El pasado 22 de noviembre de 2016 se celebró en la sede de la CEOE (Madrid) la jornada “Ciberseguridad en los entornos de infraestructuras críticas”, organizada por la Comisión de Seguridad y Confianza de AMETIC.

Durante su transcurso intervinieron los responsables de ciberseguridad de algunas de los principales operadores catalogados como infraestructuras críticas y que por tanto prestan servicios esenciales.

La apertura de la jornada corrió a cargo de D. Antonio Cimorra, director del Área de Desarrollo de la Economía Digital de AMETIC y secretario de la Comisión de Seguridad y Confianza.

D. Antonio destacó el papel de la Comisión como interlocutor y voz autorizada de la industria de la ciberseguridad, para pasar a destacar que lo que hace que una infraestructura sea considerada como crítica es la importancia del servicio que presta. Asimismo, recalcó que hoy en día la ciberseguridad cobra especial importancia en cualquier infraestructura, y para hacer frente a las amenazas que evolucionan, crecen y traspasan fronteras, es muy importante la labor de actualización y coordinación que realiza el CNPIC. A su vez, la recientemente aprobada Directiva NIS apunta a homogeneizar las estrategias de seguridad de los Estados miembros de la UE y señala los sectores que considera que proporcionan servicios esenciales para la sociedad.

El evento continuó con la intervención de D. Fernando Sánchez, director del CNPIC, que comenzó su ponencia con un mensaje tranquilizador sobre la Directiva NIS, indicando que su transposición a la legislación nacional se hará buscando el menor impacto posible en las empresas del sector y contando con la opinión de la industria. D. Fernando indicó que la transposición no se hace partiendo de la nada, sino que se basará en la legislación existente que, de hecho, ya reconoce las figuras de infraestructura crítica y de servicio esencial. Respecto a las obligaciones de reporte ante un ataque, el señor Sánchez indicó que la idea de una “ventanilla única” ante la que informar es muy procedente, pero más importante es que cada actor sepa exactamente a quién y cómo reportar, sin necesidad de que esa ventanilla única sea absoluta.

A continuación, tuvo lugar la mesa redonda sobre el impacto de la directiva NIS en los sectores de la energía y de las infraestructuras de transporte. El moderador de esta mesa fue D. Mariano José Benito, miembro de la Comisión de Seguridad y Confianza de AMETIC, y como ponentes asistieron D. Luis Dorda (ADIF), D. Cándido Arregui (AENA), D. Andreu Bravo (Gas Natural Fenosa) y Dña. Elena Matilla (REE).

La Directiva NIS, en principio, se ve con optimismo por parte de los operadores representados. Según las intervenciones, esta directiva ha servido para concienciar a los altos cargos de la dirección de las empresas afectadas y además puede ser muy positiva al favorecer la homogeneización de políticas en Europa. Los ponentes mostraron acuerdo en la importancia de integrar todos los tipos de seguridad (física, ciberseguridad, ante accidentes, etc.) y evitar efectos “de silo”, algo que no se consigue en el mismo grado en todas las compañías. Asimismo, apareció como un asunto preocupante dentro de la directiva la indefinición que puede existir respecto a las obligaciones de notificación y las sanciones asociadas a su incumplimiento.

La segunda mesa redonda versó sobre el impacto de la directiva NIS en el sector de la banca. El moderador fue D. Julián Inza, miembro de la Comisión de Seguridad y Confianza de AMETIC, y participaron D. Jorge Blanco (BBVA) y D. Andrés García (Santander).

Ambos responsables coincidieron en que la aplicación de la directiva NIS no debería presentar demasiada complicación para el sector bancario, muy adaptado a la ciberseguridad por la importancia que tiene en su negocio. Sí que puede ser algo más preocupante, para aquellas compañías que tienen carácter multinacional, la diferencia en las distintas transposiciones que se realicen en los estados.

También coincidieron en que la directiva se recibe con incertidumbre, por un lado, y con cierto optimismo en la esperanza de que sirva para aumentar la concienciación sobre la ciberseguridad y la visibilidad de los asuntos que aborda. Sobre la notificación de incidentes, para este sector no es algo novedoso ya que deben realizarlas ante el Banco Central Europeo, pero sí parece preocupante que no puedan converger en un mismo organismo las diferentes obligaciones de notificación. En su opinión, las actividades de notificación deberían abordarse más desde un punto voluntarista y de colaboración que desde la obligación literal y la sanción.

Por último, la jornada fue clausurada por D. Juan Carlos Batanero, presidente de la Comisión de Seguridad y Confianza de AMETIC. Tras realizar una breve síntesis de lo expuesto durante la mañana, D. Juan Carlos agradeció la asistencia de los organizadores, los ponentes y el público en general, y expresó su deseo de volver a verles en futuras jornadas similares que puedan organizarse desde la Comisión.