Acerca de Elena F Pérez Carrillo

Doctora en Derecho. Profesora de Derecho Mercantil Universidad de León

Los Estados de Información No Financiera, fundamento normativo y actualidad en el Informe anual de 2023 de la CNMV

Galería

La Comisión Nacional del Mercado de Valores (CNMV) ha publicado el “Informe sobre la supervisión por la CNMV de la información no financiera y principales áreas de revisión del ejercicio siguiente. Ejercicio 2022”. La obligatoriedad de elaborar el Estado de … Sigue leyendo

Anotaciones sobre sostenibilidad ambiental a través de informes y algunos casos litigiosos

Galería

Un reciente informe elaborado por el centro de investigación británico InfluenceMap ha rastreado la contribución al cambio climático de los grandes productores de combustibles fósiles  (y cementeras).  Recoge  122 grandes entidades, entre ellas las española REPSOL a las que apunta como responsables del 72% de … Sigue leyendo

Modernización del Derecho Europeo de protección de los consumidores (y de la competencia desleal) ante la digitalización

Galería

El impacto de la digitalización y de las grandes plataformas no deja de sentirse en todos los ámbitos de la contratación. Precisamente la UE aprobó en 2019 la llamada Directiva de Modernización (DM) para avanzar en esta adaptación  Recientemente, la … Sigue leyendo

Alertadores fiables y el DSA. A propósito de la Escuela de verano EMILDAI (Università di Pisa)

Galería

Esta galería contiene 28 fotos.

Se escribe esta entrada a raíz de la participación en la Escuela de Verano EMILDAI celebrada en la Universidad de Pisa. Se trata de una Escuela de verano que forma parte de un proyecto conjunto de varias universidades europeas, como … Sigue leyendo

STJUE, elaboración de perfiles crediticios y decisiones apoyadas en actos o hechos automatizados

Galería

La Sentencia del Tribunal de Justicia (Sala Primera) de 7 de diciembre de 2023, OQ contra Land Hessen (asunto C-634/21) resulta de especial interés para la protección de datos en las decisiones apoyadas en la automatización. Esta STJUE responde a una … Sigue leyendo

Actualizando – a propósito de la ciberseguridad en mercados de valores. EEUU

Con motivo de una intervención , estos días, en el I Encuentro INCIBE de Académicos  en materia de Ciberseguridad y Derecho, se retoma y actualiza una antigua entrada de agosto de 2017

Decíamos que en EEUU la Regulation Systems Compliance and Integrity , RSCI un reglamento que había sido aprobado por la Securities and Exchange Commission, SEC, en 2014. El objetivo principal del RSCI es lograr un funcionamiento seguro de los sistemas tecnológicos de los  «participantes clave del mercado». La RSCI fue objeto de atención mediática y constituyó una respuesta a los incidentes y fallos en la seguridad y funcionamiento de sistemas informáticos que habían sido comunicados, o que se habían hecho evidentes. De modo muy particular responde a los que condujeron al llamado flash «crash» de 6 de mayo de 2010. 

La SEC ya -antes de 2015- contaba con una línea de política estratégica de seguridad basada en principios voluntarios (Política de Revisión de la Automatización, ARP) , que incluía inspecciones de vigilancia tecnológica. Además, la Government Accountability Office había recomendado introducir normas obligatorias, así como mayores controles y supervisión de los sistemas informáticos con incidencia en la actividad de los mercados. La RSCI avanza en esa línea:

