Mejorar la ciberseguridad o deshacerse de marcas "indeseables

En febrero de 2023. El Parlamento Europeo examinó y firmó en sesión informativa la Directiva 2022/2555 de la Unión Europea, más conocida como NIS2, cuyo objetivo es aumentar el nivel de ciberseguridad en la Unión. Las principales disposiciones de la directiva incluyen los siguientes aspectos clave:

1. Cobertura ampliada: NIS2 amplía las categorías de organizaciones cubiertas por la directiva. Ahora incluye tanto a las organizaciones "esenciales" como a las "vitales". Entre las organizaciones esenciales figuran las empresas energéticas, los servicios de transporte, los bancos, la infraestructura de los mercados financieros, la asistencia sanitaria, la infraestructura digital y los organismos gubernamentales. Entre las organizaciones importantes figuran los servicios postales, la industria química, la industria alimentaria y los fabricantes de dispositivos médicos, entre otros.
2. Controles de seguridad mínimos obligatorios: La NIS2 exige que todas las organizaciones apliquen al menos 10 elementos básicos de seguridad, entre ellos la gestión de incidentes, la seguridad de la cadena de suministro, el uso de criptografía, la continuidad de las actividades y la ciberhigiene básica(como la autenticación multifactor y la formación del personal)(Blog Infoblox)(DataGuard).
3. Notificación de incidentes cibernéticos: La Directiva establece un sistema escalonado de notificación de incidentes con plazos estrictos. Las organizaciones deben notificar los incidentes significativos a su CSIRT (Equipo de Respuesta a Incidentes de Seguridad Informática) o a la autoridad competente en las 24 horas siguientes a la detección de un incidente, seguidas de 72 horas para la notificación y, en caso necesario, la notificación provisional.
4. Gestión de riesgos: Las organizaciones deben realizar periódicamente evaluaciones de riesgos de sus sistemas informáticos, identificar posibles amenazas y vulnerabilidades y tomar medidas para mitigarlas. Esto incluye el desarrollo de planes de continuidad de negocio y recuperación de incidentes para minimizar el tiempo de inactividad y garantizar la continuidad de los servicios críticos.
5. Sanciones y medidas coercitivas: las autoridades nacionales tienen derecho a aplicar medidas adicionales, como órdenes de suspender o restringir las actividades de una organización para proteger la seguridad de las redes y los sistemas de información(DataGuard).

¿Qué significa esto en términos sencillos? Significa que ahora los proveedores de servicios de Internet (ISP) y los proveedores de servicios telefónicos no pueden suministrar todos los equipos, sino sólo los que cumplen determinados requisitos y certificaciones.
Y los equipos de conocidas empresas chinas, como Huawei y ZTE, entran en esta zona de riesgo (aunque ningún documento menciona el nombre de ningún país o empresa). En el contexto de los equipos de empresas chinas, las principales preocupaciones se refieren a los aspectos de seguridad de las cadenas de suministro y a los riesgos de utilizar equipos y tecnología de países de fuera de la UE, incluida China. Esto pone en peligro todos los equipos ya instalados de estas marcas chinas. Los que se consideren críticos e importantes dispondrán de siete años para retirar dicho hardware o software. Sin embargo, los operadores de telecomunicaciones cuyos ingresos anuales por actividades de telecomunicaciones en el ejercicio anterior superen los 10 millones de zlotys tendrán que hacerlo en un plazo de cuatro años, una disposición que se aplica a los equipos responsables de servicios críticos para la seguridad de la red. El umbral de ingresos de 10 millones de zlotys ya ha sido superado por muchos ISP locales de tamaño medio, lo que significa que no solo las mayores empresas de telecomunicaciones, como las que construyen redes 5G, estarán sujetas al régimen.

Como usted sabe, los EE.UU. ha impuesto una prohibición sobre el uso de equipos de red de empresas chinas como Huawei y ZTE, esto se debe a las medidas de seguridad nacional. La Comisión Federal de Comunicaciones de Estados Unidos (FCC) decidió prohibir la concesión de licencias y el uso de los equipos de estas empresas por considerarlos una amenaza para la seguridad nacional. La medida se enmarca en la aplicación de la Ley de Equipamiento Seguro de 2021, cuyo objetivo es prevenir los riesgos asociados al uso de equipos extranjeros en infraestructuras críticas(Comisión Federal de Comunicaciones).

