Agencia Estatal Boletín Oficial del Estado

(1)

Con el fin de garantizar el funcionamiento del mercado interior, redunda en interés de todos los Estados miembros y de la Unión en su conjunto identificar con claridad y proteger las infraestructuras críticas pertinentes que prestan servicios esenciales dentro de dicho mercado, especialmente en sectores clave como la energía, la infraestructura digital, el transporte y el espacio, así como las infraestructuras críticas con una importancia transfronteriza significativa (1), cuya perturbación podría afectar de manera considerable a otros Estados miembros.

(2)

La presente Recomendación, que es un acto no vinculante, demuestra la voluntad política de los Estados miembros de cooperar y su compromiso con las medidas recomendadas, que se destacan en un plan de cinco puntos publicado por la presidenta de la Comisión Europea, al tiempo que respeta plenamente las competencias de los Estados miembros. La presente Recomendación no afecta a la protección de los intereses esenciales de la seguridad nacional, la seguridad pública o la defensa de los Estados miembros y ninguno de estos últimos deberá compartir información que menoscabe de dichos intereses.

(3)

Si bien la responsabilidad principal de garantizar la seguridad y la prestación de servicios esenciales a través de infraestructuras críticas corresponde a los Estados miembros y a los operadores de sus infraestructuras críticas, una mayor coordinación a escala de la Unión es adecuada especialmente a la luz de amenazas cambiantes que pueden afectar a varios Estados miembros a la vez, como la guerra de agresión rusa contra Ucrania y las campañas híbridas contra los Estados miembros, o afectar a la resiliencia y el buen funcionamiento de la economía, el mercado único y la sociedad de la Unión en su conjunto. Debe prestarse especial atención a las infraestructuras críticas situadas fuera del territorio de los Estados miembros, como las infraestructuras críticas submarinas o las infraestructuras energéticas en alta mar.

(4)

El Consejo Europeo, en sus Conclusiones de los días 20 y 21 de octubre de 2022, condenó con firmeza los actos de sabotaje contra infraestructuras críticas, como los llevados a cabo contra los gasoductos Nord Stream, y señaló que la Unión está decidida a dar respuesta a cualquier perturbación deliberada de infraestructuras críticas u otras acciones híbridas con una respuesta unida y decidida.

(5)

En vista de la rápida evolución del panorama de amenazas, deben adoptarse medidas de mejora de la resiliencia con carácter prioritario en sectores clave, como la energía, la infraestructura digital, el transporte y el espacio, y en otros sectores pertinentes definidos por los Estados miembros. Dichas medidas deben centrarse en mejorar la resiliencia de las infraestructuras críticas, teniendo en cuenta los riesgos pertinentes, especialmente los efectos en cascada, la perturbación de la cadena de suministro, la dependencia, los efectos del cambio climático, los proveedores y socios poco fiables y las amenazas y campañas híbridas, incluida la manipulación de la información y las injerencias extranjeras. En lo que respecta a las infraestructuras críticas nacionales, habida cuenta de las posibles consecuencias, debe darse prioridad a las infraestructuras críticas de importancia transfronteriza significativa. Se anima a los Estados miembros a que, cuando proceda, adopten con carácter de urgencia dichas medidas de mejora de la resiliencia, manteniendo al mismo tiempo el enfoque establecido en el marco jurídico en evolución.

(6)

La protección de las infraestructuras críticas europeas en los sectores de la energía y el transporte está actualmente regulada por la Directiva 2008/114/CE del Consejo (2), y la seguridad de las redes y sistemas de información en toda la Unión, centrada en las amenazas cibernéticas, está garantizada por la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo (3). Con vistas a garantizar un mayor nivel común de resiliencia y protección de las infraestructuras críticas, la ciberseguridad y el mercado financiero, se está modificando y completando el marco jurídico vigente mediante la adopción de nuevas normas aplicables a las entidades críticas (la «Directiva REC»), normas reforzadas para un elevado nivel común de ciberseguridad en toda la Unión (la «Directiva SRI 2») y nuevas normas aplicables a la resiliencia operativa digital del sector financiero.