    • Los sistemas de cumplimiento y de integridad a los que refiere a RSCI consisten en mecanismos informáticos y procedimientos pautados que se utilizan en procesos digitales desarrollados en los centros de negociación y en su entorno. Se despliegan sobre la negociación, la liquidación, el enrutamiento de ordenes, los datos operativos y de supervisión de mercado, entre otros.
    • La RSCI impone que las entidades aprueben políticas y pongan en marcha procedimientos escritos para proteger su capacidad operativa (incluyendo pruebas regulares para identificar fallos y amenazas). Deben garantizar que cuentan con «niveles de capacidad, integridad, resiliencia, disponibilidad y seguridad adecuados para mantener su capacidad operativa, y para interactuar en mercados ordenados”. Se les impone, además, estrictas obligaciones de notificación al supervisor de mercados (SEC), y de difusión de información entre sus propios administradores y altos ejecutivos, y entre  los miembros o partes que se relacionen con la entidad, además de deberes de registro de los incidentes y de las medidas de cumplimento.
    • El vigente Reglamento exige a las entidades sujetas, entre otras cosas: disponer de políticas y procedimientos exhaustivos diseñados razonablemente para garantizar que sus sistemas tengan los niveles de capacidad, integridad, resistencia, disponibilidad y seguridad adecuados para mantener la capacidad operativa y promover el mantenimiento de unos mercados justos y ordenados; adoptar las medidas correctivas apropiadas en respuesta a los problemas de los sistemas; proporcionar notificaciones e informes a la Comisión diseñados para facilitar la supervisión de la tecnología del mercado de valores; difundir información sobre los problemas de los sistemas a las partes afectadas; realizar una revisión anual de las políticas y procedimientos de las entidades sujetas. Estas entidades también tendrán que realizar pruebas coordinadas de continuidad de la actividad y pruebas de recuperación en caso de catástrofe (BC/DR), sobre ambas tendrán que crear, mantener y conservar registros.
    • En relación con los marcos tecnológicos, como no existían referencias tecnológicas totalmente fiables se presume que son seguras las disposiciones que se vayan aprobando para el sector financiero por el gobierno de los Estados Unidos u otra «organización ampliamente reconocida”

Paraninfo Gordón Ordás. Universidad de León

Actualmente el RSCI entrado en un proceso de reforma: En 2023 la SEC propuso modificaciones al RSCI de la Securities Exchange Act de 1934 («Exchange Act»),  cuyo resumen puede consultarse aquí

Las modificaciones propuestas ampliarían la definición de «entidad sujeta» para incluir una gama más amplia de participantes en las infraestructura del mercado de valores de Estados Unidos, y actualizarían ciertas disposiciones del RSCI para tener en cuenta la evolución del panorama tecnológico de los mercados:

      • La ampliación propuesta añadiría las siguientes entidades: los depositarios de datos de permutas financieras basadas en valores («SBSDR», por sus siglas en inglés) registrados; los intermediarios registrados que superen un umbral de activos o de actividad de operaciones; y las agencias de compensación adicionales exentas de registro. Los agentes de bolsa registrados ante la Comisión en virtud de la Sección 15(b) que superen un umbral de activos totales o un umbral de actividad de transacción en acciones NMS, opciones cotizadas en bolsa, valores del Tesoro de EE.UU. o valores de la Agencia; y – Todas las agencias de compensación exentas de registro.
      • Además, las actualizaciones propuestas modificarían las disposiciones del Reglamento en relación con : (i) la clasificación de sistemas y la gestión del ciclo de vida; (ii) la gestión de terceros/proveedores; (iii) la ciberseguridad; (iv) la revisión de la SCI; (v) el papel de las normas industriales actuales; y (vi) el mantenimiento de registros y asuntos relacionados.  Sin olvidar que la Comisión ha solicitado comentarios al público sobre si otras entidades, como los intermediarios que utilizan sistemas electrónicos o automatizados para la negociación de valores de deuda corporativa o valores municipales, deben estar sujetos al Reglamento.
      • Otras obligaciones que se imponen , de aprobarse la propuesta de reforma, obligan a especificar que las políticas y procedimientos requeridos de una entidad sujeta incluyen: o bien un programa de inventario, clasificación y gestión del ciclo de vida de los sistemas SCI y los sistemas SCI indirectos; o bien un programa para gestionar y supervisar a terceros proveedores, incluidos los proveedores de servicios en la nube, que proporcionen o soporten sistemas SCI o SCI indirectos. También, como se indicó antes, que cuenten con Planes de resistencia y recuperación (BC/DR) y que éstos prevean la respuesta para supuestos en los que la indisponibilidad de cualquier proveedor externo sin el cual habría un impacto material en los sistemas SCI críticos; o un programa para evitar el acceso no autorizado a los sistemas SCI y a la información en ellos contenida.

