SEGURIDAD DE REDES Y SISTEMAS DE INFORMACIÓN EN LA UNIÓN EUROPEA: ¿UN ENFOQUE INTEGRAL?

1. ÁMBITO DE APLICACIÓN MATERIAL Y FUNCIONAL[Subir]

El objetivo de la directiva NIS es establecer medidas para lograr un elevado nivel común de seguridad de redes y sistemas de información de la UE a fin de mejorar el funcionamiento del mercado interior. Esa seguridad es definida en el art. 4 de la directiva NIS como «la capacidad de las redes y los sistemas de información de resistir, con un nivel determinado de fiabilidad, toda acción que comprometa la disponibilidad, autenticidad, integridad o confidencialidad de los datos almacenados, transmitidos o tratados, o los servicios correspondientes ofrecidos por tales redes y sistemas de información o accesibles a través de ellos».

El propósito de lograr un elevado nivel común de seguridad debe entenderse desde una perspectiva material respecto de los datos almacenados, transmitidos o tratados y desde una perspectiva funcional respecto de los servicios que se prestan o a los que se accede a través de esas redes y sistemas. Ello implica, en primer lugar, que hay que distinguir entre dos posibles categorías de incidentes, los que comprometen datos y/o servicios y los que no, porque solo los primeros encajan en el marco de la directiva. Una afectación de la capacidad de redes y sistemas que no se traduzca en una incidencia sobre los datos y/o sobre los servicios no supondría un déficit de seguridad a esos efectos. Una vulnerabilidad fáctica o técnica dentro de una red y/o un sistema no sería calificada como tal, en los términos de esta directiva, si no tiene una incidencia en los datos o los servicios. En segundo lugar, hay que diferenciar entre tres posibles situaciones resultantes del hecho de que se vean afectados datos, servicios o ambos. Una incidencia sobre el acceso o la provisión del servicio es una incidencia de seguridad, pero si afecta a la disponibilidad, autenticidad, integridad o confidencialidad de los datos constituye un incidente no solo de seguridad, sino también en materia de protección de datos por el hecho de vulnerar, además, la normativa específica existente en esta materia, que es distinta según se trate de comunicaciones electrónicas^‍‍[20] o no y, en este segundo supuesto, difiere si es de aplicación la normativa general —la Directiva 95/46 derogada a partir del 25 de mayo de 2018 por el Reglamento General de Protección de Datos (RGPD)^‍‍[21]—, la específica aplicada en el caso de las instituciones y órganos de la UE conforme al Reglamento (CE) 45/2001^‍‍[22] o la relativa a la administración electrónica ( ‍Troncoso Reigada, A. (2008). La administración electrónica y la protección de datos personales. Revista Jurídica de Castilla y León, 16, 31-‍111.Troncoso Reigada, 2008). El régimen jurídico es, en consecuencia, diferente atendiendo a si se han afectado o no datos o servicios, si ha ocurrido respecto de unos u otros o ambos y dependiendo, en caso de ser datos, de la naturaleza electrónica o no de la comunicación, de si el tratamiento de los datos se realiza o no por las instituciones y órganos de la UE o de si se trata del ámbito de la administración electrónica.

La situación se complica, adicionalmente, por la definición de redes y sistemas de información realizada en el art. 4.1 de la directiva, por dos motivos. El primero es que se define ese concepto por remisión a la Directiva 2002/21/CE, entendiendo por tal una red de comunicaciones electrónicas en el sentido de su art. 2.a)^‍‍[23]. Ello implica que, tratándose del mismo concepto, el elemento determinante no es materialmente la red o el sistema, sino el servicio o el uso que se da a los mismos, lo que marca su diferente régimen jurídico, que será el del marco regulador de las comunicaciones electrónicas o el de la directiva NIS, según se use o no con esa otra finalidad. En segundo lugar, dentro de la definición de redes y sistemas, se incluyen los datos digitales almacenados, tratados, recuperados o transmitidos mediante una red electrónica o a través de cualquier dispositivo o grupo de dispositivos interconectados o relacionados entre sí^‍‍[24]. Como consecuencia de ello, mientras el régimen de comunicaciones electrónicas separa la regulación del medio de la regulación del contenido, la directiva NIS incluye el contenido mismo en la definición del medio, pero no todo el contenido, sino solo los datos, prescindiendo del componente de los servicios.

Situada en ese contexto normativo, la directiva NIS delimita su marco de aplicación mediante la exclusión de determinados ámbitos de alcance más general (art. 1.4 y 6 y considerando 45) y de algunos aspectos concretos de distinta naturaleza (art. 1.3, 5 y 7).

