alerta de ciberseguridad, mecanismo de emergencia con la Reserva de Ciberseguridad de la UE y el mecanismo europeo de revisión de incidentes— se construyen sobre los principios de solidaridad y coordinación.
