ANEXO

Plan director de la respuesta coordinada a los incidentes y crisis de ciberseguridad transfronterizos a gran escala

INTRODUCCI覰

El presente Plan director se aplica a los incidentes de ciberseguridad que causen perturbaciones demasiado fuertes como para que el Estado miembro afectado lo resuelva por s� mismo o cuando afecten a dos o m醩 Estados miembros o instituciones de la UE con un impacto tan amplio y de tanta relevancia t閏nica o pol韙ica que requieran una coordinaci髇 y una respuesta oportuna a nivel pol韙ico de la Uni髇.

Los incidentes de ciberseguridad a gran escala de este tipo se consideran 玞risis� de ciberseguridad.

En caso de crisis a escala de la UE con elementos cibern閠icos, el Consejo, utilizando el Dispositivo Integrado de Respuesta Pol韙ica a las Crisis (DIRPC), coordinar� la respuesta a nivel pol韙ico de la Uni髇.

Dentro de la Comisi髇, la coordinaci髇 se llevar� a cabo de conformidad con el sistema de alerta r醦ida ARGUS.

Si la crisis tiene una importante dimensi髇 de pol韙ica exterior o de Pol韙ica Com鷑 de Seguridad y Defensa (PCSD), se activar� el Mecanismo de Respuesta a las Crisis del SEAE.

El Plan director describe c髆o estos mecanismos bien establecidos de gesti髇 de crisis deben hacer pleno uso de las entidades de ciberseguridad existentes a nivel de la UE, as� como de los mecanismos de cooperaci髇 entre los Estados miembros.

De este modo, el Plan director tiene en cuenta una serie de principios rectores (principios de proporcionalidad, subsidiariedad, complementariedad y confidencialidad de la informaci髇), presenta los objetivos centrales de la cooperaci髇 (respuesta eficaz, conocimiento compartido de la situaci髇, mensajes de comunicaci髇 al p鷅lico) a tres niveles (estrat間ico/pol韙ico, operativo y t閏nico), los mecanismos y los agentes implicados, as� como las actividades destinadas a cumplir dichos objetivos centrales.

El Plan director no abarca la totalidad del ciclo de gesti髇 de las crisis (prevenci髇/mitigaci髇, preparaci髇, respuesta y recuperaci髇), sino que se focaliza en la respuesta. No obstante, se abordan en 閘 algunas otras actividades, en particular las relacionadas con la consecuci髇 de un conocimiento compartido de la situaci髇.

Tambi閚 es importante se馻lar que los incidentes de ciberseguridad pueden encontrarse en el origen o formando parte de una crisis m醩 amplia que afecte a otros sectores. Dado que se espera que las crisis de ciberseguridad tengan en su mayor韆 efectos sobre el mundo f韘ico, toda respuesta adecuada debe basarse en actividades de mitigaci髇 de car醕ter tanto cibern閠ico como no cibern閠ico. Las actividades de respuesta a las crisis cibern閠icas deben coordinarse con otros mecanismos de gesti髇 de crisis a nivel de la UE, nacional o sectorial.

Por 鷏timo, el Plan director no sustituye a los mecanismos, dispositivos o instrumentos existentes espec韋icos de un sector o de una pol韙ica, como el establecido para el Sistema Europeo de Radionavegaci髇 por Sat閘ite (GNSS) (13) , y debe entenderse sin perjuicio de tales elementos.

Principios rectores

Al trabajar en pos de los objetivos, al identificar las actividades necesarias y asignar funciones y responsabilidades a los agentes o mecanismos respectivos, se han aplicado los principios rectores siguientes, que tambi閚 deben respetarse a la hora de preparar las futuras directrices de aplicaci髇.

Proporcionalidad: La gran mayor韆 de los incidentes de ciberseguridad que afectan a los Estados miembros est醤 muy lejos de poder considerarse 玞risis� nacionales, y mucho menos europeas. El fundamento de la cooperaci髇 entre los Estados miembros a la hora de responder a estos incidentes es aportado por la red de equipos de respuesta a incidentes de seguridad inform醫ica (CSIRT), creada por la Directiva SRI (14) . Los CSIRT nacionales cooperan e intercambian informaci髇 diariamente de forma voluntaria, en caso necesario tambi閚 en respuesta a incidentes de ciberseguridad que afecten a uno o varios Estados miembros, en consonancia con los procedimientos de trabajo normalizados (PTN) de la red de CSIRT. El Plan director debe, por tanto, hacer pleno uso de estos PTN, en los que debe reflejarse toda otra tarea espec韋ica de las crisis de ciberseguridad.

Subsidiariedad: El principio de subsidiariedad es clave. Los Estados miembros tienen la responsabilidad primaria de la respuesta en caso de incidentes o crisis de ciberseguridad a gran escala que les afecten. No obstante, la Comisi髇, el Servicio Europeo de Acci髇 Exterior y otras instituciones, 髍ganos y organismos tienen un papel importante, que est� definido claramente en el DIRPC, pero tambi閚 deriva del Derecho de la Uni髇 o simplemente de la posibilidad de que los incidentes y crisis de ciberseguridad afecten a todos los sectores de actividad econ髆ica dentro del mercado 鷑ico, a la seguridad y las relaciones internacionales de la Uni髇, as� como a las propias instituciones.

Complementariedad: El Plan director tiene plenamente en cuenta los mecanismos existentes de gesti髇 de crisis a nivel de la UE, a saber, el Dispositivo Integrado de Respuesta Pol韙ica a las Crisis (DIRPC), ARGUS, y el Mecanismo de Respuesta a las Crisis del SEAE, integra en ellos las nuevas estructuras y mecanismos de la Directiva SRI, como la red de CSIRT, as� como las agencias y 髍ganos pertinentes, a saber, la Agencia de Seguridad de las Redes y de la Informaci髇 de la Uni髇 Europea (ENISA), el Centro Europeo de Ciberdelincuencia de Europol (Europol/EC3), el Centro de An醠isis de Inteligencia de la UE (INTCEN), la Divisi髇 de Informaci髇 del Estado Mayor de la Uni髇 Europea (EMUE INT) y la Sala de Guardia (SITROOM) en el INTCEN, que trabajan conjuntamente como la SIAC (Capacidad 趎ica de An醠isis de Inteligencia); la C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas (dentro del INTCEN); y el Equipo de respuesta a emergencias inform醫icas de las instituciones, 髍ganos y organismos de la UE (CERT-UE). De esta manera, el Plan director debe garantizar tambi閚 que su interacci髇 y cooperaci髇 presente la m醲ima complementariedad y el m韓imo solapamiento.

Confidencialidad de la informaci髇: Todos los intercambios de informaci髇 en el contexto del Plan director deben cumplir las normas aplicables sobre seguridad (15) y sobre la protecci髇 de datos personales, as� como el Protocolo TLP para el intercambio de informaci髇 (16) . Para el intercambio de informaci髇 clasificada, con independencia del sistema de clasificaci髇 aplicado, se deben utilizar las herramientas acreditadas disponibles (17) . Por lo que se refiere al tratamiento de datos personales, se respetar醤 las normas aplicables de la UE, en particular el Reglamento general de protecci髇 de datos (18) , la Directiva sobre la privacidad y las comunicaciones electr髇icas (19) , y el Reglamento relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales por las instituciones, 髍ganos, oficinas y agencias de la Uni髇 y a la libre circulaci髇 de estos datos (20) .

Objetivos centrales

La cooperaci髇 en virtud del Plan director sigue el planteamiento antes mencionado de tres niveles: pol韙ico, operativo y t閏nico. A cada nivel, la cooperaci髇 puede incluir el intercambio de informaci髇 y acciones comunes, y aspira a lograr los siguientes objetivos centrales.