A) Con carácter general, la directiva NIS establece en el art. 1.6 una cláusula de salvaguardia relativa al cumplimiento de funciones estatales esenciales, en particular, la seguridad nacional y el orden público. Dispone, asimismo, en su art. 1.4, que se entenderá sin perjuicio de lo previsto en la Directiva 2011/93/UE, relativa a la lucha contra los abusos y la explotación sexual infantil^‍‍[25], la Directiva 2013/40/UE del Parlamento Europeo y del Consejo relativa a los ataques a los sistemas de información^‍‍[26] y la Directiva 2008/114/CE del Consejo sobre identificación y designación de infraestructuras críticas y la evaluación de la necesidad de mejorar su protección^‍‍[27]. Las dos primeras no ofrecen realmente posibilidades de colisión con el contenido de la directiva NIS.

La Directiva 2008/114/CE relativa a las infraestructuras críticas no contempla la infraestructura digital o las redes y sistemas de información entre los sectores y subsectores del anexo I. En 2009, en paralelo a la introducción de los requisitos de seguridad en el marco regulador de las comunicaciones electrónicas con la aprobación de la Directiva 2009/140/CE, la Comisión adopta la Comunicación sobre protección de infraestructuras críticas de información identificando amenazas y riesgos que requieren garantizar un elevado nivel de seguridad y resistencia^‍‍[28]. Pero la Directiva 2008/114/CE no establece requisitos de seguridad y notificación como los previstos en materia de comunicaciones electrónicas, prestadores de servicios de confianza o en la propia directiva NIS. El objeto de esta norma es, de conformidad con su art. 1, establecer un procedimiento de identificación y designación de infraestructuras críticas europeas (ICE) y un planteamiento común para evaluar la necesidad de mejorar su protección. El primero difiere del establecido en la directiva NIS para la identificación de operadores de servicios^‍‍[29], mientras que el segundo se concreta, básicamente, en la previsión de los planes de seguridad del operador (PSO), los responsables de enlace para la seguridad y los mecanismos de información y evaluación. El anexo II, al disponer el procedimiento PSO ICE, identifica como componente del mismo dos órdenes de medidas, permanentes y graduales, incluyendo dentro de las primeras una referencia a medidas técnicas, organizativas, de control y verificación y seguridad de los sistemas de información que no admite comparación con lo dispuesto en la directiva NIS. La Ley 8/2011, de 28 de abril^‍‍[30], por la que se transpone la directiva al derecho español incluye, sin embargo, dos disposiciones específicas relativas a la seguridad de los sistemas de información y comunicaciones en el art. 15 y a la seguridad de los datos clasificados en el art. 18. Curiosamente, también ofrece un concepto de «servicio esencial» que tampoco se identifica con su definición en la directiva NIS. El resultado de todo ello es que los requisitos de seguridad y notificación son diferentes en cada caso.

Finalmente, hay una exclusión también de orden general explicada en el considerando 45 al advertir que la directiva se aplica únicamente a las administraciones públicas que hayan sido identificadas como OSE. Es, por ello, responsabilidad de los Estados garantizar la seguridad de redes y sistemas de información de las administraciones públicas en la medida en que no presten esos servicios incluidos en el ámbito de aplicación de la directiva. En el anexo a la comunicación de la Comisión «Sacar el máximo partido a la SRI», esta institución estima que sería conveniente que los Estados consideraran la posibilidad de inclusión de la Administración Pública dentro del ámbito de aplicación de la directiva, al realizar la transposición a su derecho interno, incluso cuando se trate de servicios no incluidos dentro del anexo II ni encajables dentro de los requisitos del art 5.2^‍‍[31]. El problema estriba en que depende de los Estados esa calificación cuando, en realidad, la Administración habría de ser considerada en su totalidad como un servicio esencial por su propia naturaleza y porque cumple los criterios establecidos en el art. 5.2 en la medida en que presta un servicio esencial para el mantenimiento de actividades económicas o sociales, lo hace a través de redes y sistemas de información y un incidente puede tener efectos perturbadores significativos en la prestación de dicho servicio^‍‍[32].