(7)

Los Estados miembros, de conformidad con el Derecho de la Unión y el Derecho nacional, deberían utilizar todas las herramientas disponibles para avanzar y ayudar a reforzar la resiliencia física y cibernética. A este respecto, debe entenderse que las infraestructuras críticas comprenden las infraestructuras críticas pertinentes definidas por un Estado miembro a nivel nacional o las designadas como infraestructuras críticas europeas en virtud de la Directiva 2008/114/CE, así como las entidades críticas que deben definirse en virtud de la Directiva REC o, en su caso, las entidades en virtud de la Directiva SRI 2. El concepto de resiliencia debe entenderse como la capacidad de prevención, protección, respuesta, resistencia, mitigación, absorción, adaptación o recuperación de una infraestructura crítica frente a acontecimientos que perturben o puedan perturbar significativamente la prestación de servicios esenciales en el mercado interior, es decir, servicios que son fundamentales para mantener las funciones sociales y económicas vitales, la seguridad y la protección públicas, la salud de la población o el medio ambiente.

(8)

Debe convocarse a expertos nacionales para coordinar el trabajo encaminado a lograr un nivel común más elevado de resiliencia y protección de las infraestructuras críticas que introducirán las nuevas normas aplicables a las entidades críticas. Ese trabajo coordinado posibilitaría la cooperación entre los Estados miembros y el intercambio de información relativa a actividades como la elaboración de metodologías para definir los servicios esenciales prestados por las infraestructuras críticas. La Comisión ya ha comenzado a convocar a estos expertos y a facilitar su trabajo, y tiene la intención de proseguir esta labor. Una vez que la Directiva REC haya entrado en vigor y se haya creado un Grupo de Resiliencia de las Entidades Críticas en virtud de esa Directiva, dicho grupo deberá proseguir este trabajo anticipatorio de conformidad con sus funciones.

(9)

Reconociendo el cambio en el panorama de amenazas, debe seguir desarrollándose el potencial de realizar pruebas de resistencia de las infraestructuras críticas a nivel nacional, ya que esas pruebas podrían ser útiles para mejorar la resiliencia de las infraestructuras críticas. En lo que se refiere a la importancia específica del sector de la energía y a las consecuencias a escala de la Unión derivadas de su posible perturbación, ese sector podría ser el que más se beneficiara de la realización de pruebas de resistencia basadas en principios establecidos de común acuerdo. Dichas pruebas de resistencia son competencia de los Estados miembros, que deben animar y apoyar a los operadores de infraestructuras críticas para que lleven a cabo esas pruebas cuando se consideren beneficiosas, de conformidad con sus marcos jurídicos nacionales.

(10)

A fin de garantizar una respuesta coordinada y eficaz a las amenazas actuales y previstas, se anima a la Comisión a prestar apoyo adicional a los Estados miembros, en particular facilitando la información pertinente en forma de sesiones informativas, manuales no vinculantes y directrices. El Servicio Europeo de Acción Exterior (SEAE), en particular a través del Centro de Inteligencia y de Situación de la UE y su Célula de Fusión contra las Amenazas Híbridas, con el apoyo de la Dirección de Inteligencia del Estado Mayor de la Unión Europea (EMUE) en el marco de la Capacidad Única de Análisis de Inteligencia (SIAC), debe proporcionar evaluaciones de las amenazas. También se invita a la Comisión a que, en cooperación con los Estados miembros, promueva la adopción de proyectos de investigación e innovación financiados por la Unión.

(11)

Con la creciente interdependencia de las infraestructuras físicas y digitales, es posible que las actividades informáticas malintencionadas dirigidas a ámbitos críticos den lugar a perturbaciones o daños en las infraestructuras físicas, o que el sabotaje de infraestructuras físicas haga que los servicios digitales queden inaccesibles. Se invita a los Estados miembros a que aceleren lo antes posible los trabajos preparatorios para la transposición y aplicación del nuevo marco jurídico aplicable a las entidades críticas y el marco jurídico reforzado para la ciberseguridad, sobre la base de la experiencia adquirida en el Grupo de Cooperación establecido por la Directiva (UE) 2016/1148 ( el «Grupo de Cooperación SRI»), pero teniendo en cuenta los plazos de transposición y que este trabajo de preparación debe avanzar de forma paralela y coherente.

(12)

Además de mejorar la preparación, es importante reforzar las capacidades para responder con rapidez y eficacia en el caso de perturbación de los servicios esenciales prestados a través de infraestructuras críticas. Por consiguiente, la presente Recomendación contiene medidas a nivel de la Unión y nacional, en particular que destacan el papel de apoyo y el valor añadido que puede obtenerse mediante el establecimiento de una cooperación reforzada y el intercambio de información en el contexto del Mecanismo de Protección Civil de la Unión (MPCU), establecido por la Decisión n.o 1313/2013/UE del Parlamento Europeo y del Consejo (4), y que utilizan los recursos pertinentes del Programa Espacial de la Unión establecido por el Reglamento (UE) 2021/696 del Parlamento Europeo y del Consejo (5).

