Ley de Resiliencia Cibernética

La Ley de Resiliencia Cibernética (CRA, por sus siglas en inglés) es una normativa de la UE para mejorar la ciberseguridad y la resiliencia cibernética mediante estándares comunes de ciberseguridad para productos con elementos digitales. Por ejemplo, exige informes de incidentes y actualizaciones de seguridad automáticas. ^{[ 1 ]} Los elementos digitales son, principalmente, hardware y software cuyo "uso previsto y previsible incluye la conexión de datos directa o indirecta a un dispositivo o red". ^{[ 2 ]}

La Comisión Europea propuso la CRA el 15 de septiembre de 2022. Posteriormente, varias organizaciones de software libre criticaron la CRA por crear un "efecto disuasorio en el desarrollo de software de código abierto ". ^{[ 3 ]} Tras una serie de enmiendas, la Comisión Europea alcanzó un acuerdo político sobre la CRA el 1 de diciembre de 2023. ^{[ 4 ]} El proyecto de ley revisado incluye una excepción para el software de código abierto. Esto fue bien recibido por muchas organizaciones de código abierto, ^{[ 5 ]} aunque Debian criticó su efecto en las pequeñas empresas y los redistribuidores. ^{[ 6 ]} El proyecto de ley revisado también introdujo el "administrador de código abierto", un nuevo concepto económico. ^{[ 5 ]} El Parlamento Europeo aprobó formalmente la CRA en marzo de 2024. ^{[ 7 ]} Fue adoptada por el Consejo el 10 de octubre de 2024. ^{[ 8 ]}

Los antecedentes, propósitos y motivaciones de la política propuesta incluyen: ^{[ 9 ]}

• Los consumidores se convierten cada vez más en víctimas de fallos de seguridad de productos digitales (por ejemplo, vulnerabilidades ), incluidos los dispositivos del Internet de las Cosas ^{[ 2 ] [ 10 ] [ 11 ]} o los dispositivos inteligentes . ^{[ 12 ] [ 13 ]}
• Garantizar la seguridad de los productos digitales en la cadena de suministro es importante para las empresas, ^{[ 2 ]} y la ciberseguridad suele ser un "riesgo que afecta a toda la empresa". ^{[ 14 ]}
• Entre los posibles impactos de un ataque informático se incluyen "una grave interrupción de las actividades económicas y sociales en todo el mercado interno, el menoscabo de la seguridad o incluso el riesgo para la vida". ^{[ 15 ]}
• Los principios de seguridad por defecto impondrían un deber de cuidado durante el ciclo de vida de los productos, en lugar de, por ejemplo, depender de los consumidores y voluntarios para establecer un nivel básico de seguridad. ^{[ 2 ] [ 16 ]} Las nuevas reglas "reequilibrarían la responsabilidad hacia los fabricantes". ^{[ 15 ]}
• Los ciberataques han dado lugar a un coste anual global estimado del cibercrimen de 5,5 billones de euros para 2021. ^{[ 1 ]}
• La rápida expansión de las tecnologías digitales significa que estados rebeldes o grupos no estatales podrían perturbar más fácilmente infraestructuras críticas como la administración pública y los hospitales. ^{[ 17 ]}

Según The Washington Post , la CRA podría convertir a la UE en líder en ciberseguridad y "cambiar las reglas del juego a nivel mundial". ^{[ 16 ]}

La política exige que el software que "razonablemente se espera" que tenga actualizaciones automáticas implemente automáticamente las actualizaciones de seguridad por defecto , permitiendo a los usuarios optar por no recibirlas. ^{[ 18 ]} Cuando sea factible, las actualizaciones de seguridad deben separarse de las actualizaciones de características. ^{[ 19 ] : Anexo I.II(2)} Las empresas deben realizar evaluaciones de riesgos cibernéticos antes de que un producto salga al mercado y conservar su inventario de datos y documentación durante los 10 años ^{[ 19 ] : Art. 13, párr. 13} después de su lanzamiento al mercado o su período de soporte, el que sea más largo. ^{[ 19 ]} Las empresas tendrían que notificar a la agencia de ciberseguridad de la UE, ENISA, cualquier incidente dentro de las 24 horas posteriores a tener conocimiento de ellos y tomar medidas para resolverlos. ^{[ 13 ]} Los productos que lleven el marcado CE "cumplirán con un nivel mínimo de controles de ciberseguridad". ^{[ 10 ]}