Entradas relacionadas:

 

Ciberseguridad en mercados de valores (III) Guia IOSCO de resiliencia cibernética de infraestructuras mercados. Y, otras guías y propuestas

Ciberseguridad, orientaciones para empresas cotizadas. Antecedentes, a la espera de la reforma normativa en Estados Unidos

Ciberseguridad en mercados de valores (I). Cooperación internacional y flexibilidad

Ciberseguridad en mercados de valores (II). Informe Consejo IOSCO 2016

Investigación financiada por el proyecto nacional PID2021-127527OB-I00, Proyectos de Generación de Conocimiento 2021, Modalidades: Investigación No Orientada e Investigación Orientada

Transición ecológica, prácticas desleales y protección de consumidores

Hace pocas semanas el DOUE publicó la Directiva 2024/825 que modifica Directiva 2005/29/CE sobre las prácticas comerciales desleales (la “DPD”); y la Directiva 2011/83/UE relativa a los derechos de los consumidores (la “DDC”). Esta reforma se ocupa de modo especial de la publicidad verde, de la tutela de los consumidores ante los nuevos productos apoyados en software y de las garantías legales y comerciales

Merindades burgalesasPara justificar esta reforma, la Comisión Europea advierte entre otras cuestiones que, conforme a los estudios realizados, más de la mitad de prácticas de publicidad que se autodenomina “verde” y que había sido analizada en las investigaciones patrocinadas por la Institución, u llevadas a cabo por organizaciones independientes, habían resultado ser  engañosas o carentes de fundamento («green washing» o eco-impostura). Es ente sentido y también para favorecer el consumo sostenible, la DM, será completada por la futura Directiva sobre alegaciones ecológicas, aún objeto de debates prelegislativos. Ambas responden a la creciente atención que recibe el  impacto medioambiental y social de los productos y servicios por parte de los consumidores, interés que se refleja en las pautas de consumo de éstos, así como en las estrategias de márqueting de los fabricantes, distribuidores y de los proveedores de bienes y de servicios.

