La directiva de Ciberresilencia para exigir al fabricante que el producto conectado sea seguro, más cerca

Fuenlabrada

En un tiempo en donde una gran cantidad de elementos están conectados o pueden estarlo a Internet, la UE legisla para que cualquier producto sea ciberseguro durante todo el ciclo de su vida útil. Así se recoge en el acuerdo que alcanzaron el Parlamento Europeo y el Consejo sobre la Directiva Ciberresilencia, todo ello en base a la propuesta realizada por la Comisión en septiembre de 2022.

Será el marco legal con el que se pretende que todos los productos digitales, ya sean de hardware o de software conectados a Internet, tengan medidas de ciberseguridad a lo largo de su vida útil. En estos momentos, según indica Antonio Ramos, director general de Leet Security, se está debatiendo el borrador para elaborar el texto final que deberá ser votado y convertido en Directiva comunitaria. Una vez se apruebe en el Parlamento, cada Estado miembro tendrá que adaptar esta Directiva en forma de Ley, en base a su realidad.

Entre los temas que más debate están generando a la hora de concretar esta normativa no sólo se encuentra determinar cuales serán los requisitos mínimos obligatorios sobre ciberseguridad que tendrán que cumplir los fabricantes de productos conectados, sino también cómo se controlará que eso se cumple. “Sobre esto hay mucho que decidir, desde cómo se exige su cumplimiento, hasta quién lo controla o con qué esquema de certificación se hace, entre otras cosas”.

Requisitos

Los requisitos de ciberseguridad obligatorios serán proporcionales al nivel de riesgo asociado a los dispositivos. Hablamos de smartphones, sistemas operativos, routers, pero también cosas como relojes inteligentes, cortafuegos, monitores de bebés, etc, En campos tan importantes por su uso, como el de la telefonía, el soporte para actualizaciones de software y de seguridad en los smartphones, se ha ido ampliando con el tiempo. Hay que tener en cuenta que estas actualizaciones permiten nuevas funciones y también protección contra amenazas de ciberseguridad, algo muy importante porque si dejan de recibirse, el dispositivo podría funcionar mal o estar desprotegido ante ataque de ransomware, fraudes o malware de otro tipo.

La intención es que los fabricantes sean los responsables de aplicar las medidas de ciberseguridad a lo largo de todo el ciclo de vida del producto, desde el diseño y desarrollo hasta después de su comercialización. En este sentido, indica Ramos, también la nueva directiva tendrá que determinar cuánto tiempo, después de vendido el producto, debe un fabricante garantizar la ciberseguridad, a través de actualizaciones, “porque la tecnología evoluciona rápidamente, y ese tema también hay que abordarlo”. Éste será uno de los retos que tiene que contemplar la directiva, al igual que plantearse, por ejemplo, la necesidad de conexiones mínimamente seguras, con el uso de un cifrado para las comunicaciones, entre otras cosas”.