Retrasos y poca información lastran la ciberdefensa de la UE, según auditores
Bruselas, 21 sep (EFE).- Los países de la Unión Europea (UE) comparten poca información sobre ciberataques y eso lastra la respuesta común, según un informe del Tribunal de Cuentas Europeo (TCE) publicado este lunes, que la considera "solo parcialmente eficaz".
El TCE reconoce que el marco de cooperación avanza, pero lo frenan los retrasos en su aplicación y el escaso intercambio de información entre Estados miembros.
"La UE ha avanzado en el establecimiento de un marco de cooperación en materia de ciberseguridad, pero este todavía no ha alcanzado todo su potencial", afirmó el miembro del TCE responsable de la auditoría, George-Marius Hyzler.
El informe hace hincapié en la tardanza en transponer a la legislación nacional la directiva sobre seguridad de redes y sistemas de información (SRI 2), que actualizó en 2022 las normas europeas de ciberseguridad y de notificación de incidentes.
También pesan la dificultad de saber cuándo un incidente cruza fronteras y las leyes de seguridad nacional que impiden compartir datos: "Cuando se producen incidentes de ciberseguridad graves es fundamental disponer de información práctica y puntual. Sin ella, las redes y los mecanismos pierden gran parte de su valor añadido", añadió Hyzler.
Las herramientas pensadas para corregirlo tampoco están listas. El Sistema Europeo de Alerta de Ciberseguridad, una red de centros cibernéticos nacionales y transfronterizos, no estaba operativo cuando se hizo la auditoría, que abarca de 2022 a 2025.
Dos de sus centros, ATHENA y ENSOC, acumulaban retrasos en la contratación de herramientas y servicios, y "todavía no se habían establecido los acuerdos de cooperación exigidos, una taxonomía común y las normas técnicas necesarias para el funcionamiento del sistema", según el texto.
Mientras, la Comisión mantiene su propio Centro de Situación Cibernética, que se apoya en proveedores externos cuyo trabajo duplica en ciertos ámbitos el de la Agencia de la UE para la Ciberseguridad (ENISA), según los auditores. Su contrato vence a finales de 2026 y no hay un plan detallado para después.
La Reserva de Ciberseguridad, empresas contratadas de antemano para acudir a cualquier hora, sí permite responder rápido, pero su presupuesto se reparte a partes iguales entre los Veintisiete, con independencia de lo que necesite cada uno, y el TCE teme que se use más para preparar que para responder.
El Centro Europeo de Competencia en Ciberseguridad, que gestiona 1.400 millones de euros (unos 1.600 millones de dólares al cambio actual) del presupuesto de la UE para ciberseguridad, no comprueba cómo los beneficiarios verifican que los terceros a los que financian son europeos.
Esos controles buscan frenar la intrusión o influencia de terceros Estados y evitar que información sensible llegue a sus autoridades, por lo que el TCE advierte de que su fallo podría exponer infraestructura sensible, datos operativos y tecnologías críticas.
El TCE resume sus mejoras necesarias en cuatro puntos, con plazos no vinculantes de 2026 a 2028.
Entre ellas, buscar fórmulas para compartir más información sin chocar con la seguridad nacional, conectar el Sistema Europeo de Alerta de Ciberseguridad con las redes de equipos nacionales de respuesta y de gestión de cibercrisis, y comprobar por muestreo que el dinero sólo llega a entidades subvencionables.
También pide control adecuado de quién recibe fondos y seguimiento del rendimiento.
Bruselas ya ha respondido que estudiará con atención las recomendaciones y ha recordado que la propuesta de revisión del Reglamento de Ciberseguridad, presentada en enero de 2026, plantea reforzar a ENISA en respuesta a incidentes. EFE
Infobae