(13)

La Comisión, el Alto Representante de la Unión para Asuntos Exteriores y Política de Seguridad (el «Alto Representante») y el Grupo de Cooperación SRI, en cooperación con los organismos y agencias civiles y militares pertinentes y las redes establecidas, como la red de organizaciones de enlace nacionales para la gestión de cibercrisis (EU-CyCLONe), llevarán a cabo una evaluación de riesgos y elaborarán escenarios de riesgo. Por otra parte, tras el llamamiento ministerial conjunto de Nevers, el Grupo de cooperación SRI, con el apoyo de la Comisión y de la Agencia de la Unión Europea para la Ciberseguridad (ENISA), y en colaboración con el Organismo de Reguladores Europeos de las Comunicaciones Electrónicas (ORECE), está realizando una evaluación de riesgos. Estos dos ejercicios serán coherentes y estarán coordinados con el ejercicio de elaboración de escenarios en el marco del MPCU, en particular los acontecimientos de ciberseguridad y su impacto en la vida real, que actualmente están desarrollando la Comisión y los Estados miembros. En interés de la eficiencia, la eficacia y la coherencia, y para la correcta aplicación de la presente Recomendación, los resultados de estos ejercicios deberían reflejarse a nivel nacional.

(14)

Con el fin de reforzar de forma inmediata la preparación y la capacidad para responder a un incidente de ciberseguridad a gran escala, la Comisión ha establecido un programa a corto plazo para apoyar a los Estados miembros mediante financiación adicional asignada a la ENISA. Los servicios propuestos incluyen, entre otras cosas, actividades de preparación como pruebas de penetración de las entidades con el fin de detectar sus puntos vulnerables. El programa también puede reforzar las posibilidades de asistencia a los Estados miembros en caso de un incidente de ciberseguridad a gran escala que afecte a entidades críticas. Se trata de un primer paso en consonancia con las Conclusiones del Consejo, de 23 de mayo de 2022, sobre la elaboración de la posición de la Unión Europea en materia cibernética (las «Conclusiones del Consejo sobre la posición de la UE en materia de cibernética») que piden a la Comisión que presente una propuesta para un Fondo para Emergencias en materia de Ciberseguridad. Los Estados miembros deben aprovechar plenamente estas oportunidades, de conformidad con los requisitos aplicables, y se les anima a seguir trabajando en el ámbito de la gestión de crisis cibernéticas de la Unión, en particular supervisando periódicamente y haciendo balance de los progresos realizados en la aplicación de la hoja de ruta de gestión de crisis cibernéticas recientemente elaborada en el Consejo. Esa hoja de ruta es un documento vivo y debe revisarse y actualizarse cuando sea necesario.

(15)

Los cables submarinos de comunicaciones mundiales son fundamentales para la conectividad mundial y dentro de la UE. Dada la gran longitud de estos cables y su instalación en el fondo marino, la vigilancia visual subacuática de la mayoría de las secciones de cable es extremadamente difícil. La jurisdicción compartida y otras cuestiones jurisdiccionales relacionadas con dichos cables constituyen una cuestión específica para la cooperación europea e internacional en materia de protección y recuperación de infraestructuras. Por ello, es necesario completar las evaluaciones de riesgos en curso y previstas relativas a las infraestructuras digitales y físicas que sustentan los servicios digitales con evaluaciones de riesgos específicas y opciones para medidas de mitigación con respecto a los cables submarinos de comunicaciones. Los Estados miembros invitan a la Comisión a llevar a cabo estudios con ese fin y a compartir sus conclusiones con los Estados miembros.

(16)

Los sectores de la energía y el transporte también pueden verse afectados por las amenazas relacionadas con las infraestructuras digitales, por ejemplo, en relación con las tecnologías energéticas que incorporan componentes digitales. La seguridad de las cadenas de suministro asociadas es importante para la continuidad de la prestación de servicios esenciales y para el control estratégico de infraestructuras críticas en el sector de la energía. Estas circunstancias deben tenerse en cuenta a la hora de adoptar medidas para mejorar la resiliencia de las infraestructuras críticas de conformidad con la presente Recomendación.