• - Permitir una respuesta eficaz: La respuesta puede adoptar muchas formas, desde identificar medidas t閏nicas que pueden implicar a dos o m醩 entidades que investigan conjuntamente las causas t閏nicas del incidente (por ejemplo, an醠isis de programas inform醫icos maliciosos) o identificar m閠odos mediante los cuales las organizaciones pueden evaluar si se han visto afectadas (por ejemplo, indicadores de compromiso), hasta tomar decisiones operativas sobre la aplicaci髇 de tales medidas t閏nicas y, a nivel pol韙ico, decidir sobre el lanzamiento de otros instrumentos, tales como la respuesta diplom醫ica de la UE a las actividades cibern閠icas malintencionadas (玞onjunto de instrumentos de ciberdiplomacia�) o el protocolo de actuaci髇 de la UE para contrarrestar las amenazas h韇ridas, dependiendo del incidente.
• - Compartir el conocimiento de la situaci髇: una comprensi髇 suficientemente buena de los acontecimientos, a medida que se vayan produciendo, por todas las partes interesadas pertinentes a los tres niveles (t閏nico, operativo, pol韙ico) es esencial para una respuesta coordinada. El conocimiento de la situaci髇 puede incluir elementos tecnol骻icos sobre las causas, as� como las repercusiones y el origen del incidente. Como los incidentes de ciberseguridad pueden afectar a una amplia variedad de sectores (finanzas, energ韆, transporte, sanidad, etc.), es imperativo que la informaci髇 adecuada, en el formato adecuado, llegue a todas las partes interesadas pertinentes a su debido tiempo.
• - Ponerse de acuerdo sobre los mensajes clave de comunicaci髇 al p鷅lico (21) : La comunicaci髇 de las crisis desempe馻 un papel importante para mitigar los efectos negativos de los incidentes y crisis de ciberseguridad, pero tambi閚 puede utilizarse como instrumento para influir en el comportamiento de los agresores (potenciales). Un mensaje apropiado tambi閚 puede servir para se馻lar claramente las posibles consecuencias de una respuesta diplom醫ica con el fin de influir en el comportamiento de los agresores. La adaptaci髇 de la comunicaci髇 al p鷅lico a fin de paliar los efectos negativos de los incidentes y crises de ciberseguridad y para influir en un agresor es indispensable a efectos de una respuesta pol韙ica eficaz. En la ciberseguridad es especialmente importante la difusi髇 de informaci髇 exacta que permita actuar en relaci髇 con las posibilidades de que dispongan los ciudadanos para mitigar los efectos de un incidente (por ejemplo, aplicar un parche inform醫ico, tomar medidas complementarias para evitar la amenaza, etc.).

COOPERACI覰 ENTRE LOS AGENTES DE LOS ESTADOS MIEMBROS Y ENTRE ESTOS Y LOS DE LA UE A LOS NIVELES T蒀NICO, OPERATIVO Y ESTRAT蒅ICO/POL蚑ICO

La eficacia de la respuesta a los incidentes o crisis de ciberseguridad a gran escala a nivel de la UE depende de la eficacia de la cooperaci髇 t閏nica, operativa y estrat間ica/pol韙ica.

A cada nivel, los agentes implicados deben realizar determinadas actividades en lo que respecta a la consecuci髇 de tres objetivos centrales:

• - Respuesta coordinada
• - Conocimiento compartido de la situaci髇
• - Comunicaciones al p鷅lico

A lo largo del incidente o crisis, los niveles inferiores de cooperaci髇 han de avisar, informar y apoyar a los niveles superiores, y estos han de ofrecer directrices (22) y decisiones a los niveles inferiores, seg鷑 proceda.

Cooperaci髇 a nivel t閏nico

Gama de actividades

• - Gesti髇 de incidentes (23) durante una crisis de ciberseguridad
• - Control y seguimiento de incidentes, incluido el an醠isis continuo de las amenazas y riesgos.

Agentes potenciales

A nivel t閏nico, el mecanismo central para la cooperaci髇 en el Plan director es la red de CSIRT, bajo la autoridad de la Presidencia y con la secretar韆 facilitada por la ENISA.

• - Estados miembros
  • - Autoridades competentes y puntos de contacto 鷑icos establecidos por la Directiva SRI
  • - CSIRT
• - 觬ganos/oficinas/agencias de la UE
  • - ENISA
  • - Europol/EC3
  • - CERT-UE
• - Comisi髇 Europea
  • - El CECRE (servicio operativo 24/7 situado en la DG ECHO), y el servicio responsable designado (elegido entre la DG CNECT y la DG HOME, en funci髇 del tipo concreto de incidente), la Secretar韆 General (Secretar韆 de ARGUS), la DG HR (Direcci髇 de Seguridad), la DG DIGIT (Operaciones de Seguridad de las Tecnolog韆s de la Informaci髇).
  • - Para otras agencias de la UE (24) , la respectiva DG de tutela de la Comisi髇 o el SEAE (primer punto de contacto).
• - SEAE
  • - SIAC (Capacidad 趎ica de An醠isis de Inteligencia: INTCEN y EMUE INT
  • - La Sala de Guardia de la UE y el servicio geogr醘ico o tem醫ico designado.
  • - C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas (parte del INTCEN, ciberseguridad en un contexto h韇rido)

Conocimiento compartido de la situaci髇

• - Como parte de la cooperaci髇 regular a nivel t閏nico para contribuir al conocimiento de la situaci髇 de la Uni髇, la ENISA debe preparar peri骴icamente el informe de la situaci髇 t閏nica de ciberseguridad de la UE en cuanto a incidentes y amenazas, sobre la base de la informaci髇 p鷅licamente disponible, su propio an醠isis y los informes compartidos con ella por los CSIRT de los Estados miembros (de forma voluntaria) o los puntos de contacto 鷑icos de la Directiva SRI, el Centro Europeo de Ciberdelincuencia (EC3) de Europol, el CERT-UE y, en su caso, el Centro de Inteligencia de la Uni髇 Europea (INTCEN) en el Servicio Europeo de Acci髇 Exterior (SEAE). El informe debe ponerse a disposici髇 de las instancias pertinentes del Consejo, la Comisi髇, el AR/VP y la red de CSIRT.
• - En caso de incidente grave, el presidente de la Red de CSIRT, con la ayuda de la ENISA, prepara un informe de situaci髇 del incidente de ciberseguridad de la UE (25) que se presentar� a la Presidencia, a la Comisi髇 y al AR/VP a trav閟 del CSIRT de la Presidencia de turno.
• - Todas las dem醩 agencias de la UE informan a sus respectivas direcciones generales de tutela, que a su vez informan al servicio responsable de la Comisi髇.
• - El CERT-UE proporciona informes t閏nicos a la red de CSIRT, instituciones y agencias de la UE (seg鷑 proceda) y ARGUS (si se ha activado).
• - El Europol/EC3 (26) y el CERT-UE aportan a la red de CSIRT el an醠isis forense por expertos de artefactos t閏nicos y dem醩 informaci髇 t閏nica.
• - SIAC del SEAE: En nombre del INTCEN, la C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas informa a los departamentos pertinentes del SEAE.

Respuesta:

• - La red de CSIRT intercambia datos t閏nicos y an醠isis sobre el incidente, tales como, por ejemplo, direcciones IP, indicadores de compromiso (27) , etc. Esta informaci髇 debe transmitirse a la ENISA sin demora indebida y a m醩 tardar en el plazo de 24 horas desde el momento en que se detecte el incidente.
• - De conformidad con los procedimientos de trabajo normalizados de la Red de CSIRT, sus miembros cooperan en sus esfuerzos por analizar los artefactos t閏nicos disponibles y dem醩 informaci髇 t閏nica relacionada con el incidente, con el fin de determinar la causa y las posibles medidas t閏nicas de mitigaci髇.
• - La ENISA ayuda a los CSIRT en sus actividades t閏nicas sirvi閚dose de sus conocimientos y de acuerdo con su mandato (28) .
• - Los CSIRT de los Estados miembros coordinan sus actividades de respuesta t閏nica con la ayuda de la ENISA y la Comisi髇.
• - SIAC del SEAE: En nombre del INTCEN, la C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas pone en marcha el proceso de recogida de informaci髇 para recabar las pruebas iniciales.

Comunicaciones al p鷅lico:

• - Los CSIRT emiten avisos t閏nicos (29) y alertas de vulnerabilidad (30) y los difunden entre sus respectivas comunidades y el p鷅lico, seg鷑 los procedimientos de autorizaci髇 aplicables en cada caso.
• - La ENISA facilita la elaboraci髇 y difusi髇 de comunicaciones comunes de la red de CSIRT.
• - La ENISA coordina sus actividades de comunicaci髇 al p鷅lico con la Red de CSIRT y el Servicio del Portavoz de la Comisi髇.
• - La ENISA y el EC3 coordinan sus actividades de comunicaci髇 al p鷅lico sobre la base del conocimiento compartido de la situaci髇 concertado entre los Estados miembros. Ambos 髍ganos han coordinado sus actividades de comunicaci髇 al p鷅lico con el Servicio del Portavoz de la Comisi髇.
• - Si la crisis tiene una dimensi髇 de pol韙ica exterior o de Pol韙ica Com鷑 de Seguridad y Defensa (PCSD), la comunicaci髇 al p鷅lico debe coordinarse con el SEAE y el Servicio del Portavoz del AR/VP.

