Los ciberataques masivos y a escala global de los pasados 12 de mayo y 27 de junio, a través de los virus WannaCry y Petya dejaron al descubierto la vulnerabilidad de las redes de información de las que depende cada vez más la sociedad avanzada.
Aunque los efectos de estos en España fueron limitados, confirmaron la necesidad de disponer de un instrumento legal que permita a la Administración garantizar que este tipo de empresas adoptan las medidas para proteger sus sistemas de información.
El Gobierno está trabajando actualmente en un instrumento legal que le dotará de capacidad para supervisar la seguridad de los sistemas informáticos de estas compañías, imponerles la adopción de medidas preventivas e incluso sancionarlas si no las aplicaran o incumplieran la obligación de notificar ciberataques significativos.
Según el borrador de decreto ley que ultima el Gobierno para trasponer a la legislación española la Directiva 016/1148 de Seguridad de las Redes y Sistemas de Información de la UE las empresas operadoras de servicios esenciales, como electricidad o transporte, y las proveedoras de servicios digitales que NO NOTIFIQUEN SIN DILACIÓN ciberataques significativos sufridos o no adopten medidas para evitarlos podrán ser castigadas por primera vez con sanciones efectivas, proporcionadas y disuasorias.
Se trata de un real decreto ley en cuya elaboración participan el Departamento de Seguridad Nacional, el Ministerio del Interior, el servicio secreto CNI y la Secretaria de Estado de Sociedad de la información y Agenda Digital, que coordina los trabajos.
Su objetivo es trasponer la llamada directiva NIS del Parlamento Europeo y el Consejo, que deberá estar incorporada a la legislación de los estados miembros en mayo del 2018.
Dado el carácter transnacional de los principales proveedores de servicios digitales (como buscadores), la directiva obligará a estas compañías a designar a un representante en un país de la UE, a cuya jurisdicción quedarán sometidas.