Aproximadamente el 90 % de los productos con elementos digitales se incluyen en una categoría predeterminada, para la cual los fabricantes autoevaluarán la seguridad, redactarán una declaración de conformidad de la UE y proporcionarán documentación técnica. El resto son "importantes" o "críticos". Los productos importantes para la seguridad se clasifican en dos clases de riesgo. ^{[ 20 ]} Los productos evaluados como "críticos" deberán someterse a auditorías externas . ^{[ 18 ] [ 16 ]}

Una vez aprobada la ley, los fabricantes dispondrían de dos años para adaptarse a los nuevos requisitos y un año para implementar la notificación de vulnerabilidades e incidentes. El incumplimiento podría acarrear multas de hasta 15 millones de euros o el 2,5 % de la facturación anual mundial total del infractor correspondiente al ejercicio financiero anterior. ^{[ 15 ] [ 12 ] [ 13 ]} Las multas no se aplican a los desarrolladores de código abierto no comerciales. ^{[ 19 ] : 64(10)}

Euractiv ha informado sobre borradores novedosos o modificaciones de borradores que incluyen cambios como la "eliminación de las obligaciones de tiempo para la vida útil de los productos y la limitación del alcance de la notificación a incidentes significativos". ^{[ 21 ] [ 18 ]} La primera enmienda de compromiso se debatió el 22 de mayo de 2023, fecha hasta la cual, según se informa, los grupos podían presentar comentarios por escrito . Euractiv proporcionó un resumen general de los cambios propuestos. ^{[ 22 ]}

Se espera que los principales grupos políticos del Parlamento Europeo aprueben la Ley de Resiliencia Cibernética en una reunión el 5 de julio de 2023. Los legisladores debatirán sobre consideraciones relativas al software de código abierto, periodos de soporte, obligaciones de información y el calendario de implementación. La votación del comité tuvo lugar el 19 de julio de 2023. ^{[ 23 ] [ 24 ]}

La presidencia española del Consejo de la UE ha publicado un borrador revisado que simplifica los requisitos reglamentarios para los dispositivos conectados. Reduciría el número de categorías de productos que deben cumplir con regulaciones específicas, obligaría a notificar los incidentes de ciberseguridad a los CSIRT nacionales e incluiría disposiciones para determinar la vida útil del producto y facilitar la gestión administrativa a las pequeñas empresas. La ley también aclara que las piezas de repuesto con elementos digitales suministradas por el fabricante original están exentas de los nuevos requisitos. ^{[ 25 ] [ 24 ]}

El texto del Consejo estipula además que, antes de solicitar la certificación obligatoria, los ejecutivos de la Unión Europea deben realizar una evaluación de impacto para valorar tanto la oferta como la demanda del mercado interior, así como la capacidad y la preparación de los Estados miembros para implementar los planes propuestos. ^{[ 26 ] [ 24 ]}

El 25 de junio de 2024, la Oficina Nacional Checa de Ciberseguridad y Seguridad de la Información (NÚKIB) anunció medidas para implementar la Ley de Resiliencia Cibernética (CRA), incluyendo un reglamento previsto para otoño de 2024, cuya aplicación comenzará a finales de 2027 tras un período de transición de tres años. Este reglamento exigirá a los fabricantes de productos digitales que mejoren la ciberseguridad a lo largo de todo el ciclo de vida del producto. La NÚKIB también celebrará consultas con fabricantes de productos importantes y críticos del 25 de junio al 17 de julio de 2024 para desarrollar especificaciones técnicas y recabar opiniones. ^{[ 27 ]}

Inicialmente, el proyecto de ley propuesto fue duramente criticado por los defensores del código abierto. ^{[ 28 ]}