(17)

La importancia creciente de las infraestructuras espaciales, de los medios terrestres relacionados con el espacio, incluidas las instalaciones de producción, y de los servicios espaciales para las actividades relacionadas con la seguridad hace que sea esencial garantizar la resiliencia y la protección de los recursos espaciales, de los medios terrestres relacionados con el espacio y de los servicios espaciales de la Unión y dentro de esta. Por las mismas razones, en el marco de la presente Recomendación, también es esencial hacer un uso más estructurado de los datos y servicios espaciales proporcionados por los sistemas y programas espaciales para la vigilancia, el seguimiento y la protección de las infraestructuras críticas en otros sectores. La futura estrategia espacial de la UE para la seguridad y la defensa propondrá medidas adecuadas a este respecto, que deben tenerse en cuenta a la hora de aplicar la presente Recomendación.

(18)

La cooperación internacional también es necesaria para abordar eficazmente los riesgos para las infraestructuras críticas, por ejemplo, en aguas internacionales. Por lo tanto, se invita a los Estados miembros a cooperar con la Comisión y el Alto Representante para adoptar determinadas medidas con vistas a lograr dicha cooperación, teniendo en cuenta que tales medidas solo deben adoptarse de conformidad con sus respectivas funciones y responsabilidades recogidas en el Derecho de la Unión, en particular las disposiciones de los Tratados relativas a las relaciones exteriores.

(19)

Como se estableció en la Comunicación titulada «Contribución de la Comisión a la defensa europea», de 15 de febrero de 2022, en apoyo del documento «Una Brújula Estratégica para la Seguridad y la Defensa – Por una Unión Europea que proteja a sus ciudadanos, defienda sus valores e intereses y contribuya a la paz y la seguridad internacionales», la Comisión evaluará las líneas de base sectoriales en materia de resiliencia híbrida en cooperación con el Alto Representante y los Estados miembros, detectando las lagunas y necesidades, así como las medidas para subsanarlas de aquí a 2023. Esa iniciativa debe servir de base para el trabajo que se realice en el marco de la presente Recomendación, contribuyendo a reforzar el intercambio de información y la coordinación de las acciones, en relación con un mayor refuerzo de la resiliencia, también de las infraestructuras críticas.

(20)

La Estrategia de Seguridad Marítima de la Unión Europea de 2014 y su Plan de Acción revisado instaban a una mayor protección de las infraestructuras marítimas críticas, entre ellas, las submarinas, y en particular las infraestructuras de transporte marítimo, energía y comunicaciones, entre otras cosas aumentando el conocimiento de la situación marítima mediante la mejora de la interoperabilidad y un intercambio de información (obligatorio y voluntario) más ágil. En este momento, esa Estrategia y ese Plan de Acción están siendo actualizados e incluirán medidas reforzadas destinadas a proteger las infraestructuras marítimas críticas. Estas medidas deben completar la presente Recomendación.

(21)

Reforzar la resiliencia de las infraestructuras críticas contribuye a la intensificación de los esfuerzos para hacer frente a las amenazas y las campañas híbridas contra la Unión y sus Estados miembros. La presente Recomendación se basa en la Comunicación conjunta al Parlamento Europeo y al Consejo titulada «Comunicación conjunta sobre la lucha contra las amenazas híbridas: Una respuesta de la Unión Europea». La medida n.o 1 de la Comunicación conjunta, a saber, el estudio sobre riesgos híbridos, desempeña un papel clave para determinar las vulnerabilidades que puedan afectar a las estructuras y redes nacionales y paneuropeas. Además, la aplicación de las Conclusiones del Consejo, de 21 de junio de 2022, sobre un marco para una respuesta coordinada de la UE a las campañas híbridas, permitirá una acción coordinada más enérgica mediante la aplicación del conjunto de instrumentos de la UE contra las amenazas híbridas en todos los ámbitos afectados.

1)

2)

3)

4)

5)

6)

7)

8)

9)

10)

11)

12)

13)

14)

15)

16)

17)

El trabajo de estos expertos designados debe prestar especial atención a las dependencias intersectoriales y a las infraestructuras críticas con una importancia transfronteriza significativa, y debe tener continuación en el Consejo y la Comisión, cuando proceda.

18)

19)

20)

21)

22)

23)

24)

25)

26)

27)

28)

29)

30)

31)

32)

33)

34)

35)

36)

37)

38)