  • Reformas de la DPCD
  • La calidad (claridad, relevancia, fiabilidad) de la información ambiental  en los contratos celebrados con consumidores es cada vez más relevante y exige ser tutelada para lograr modelos sostenibles de consumo. Dentro de esta información, corresponde reforzar y hacer más transparente, conforme a la DM, la información precontractual que reciben los consumidores sobre la durabilidad, la reparabilidad, la reciclabilidad, la circularidad y la disponibilidad de actualizaciones de los productos y servicios. En relación con ello, el artículo 1 de la DM modifica los artículos 2, 6, 7 y el anexo I de la DPCD para hacer frente a ciertas prácticas comerciales desleales que inducen a error a los consumidores y que les impiden adoptar decisiones de consumo sostenibles, en especial las prácticas asociadas a la obsolescencia temprana de los bienes, las afirmaciones medioambientales engañosas («ecoimpostura»), la información engañosa sobre las características sociales de los productos o las empresas, o  la utilización de distintivos de sostenibilidad poco transparentes y poco creíbles.
  • Se modifica el apartado 1 del artículo 6 DPCD . Así se añaden características medioambientales y sociales, y aspectos de circularidad a la lista de las principales características del producto. Estos rasgos identificados en el precepto se distinguen porque -en su análisis caso a caso, pueden considerarse engañosos
  • Se modifica el apartado 2 del artículo 6 DPCD para prohibir afirmaciones en cuanto a las características medioambientales, sociales y de circularidad de un producto, así como como sobre su durabilidad, reparabilidad o reciclabilidad, cuando no estén respaldadas por compromisos y metas claras, objetivas, públicamente disponibles y verificables.
    • Los compromisos y metas deberán estar detallados en un plan de ejecución específico y realista que demuestre cómo se alcanzarán, asignando recursos presupuestarios y avances tecnológicos apropiados para tal fin.
    • El plan de ejecución debe incluir los elementos necesarios para cumplir los compromisos citados, es decir, debe aludirse a los recursos presupuestarios e incluso a la incorporación de avances tecnológicos, cuando proceda.
    • Por otra parte, y para evitar el ecopostureo las afirmaciones sobre rasgos o propiedades ambientales deben ser verificadas por un tercero experto, independiente y exento de conflictos de intereses. El experto o auditor medioambiental debe disponer de experiencia y competencia en cuestiones medioambientales y estar facultado para supervisar periódicamente los avances del comerciante quien tendrá que garantizar el acceso y puesta a disposición de los datos relevantes.
    • Entre las nuevas prácticas expresamente prohibidas por ser potencialmente engañosas  se encuentra la de anunciar beneficios para los consumidores, cuando sean irrelevantes, o no están directamente relacionados con ninguna característica de ese concreto producto o empresa. Se trata de anuncios que, en suma, podrían inducir a los consumidores a creer erróneamente que dicho producto o empresa es más beneficioso para los consumidores, el medio ambiente o la sociedad que otros productos o empresas comerciales del mismo tipo.
  • Comparación de productos. Se modifica el artículo 7 DPCD en relación con la comparación de productos y en particular, de sus rasgos relacionados con la  circularidad: la durabilidad, reparabilidad, reciclabilidad. La reforma impone a los comerciantes que suministren información a los consumidores sobre el método de comparación, sobre los productos objeto de la comparación, sobre los proveedores de dichos productos, y sobre las medidas aplicadas para mantener la información actualizada.
  • Prácticas engañosas prohibidas en concreto Se modifica el anexo I de la DPCD  para prohibir  prácticas engañosas concretas: a) La exhibición de distintivos de sostenibilidad sin el respaldo de un sistema de certificación o de las autoridades públicas pertinentes. b) La realización de afirmaciones medioambientales genéricas que no estén respaldadas por un comportamiento medioambiental reconocido, tales como “respetuoso con el medio ambiente” o “verde”. c) La realización de afirmaciones medioambientales sobre la totalidad de un producto, cuando realmente, solo se refieren a un aspecto específico no representativo de la empresa. d) Todas aquellas afirmaciones basadas en la compensación de emisiones de gases de efecto invernadero, que establezcan que un producto tiene un impacto neutro, reducido o positivo en el medio ambiente. Se considera que inducen a error a los consumidores, al hacerles creer que tales afirmaciones se refieren al producto en sí o al suministro y producción de dicho producto, ya que dan a los consumidores la falsa impresión de que el consumo de ese producto no tiene ningún impacto medioambiental.
  • La presentación se contempla como una característica distintiva de la oferta del comerciante de requisitos impuestos por ley a todos los productos de la categoría de productos pertinente en el mercado de la Unión, incluidos los productos importados. Se prohíbe, por ejemplo, presentar un producto determinado señalando que no incluye una sustancia química específica, cuando dicha sustancia ya esté prohibida por la ley para todos los productos de esa categoría de productos en la Unión.
  • En relación con la protección contra prácticas comerciales desleales en actualizaciones de software, la nueva Directiva extiende la prohibición de ocultar información relevante al consumidor sobre el impacto negativo que las actualizaciones de software puedan tener sobre el funcionamiento de bienes con elementos digitales. Este mandato legal impone a los responsables de las actualizaciones de software, la obligación de disponer o, en su defecto, de obtener de fuentes fiables (como los propios desarrolladores de software, proveedores, o autoridades competentes) información veraz sobre las consecuencias de dichas actualizaciones en los bienes o servicios digitales. Así se busca prevenir la obsolescencia programada y asegurar que los consumidores puedan tomar decisiones informadas respecto a las actualizaciones de sus dispositivos o servicios digitales. En relación con estas actualizaciones, se prohíbe también presentar como necesaria una actualización de software que solo mejore características de funcionalidad
  • Durabilidad. Cualquier comunicación comercial en relación con un bien que contenga una característica introducida para limitar su durabilidad, a pesar de que el comerciante disponga de información sobre la característica y sus efectos en la durabilidad del bien. Esta prohibición incluye tanto el software diseñado para reducir la funcionalidad del bien tras un período determinado, como defectos de diseño o fabricación no intencionados pero conocidos por el comerciante, que, si no se corrigen, provocarían un fallo prematuro del producto. Esta medida se dirige tanto a productores como a comerciantes que dispongan de información fiable sobre estas características, promoviendo así productos más duraderos y sostenibles.
    • Afirmar falsamente que en condiciones normales de uso un bien tiene una durabilidad determinada en términos de tiempo o intensidad de uso.
    • Se prohíbe la promoción de productos como reparables cuando realmente no lo son.
    • Se prohíbe la inducción al consumidor para que sustituya o repare elementos fungibles de un producto antes de que sea necesario por razones técnicas.
    • Se prohíbe el ocultamiento de información relevante al consumidor sobre las limitaciones de funcionalidad de un bien, particularmente cuando se utilizan elementos fungibles, piezas de repuesto o accesorios no suministrados por el fabricante original.