Cooperaci髇 a nivel operativo

Gama de actividades:

• - Preparaci髇 de la toma de decisiones a nivel pol韙ico.
• - Coordinaci髇 de la gesti髇 de las crisis de ciberseguridad (seg鷑 proceda).
• - Evaluaci髇 de las consecuencias y del impacto a nivel de la UE, y propuesta de posibles medidas de mitigaci髇.

Agentes potenciales:

• - Estados miembros
  • - Autoridades competentes y puntos de contacto 鷑icos establecidos por la Directiva SRI.
  • - CSIRT y agencias de ciberseguridad.
  • - Otras autoridades sectoriales nacionales (en caso de incidente o crisis multisectorial).
• - 觬ganos/oficinas/agencias de la UE
  • - ENISA.
  • - Europol/EC3.
  • - CERT-UE.
• - Comisi髇 Europea
  • - Secretario General (Adjunto) SG (procedimiento ARGUS).
  • - DG CNECT/HOME.
  • - Autoridad de Seguridad de la Comisi髇.
  • - Otras DDGG (en caso de incidente o crisis multisectorial).
• - SEAE
  • - Secretario General (Adjunto) encargado de la respuesta a las crisis y SIAC (INTCEN y EMUE INT).
  • - C閘ula de fusi髇 de la UE contra las amenazas h韇ridas.
• - Consejo
  • - Presidencia [Presidente del Grupo horizontal sobre cuestiones cibern閠icas o del Coreper (31) ] con el apoyo de la SGC, o del CPS (32) y -si se activa- con el apoyo del DIRPC.

Conocimiento de la situaci髇:

• - Apoyo a la elaboraci髇 de informes pol韙ico-estrat間icos de situaci髇 (por ejemplo, el informe ISAA en caso de activaci髇 del DIRPC).
• - El Grupo horizontal del Consejo sobre cuestiones cibern閠icas prepara la reuni髇 del Coreper o del CPS seg鷑 proceda.
• - En caso de activaci髇 del DIRPC,
  • - La Presidencia podr� convocar mesas redondas en apoyo de su preparaci髇 para el Coreper o el CPS, con la participaci髇 de partes interesadas pertinentes de los Estados miembros, las instituciones, las agencias y terceros, tales como pa韘es de fuera de la UE y organizaciones internacionales. Se trata de reuniones de crisis para detectar los estrangulamientos y presentar propuestas de acci髇 sobre cuestiones transversales.
  • - El servicio responsable de la Comisi髇 o el SEAE para dirigir el ISAA elabora el informe ISAA con contribuciones de la ENISA, la red de CSIRT, Europol/EC3, EMUE INT, INTCEN y todos los dem醩 agentes pertinentes. El informe ISAA representa una evaluaci髇 a escala de la UE basada en la correlaci髇 de evaluaciones de incidentes t閏nicos y crisis (an醠isis de amenazas, evaluaciones de riesgos, consecuencias y efectos no t閏nicos, aspectos no cibern閠icos del incidente o crisis, etc.) que se adapta a las necesidades de los niveles pol韙ico y operativo.
• - En caso de activaci髇 de ARGUS,
  • - El CERT-UE y el EC3 (33) contribuyen directamente al intercambio de informaci髇 dentro de la Comisi髇.
• - En caso de activaci髇 del Mecanismo de Respuesta a las Crisis del SEAE,
  • - La SIAC intensificar� su recogida de informaci髇, reunir� la informaci髇 procedente de todas las fuentes y preparar� un an醠isis y una evaluaci髇 del incidente.

Respuesta (a petici髇 del nivel pol韙ico):

• - Cooperaci髇 transfronteriza con el punto de contacto 鷑ico y las autoridades nacionales competentes (Directiva SRI), para mitigar las consecuencias y efectos.
• - Activaci髇 de todas las medidas t閏nicas de mitigaci髇 y coordinaci髇 de las capacidades t閏nicas necesarias para evitar o reducir el impacto de los ataques a los sistemas de informaci髇 objeto de los mismos.
• - Cooperaci髇 y, si as� se decide, coordinaci髇 de las capacidades t閏nicas en aras de una respuesta conjunta o en colaboraci髇 de conformidad con los PTN de la red de CSIRT.
• - Evaluaci髇 de la necesidad de cooperar con terceras partes pertinentes.
• - Toma de decisiones dentro del procedimiento ARGUS (si se activa).
• - Preparaci髇 de las decisiones y coordinaci髇 de conformidad con el DIRPC (si se activa).
• - Apoyo a la toma de decisiones del SEAE (si se activa) mediante el Mecanismo de Respuesta a las Crisis del SEAE, tambi閚 en lo que se refiere a los contactos con terceros pa韘es y organizaciones internacionales, as� como cualquier medida destinada a garantizar la protecci髇 de las misiones y operaciones de la PCSD y las delegaciones de la UE.

Comunicaciones al p鷅lico

• - Acuerdo sobre los mensajes al p鷅lico en relaci髇 con el incidente.
• - Si la crisis tiene una dimensi髇 de pol韙ica exterior o de Pol韙ica Com鷑 de Seguridad y Defensa (PCSD), la comunicaci髇 al p鷅lico debe coordinarse con el SEAE y el Servicio del Portavoz del AR/VP.

Cooperaci髇 a nivel estrat間ico/pol韙ico

Agentes potenciales

• - Por los Estados miembros, los ministros responsables de la ciberseguridad.
• - Por el Consejo Europeo, el Presidente.
• - Por el Consejo, la Presidencia de turno.
• - En caso de medidas dentro del 玞onjunto de instrumentos de ciberdiplomacia�, el CPS y el Grupo Horizontal.
• - Por la Comisi髇 Europea, el Presidente o el Vicepresidente/Comisario delegado.
• - El Alto Representante de la Uni髇 para Asuntos Exteriores y Pol韙ica de Seguridad/Vicepresidente de la Comisi髇.

Gama de actividades: Gesti髇 estrat間ica y pol韙ica de los aspectos de la crisis, tanto cibern閠icos como no cibern閠icos, con inclusi髇 de medidas con arreglo al marco para una respuesta diplom醫ica conjunta de la UE a las actividades inform醫icas malintencionadas.

Conocimiento compartido de la situaci髇

• - Identificaci髇 de los impactos de las perturbaciones causadas por la crisis sobre el funcionamiento de la Uni髇.

Respuesta:

• - Activaci髇 de mecanismos e instrumentos adicionales de gesti髇 de crisis, en funci髇 de la naturaleza y el impacto del incidente. Puede incluirse, por ejemplo, el Mecanismo de Protecci髇 Civil.
• - Toma de medidas con arreglo al marco para una respuesta diplom醫ica conjunta de la UE a las actividades inform醫icas malintencionadas.
• - Ayuda de emergencia puesta a disposici髇 de los Estados miembros afectados, por ejemplo activando el Fondo de Respuesta en casos de Emergencia de Ciberseguridad (34) una vez sea aplicable.
• - Cooperaci髇 y coordinaci髇, cuando proceda, con organizaciones internacionales como las Naciones Unidas (ONU), la Organizaci髇 para la Seguridad y la Cooperaci髇 en Europa (OSCE) y, en particular, la OTAN.
• - Evaluaci髇 de las consecuencias para la seguridad y la defensa nacionales.

Comunicaciones al p鷅lico

Decisi髇 sobre una estrategia com鷑 de comunicaci髇 al p鷅lico.

RESPUESTA COORDINADA CON LOS ESTADOS MIEMBROS A NIVEL DE LA UE EN EL MARCO DEL DIRPC

En virtud del principio de complementariedad a nivel de la UE, la presente secci髇 introduce y detalla en particular el objetivo central y las responsabilidades y actividades de las autoridades de los Estados miembros, la red de CSIRT, ENISA, CERT-EU, Europol/EC3, INTCEN, la C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas y el Grupo horizontal del Consejo sobre cuestiones cibern閠icas dentro del proceso del DIRPC. Se supone que los agentes act鷄n en consonancia con los procedimientos establecidos a nivel nacional o de la UE.