B) Sobre aspectos concretos, la directiva NIS delimita su ámbito de aplicación en el art. 1.3 respecto de los requisitos de seguridad y de notificación, en el art. 1.5 respecto de la confidencialidad de la información y en el art. 1.7 cuando exista una lex specialis con un efecto equivalente al de las obligaciones establecidas en esta directiva para OSE y PSD.

a) Las obligaciones impuestas a los OSE y a los PSD en cuanto a los requisitos de seguridad y notificación no serán de aplicación, de conformidad con el art. 1.3, a las empresas sujetas a los requisitos de los arts. 13 bis y 13 ter de la Directiva 2002/21/CE, donde se establece el marco regulador de las comunicaciones electrónicas, ni a los proveedores de servicios de confianza sometidos a los requisitos del art. 19 del Reglamento (UE) 910/2014^‍‍[33], que contiene la normativa sobre identificación electrónica y servicios de confianza para las transacciones electrónicas en el mercado interior.

En realidad, el Reglamento (UE) 910/2014 establece en el art. 8 los niveles de seguridad de los sistemas de identificación electrónica y en el art. 19, los requisitos de seguridad aplicables a los proveedores de servicios de confianza. Al tratarse de un reglamento, el alcance y la naturaleza de las obligaciones son distintos. Pero es que, además, hay un régimen diferente en identificación electrónica que se refiere a datos y en requisitos de seguridad que abarcan datos y servicios, así como un sistema de supervisión más estricto en el caso de los proveedores cualificados de servicios de confianza respecto de los no cualificados. En materia de identificación electrónica, el art. 8 establece tres niveles de seguridad —bajo, medio y alto^‍‍[34]— basados en los correspondientes criterios de determinación fijados en función de las especificaciones técnicas, las normas y los procedimientos adoptados mediante actos de ejecución de la Comisión, de conformidad con lo previsto en su apdo. 3, que reenvía al procedimiento del art. 48.2^‍‍[35]. Por su parte, en cuanto a los requisitos de seguridad aplicables a los proveedores de servicios de confianza, el art. 19 establece que adoptarán las medidas técnicas y organizativas adecuadas para gestionar los riesgos para la seguridad de los servicios y para evitar y reducir el impacto de los incidentes e informar a los interesados. La notificación, sin demoras indebidas y en un plazo máximo de 24 horas, se realizará al organismo de supervisión; a los organismos relevantes; a la persona física o jurídica víctima del incidente, en su caso; a los organismos de supervisión de los Estados afectados y a ENISA, si supera el marco del Estado, y al público si reviste un interés de esa naturaleza (art. 19.2)^‍‍[36]. El organismo de supervisión, cuyas atribuciones no son equiparables a las de las autoridades competentes en la directiva NIS o en la normativa de comunicaciones electrónicas^‍‍[37], ha de informar a ENISA anualmente sobre estas notificaciones (art. 19.3).

Por su parte, atendiendo a la otra norma a la que se refiere el art. 1.3 de la directiva NIS para excluir su aplicación, la Directiva 2002/21/CE establece el marco regulador común para las empresas que suministran redes públicas de comunicaciones o prestan servicios de comunicaciones electrónicas disponibles para el público, abarcando la regulación de la transmisión, pero no la regulación de los contenidos de los servicios prestados. La Directiva 2009/140/CE del Parlamento Europeo y del Consejo, de 25 de noviembre, por la que se modifica, entre otras, esa llamada directiva marco, incorpora un art. 13 bis relativo a la seguridad e integridad de las redes y de los servicios y un art. 13 ter sobre aplicación y cumplimiento de esa normativa. El art. 13 bis establece que los Estados miembros velarán por que las empresas en cuestión adopten las medidas técnicas y organizativas adecuadas para gestionar los riesgos, para evitar y reducir el impacto de los incidentes^‍‍[38] y para garantizar la integridad de las redes a efectos de garantizar la continuidad del servicio (art.13 bis 1 y 2)^‍‍[39]. Esta última exigencia no se incluye en el caso de los proveedores de servicios de confianza. Las previsiones en materia de notificación son similares en ambos casos^‍‍[40], pero la información anual por parte de los organismos de supervisión se ha de dirigir a la Comisión y a ENISA en el caso de las redes y servicios de comunicaciones electrónicas (art. 13 bis 3) y solo a ENISA en el caso de los proveedores de servicios de confianza (art. 19.3)^‍‍[41]. El art. 13 ter dispone que los Estados miembros velarán para que las autoridades nacionales de reglamentación estén facultadas para dar instrucciones vinculantes a las empresas, para exigirles el suministro de información para la evaluación de seguridad y la realización de auditorías de seguridad y para investigar los casos de incumplimiento. Esta última previsión no se contempla expresamente en el caso de los OSE y PSD, mientras que solo respecto de los OSE —y no respecto de los PSD, ni tampoco para los servicios y redes de comunicaciones electrónicas— está previsto que las autoridades competentes especifiquen la información exigida e indiquen la finalidad de su petición (art. 15.2 de la directiva NIS).