• Varias organizaciones de código abierto como la Fundación Eclipse , la Iniciativa de Código Abierto (OSI) y The Document Foundation han firmado la carta abierta « Carta abierta a la Comisión Europea sobre la Ley de Resiliencia Cibernética », ^{[ 29 ]} solicitando a los responsables políticos que cambien la subrepresentación de la comunidad de código abierto. Se constata que con la política « [ software libre y de código abierto ], más del 70 % del software en Europa está a punto de ser regulado sin una consulta exhaustiva» y que, de implementarse tal como está redactada (a partir de abril de 2023), tendría un «efecto disuasorio sobre el desarrollo de software de código abierto como iniciativa global, con el efecto neto de socavar los propios objetivos expresados ​​por la UE en materia de innovación , soberanía digital y prosperidad futura». ^{[ 3 ] [ 28 ] [ 29 ]} La Fundación Apache Software publicó una declaración similar, ^{[ 30 ]} y OSI presentó esta información a la solicitud de aportaciones de la Comisión Europea. ^{[ 31 ]}
• Aunque Mozilla "acoge con beneplácito y apoya los objetivos generales de la CRA", también criticó la propuesta por referencias poco claras a la "actividad comercial" que podría incluir muchos proyectos de código abierto (un punto de vista que Ilkka Turunen de Computer Weekly repitió ^{[ 32 ]} ), la falta de alineación con otras normas de la UE y los requisitos para la divulgación de vulnerabilidades no mitigadas. ^{[ 33 ]}
• Steven J. Vaughan-Nichols, de The Register, argumentó que la "suposición subyacente de la CRA es que simplemente se puede agregar seguridad al software", mientras que "[muchos desarrolladores de código abierto no tienen ni los ingresos ni los recursos para proteger sus programas según un estándar gubernamental". ^{[ 28 ]}
• CCIA Europe advirtió que "la burocracia resultante del proceso de aprobación podría obstaculizar la implementación de nuevas tecnologías y servicios en Europa". ^{[ 13 ]}

Las enmiendas se publicaron el 1 de diciembre de 2023, como parte de un acuerdo político entre colegisladores, ^{[ 35 ]} para el aplauso de muchos defensores del código abierto. ^{[ 5 ]} Como escribió Mike Milinkovich, director ejecutivo de la Fundación Eclipse, ^{[ 36 ]} : ^{[ 35 ]}

La legislación revisada ha mejorado considerablemente la exclusión de proyectos, comunidades, fundaciones y plataformas de desarrollo y distribución de paquetes de código abierto. Además, crea un nuevo tipo de agente económico, el «gestor de código abierto», que reconoce el papel que desempeñan las fundaciones y plataformas en el ecosistema de código abierto. Esta es la primera vez que aparece en una normativa, y será interesante observar su evolución.

Debian había declarado previamente que muchas pequeñas empresas y desarrolladores independientes tendrían dificultades para cumplir con la ley al redistribuir software de código abierto. ^{[ 6 ]} OSI señaló que este problema seguía sin resolverse. ^{[ 5 ]} Apache revisó los cambios positivamente, aunque expresó su preocupación por la aplicabilidad de la CRA a componentes de código abierto potencialmente críticos y enfatizó la importancia de la colaboración con organismos de normalización internacionales para facilitar la certificación del software. ^{[ 37 ]}

El 24 de septiembre de 2024, la Fundación Eclipse lanzó el grupo de trabajo Open Regulatory Compliance para ayudar a los participantes de la comunidad de código abierto a comprender las regulaciones y facilitar el diálogo con los reguladores. El enfoque inicial del grupo es la CRA. ^{[ 38 ]}

• Directiva NIS 2
• Ley de Inteligencia Artificial
• Proyecto de ley de ciberseguridad y resiliencia : propuesta legislativa del Reino Unido.
• Protección al consumidor
• Autodefensa cibernética
• Lista de filtraciones de datos
• Lista de incidentes de piratería informática §  2025
• Diseño sostenible
• Normalización

• Ley de Ciberresiliencia sobre EUR-Lex
• Ley de Ciberresiliencia | Dando forma al futuro digital de Europa ( página de inicio de la Comisión Europea, DG CONNECT )
• Procedimiento 2022/0272/COD en EUR-Lex
• Procedimiento 2022/0272(COD) sobre ŒIL