Modificación de la Directiva DDC

El artículo 2 de la nueva Directiva modifica los artículos 2, 5, 6, 8 de la DDC. Además, se introducen nuevos artículos 22 bis (sobre avisos armonizados y etiqueta armonizada), y 27 bis (procedimiento de comité) para proporcionar a los consumidores una mejor información precontractual sobre la durabilidad, la reparabilidad y la disponibilidad de actualizaciones. Por otra parte, dicha información debe proporcionarse a los consumidores de manera clara y comprensible, y en consonancia con los requisitos de accesibilidad de la Directiva (UE) 2019/882 del Parlamento Europeo y del Consejo.

  • Garantías. Los comerciantes que vendan bienes deben estar obligados, si el productor pone la información a disposición del comerciante, a informar a los consumidores sobre la existencia y la duración de la garantía comercial de durabilidad, ofrecida por el productor sin costes adicionales, que cubra la totalidad del bien y con una duración superior a dos años. Además, dicha información debe proporcionarse al consumidor mediante una etiqueta armonizada colocada en un lugar visible. Asimismo, los comerciantes deben informar de la existencia y de la duración de esta garantía comercial de durabilidad del productor para la totalidad del bien y no para componentes específicos del mismo.
  • Para evitar posibles confusiones con la información sobre la garantía comercial de durabilidad, se establece que también debe exhibirse destacadamente un aviso armonizado que debe recordar a los consumidores la existencia de la garantía legal de conformidad y sus principales elementos (incluida su duración mínima de dos años y una referencia general a la posibilidad de que la duración de la garantía legal de conformidad sea superior en virtud del Derecho nacional).
  • El productor y el vendedor deben seguir teniendo libertad para ofrecer otros tipos de garantías comerciales y servicios posventa.
  • No obstante, la información proporcionada al consumidor sobre otras garantías no debe confundirle con respecto a la existencia y duración de la garantía comercial de durabilidad ofrecida por el productor sin costes adicionales.

En cuanto a las obligaciones informativas precontractuales sobre durabilidad y actualizaciones de software, la nueva Directiva introduce requisitos específicos para proporcionar a los consumidores información precontractual relativa a la durabilidad y reparabilidad de los bienes, así como sobre el período de tiempo durante el cual se ofrecerán actualizaciones gratuitas de software para bienes con elementos digitales.

  • Esta información sobre las actualizaciones de software debe proporcionarse de manera que no sea engañosa con arreglo a la DPCD y de modo previo a la contratación en coherencia con la DDC .
  • Antes de que los consumidores queden vinculados por un contrato, los comerciantes están obligados a proporcionarles información sobre (i) la existencia de servicios posventa y sus condiciones, incluidos los servicios de reparación, cuando se presten dichos servicios y (ii) la puntuación de reparabilidad del bien proporcionada por el productor.

Se exige que los comerciantes proporcionen toda la información pertinente sobre la reparación de los bienes que el productor ponga a disposición, así como información sobre la disponibilidad, el coste estimado y el procedimiento para pedir las piezas de recambio que sean necesarias para mantener la conformidad de los bienes, la disponibilidad de instrucciones de reparación y mantenimiento y las restricciones a la reparación. En definitiva, con la nueva regulación, los comerciantes deben proporcionar a los consumidores la etiqueta armonizada, información sobre el período mínimo durante el cual se proporcionen actualizaciones, e información sobre la reparación distinta de la puntuación de reparabilidad, siempre que el productor o proveedor de los contenidos o servicios digitales, si es diferente del comerciante, hubiera puesto a disposición del comerciante dicha información.