En consecuencia, los requisitos de seguridad y notificación cuentan con un régimen normativo en el ámbito de las comunicaciones electrónicas, otro para la identificación electrónica y otros tres para los proveedores de servicios de confianza —cerrado, normal y cualificado—, a los que se suman, ahora, los dos aportados por la propia directiva para OSE y PSD^‍‍[42].

La situación se complica, además, porque cabe la posibilidad de que la prestación de servicios por parte de una empresa no se limite exclusivamente a los incluidos en el ámbito de aplicación de uno de aquellos conjuntos normativos. Un proveedor de servicios puede abarcar más de uno de esos ámbitos funcionales de actuación. En el caso de que un proveedor ofrezca servicios incluidos dentro del ámbito de aplicación de la directiva NIS, por tratarse de alguno de los comprendidos en los anexos II y III, respecto de ellos la empresa queda sujeta a la normativa NIS. El resto de los servicios se ajustarán a los requisitos previstos en cada ámbito normativo. Un mismo sujeto habrá de adaptarse respecto de la misma materia —los requisitos de seguridad y notificación— a regímenes normativos diferentes determinados por el tipo de servicio prestado en cada caso. El enfoque sectorializado conduce a que la normativa aplicable depende del tipo de servicio, no de la materia, ni de la titularidad del mismo, de manera que un sujeto puede estar sometido a requisitos y procedimientos de seguridad diferentes en cada caso. Además de una notable falta de transparencia y coherencia del modelo de seguridad, implica un escaso respeto al principio de economía de medios, cargas y procedimientos^‍‍[43].

La problemática derivada de la ausencia de un enfoque integral en materia de requisitos de seguridad de redes y sistemas de información se complica, asimismo, por la previsión de mecanismos distintos y específicos en materia de protección de datos personales y/o de la privacidad^‍‍[44]. Hay un régimen especial en el ámbito de las comunicaciones electrónicas ( ‍Comisión Europea (2015). ePrivacy Directive: assessment of transposition, effectiveness and compatibility with proposed Data Protection Regulation. Brussels: European Union.Comisión, 2015), además del general recogido en el RGPD a partir de mayo de 2018 ( ‍Martínez López-Sáez, M. (2018). Una revisión del derecho fundamental a la protección de datos de carácter personal. Un reto en clave de diálogo judicial y constitucionalismo multinivel en la Unión Europea. Valencia: Tirant Lo Blanch.Martínez: 2018), del previsto en el art. 2 de la directiva NIS respecto del tratamiento de datos por parte de las instituciones y órganos de la UE y del establecido en el marco de la administración electrónica. La falta de un enfoque común en materia de seguridad, protección de datos y privacidad ha sido considerada un obstáculo principal en el camino del mercado único digital^‍‍[45], incluso por las divergencias existentes en materia de notificación de incidentes^‍‍[46].

b) El art. 1.5 establece, sin perjuicio del art. 346 del TFUE, el régimen en materia de información confidencial. La información que merezca esta calificación según la normativa europea o nacional se intercambiará con la Comisión y otras autoridades competentes solo en la medida necesaria, pertinente y proporcionada para la aplicación de la normativa NIS y preservando la confidencialidad y los intereses de seguridad y comerciales de los OSE y PSD.

c) Las obligaciones de la directiva NIS tampoco serán de aplicación, según el art. 1.7, en los supuestos en los que exista o se adopte una lex specialis, siempre y cuando los requisitos de seguridad y de notificación establecidos en ella sean, al menos, equivalentes a las disposiciones correspondientes de la directiva. En esos supuestos se aplicará el acto jurídico sectorial específico, incluidas las disposiciones relativas a la competencia judicial^‍‍[47].

Tampoco en este caso va a ser una operación fácil aplicar esta exclusión porque, una vez identificados los servicios, exigirá comprobar los requisitos específicos de seguridad de la norma sectorial para mantenerlos en caso de que sean equivalentes o superiores a los contemplados en la directiva NIS o para excluir la aplicación de esa lex specialis si no lo son. En los considerandos 10 a 13 de la directiva NIS se contemplan tres supuestos: el transporte marítimo y fluvial, la regulación y la supervisión del sector bancario y las infraestructuras de los mercados financieros^‍‍[48]. Siguiendo el anexo de la comunicación de la Comisión «Sacar el máximo partido a la SRI», no hay legislación sectorial relativa a los PSD que establezca requisitos similares a los de la directiva NIS. En el caso de los OSE, los ámbitos sectoriales dotadas de requisitos de seguridad o notificación potencialmente equiparables se limitan al sector financiero y, en particular, la banca y las infraestructuras de los mercados financieros^‍‍[49].