Es fundamental tener en cuenta que, tal como se ilustra en la figura 1, con independencia de la activaci髇 de los mecanismos de gesti髇 de crisis de la UE, hay actividades a nivel nacional y tambi閚 de cooperaci髇 en la Red de los CSIRT (en caso necesario) que tienen lugar a lo largo de cualquier crisis/incidente de acuerdo con los principios de subsidiariedad y proporcionalidad.

Figura 1

Respuesta a los incidentes/crisis de ciberseguridad a nivel de la UE

Todas las actividades descritas a continuaci髇 se deben realizar de conformidad con las normas y procedimientos de trabajo normalizados de los mecanismos de cooperaci髇 participantes y de acuerdo con los mandatos y competencias de los distintos agentes e instituciones. Dichos procedimientos y normas pueden necesitar algunas adiciones o modificaciones a fin de lograr la mejor cooperaci髇 posible y una respuesta eficaz en caso de crisis e incidentes de ciberseguridad a gran escala.

No todos los agentes que figuran a continuaci髇 tienen que tomar medidas durante cualquier incidente particular. No obstante, en el Plan director y en los procedimientos de trabajo normalizados pertinentes de los mecanismos de cooperaci髇 debe preverse su posible participaci髇.

Dado el diferente grado de impacto sobre la sociedad que puede tener un incidente o crisis de ciberseguridad, debe haber un alto grado de flexibilidad en cuanto a la participaci髇 de los actores sectoriales a todos los niveles, y toda respuesta adecuada habr� de basarse en actividades de mitigaci髇 de car醕ter tanto cibern閠ico como no cibern閠ico.

Gesti髇 de crisis de ciberseguridad - Integraci髇 de la ciberseguridad dentro del proceso del DIRPC

El DIRPC, como se describe en sus PTN (35) , sigue secuencialmente los pasos que se describen a continuaci髇 (el uso de algunos de estos pasos depender� de la situaci髇).

En cada paso se especifican actividades y agentes relacionados con la ciberseguridad. Para facilitar la lectura, en cada paso se presenta el texto de los PTN de la RPC, seguido de las actividades espec韋icas del Plan director. Este enfoque paso a paso tambi閚 permite una clara identificaci髇 de las deficiencias existentes en las capacidades y procedimientos necesarios que impiden una respuesta eficaz a las crisis de ciberseguridad.

La figura 2 [a continuaci髇 (36) ] es una representaci髇 gr醘ica del proceso del DIRPC en la que los nuevos elementos que se introducen se resaltan en azul.

Figura 2

Elementos espec韋icos de la ciberseguridad del DIRPC

Nota: Dada la naturaleza de las amenazas h韇ridas en el ciberespacio que est醤 dise馻das para permanecer por debajo del umbral de crisis reconocible, la UE debe tomar medidas preventivas y de preparaci髇. La C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas tiene la tarea de analizar con rapidez los incidentes pertinentes e informar a las estructuras de coordinaci髇 apropiadas. La presentaci髇 de informes peri骴icos de la C閘ula de Fusi髇 puede contribuir a informar a las instancias que elaboran las pol韙icas sectoriales, a fin de mejorar la preparaci髇.

• - Paso 1 - Vigilancia y alerta sectorial peri骴ica: Los actuales informes de situaci髇 y alertas peri骴icos por sectores facilitan indicaciones a la Presidencia del Consejo sobre una crisis en desarrollo y su posible evoluci髇.
  • - Deficiencia se馻lada: En la actualidad no existen informes de situaci髇 y alertas peri骴icos y coordinados sobre la ciberseguridad por lo que se refiere a los incidentes (y amenazas) de ciberseguridad a nivel de la UE.
  • - Plan director: Vigilancia/notificaci髇 de la situaci髇 de ciberseguridad de la UE
    • - La ENISA preparar� un informe peri骴ico sobre la situaci髇 t閏nica de ciberseguridad de la UE en cuanto a incidentes y amenazas de ciberseguridad, sobre la base de la informaci髇 p鷅licamente disponible, su propio an醠isis y los informes compartidos con ella por los CSIRT de los Estados miembros (de forma voluntaria) o los puntos de contacto 鷑icos de la Directiva SRI, el Centro Europeo de Ciberdelincuencia (EC3) de Europol, el CERT-UE y el Centro de Inteligencia de la Uni髇 Europea (INTCEN) en el Servicio Europeo de Acci髇 Exterior (SEAE). El informe debe ponerse a disposici髇 de las instancias pertinentes del Consejo, la Comisi髇 y la red de CSIRT.
    • - En nombre de la SIAC, la C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas debe elaborar un informe de situaci髇 operativa sobre la ciberseguridad de la UE. El informe tambi閚 presta ayuda al marco para una respuesta diplom醫ica conjunta de la UE a las actividades inform醫icas malintencionadas.
    • - Ambos informes se difunden a las partes interesadas nacionales y de la UE a fin de mejorar su propio conocimiento de la situaci髇, contribuir a la toma de decisiones y facilitar la cooperaci髇 regional transfronteriza.

Tras la detecci髇 de un incidente

• - Paso 2 - An醠isis y asesoramiento: Sobre la base de la vigilancia y alerta disponibles, los servicios de la Comisi髇, el SEAE y la SGC se mantienen mutuamente informados sobre la posible evoluci髇, a fin de estar preparados para asesorar a la Presidencia en relaci髇 con una posible activaci髇 (plena o en modo de intercambio de informaci髇) del DIRPC.
  • - Plan director:
    • - Por la Comisi髇, DG CNECT, DG HOME, DG HR.DS y DG DIGIT, con el apoyo de la ENISA, el EC3 y el CERT-UE.
    • - SEAE: Bas醤dose en el trabajo realizado por la SITROOM y en fuentes de inteligencia, la C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas proporciona conocimiento de la situaci髇 sobre amenazas h韇ridas reales y potenciales que afecten a la UE y sus socios, incluidas las amenazas cibern閠icas. Por lo tanto, cuando el an醠isis y valoraci髇 de la C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas indique la existencia de posibles amenazas dirigidas contra un Estado miembro, pa韘es socios o una organizaci髇, el INTCEN informar� (en primera instancia) a nivel operativo, con arreglo a los procedimientos establecidos. El nivel operativo preparar� entonces recomendaciones para el nivel estrat間ico pol韙ico, incluida la posible activaci髇 de mecanismos de gesti髇 de crisis en modo de vigilancia (por ejemplo, el Mecanismo de Respuesta a las Crisis del SEAE o la p醙ina de vigilancia del DIRPC).
    • - El presidente de la Red de CSIRT, con la ayuda de la ENISA, prepara un informe de situaci髇 del incidente de ciberseguridad de la UE (37) que se presentar� a la Presidencia, a la Comisi髇 y al AR/VP a trav閟 del CSIRT de la Presidencia de turno.
• - Paso 3 - Evaluaci髇/Decisi髇 sobre la activaci髇 del DIRPC: La Presidencia eval鷄 la necesidad de coordinaci髇 pol韙ica, intercambio de informaci髇 o toma de decisiones a nivel de la UE. A tal fin, la Presidencia podr� convocar una mesa redonda informal. La Presidencia efect鷄 una primera identificaci髇 de los 醡bitos que requieren la implicaci髇 del Coreper o del Consejo. Esto constituir� la base de las directrices para la elaboraci髇 de los informes de conocimiento y an醠isis integrados de la situaci髇 (ISAA). La Presidencia decidir�, a la luz de las caracter韘ticas de la crisis, sus posibles consecuencias y las necesidades pol韙icas conexas, sobre la conveniencia de convocar reuniones de los grupos pertinentes del Consejo y/o del Coreper y/o del CPS.
  • - Plan director:
    • - Participantes en la mesa redonda:
      • - Los servicios de la Comisi髇 y el SEAE asesorar醤 a la Presidencia sobre sus 醡bitos de competencia respectivos.
      • - Representantes de los Estados miembros en el Grupo horizontal sobre cuestiones cibern閠icas apoyados por expertos de las capitales (CSIRT, autoridades competentes en materia de ciberseguridad, otros).
      • - Orientaciones pol韙icas/estrat間icas para los informes ISAA sobre la base del 鷏timo informe de situaci髇 de incidentes de ciberseguridad de la UE e informaci髇 adicional proporcionada por los participantes en la mesa redonda.
      • - Grupos de trabajo y comit閟 pertinentes:
        • - Grupo horizontal cuestiones cibern閠icas.