  • Asimismo, cuando proceda, los comerciantes deben informar a los consumidores sobre la disponibilidad de opciones de entrega respetuosas con el medio ambiente, como por ejemplo, mediante bicicletas de carga o vehículos eléctricos de reparto o mediante la posibilidad de optar por envíos agrupados.

Los Estados miembros deberán transponer esta Directiva, a más tardar el 27 de marzo de 2026, no siendo su aplicación efectiva hasta del 27 de septiembre de 2026.

 

Esta entrada ha sido elaborada con el apoyo del Proyecto de investigación «Los remedios restaurativos en el Derecho de la competencia: una respuesta a los retos que plantea la economía digital -RETOS  2020». PID2020-116217RB-I00.  Conv.  2020 de «Proyectos I+D+i» en el marco del Programa Estatal de Generación de conocimiento y fortalecimiento científico y tecnológico del sistema de I+D+i y del Programa estatal de I+D+i orientada a los retos de la sociedad».( Plan Estatal de Investigación Científica y Técnica y de Innovación 2017-2020).

 

III edición de las series del Grupo de Innovación Docente: Sostenibilidad empresa justicia:

Galería

Esta galería contiene 2 fotos.

  LLAVES Y CLAVES DE SOSTENIBILIDAD EN LA UNIÓN EUROPEA.  Actividad del Grupo de Innovación Docente DERMERULE para el curso académico 2023-24. Se inicia el  miércoles 17 de abril de 2024, en el Salón de Grados de la Facultad de … Sigue leyendo

I ENCUENTRO DE ACADÉMICOS SOBRE LA CIBERSEGURIDAD Y EL DERECHO- LEÓN

Galería

Esta galería contiene 3 fotos.

A caballo entre el Derecho Público y el Derecho Privado, de la mano del Instituto Nacional de Ciberseguridad, el INCIBE cuyo Director General abre las sesiones,  se celebra el I Encuentro de académicos sobre la ciberseguridad y el Derecho.   … Sigue leyendo

Hacia la Directiva de Diligencia Debida de las empresas (Derechos Humanos y Medio Ambiente)

Galería

La Directiva de Diligencia Debida (DDD) se presenta como un instrumento transversal de protección frente a los impactos de las empresas en materia de Derechos Humanos (DH) y en materia de medioambiente (Ma). Introduce una nueva forma de gobernanza para … Sigue leyendo

Informe anual sobre el DMA- Marzo 2024

Galería

El artículo 35 del DMA exige a la Comisión que presente un informe anual sobre la aplicación de dicho Reglamento y los progresos realizados en la consecución de sus objetivos. El primer informe de este tipo fue publicado en marzo de … Sigue leyendo

Esquemas EU de certificación de ciberseguridad (una vez ya publicado el primer EECC)

Pelargonium hortorum (geranio rojo)

Con el desarrollo de la certificación de ciberseguridad a escala de la UE se pretende armonizar el reconocimiento del nivel de ciberseguridad de las soluciones TIC en toda la Unión.

Los sistemas de certificación de la UE son desarrollados por ENISA dentro del marco definido en el Reglamento sobre Ciberseguridad (Reglamento 881 /2019), mediante los procedimientos y sistemas de trabajo de esta Agencia  y teniendo en cuenta los sistemas y normas existentes de los que se nutren los esquemas.

Son esquemas europeos de ciberseguridad que se irán aprobando son -en principio- voluntarios. Su seguimiento potencia el Mercado Único Digital de la UE. Sirven para demostrar el cumplimiento de sus requisitos. En algunos casos, a través de normas de derecho positivo escrito, pueden llegar a ser  obligatorios. En particular, alguna legislación ya alude a los esquemas europeos de certificación de ENISA:

la Directiva para un alto nivel de ciberseguridad en toda la Unión (NIS2), en especial en lo relativo a entidades que gestionan infraestructuras críticas,
– la propuesta de Reglamento relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (Reglamento eIDAS) con el Reglamento Wallet/elDAS2
– la propuesta de Reglamento de Ciberresiliencia (CRA), que añade la ciberseguridad a los criterios para obtener el marcado CE en la fabricación de determinados productos,
– la propuesta de sobre Inteligencia Artificial.