El resultado es que, desde una perspectiva material y funcional, la directiva NIS no supone una homogeneización de la seguridad de redes y sistemas para el conjunto de los servicios realizados a través de redes y sistemas de información, para todos los prestadores y para todos los ámbitos materiales de actuación en los que pueden verse afectados datos y/o servicios. No existe un modelo común uniforme en materia de obligaciones, requisitos o procedimientos en materia de seguridad de redes y sistemas de información, ni tampoco de notificación, sino que la propia directiva sacraliza la diversidad de regímenes normativos y procedimentales. A ello se suma la circunstancia de que el núcleo de esta construcción normativa es el «servicio», no el titular del mismo, ni los sujetos públicos o privados, ni tampoco exactamente los ámbitos materiales de actuación, sino la naturaleza de los servicios prestados y, en su caso, de los datos vinculados a esos servicios.

2. ÁMBITO DE APLICACIÓN SUBJETIVA[Subir]

La directiva NIS establece un régimen jurídico diferenciado para dos categorías de sujetos: los OSE y los PSD. Los primeros son definidos en el art. 4.1 como la entidad pública o privada incluida en el anexo II que cumple los requisitos establecidos en el art. 5.2, donde se establecen los criterios y el procedimiento para su identificación por parte de los Estados miembros. Los PSD se conciben en sentido amplio, según el art. 4.6 de la directiva NIS, como «toda persona jurídica que preste un servicio digital», entendiendo por tal un servicio en el sentido del art. 1.1.b) de la Directiva (UE) 2015/1535, esto es, «todo servicio de la sociedad de la información, es decir, todo servicio prestado normalmente a cambio de una remuneración, a distancia, por vía electrónica y a petición individual de un destinatario de servicios»^‍‍[50].

1. LA ESTRATEGIA NACIONAL DE SEGURIDAD DE REDES Y SISTEMAS [Subir]

La directiva NIS establece, en su art. 1.2, la obligación de los Estados miembros de adoptar una estrategia nacional de seguridad de las redes y sistemas de información, definida en el art. 4.3, como «un marco que proporciona prioridades y objetivos estratégicos de seguridad de las redes y sistemas de información a escala nacional». Esa obligación se precisa definiendo su objeto y alcance en el art. 7, donde se establece el enfoque integral, la naturaleza estratégica, el ámbito de aplicación —que ha de extenderse, como mínimo, a los sectores de actividad incluidos en los anexos II y III— y un contenido normativo pormenorizado^‍‍[73]. En su comunicación «Aprovechar al máximo la SRI», la Comisión subraya el objetivo de exhaustividad de las estrategias nacionales, la necesidad de revisar las estrategias previas^‍‍[74], identificando tanto las lagunas como las buenas prácticas, y la importancia de afrontar los nuevos desafíos mediante un tratamiento holístico y coherente que puede extenderse más allá de lo previsto en la directiva NIS, pero no debe mantenerse estático^‍‍[75].

En el anexo de esa comunicación de la Comisión, como prueba adicional de la voluntad de impulsar nuevas estrategias específicas sobre seguridad de redes y sistemas o reformas substanciales de las estrategias generales en vigor, se explican dos de sus aspectos esenciales: el alcance^‍‍[76] y el contenido, y procedimiento^‍‍[77]. En este punto se justifica una metodología multistakeholder y un proceso de adopción en cinco etapas concretas consistentes en lo siguiente: a) fijación de los principios rectores y los objetivos estratégicos, que han de ser específicos, medibles, alcanzables, realistas y acotados en el tiempo (objetivos SMART); b) elaboración del contenido incluyendo medidas facilitadoras, actuaciones acotadas en el tiempo e indicadores clave del resultado con objeto de poder evaluar, perfeccionar y mejorar la estrategia, que podría ser encargado a un grupo de dirección presidido por un ministerio principal y realizado por varios grupos de redacción; c) desarrollo de un marco de gobernanza en el contexto de las estructuras administrativas y políticas nacionales y contando con partes interesadas clave; d) compilación y revisión del borrador de estrategia mediante el análisis de debilidades, amenazas, fortalezas y oportunidades (análisis DAFO) y una consulta pública; y e) adopción formal a nivel político con la necesaria dotación presupuestaria.