          La Comisi髇, el SEAE y la SGC, en pleno acuerdo y en asociaci髇 con la Presidencia, podr醤 tambi閚 decidir la activaci髇 del DIRPC en modo de intercambio de informaci髇 a trav閟 de la generaci髇 de una p醙ina de crisis, a fin de preparar el terreno para una posible activaci髇 plena.

• - Paso 4 - Activaci髇 del DIRPC/recogida e intercambio de informaci髇: Una vez activado (bien plenamente o bien en modo de intercambio de informaci髇), se genera una p醙ina de crisis en la plataforma web del DIRPC, que permite intercambios espec韋icos de informaci髇 centrada en los aspectos que contribuir醤 al ISAA y a preparar el debate a nivel pol韙ico. El servicio responsable del ISAA (uno de los servicios de la Comisi髇 o el SEAE) depender� de las circunstancias del caso.
• - Paso 5 - Elaboraci髇 de los informes ISAA: Se pondr� en marcha la elaboraci髇 de los informes ISAA. La Comisi髇 o el SEAE publicar� los informes ISAA como se indica en los PTN del ISAA y podr� fomentar m醩 el intercambio de informaci髇 en la plataforma web del DIRPC o lanzar peticiones espec韋icas de informaci髇. Los informes ISAA se adaptar醤 a las necesidades del nivel pol韙ico (es decir, el Coreper o el Consejo), seg鷑 defina la Presidencia y recoja en sus directrices, permitiendo as� una s韓tesis estrat間ica de la situaci髇 y un debate con conocimiento de causa sobre los puntos del orden del d韆 definido por la Presidencia. De conformidad con los PTN del ISAA, la naturaleza de la crisis de ciberseguridad determinar� si el informe ISAA es elaborado por uno de los servicios de la Comisi髇 (DG CNECT, DG HOME) o por el SEAE.

  Tras la activaci髇 del DIRPC, la Presidencia indicar� los 醡bitos espec韋icos de inter閟 para el ISAA a fin de dar apoyo a la coordinaci髇 pol韙ica o al proceso de toma de decisiones en el Consejo. La Presidencia tambi閚 especificar� el calendario del informe, previa consulta con los servicios de la Comisi髇 o el SEAE.

  • - Plan director:
    • - El informe ISAA contiene contribuciones de los servicios pertinentes, incluyendo los siguientes:
      • - La red de CSIRT en forma de informe de situaci髇 de los incidentes de ciberseguridad de la UE.
      • - EC3, SITROOM, la C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas, el CERT-UE. La C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas apoyar� y aportar� sus contribuciones al servicio responsable del ISAA y a la mesa redonda del DIRPC, seg鷑 proceda.
      • - Agencias y organismos sectoriales de la UE en funci髇 de los sectores afectados.
      • - Autoridades de los Estados miembros (distintas de los CSIRT).
    • - Reuni髇 de las aportaciones del ISAA (38) :
      • - Comisi髇 y agencias de la UE: El sistema inform醫ico ARGUS proporcionar� la red b醩ica interna para el ISAA. Las agencias de la UE enviar醤 sus contribuciones a sus respectivas DG de tutela, que a su vez pasar醤 la informaci髇 pertinente a ARGUS. Los servicios de la Comisi髇 y las agencias reunir醤 la informaci髇 procedente de las redes sectoriales existentes con los Estados miembros y las organizaciones internacionales y de otras fuentes pertinentes.
      • - Por el SEAE: la Sala de Guardia de la UE, apoyada por el resto de los departamentos pertinentes del SEAE, proporcionar� la red b醩ica interior y el punto de contacto 鷑ico para el ISAA. El SEAE reunir� la informaci髇 procedente de los terceros pa韘es y de las organizaciones internacionales pertinentes.
• - Paso 6 - Preparaci髇 de la mesa redonda informal de la Presidencia: La Presidencia, asistida por la Secretar韆 General del Consejo, determinar� el calendario, el orden del d韆, los participantes y los resultados esperados (posibles productos concretos) de la mesa redonda informal de la Presidencia. La SGC difundir� en la plataforma web del DIRPC en nombre de la Presidencia la informaci髇 pertinente y, en concreto, el aviso de la reuni髇.
• - Paso 7 - Mesa redonda de la Presidencia/medidas preparatorias para la coordinaci髇 pol韙ica/toma de decisiones de la UE: La Presidencia convocar� una mesa redonda informal para revisar la situaci髇, y preparar y revisar los puntos que se vayan a someter a la atenci髇 del Coreper o del Consejo. La mesa redonda informal de la Presidencia constituir� tambi閚 un foro en el que elaborar, revisar y debatir todas las propuestas de medidas que deban presentarse al Coreper/Consejo.
  • - Plan director:
    • - El Grupo horizontal del Consejo sobre cuestiones cibern閠icas debe preparar la reuni髇 del CPS o del Coreper.
• - Paso 8 - Coordinaci髇 pol韙ica y toma de decisiones en el Coreper/Consejo: Los resultados de las reuniones del Coreper o del Consejo se refieren a la coordinaci髇 de las actividades de respuesta a todos los niveles, decisiones sobre medidas excepcionales, declaraciones pol韙icas, etc. Estas decisiones tambi閚 constituyen unas directrices estrat間icas/pol韙icas actualizadas para la elaboraci髇 posterior de informes ISAA.
  • - Plan director:
    • - La decisi髇 pol韙ica de coordinar la respuesta a la crisis de ciberseguridad es ejecutada a trav閟 de las actividades (realizadas por los agentes correspondientes) que se describen arriba, en la secci髇 1 獵ooperaci髇 a los niveles estrat間ico/pol韙ico, operativo y t閏nico� por lo que se refiere a la Respuesta y a la Comunicaci髇 al p鷅lico.
    • - La elaboraci髇 de informes ISAA contin鷄 sobre la base de la cooperaci髇 a los niveles t閏nico, operativo y pol韙ico/estrat間ico en lo que respecta al Conocimiento de la situaci髇, como tambi閚 se describe en la secci髇 1.
• - Paso 9 - Vigilancia del impacto: El servicio responsable del ISAA, con la ayuda de quienes contribuyen a este, aporta informaci髇 sobre la evoluci髇 de la crisis y sobre el impacto de las decisiones pol韙icas tomadas. Este circuito de realimentaci髇 apoyar� un proceso din醡ico y contribuir� a la decisi髇 de la Presidencia sobre si continuar con la participaci髇 del nivel pol韙ico de la UE o si reducir el DIRPC.
• - Paso 10 - Disminuci髇 progresiva: Siguiendo el mismo proceso que para la activaci髇, la Presidencia podr� convocar una mesa redonda informal para evaluar la conveniencia de mantener activo o no el DIRPC. La Presidencia puede decidir concluir o rebajar la activaci髇.
  • - Plan director:
    • - La ENISA podr� ser invitada a contribuir a una investigaci髇 t閏nica del incidente a posteriori, o a realizarla, de conformidad con lo dispuesto en su mandato.

AP蒒DICE

|

1. GESTI覰 DE CRISIS, MECANISMOS DE COOPERACI覰 Y AGENTES A NIVEL DE LA UE

Mecanismos de gesti髇 de crisis

Dispositivo Integrado de Respuesta Pol韙ica a las Crisis (DIRPC): El Dispositivo Integrado de Respuesta Pol韙ica a las Crisis (DIRPC), aprobado por el Consejo el 25 de junio de 2013 (39) , tiene por objeto facilitar la oportuna coordinaci髇 y respuesta a nivel pol韙ico de la UE en caso de crisis importante. El DIRPC tambi閚 apoya la coordinaci髇 a nivel pol韙ico de la respuesta a la invocaci髇 de la cl醬sula de solidaridad (art韈ulo 222 del TFUE), como se define en la Decisi髇 2014/415/UE del Consejo, sobre la aplicaci髇 por la Uni髇 de la cl醬sula de solidaridad, adoptada el 24 de junio de 2014. Los procedimientos de trabajo normalizados (PTN) del DIRPC (40) establecen el procedimiento de activaci髇 y las medidas posteriores que deban tomarse.

