iStock Photo Getty Images +
El informe señala las preocupaciones sobre una serie de riesgos, incluidos los riesgos para la seguridad de la cadena de suministro, la falta de profesionales cibernéticos y los riesgos que plantean las actividades maliciosas de los ciberdelincuentes y los actores de amenazas patrocinados por el estado.
La evaluación de riesgos identificó los riesgos técnicos y no técnicos con más detalle. Tanto en el sector de las telecomunicaciones como en el de la electricidad, los riesgos de la cadena de suministro siguen siendo la principal preocupación, especialmente en lo que respecta al despliegue de la 5G y las infraestructuras de energías renovables. El ransomware, los limpiadores de datos y la explotación de vulnerabilidades de día cero también se identificaron como una preocupación continua pero apremiante en ambos sectores, especialmente en lo que respecta a la tecnología operativa.
Para el sector eléctrico, el riesgo más crítico identificado son los informantes maliciosos, estimulados por la dificultad de investigar adecuadamente al nuevo personal y atraer talento local de ciberseguridad. Para el sector de las telecomunicaciones, las principales amenazas incluyen ataques a través de infraestructuras de itinerancia y ataques procedentes de grandes redes bot.
Además, el sabotaje físico de la infraestructura de cable y la interferencia de las señales de satélite se identificaron como riesgos específicos que son particularmente difíciles de mitigar.
Para mitigar estos riesgos, el informe presenta una serie de recomendaciones en cuatro áreas de mejora, que pueden resumirse de la siguiente manera:
- La resiliencia y la postura de ciberseguridad pueden mejorarse mediante el intercambio de buenas prácticas para mitigar el ransomware, el monitoreo de vulnerabilidades, la seguridad de los recursos humanos y la gestión de activos. Además, debe intensificarse la cooperación con la red técnica de los Estados miembros, el equipo de respuesta a incidentes de seguridad informática (CSIRT),las fuerzas y cuerpos de seguridad y los socios internacionales. Los Estados miembros deben llevar a cabo nuevas autoevaluaciones para los sectores con arreglo a la Directiva SRI 2 y la Directiva RCE.
- El conocimiento colectivo de la situación cibernética y el intercambio de información deben mejorarse e incluir el contexto geopolítico, los posibles daños físicos y la desinformación.
- La planificación de contingencias, la gestión de crisis y la colaboración operativa deben mejorarse acortando las líneas entre los sectores y las autoridades de ciberseguridad en los procedimientos.
- La seguridad de la cadena de suministro debe abordarse más a fondo con evaluaciones de seguimiento de las dependencias de proveedores de terceros países de alto riesgo y el desarrollo de un marco de la UE para la seguridad de la cadena de suministro.
Dada la criticidad de las infraestructuras y redes incluidas en el ámbito de aplicación del presente informe y habida cuenta de la rápida evolución del panorama de amenazas, y sin perjuicio de las competencias de los Estados miembros en materia de seguridad nacional, se anima a los Estados miembros, a la Comisión y a la ENISA a aplicar estas medidas de mejora de la resiliencia lo antes posible, sobre la base del trabajo que ya se ha iniciado en la aplicación de algunas de las recomendaciones.
Descargue el informe a continuación para obtener más información.
Antecedentes
El Consejo, en sus Conclusiones sobre el desarrollo de la postura cibernética de la Unión Europea de 23 de mayo de 2022, «invitó a la Comisión, al Alto Representante y al Grupo de Cooperación SRI, en coordinación con los organismos y agencias civiles y militares pertinentes y las redes establecidas, incluida la EU CyCLONe, a llevar a cabo una evaluación de riesgos y elaborar escenarios de riesgo desde la perspectiva de la ciberseguridad en una situación de amenaza o posible ataque contra Estados miembros o países socios y a presentarlos a los órganos pertinentes del Consejo».
Además, en sus Conclusiones de 23 de mayo de 2023 sobre la política de ciberdefensa de la UE, el Consejo «invitó a los agentes mencionados a garantizar que las evaluaciones de riesgos, los escenarios y las recomendaciones posteriores se tengan en cuenta a la hora de definir y priorizar las medidas y el apoyo, a escala de la UE y, cuando proceda, nacional». Además, el Consejo pide que «todos los agentes pertinentes tengan en cuenta los escenarios de riesgo en los procesos de evaluación de riesgos, así como en el desarrollo de ciberejercicios».
La evaluación de riesgos da seguimiento a un informe reciente sobre la ciberseguridad y la resiliencia de las infraestructuras y redes de comunicaciones de la UE, que se publicó en febrero de 2024.
Puede leer más información sobre las Políticas de Ciberseguridad.