El alcance y el contenido asignados a las estrategias nacionales y el procedimiento previsto, en particular, identificando partes interesadas y mecanismos de asociación de la sociedad civil al proceso de elaboración de las estrategias, son indicadores sólidos y evidentes de la necesidad de adoptar nuevas estrategias, incluso si están limitadas a la seguridad de redes y sistemas, o de reformar sustancialmente las existentes que, habiendo sido adoptadas en su mayoría antes de la directiva NIS^‍‍[78], difícilmente pueden dar respuesta a sus previsiones materiales, organizativas y finalistas^‍‍[79].

2. REQUISITOS EN MATERIA DE SEGURIDAD DE REDES Y SISTEMAS DE INFORMACIÓN[Subir]

Los requisitos en materia de seguridad se encuentran recogidos en el art. 14 para los OSE y en el art. 16 para los PSD, en términos similares pero no idénticos^‍‍[80]. En ambos casos se establece que los Estados miembros velarán para que los OSE y los PSD procedan a: 1) la adopción de medidas técnicas y organizativas de gestión adecuadas y proporcionadas en función de los riesgos (arts. 14.1 y 16.1); y 2) la adopción de medidas de prevención y de reducción del impacto de los incidentes (arts. 14.2 y 16.2). En ambos se establecen las mismas funciones a cargo de la autoridad competente o el CSIRT en cuanto a la información que han de transmitir al resto de los afectados y en relación con la obligación de preservar en el desarrollo de esas tareas la confidencialidad, la seguridad y los intereses comerciales de OSE y PSD (arts. 14.5 y 16.6).

A partir de ese núcleo común, se aprecian las diferencias en su régimen jurídico. En primer lugar, en el marco de la gestión de riesgos, solo respecto de los PSD se especifican los diferentes aspectos que han de ser objeto de consideración, esto es, la seguridad de los sistemas e instalaciones, la gestión de incidentes, la gestión de la continuidad de las actividades, la supervisión, auditoría y pruebas y el cumplimiento de las normas internacionales^‍‍[81]. En segundo término, los parámetros de evaluación de impacto de un incidente son comunes en el caso del número de usuarios afectados, la duración y la extensión geográfica, pero para los PSD se añaden además el grado de perturbación del funcionamiento del servicio y el alcance del impacto sobre las actividades económicas y sociales. En tercer lugar, las categorías y calificaciones a las que se hace referencia son diferentes en unos supuestos e intercambiables en otros, arrojando una inexplicable confusión sobre el conjunto y los elementos del sistema. Los factores enunciados como intersectoriales en relación con la determinación de la «importancia de un efecto perturbador» en la prestación de un servicio en el caso de los OSE coinciden con los identificados como parámetros de «importancia de los efectos» de un incidente en relación con los mismos OSE y como parámetros de importancia «significativa» en los PSD en tres aspectos: el número de usuarios, la duración y la extensión geográfica de la zona afectada por el incidente (arts. 14.4 y 16.4). Mientras, la dependencia de otros sectores, la cuota de mercado y la importancia de la entidad para mantener un nivel suficiente de servicio son factores intersectoriales para determinar la «importancia de un efecto perturbador» en el contexto del art. 6, no constituyen parámetros de la importancia de un incidente en el caso de los OSE en el art. 14.4, ni para los PSD en el art. 16.4, que, a su vez, utiliza nociones equivalentes cuando se refiere al grado de perturbación en el funcionamiento del servicio o al alcance del impacto sobre las actividades económicas y sociales. Finalmente, cuando se trata de los factores intersectoriales y específicos, son los Estados quienes han de tenerlos en cuenta, pero no se precisa quiénes han de considerar los parámetros. Parece evidente la necesidad de una formulación más clara y coherente de cada uno de esos supuestos, incluso sin que se pretenda una homologación exacta en el estatuto a esos efectos de los OSE y los PSD.