ARGUS: Sistema de coordinaci髇 de crisis establecido por la Comisi髇 Europea en 2005 para facilitar un proceso espec韋ico de coordinaci髇 en caso de crisis multisectorial importante. Est� respaldado por un sistema de alerta r醦ida general (herramienta inform醫ica) con el mismo nombre. ARGUS prev� dos fases, de las que la fase II (en caso de crisis multisectorial importante) implica reuniones del Comit� de coordinaci髇 de crisis (CCC) bajo la autoridad del Presidente de la Comisi髇 o de un Comisario al que se haya atribuido la responsabilidad. El CCC re鷑e a representantes de las direcciones generales pertinentes de la Comisi髇, gabinetes, y otros servicios de la UE con el fin de dirigir y coordinar la respuesta de la Comisi髇 a la crisis. Presidido por el Secretario General Adjunto, el CCC eval鷄 la situaci髇, considera las opciones y toma decisiones que permiten actuar en relaci髇 con los instrumentos y herramientas de la UE bajo la responsabilidad de la Comisi髇, y garantiza la ejecuci髇 de las decisiones adoptadas (41) (42) .

Mecanismo de Respuesta a las Crisis del SEAE: El Mecanismo de Respuesta a las Crisis del SEAE (CRM) es un sistema estructurado para que el SEAE responda a las crisis y emergencias que tengan car醕ter exterior o una importante dimensi髇 exterior, incluidas las amenazas h韇ridas, que afecten realmente o en potencia a los intereses de la UE o a los de cualquier Estado miembro. Al velar por la participaci髇 en sus reuniones de los funcionarios pertinentes de la Comisi髇 y de la Secretar韆 del Consejo, el CRM facilita la sinergia entre los esfuerzos diplom醫icos, de seguridad y de defensa con los instrumentos financieros, comerciales y de cooperaci髇 gestionados por la Comisi髇. La C閘ula de Crisis puede estar activada mientras dure la crisis.

Mecanismos de cooperaci髇

Red de CSIRT: La red de equipos de respuesta a incidentes de seguridad inform醫ica re鷑e a todos los CSIRT nacionales y gubernamentales y al CERT-UE. El prop髎ito de la red es permitir y mejorar el intercambio de informaci髇 entre los CSIRT sobre las amenazas e incidentes de ciberseguridad y tambi閚 cooperar en la respuesta a los incidentes y crisis de ciberseguridad.

Grupo horizontal del Consejo sobre cuestiones cibern閠icas: Este Grupo se cre� con el fin de garantizar la coordinaci髇 estrat間ica y horizontal de las cuestiones de pol韙ica cibern閠ica en el Consejo y puede participar en actividades tanto legislativas como no legislativas.

Agentes

ENISA: La Agencia de Seguridad de las Redes y de la Informaci髇 de la Uni髇 Europea se cre� en 2004. Trabaja en estrecha colaboraci髇 con los Estados miembros y el sector privado para ofrecer soluciones y asesoramiento sobre cuestiones tales como los ejercicios de ciberseguridad paneuropeos, la elaboraci髇 de las estrategias nacionales de ciberseguridad, la cooperaci髇 de los CSIRT y el desarrollo de capacidades. La ENISA colabora directamente con los CSIRT en toda la UE y es la Secretar韆 de la red de CSIRT.

CECRE: El Centro de Coordinaci髇 de la Respuesta a Emergencias de la Comisi髇 (dentro de la Direcci髇 General de Protecci髇 Civil y Operaciones de Ayuda Humanitaria Europeas, DG ECHO) apoya y coordina una gran variedad de actividades de prevenci髇, preparaci髇 y respuesta de forma ininterrumpida (24/7). Inaugurado en 2013, es el eje central de la respuesta de la Comisi髇 a las crisis (enlace con otras salas de crisis de la UE), tambi閚 en su funci髇 de punto de contacto central del DIRPC, de funcionamiento ininterrumpido (24/7).

Europol/EC3: El Centro Europeo de Ciberdelincuencia (EC3), creado en 2013 dentro de Europol, apoya la respuesta policial a la ciberdelincuencia en la UE. El EC3 ofrece apoyo anal韙ico y operativo a las investigaciones de los Estados miembros y sirve como nodo central de inteligencia e informaci髇 de asuntos criminales en apoyo de las operaciones e investigaciones de los Estados miembros con sus an醠isis operativos, coordinaci髇 y conocimientos especializados, as� como con sus medios t閏nicos altamente especializados y ayuda forense digital.

CERT-UE: El Equipo de respuesta a emergencias inform醫icas de las instituciones, 髍ganos y organismos de la UE tiene mandato para mejorar la protecci髇 de las instituciones, 髍ganos y organismos de la UE contra las amenazas cibern閠icas. Es miembro de la red de CSIRT. El CERT-UE tiene acuerdos t閏nicos relativos al intercambio de informaci髇 sobre las amenazas cibern閠icas con el CIRC de la OTAN, algunos terceros pa韘es y grandes agentes comerciales en el 醡bito de la ciberseguridad.

La Comunidad de Inteligencia de la UE comprende el Centro de An醠isis de Inteligencia de la UE (INTCEN) y la Divisi髇 de Informaci髇 del Estado Mayor de la UE (EMUE INT) con arreglo al acuerdo sobre la Capacidad 趎ica de An醠isis de Inteligencia (SIAC). La misi髇 de la SIAC es aportar an醠isis de inteligencia, alerta r醦ida y conocimiento de la situaci髇 al Alto Representante de la Uni髇 Europea para Asuntos Exteriores y Pol韙ica de Seguridad y al Servicio Europeo de Acci髇 Exterior (SEAE). La SIAC ofrece sus servicios a los diferentes 髍ganos de toma de decisiones de la UE en los 醡bitos de la Pol韙ica Exterior y de Seguridad Com鷑 (PESC), la Pol韙ica Com鷑 de Seguridad y Defensa (PCSD) y lucha contra el terrorismo (CT), as� como a los Estados miembros. El INTCEN y el EMUE INT no son agencias operativas y carecen de capacidad de recogida de informaci髇. El nivel operativo de inteligencia es responsabilidad de los Estados miembros. La SIAC solo se ocupa de an醠isis estrat間icos.

C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas: La Comunicaci髇 conjunta sobre la lucha contra las amenazas h韇ridas, de abril de 2016, designa a la C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas (CFH UE) como punto central para todos los an醠isis de fuentes sobre las amenazas h韇ridas en la UE; su mandato fue aprobado en diciembre de 2016 por la Comisi髇 a trav閟 de una consulta interservicios. Situada dentro del INTCEN, la C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas forma parte de la SIAC y, por lo tanto, trabaja conjuntamente con el EMUE INT y tiene asignado un miembro militar permanente. El adjetivo 玥韇rido� se refiere al uso deliberado por un agente estatal o no estatal de una combinaci髇 de m鷏tiples herramientas y resortes de car醕ter manifiesto/encubierto, militar/civil, tales como ciberataques, campa馻s de desinformaci髇, espionaje, presi髇 econ髆ica, uso de fuerzas afines u otras actividades subversivas. La CFH UE trabaja con una amplia red de puntos de contacto, tanto en el seno de la Comisi髇 como en los Estados miembros, para proporcionar la respuesta integrada o el conjunto del planteamiento gubernamental necesario para hacer frente a diversos retos.

SITROOM UE: La Sala de Guardia de la UE forma parte del Centro de An醠isis de Inteligencia de la UE (INTCEN), y aporta al SEAE capacidad operativa a fin de garantizar una respuesta inmediata y eficaz a las crisis. Se trata de un organismo civil-militar disponible permanentemente que facilita la vigilancia mundial y el conocimiento de la situaci髇 con un funcionamiento ininterrumpido (24/7).

