En efecto, según un análisis de la Asociación Tactical de Herve Falciani, la futura directiva europea prioriza la seguridad de los denunciantes, mientras que en el actual texto del proyecto de ley español lo que más preocupa es que “los operadores de servicios esenciales notificarán a la autoridad competente, a través del CSIRT de referencia, los incidentes que puedan tener efectos perturbadores significativos en dichos servicios”. Y ello pese a que España es uno de los cuatro países miembros de la UE, junto Bulgaria, Chipre y Lituania, donde el nivel de protección de los denunciantes es más bajo, según le document Annexes 1 – 11 to the Proposal for a Directive on the protection of persons reporting on breaches of Union law (página 78).
Esta es una de las conclusiones de la Asociación Tactical Whistleblower (Denuncia Táctica) al comparar dos textos reguladores ante la que ha presentado alegaciones y sugerencias: el proyecto de directiva europea, según el cual el fraude, la corrupción y otras irregularidades dentro de organizaciones o empresas públicas o privadas amenazan gravemente el interés público, y el proyecto español de Ley de seguridad de las redes y sistemas de información.
Sin explicar está disparidad, la Guía Nacional de Notificación y Gestión de Ciberincidentes anunciada este miércoles por el Gobierno dice que es un documento técnico que establece una referencia en el ámbito de la notificación y gestión de incidentes de ciberseguridad en territorio español. Proporciona a los responsables de seguridad de la información directrices para reportar incidentes de ciberseguridad en las administraciones públicas, las infraestructuras críticas y operadores estratégicos de su competencia, así como el resto de entidades comprendidas en el ámbito de aplicación del Real Decreto-ley 12/2018 sobre seguridad de las redes y sistemas de información.
La Guía, que consta de ocho capítulos y cuatro anexos, establece un detallado esquema de notificación a partir de una serie de criterios de impacto recogidos en el documento, y cataloga los incidentes en cinco niveles de peligrosidad: crítico, muy alto, alto, medio y bajo. Como uno de sus principales avances, plantea un sistema de "ventanilla única" para la notificación de estos incidentes con el propósito de aumentar la eficiencia en el tratamiento de la información y optimizar los resultados.
El aspecto más innovador de la Guía segun la versión del gobierno es la presentación de una clasificación única de incidentes, en un ejercicio de concreción técnica, colaboración público-privada y coordinación entre múltiples actores. Concretamente, el documento relaciona 38 tipos posibles de incidente, enmarcados dentro de 10 clasificaciones diferentes, que vienen acompañados por una serie de descripciones y ejemplos prácticos para orientar las comunicaciones y ayudar al análisis, contención y erradicación del ciberincidente.
Sobre este marco común, la Guía posibilita la existencia de otros casos especiales, en función de la existencia de normas jurídicas que puedan exigir un esfuerzo extra a las organizaciones dentro de su ámbito de aplicación. Es el caso de aquellos operadores designados como "críticos" en aplicación de la Ley 8/2011, PIC, a quienes se añaden una serie de especificaciones adicionales, entre las que se cuentan comunicaciones obligatorias, contenidos mínimos a notificar, o ventana temporal de reporte.
Esta Guía dice integrar todos los aspectos comunes requeridos técnicamente por los CSIRT nacionales junto a aquellos específicos propios del Sistema Nacional de Protección de Infraestructuras Críticas.Además, se convierte en el eje fundamental que sustenta la implementación nacional, a través de la transposición de la Directiva NIS (RD-ley 12/2018), de la obligación de notificar ciberincidentes asignada a los operadores de servicios esenciales.
El Catálogo Nacional de Infraestructuras Críticas (se trata de información completa, actualizada y contrastada sobre la totalidad de las infraestructuras estratégicas en el territorio nacional, su ubicación, titularidad, servicio que presta, nivel de seguridad que precisan, etcétera), está calificado como secreto, dada la alta sensibilidad para la seguridad nacional de la información contenida en dicho Catálogo. Comprende más de 3.500 instalaciones e infraestructuras sensibles dentro de las siguientes áreas estratégicas:
* Energía
* Industria Nuclear
* Tecnológicas de la Información
* Transportes
* Suministro de Agua
* Suministro de Alimentos
* Salud
* Sistema Financiero
* Industria Química
* Espacio
* Recursos
* Administración
Este catálogo contiene la descripción de las infraestructuras, los medios de contacto con las mismas, el tipo de instalación, datos geográficos y de localización, información de seguridad, riesgos evaluados, información de las fuerzas de seguridad, e información audiovisual.
La oportunidad de la Guía, para cuya redacción se creó un grupo de trabajo con los mencionados organismos públicos, y que ha contado con el concurso de expertos y responsables de seguridad de la información de los principales operadores de servicios esenciales españoles, viene dada por la necesaria adecuación a las exigencias del mencionado RD-ley 12/2018, de seguridad de las redes y sistemas de información, aprobado recientemente, por el que se transpone la conocida como "Directiva NIS" (Directiva 2016/1148 del Parlamento Europeo y del Consejo, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión).