 

Definición de Esquema europeo de certificación de la ciberseguridad de la UE:  es un conjunto completo de reglas, requisitos técnicos de ciberseguridad, normas y procedimientos de evaluación, definidos a nivel de la UE y aplicables a la certificación de productos, servicios o procesos específicos de TIC.

  • Cada certificado de ciberseguridad de la UE acredita que un producto, proceso o servicio de TIC ha superado una evaluación de conformidad con dicho régimen y que cumple los requisitos y normas de ciberseguridad especificados.
  • La certificación la realiza un organismo de evaluación de la conformidad (OEC/CAB), que puede auditar y/o probar y/o certificar. Todos los certificados serán publicados por ENISA en un sitio web específico.
  • Dependiendo del riesgo de ciberseguridad asociado al uso previsto de la solución TIC que se va a certificar, se puede elegir un nivel de ciberseguridad diferente que el solicitante define. Cada esquema indica si la certificación tiene un nivel de garantía «básico», «sustancial» o «alto»

Los primeros EEC::

Rododendro

  • EUCC. El Esquema Europeo de Certificación de Ciberseguridad sobre Criterios Comunes, el primer esquema, se dirige a las TIC, tales como productos y componentes de hardware y software. El 31 de enero de 2024, la Comisión Europea aprobó el acto de ejecución por el que se pone en marcha el sistema de certificación. ENISA está publicando los documentos de referencia que respaldan el sistema y que se enumeran en su Anexo 1.

A continuación:

  • EUCS El Esquema Europeo de Certificación de Servicios en la Nube  se encuentra en trámite de análisis por parte del ECCG.
  • EU5G El Esquema Europeo de Certificación de Ciberseguridad para 5G se desarrolla en dos fases. Durante una primera fase que finalizó en otoño de 2022, ENISA, los expertos reunidos en un grupo de trabajo ad hoc con la Comisión de la UE y los Estados miembros analizaron las evaluaciones industriales existentes y los esquemas de certificación y sus actualizaciones necesarias para cumplir con la Ley de Ciberseguridad. La segunda fase se abre con una consulta pública
  • ¿Inteligencia Artificial? Con vistas a la adopción del proyecto de Reglamento de la UE sobre Inteligencia Artificial, ENISA está evaluando si la IA podría ser objeto de certificación en materia de ciberseguridad y de qué manera, así como el modo en que podrían reutilizarse los esquemas en curso de elaboración. Este trabajo es preparatorio, ya que ENISA no ha recibido una solicitud para desarrollar un esquema de certificación por parte de la Comisión Europea

 