Instrumentos pertinentes

Marco para una respuesta diplom醫ica conjunta de la UE a las actividades inform醫icas malintencionadas: El marco, acordado en junio de 2017, forma parte integrante del enfoque de la UE sobre la ciberdiplomacia, que contribuye a la prevenci髇 de conflictos, la mitigaci髇 de las amenazas contra la seguridad cibern閠ica y a una mayor estabilidad en las relaciones internacionales. El Marco hace pleno uso de medidas dentro de la Pol韙ica Exterior y de Seguridad Com鷑, incluyendo, en caso necesario, la adopci髇 de medidas restrictivas. La utilizaci髇 de las medidas del Marco debe fomentar la cooperaci髇, facilitar la mitigaci髇 de las amenazas inmediatas y a largo plazo e influir en el comportamiento del autor responsable y de posibles agresores a largo plazo.

2. COORDINACI覰 ANTE LAS CRISIS DE CIBERSEGURIDAD EN EL DIRPC: CAPA DE COORDINACI覰 HORIZONTAL Y ESCALADA POL蚑ICA

El DIRPC puede ser utilizado (y lo ha sido) para hacer frente a cuestiones t閏nicas y operativas, pero siempre desde un punto de vista pol韙ico/estrat間ico.

En t閞minos de escalada, el DIRPC puede utilizarse seg鷑 el nivel de la crisis, pasando del 玬odo de vigilancia� al 玬odo de intercambio de informaci髇�, que es el primer nivel de activaci髇 del DIRPC, y a la 玜ctivaci髇 plena del DRPIC�.

El paso a la activaci髇 plena corresponde a una decisi髇 de la Presidencia de turno del Consejo de la UE. La Comisi髇, el SEAE y la SGC pueden activar el DIRPC en modo de intercambio de informaci髇. El modo de vigilancia y el de intercambio de informaci髇 corresponden a distintos niveles de informaci髇 compartida, ya que el modo de intercambio de informaci髇 implica una petici髇 de elaboraci髇 de informes ISAA. La activaci髇 plena a馻de a la caja de herramientas mesas redondas del DIRPC, con participaci髇 de la Presidencia (normalmente el presidente del Coreper II, o un experto en el tema a nivel de consejero de las Representaciones Permanentes, pero excepcionalmente se han celebrado mesas redondas a nivel ministerial).

Agentes

Se encarga de la direcci髇 la Presidencia de turno (normalmente, el presidente del Coreper).

Por el Consejo Europeo, el Gabinete del Presidente.

Por la Comisi髇 Europea, el Secretario General Adjunto/a nivel de DG y/o de expertos sobre el tema.

Por el SEAE, el Secretario General Adjunto/a nivel de director ejecutivo y/o de expertos sobre el tema.

Por lo que respecta a la SGC, el Gabinete del Secretario General, el equipo del DIRPC y las Direcciones Generales responsables.

Gama de actividades: Generaci髇 de una visi髇 integrada com鷑 de la situaci髇 y aumento de la sensibilizaci髇 ante los estrangulamientos o deficiencias a cada uno de los tres niveles, a fin de tratarlos al nivel pol韙ico, generaci髇 de decisiones en la mesa si entran dentro del 醡bito de competencias de los participantes, o generaci髇 de propuestas de actuaci髇 que vayan al Coreper II y hasta el Consejo.

Conocimiento compartido de la situaci髇

(No activado): Pueden generarse p醙inas de vigilancia del DIRPC para seguir la evoluci髇 de las situaciones que puedan escalar hasta una crisis con ramificaciones en la UE.

(Intercambio de informaci髇 del DIRPC): Los informes ISAA ser醤 redactados por el responsable de este, sobre la base de las contribuciones de los servicios de la Comisi髇, el SEAE y los Estados miembros (a trav閟 de los cuestionarios del DIRPC).

(Activaci髇 plena del DIRPC): Adem醩 de los informes ISAA, las mesas redondas informales del DIRPC re鷑en a los distintos agentes interesados de los Estados miembros, la Comisi髇, el SEAE, las agencias pertinentes, etc., para debatir las deficiencias y estrangulamientos.

Cooperaci髇 y respuesta

Activaci髇/sincronizaci髇 de mecanismos/instrumentos adicionales de gesti髇 de crisis, en funci髇 de la naturaleza y del impacto del incidente. Entre ellos se pueden incluir, por ejemplo, el Mecanismo de Protecci髇 Civil, el marco para una respuesta diplom醫ica conjunta de la UE a las actividades inform醫icas malintencionadas o el marco com鷑 relativo a la lucha contra las amenazas h韇ridas.

Comunicaciones en caso de crisis

La red del comunicador de crisis del DIRPC puede ser activada por la Presidencia, previa consulta con los servicios pertinentes de la Comisi髇, la SGC y el SEAE, con el fin de apoyar la creaci髇 de mensajes comunes o elaborar los instrumentos de comunicaci髇 m醩 eficaces.

3. GESTI覰 DE LAS CRISIS DE CIBERSEGURIDAD EN ARGUS: INTERCAMBIO DE INFORMACI覰 DENTRO DE LA COMISI覰 EUROPEA

Tras enfrentarse a crisis imprevistas que exigieron medidas a nivel europeo, como los atentados terroristas de Madrid (marzo de 2004), el tsunami del sudeste asi醫ico (diciembre de 2004) y los ataques terroristas de Londres (julio de 2005), en 2005 la Comisi髇 cre� el sistema de coordinaci髇 ARGUS, con el apoyo de un sistema de alerta r醦ida general del mismo nombre (43) (44) . Su objetivo es ofrecer un procedimiento espec韋ico de coordinaci髇 de crisis en caso de crisis multisectorial importante, a fin de permitir el intercambio en tiempo real de informaci髇 relacionada con la crisis, y asegurar una r醦ida toma de decisiones.

ARGUS define dos fases en funci髇 de la gravedad del caso:

Fase I: utilizada para 玞ompartir informaci髇� sobre una crisis de escala limitada

Entre los ejemplos de incidentes notificados recientemente en la fase I se incluyen los incendios forestales de Portugal e Israel, el ataque de Berl韓 de 2016, las inundaciones de Albania, el hurac醤 Matthew en Hait� y la sequ韆 en Bolivia. Cualquier DG puede iniciar un incidente en fase I si considera que una situaci髇 en su 醡bito de competencia es lo suficientemente grave como para justificar la puesta en com鷑 de informaci髇 o poder beneficiarse de esta. Por ejemplo, la DG CNECT o la DG HOME pueden iniciar un incidente en fase I si consideran que una situaci髇 de ciberseguridad en su 醡bito de competencia es lo suficientemente grave como para justificar la puesta en com鷑 de informaci髇 o poder beneficiarse de esta.

Fase II: activada en caso de crisis multisectorial importante o amenaza previsible o inminente para la Uni髇

La fase II desencadena un proceso espec韋ico de coordinaci髇 que permite a la Comisi髇 tomar decisiones y gestionar una respuesta r醦ida, coordinada y coherente, al m醩 alto nivel en su 醡bito de competencia y en cooperaci髇 con las dem醩 instituciones. La fase II est� prevista para una crisis multisectorial importante o para una amenaza previsible o inminente de una crisis as�. Entre los ejemplos de la vida real de incidentes de la fase II se encuentran la crisis migratoria y de refugiados (iniciada en 2015 y todav韆 activa), el desastre triple de Fukushima (2011) y la erupci髇 del volc醤 Eyjafjallaj鰇ull en Islandia (2010).

La fase II es activada por el presidente, por propia iniciativa o a petici髇 de un miembro de la comisi髇.

El presidente puede asignar la responsabilidad pol韙ica de la respuesta de la comisi髇 a un comisario responsable del servicio m醩 afectado por la crisis en cuesti髇 o decidir que retiene 閘 mismo la responsabilidad.

Contempla reuniones de emergencia del Comit� de coordinaci髇 de crisis (CCC). Estas reuniones se convocan bajo la autoridad del presidente o de un miembro de la Comisi髇 a quien se haya atribuido la responsabilidad. Las reuniones son convocadas por el secretario general a trav閟 de la herramienta inform醫ica ARGUS. El CCC es una estructura operativa espec韋ica de gesti髇 de crisis creada para dirigir y coordinar la respuesta de la Comisi髇 a las crisis, que re鷑e a representantes de todas las Direcciones Generales de la Comisi髇, gabinetes y otros servicios de la UE. El CCC, presidido por el secretario general adjunto, eval鷄 la situaci髇, considera las opciones y toma decisiones, adem醩 de velar por que se ejecuten las decisiones y medidas, garantizando al mismo tiempo la coherencia de la respuesta. La SG facilita ayuda al CCC.