En virtud de la nueva legislación, las empresas estadounidenses deben desprenderse de equipos de empresas chinas que se hayan considerado una amenaza para la seguridad nacional. Las medidas incluyen la sustitución de los equipos existentes y la prohibición de su compra y uso posteriores(Orrick).

Debido a la inestable situación política en el mundo, cuando China se inclina más hacia Oriente, muchos países ven sus tecnologías como una amenaza de China, por lo que intentan limitarse a utilizar equipos chinos en infraestructuras críticas (por miedo al espionaje o al sabotaje ).

España ya ha concedido más de 500 millones de euros en ayudas para el desarrollo de redes 5G en zonas rurales, pero ha dicho que algunos proveedores consideradosde "alto riesgo" quedarán excluidos del programa. La filial española de Huawei ha iniciado un llamado "recurso administrativo", alegando que la exclusión de proveedores individuales es "desproporcionada", "políticamente motivada" y simplemente ilegal. Desde junio de 2023. la Comisión Europea ha estado presionando a los países de la UE, animándoles a abandonar los equipos de Huawei y ZTE. Al mismo tiempo, Alemania y, en menor medida, España dependen en mayor medida que otros países de la UE de equipos de determinadas marcas chinas, hasta el punto de que la UE lo considera "inaceptable". Alemania ya se está planteando abandonar tales equipos, y la embajada china ha declarado que la RPC "no permanecerá indiferente" ante tales movimientos poco amistosos.

En España, el 38% de las redes 5G a diciembre de 2022 están construidas con equipos de Huawei, y en Alemania hablamos del 59% (17% en Francia y 51% en Italia). Se sabe que Huawei ya ha presentado un recurso en Portugal contra una decisión que prohíbe a los operadores locales utilizar los equipos de la empresa para construir redes 5G.

¿Qué significan todas estas palabras de moda sobre ciberseguridad para el usuario medio de Internet y qué cambiará para él? Sí, básicamente no cambiará nada, todas estas leyes y enmiendas descansan sobre las cabezas de los proveedores de internet y comunicaciones. Sin embargo, si la ley entra en vigor y tu proveedor no cambia los equipos o simplemente no está preparado para ello, probablemente desaparecerá tu internet doméstico, desaparecerá tu internet móvil y se romperá tu conexión 5G. Y lo peor es que el usuario medio no podrá cambiar nada, solo tendrá que esperar a que el operador tome las medidas necesarias para resolver rápidamente la situación actual. Y si el operador no dispone de equipos de sustitución, la desconexión de la comunicación y de internet puede durar no solo unas horas, sino también varios días o incluso meses.

La Directiva NIS2 de la Unión Europea fija objetivos ambiciosos para mejorar la ciberseguridad ampliando el ámbito de las organizaciones cubiertas y estableciendo requisitos estrictos de seguridad e información. Una consecuencia importante de estas medidas es el endurecimiento de los requisitos para los equipos utilizados por los proveedores de servicios de Internet y las empresas de telecomunicaciones, lo que es especialmente significativo a la luz de las actuales restricciones impuestas a los equipos de fabricantes chinos como Huawei y ZTE. Estos cambios podrían afectar significativamente a la estructura del mercado de las telecomunicaciones en Europa, acelerando la actualización de los equipos de red y aumentando el nivel general de ciberresiliencia en sectores de importancia estratégica. Al mismo tiempo, la Directiva refuerza la posición de la Unión Europea en el ámbito mundial de la ciberseguridad, proporcionando un control más estricto sobre las fuentes de posibles amenazas y alineando los requisitos de seguridad con las principales normas mundiales.
La directiva también puede tener un impacto significativo en los equipos de los ISP en el mercado polaco de las telecomunicaciones. Los ISP y los operadores de telecomunicaciones esperan que el Ministro de Digitalización no intente estigmatizar a las empresas chinas como proveedores de alto riesgo, y que la normativa sea sólo una amenaza. Sin embargo, siempre hay que tener en cuenta que la política y la situación internacional pueden empujar al Gobierno polaco a actuar aún más rápido y tomar decisiones concretas.

Autor:
Aliaksandr Roslikau