Arquitectura en la elaboración y utilización de los EEC

Hortensia atlántica

Hortensia atlántica

  • Comisión Europea La iniciativa de elaborar un EECC es de la Comisión Europea que lo plantea a ENISA. ENISA, una vez que tiene una propuesta, la remite a la Comisión quien la adopta a través de legislación administrativa, Reglamentos de Ejecución
  • ENISA. La elaboración corresponde a ENISA que actúa como coordinadora y anfitriona de grupos de trabajo
  • Partes interesadas y público general Al desarrollar los esquemas de ciberseguridad de la UE, ENISA trabaja con una amplia variedad de partes interesadas en la ciberseguridad. Por ejemplo, las partes interesadas pueden formar parte del «grupo de trabajo ad hoc» de expertos que apoya a la ENISA en el desarrollo de un determinado esquema. Asimismo, es posible invitar a las partes interesadas a participar en proyectos piloto o «pruebas de concepto» para poner a prueba algunos o más elementos de un régimen de la UE (por ejemplo, viabilidad, posibles procedimientos o procesos o métodos de evaluación) antes de su aplicación. Por otro lado, cuando un esquema se encuentra en una fase avanzada de desarrollo, también puede haber consultas públicas, por ejemplo sobre proyectos de regímenes. Una vez implantado, el sistema debe actualizarse y adaptarse a los cambios que se produzcan en el entorno de la ciberseguridad. Los procesos, procedimientos y métodos de evaluación deben mantenerse, evaluarse y revisarse  y en estos procesos también participan las partes interesadas por invitación de ENISA.
  • Entrada en vigor: Para ser efectivo, un proyecto de esquema elaborado por ENISSA a petición de la Comisión debe ser aprobado por un acto legislativo de la UE , «acto de ejecución» y en él se establece un periodo para que los Estados miembros preparen el funcionamiento del sistema antes de expedir los certificados.
  • Organismos de Evaluación de la Conformidad (OEC/CAB) .Los OEC/CAB que estarán acreditados para emitir certificados o realizar actividades de evaluación (ensayos, auditorías) para estos esquemas.. Los sistemas de certificación de ciberseguridad crean un mercado europeo para organismos de evaluación de la conformidad (OEC/CAB ) que podrán ofrecer sus servicios de certificación así como herramientas y servicios de evaluación relacionados en toda la UE. Estos OEC/CAB trabajar en los esquemas de certificación de la UE de dos formas distintas: como evaluadores (mediante auditorías/ensayos) y/o como certificadores. Deben cumplir una serie de requisitos antes de poder realizar tales actividades:
    Para poder evaluar y certificar de acuerdo con los regímenes de certificación de la UE, los OEC deberán estar acreditados por su organismo nacional de acreditación.
    Una vez acreditados para un esquema europeo de certificación de la ciberseguridad, la Autoridad Nacional de Certificación de la Ciberseguridad (ANC) deberá notificar su acreditación a la Comisión.
    Si un OEC quiere ser elegible para certificar una solución TIC bajo el nivel de garantía «alto», puede necesitar cumplir requisitos adicionales. El procedimiento para cumplir estos requisitos lo realiza la ANC y se denomina «autorización». Esta «autorización» también debe notificarse a la Comisión.
  • Usuarios de los certificados Los certificados de ciberseguridad de la UE se conceden a productos y servicios TIC certificados con arreglo a los regímenes de certificación de ciberseguridad de la UE. Demuestran que las soluciones probadas son resistentes a determinados niveles de seguridad y establecen procesos de reparación teniendo en cuenta los últimos avances del estado de la técnica. Como están reconocidos en toda la UE permiten a los proveedores de productos y servicios mostrar la conformidad de su solución con un esquema específico, nivel de garantía, ámbito de aplicación y, potencialmente, extensión o perfiles de seguridad. Los usuarios de soluciones TIC pueden considerar los certificados de ciberseguridad como una demostración de que una solución específica cumple los requisitos de seguridad definidos.
  • Autoridades Nacionales de Certificación en Ciberseguridad ( ANC). Como exige la Directiva sobre Ciberseguridad, cada Estado miembro ha designado una ACNC que se responsabilizará de supervisar, acreditar y controlar la certificación de ciberseguridad de la UE a nivel nacional y de intercambiarla a nivel de la UE. Cada Estado miembro puede optar por expedir certificaciones de conformidad de ciberseguridad de la UE. Las Autoridades Nacionales de Certificación en Ciberseguridad («ANC») supervisan y controlan el cumplimiento del régimen de los certificados expedidos por las OEC en su Estado miembro.
  • Sistemas nacionales. Cada sistema de certificación de ciberseguridad de la UE prevé un periodo de transición tras el cual los sistemas nacionales pertinentes dejan de tener efecto.
    En otras palabras, los certificados expedidos en virtud de estos regímenes dejan de ser válidos. Para garantizar una aplicación sin problemas, la transición de los regímenes existentes a los regímenes de la UE se lleva a cabo en estrecha colaboración con todas las partes interesadas; por ejemplo, se elaborarán orientaciones para los organismos de certificación de ciberseguridad que operan con regímenes nacionales. Por lo tanto, los OEC no deben interrumpir sus actividades relacionadas con los regímenes existentes.
  • Duración. Los certificados son válidos durante un tiempo limitado que puede ampliarse mediante una nueva evaluación de la solución.
  • Certificación la certificación es voluntaria, a menos que la normativa de la UE o de los Estados miembros especifique lo contrario.

Investigación financiada por el proyecto nacional PID2021-127527OB-I00, Proyectos de Generación de Conocimiento 2021, Modalidades: Investigación No Orientada e Investigación Orientada