4. MECANISMO DE RESPUESTA A LAS CRISIS DEL SEAE

El Mecanismo de Respuesta a las Crisis del SEAE (CRM) se activa en caso de que se presente una emergencia o situaci髇 grave relacionada con la dimensi髇 exterior de la UE, o que afecte a esta dimensi髇 de alguna manera. EL CRM es activado por el SGA encargado de la respuesta a las crisis, previa consulta con el AR/VP o el secretario general. Tambi閚 es posible que el SGA reciba del AR/VP, del SG o de otro SGA o director ejecutivo el encargo de iniciar el Mecanismo de Respuesta a las Crisis.

El CRM contribuye a la coherencia de la UE en la respuesta a las crisis dentro de la Estrategia de Seguridad. En particular, el CRM facilita la sinergia entre los esfuerzos diplom醫icos, de seguridad y de defensa con los instrumentos financieros, comerciales y de cooperaci髇 gestionados por la Comisi髇.

El CRM est� vinculado al sistema general de respuesta a las emergencias de la Comisi髇 (ARGUS) y al Dispositivo Integrado de Respuesta Pol韙ica a las Crisis (DIRPC), a fin de explotar las sinergias en caso de activaci髇 simult醤ea. La Sala de Guardia del SEAE act鷄 como plataforma de comunicaci髇 entre el SEAE y los sistemas de respuesta a las emergencias del Consejo y de la Comisi髇.

Normalmente, la primera medida relacionada con la aplicaci髇 del CRM es la convocatoria de una reuni髇 de crisis entre los altos cargos del SEAE, de la Comisi髇 y del Consejo directamente afectados por la crisis en cuesti髇. La reuni髇 de crisis eval鷄 los efectos a corto plazo de la crisis, y puede convenir la adopci髇 de medidas inmediatas, o la activaci髇 de la C閘ula de Crisis, o la convocatoria de la Plataforma de Crisis. Estas v韆s pueden seguirse en cualquier secuencia temporal.

La C閘ula de Crisis es una peque馻 sala de operaciones en la que se re鷑en representantes de los servicios del SEAE, de la Comisi髇 y del Consejo que participan en la respuesta a la crisis para vigilar continuamente la situaci髇 a fin de ayudar a los responsables de tomar las decisiones en la sede central del SEAE. Cuando se ha activado, la C閘ula de Crisis est� operativa las 24 horas del d韆, 7 d韆s a la semana.

La Plataforma de Crisis re鷑e a los servicios pertinentes del SEAE, de la Comisi髇 y del Consejo para evaluar los efectos a medio y largo plazo de las crisis y acordar las medidas que deban tomarse. Est� presidida por el AR/VP, o el secretario general, o el secretario general adjunto encargado de la respuesta a las crisis. La Plataforma de Crisis eval鷄 la eficacia de la acci髇 de la UE en la regi髇 o pa韘 de la crisis, decide sobre eventuales modificaciones o medidas adicionales y debate propuestas de medidas del Consejo. La Plataforma de Crisis es una reuni髇 ad hoc; por lo tanto, no est� activada de forma permanente.

El Grupo Operativo est� integrado por representantes de los servicios que participan en la respuesta y puede activarse para seguir y facilitar la ejecuci髇 de la respuesta de la UE. Eval鷄 el impacto de las medidas de la UE, elabora documentos sobre pol韙icas y sobre opciones, contribuye a la preparaci髇 del Marco Pol韙ico para la Gesti髇 de Crisis (PFCA), contribuye a la Estrategia de Comunicaci髇, y adopta cualquier otra disposici髇 que pueda facilitar la ejecuci髇 de la respuesta de la UE.

5. DOCUMENTOS DE REFERENCIA

A continuaci髇 figura una lista de los documentos de referencia que se han tenido en cuenta en la elaboraci髇 del Plan director:

• - Marco Europeo de Cooperaci髇 ante las Crisis Cibern閠icas (European Cyber Crises Cooperation Framework), Versi髇 1, de 17 de octubre de 2012.
• - Informe sobre cooperaci髇 y gesti髇 de las crisis cibern閠icas (Report on Cyber Crisis Cooperation and Management), ENISA, 2014.
• - Informaci髇 que permite actuar en relaci髇 con la respuesta a los incidentes de seguridad (Actionable Information for Security Incident Response), ENISA, 2014.
• - Pr醕ticas comunes de gesti髇 de crisis a escala de la UE y aplicabilidad ante crisis cibern閠icas (Common practices of EU-level crisis management and applicability to cyber crises), ENISA, 2015.
• - Estrategias de respuesta a los incidentes y cooperaci髇 ante las crisis de ciberseguridad (Strategies for Incident Response and Cyber Crisis Cooperation), ENISA, 2016.
• - Procedimientos de trabajo normalizados en cibern閠ica de la UE (EU Cyber Standard Operating Procedures), ENISA, 2016.
• - Gu韆 de buenas pr醕ticas para el uso de taxonom韆s en la prevenci髇 y detecci髇 de incidentes (A good practice guide of using taxonomies in incident prevention and detection), ENISA, 2017.
• - Comunicaci髇 玆eforzar el sistema de ciberresiliencia de Europa y promover una industria de la ciberseguridad competitiva e innovadora [COM(2016) 410 final], de 5 de julio de 2016.
• - Conclusiones del Consejo� Reforzar el sistema de ciberresiliencia de Europa y promover una industria de la ciberseguridad competitiva e innovadora (15 de noviembre de 2016), doc. 14540/16.
• - Decisi髇 2014/415/UE del Consejo, de 24 de junio de 2014, relativa a las modalidades de aplicaci髇 por la Uni髇 de la cl醬sula de solidaridad (DO L 192 de 1.7.2014, p. 53).
• - Finalizaci髇 del proceso de revisi髇 del DCC: Dispositivo de respuesta pol韙ica integrada de la UE a las crisis (DIRPC), doc. 10708/13, de 7 de junio de 2013.
• - Conocimiento y an醠isis integrados de la situaci髇 (ISAA). Procedimientos de trabajo normalizados [Integrated Situational Awareness and Analysis (ISAA)-Standard Operating Procedures], DS 1570/15, de 22 de octubre de 2015.
• - Disposiciones de la Comisi髇 sobre el sistema de alerta r醦ida general 獳RGUS�, COM(2005) 662 final, de 23 de diciembre de 2005.
• - Decisi髇 2006/25/CE, Euratom de la Comisi髇, de 23 de diciembre de 2005, por la que se modifica su reglamento interno (DO L 19 de 24.1.2006, p. 20).
• - Modus operandi de ARGUS (ARGUS Modus Operandi), Comisi髇 Europea, de 23 de octubre de 2013.
• - Conclusiones del Consejo sobre un marco para una respuesta diplom醫ica conjunta de la UE a las actividades inform醫icas malintencionadas (玞onjunto de instrumentos de ciberdiplomacia�), Doc. 9916/17.
• - Protocolo operativo de la UE para la lucha contra las amenazas h韇ridas (EU operational protocol for countering hybrid threats 獷U Playbook�), doc. SWD(2016) 227.
• - Mecanismo de respuesta a las crisis del SEAE, de 8 de noviembre de 2016 [Ares(2017)880661]. Documento de trabajo conjunto sobre el protocolo de actuaci髇 de la UE para contrarrestar las amenazas h韇ridas (Joint Staff Working Document EU operational protocol for countering hybrid threats, 獷U Playbook�), SWD(2016) 227 final de 5 de julio de 2016.
• - Comunicaci髇 conjunta al Parlamento Europeo y al Consejo: Comunicaci髇 conjunta sobre la lucha contra las amenazas h韇ridas. Una respuesta de la Uni髇 Europea. JOIN/2016/018 final, 6 de abril de 2016.
• - SEAE(2016) 1674 - Documento de trabajo del Servicio Europeo de Acci髇 Exterior, C閘ula de Fusi髇 de la UE contra las Amenazas H韇ridas - Mandato (Working Document of the European External Action Service - EU Hybrid Fusion Cell - Terms of Reference)

6. ELEMENTOS ESPEC虵ICOS DE CIBERSEGURIDAD EN EL PROCESO DEL DIRPC