Para terminar, una diferencia insoslayable entre ambos regímenes normativos deriva del hecho de que en el marco de los OSE está previsto un posible desarrollo normativo sobre los parámetros recogidos en el art. 16.4 de la directiva NIS por parte de las autoridades competentes en el marco del Grupo de Cooperación y en el contexto de la notificación de incidentes. En cambio, respecto de los PSD, el art. 16.8 dispone que la Comisión adoptará los actos de ejecución necesarios para especificar los requisitos relativos a los elemen- tos de seguridad y a los parámetros para la determinación del alcance significativo de un incidente. Ello ha conducido a la adopción, el 30 de enero de 2018, del Reglamento de Ejecución (UE) 2018/151, donde se especifican los elementos de seguridad y los parámetros de importancia y de impacto significativo de un incidente. No ha debido ser un trámite sencillo teniendo en cuenta que se ha adoptado varios meses después del plazo fijado para ello por la propia Directiva, el 9 de agosto de 2017. En cualquier caso, el grado de desarrollo y de precisión de este reglamento de la Comisión aumenta las posibilidades de una mayor diversificación de los condiciones de seguridad^‍‍[82], si se tiene en cuenta que la normativa correspondiente para los OSE ha de provenir de un sujeto distinto y no abundan las posibilidades de lograr un cierto grado de coincidencia en cuanto a su contenido ( ‍Robles Carrillo, M. (2018a). Medidas de aplicación de la Directiva NIS: alcance y limitaciones. En Actas de las IV Jornadas Nacionales de Investigación en Ciberseguridad. San Sebastián: Mondragon Unibertsitatea. Robles Carrillo, 2018a).

3. REQUISITOS EN MATERIA DE NOTIFICACIÓN Y NORMALIZACIÓN[Subir]

El régimen jurídico de la notificación se encuentra recogido en los arts. 14 y 16 de la directiva NIS, junto con los requisitos de seguridad, y en el art. 20, dentro de un apartado propio, el capítulo VI de dicha directiva. Haber separado los requisitos de seguridad y de notificación y tratado conjuntamente todos los aspectos de la notificación habría conducido a un resultado más coherente, transparente y homogéneo de ambos extremos. En este punto, hay que plantearse, además, si el tratamiento conjunto de los requisitos de seguridad —que son procedimentales en su condición de medios, pero finalistas desde el punto de vista de la seguridad material que se pretende alcanzar— y los de notificación —en esencia, procedimentales— podría incidir negativamente en el significado y el valor intrínseco de los primeros, que son el componente básico de esta normativa. Quizás habría sido conveniente distinguir, subrayando su mayor relevancia jurídica, la necesidad de homogeneizar los requisitos materiales de seguridad de redes y sistemas, por un lado, respecto de los procedimientos de notificación de los incidentes de seguridad, por otro.

Los arts. 14.3 y 16.3 establecen para los OSE y para los PSD, respectivamente, el requisito de notificación sin dilación indebida de los incidentes de seguridad a la autoridad competente o al CSIRT. Los elementos comunes en su régimen jurídico son los siguientes: a) ha de incluir la información necesaria para valorar su posible alcance transfronterizo; b) una vez realizada, no sujetará al notificante a una mayor responsabilidad; y c) cabe la posibilidad de informar al público, previa consulta al OSE y al PSD (arts. 14.6 y 16.7). En cuanto a las diferencias entre ambos, con carácter general, la obligación de notificación se circunscribe, en el caso de los OSE, a los incidentes que tengan efectos significativos en la continuidad de los servicios, en tanto que, para los PSD, se precisa en un doble sentido porque la notificación ha de incluir toda la información necesaria para valorar el impacto del incidente y porque se aplica solo en la medida en que disponga de acceso a esa información en función de los parámetros indicados en el apdo. 4 del art. 16^‍‍[83].

Hay otras diferencias adicionales en el régimen de notificación por parte de OSE y de PSD y entre ellas: a) cabe la opción de exigir el suministro de esa información al propio PSD (art. 16.7); b) solo respecto de los OSE y solo cuando las circunstancias lo permitan, está prevista la posibilidad de que la autoridad competente o el CSIRT proporcionen información sobre el seguimiento de la notificación de un incidente (art. 14.5); c) la información al público después de consultar a OSE y a PSD, en el primer caso, es competencia de la autoridad competente o el CSIRT, mientras que, en el segundo, puede ser realizada por dichas instituciones o exigir al PSD directamente que lo haga (art. 14.6); d) la publicidad de la información se justifica para los OSE cuando es necesaria la concienciación pública para evitar o gestionar un incidente en tanto que para los PSD se requiere, además, que esa divulgación redunde en interés público (art. 16.7); y e) las autoridades competentes dentro del Grupo de Cooperación podrán adoptar directrices sobre las circunstancias y parámetros en los que resulta exigible la notificación de incidentes a los OSE (art. 14.7), mientras que es la Comisión la encargada de adoptar los actos de ejecución a esos efectos en relación con los PSD (art. 16.8 y 9). A esas diferencias, que responden a distintos formatos ( ‍Menges, F. y Pernul, G. (2008). A comparative analysis of incident reporting formats. Computer and Security, 73, 1-‍24.Menges y Pernul, 2008: 87), hay que sumar las que pueden producirse si la notificación contempla un incidente de seguridad que haya afectado a los datos ( ‍Jasmontaite, L. (2008). Building a Cybersecurity Culture in the EU Through Mandatory Notification of Data Breaches and Incidents: Differences and Similarities of Data Vulnerability Reporting Tools. En Managing Risk in the Digital Society (pp. 129-‍142). Barcelona: Universitá Oberta de Catalunya. Jasmontaite, 2008: 131), marcando una diferencia adicional respecto de aquellos que solo afectan a servicios.

En el capítulo V de la directiva, el art. 20 recoge la posibilidad de notificación voluntaria de incidentes que tengan efectos significativos en sus actividades por parte de entidades que no son PSD y tampoco han sido calificadas como OSE. En este caso, el régimen normativo es el siguiente: a) el procedimiento aplicable es el recogido para los OSE en el art. 14; b) los Estados tienen la opción de dar prioridad a las notificaciones obligatorias sobre las voluntarias; c) las notificaciones voluntarias se tramitarán siempre que no supongan una carga desproporcionada o indebida para los Estados; d) no supondrá la imposición a la notificante de obligaciones que no le corresponderían de no haberse producido la notificación.

La notificación voluntaria es un expediente valioso en la medida en que permite extender el ámbito de aplicación de este mecanismo más allá de lo previsto para OSE y PSD y, con ello, los niveles de conocimiento sobre los incidentes, los sujetos y el estado de la seguridad de redes y sistemas, que ha de contribuir necesariamente a una mejora global de la misma. Precisamente por ello, el hecho de que los Estados tengan la opción de no proceder a su tramitación puede desalentar su uso, del mismo modo que privilegiar, con carácter general, las obligatorias sobre las voluntarias puede ser un problema si se produce un incidente de una gravedad considerablemente superior en un supuesto voluntario —que, específicamente, ha de tener efectos significativos, según el art. 20— que puede terminar relegado frente a un incidente menor respecto del cual existe una obligación de notificación.

En el capítulo V de la directiva, el art. 19 establece medidas en materia de normalización^‍‍[84]. El objetivo es promover una aplicación convergente del art. 14.1 y 2 relativo a los OSE y el art. 16.1 y 2 referido a los PSD. Hay, sin embargo, dos disposiciones que pueden dificultar ese proceso o encauzarlo en una dirección distinta de la prevista en el art. 19. La primera de ellas es el art. 16.1, que incluye el cumplimiento de normas internacionales entre las medidas técnicas y organizativas que han de adoptar los PSD y al que no se hace referencia en el art. 14.1. La segunda es el art. 16.8, que encomienda a la Comisión la adopción de los actos de ejecución para el desarrollo de esos elementos de seguridad. Como consecuencia de ese mandato, en el art. 2.5 del Reglamento de Ejecución (UE) 2018/151^‍‍[85], la Comisión identifica las dos categorías de normas internacionales a cuyo cumplimiento remite el art. 16.1: por una parte, las adoptadas por un organismo internacional de normalización en los términos definidos en el art. 2.1.a) del Reglamento (UE) 1025/2012^‍‍[86]; y, por otra, las normas y especificaciones aprobadas a nivel europeo, internacional o nacional, de acuerdo con lo previsto en el art. 19 de la directiva NIS.

Esta situación implica que el objetivo de convergencia en la normalización para OSE y PSD se ve dificultado por la circunstancia de que hay un procedimiento previsto a esos efectos en el art. 19, con la intervención de los Estados y de ENISA, mientras que se ha desarrollado otro, por aplicación del art. 16.8, por parte de la Comisión en el que se especifica la normativa de certificación respecto de los PSD. Hay una cierta falta de congruencia entre esas disposiciones que, posiblemente, podría verse resuelta si se procede a la adopción del reglamento por el que se pretende reformar ENISA y establecer una certificación de ciberseguridad a nivel europeo^‍‍[87].

4. MECANISMOS DE GARANTÍA DE EFECTIVIDAD[Subir]

El art. 15 de la directiva NIS regula la aplicación y observancia de la normativa en el caso de los OSE, mientras que el art. 17 hace lo propio respecto de los PSD. En este supuesto, dada su naturaleza, se completa con el art. 18 relativo al ejercicio de la jurisdicción. El art. 21 se ocupa de las sanciones^‍‍[88].