La UE y Ucrania abren el intercambio CERT-EU–CERT-UA para prevenir y gestionar incidentes cibernéticos

CERT-EU y el servicio ucraniano SSSCIP han firmado un acuerdo administrativo destinado a abrir el intercambio entre el equipo europeo de respuesta a incidentes y CERT-UA. La Comisión afirma que el mecanismo debe reforzar la prevención, detección y contención de incidentes cibernéticos por ambas partes. El documento no es un tratado y no implica la integración de los sistemas europeos y ucranianos de ciberseguridad.

La Unión Europea y Ucrania pasan a un nivel más operativo de cooperación cibernética mediante un acuerdo administrativo firmado por CERT-EU y el Servicio Estatal de Comunicaciones Especiales y Protección de la Información de Ucrania, SSSCIP. El acuerdo, celebrado durante el quinto Diálogo Cibernético UE-Ucrania del 9 de octubre y anunciado por la Comisión el 13 de octubre, tiene como objetivo iniciar el intercambio entre CERT-EU y CERT-UA para prevenir, detectar y contener incidentes cibernéticos.

En resumen

Los representantes de CERT-EU y SSSCIP firmaron un acuerdo administrativo en Bruselas, durante el quinto Diálogo Cibernético UE-Ucrania.

El objetivo declarado es abrir el intercambio entre CERT-EU y CERT-UA y reforzar la capacidad de ambas partes para prevenir, detectar y contener incidentes cibernéticos.

CERT-EU protege a las instituciones, organismos, oficinas y agencias de la UE, mientras que CERT-UA es el equipo ucraniano de respuesta a incidentes cibernéticos dentro del SSSCIP.

El diálogo también abordó el acercamiento de Ucrania a NIS2 y Cyber Resilience Act, la seguridad 5G, la gestión de crisis, la lucha contra la ciberdelincuencia, Cyber Diplomacy Toolbox y la cooperación mediante Tallinn Mechanism.

La Comisión no ha publicado el texto del acuerdo ni precisa las categorías exactas de información que pueden intercambiarse, la duración del mecanismo o las garantías específicas aplicables al intercambio de datos.

El acuerdo reúne dos estructuras con funciones diferentes. CERT-EU es el servicio interinstitucional de ciberseguridad de la Unión y ayuda a más de 90 instituciones, organismos, oficinas y agencias europeas a prevenir, detectar, gestionar y contener incidentes. El servicio también funciona como punto de intercambio de información y coordinación de la respuesta para el ecosistema institucional de la UE.

CERT-UA es el equipo nacional ucraniano de respuesta a incidentes, ataques y amenazas cibernéticas y funciona dentro del SSSCIP. Ucrania ha acumulado una amplia experiencia operativa durante la guerra, incluida la identificación de campañas contra instituciones públicas, infraestructuras y otros objetivos, así como la coordinación de la respuesta a los ataques.

La Comisión describe el nuevo acuerdo como un mecanismo para «iniciar el intercambio» entre ambos equipos. El objetivo anunciado es aumentar la capacidad de ambas partes para prevenir, detectar y contener incidentes en las infraestructuras de las que son responsables. La formulación es importante: la cooperación no se presenta exclusivamente como asistencia europea a Ucrania, ya que la experiencia y la información operativa ucranianas también pueden contribuir a la defensa de las instituciones europeas.

El nuevo mecanismo continúa una cooperación iniciada antes de este acuerdo. En 2023, la Agencia de la Unión Europea para la Ciberseguridad, ENISA, firmó un acuerdo de trabajo con el Centro Nacional de Coordinación de la Ciberseguridad de Ucrania y SSSCIP. Este cubre el desarrollo de capacidades, el intercambio de buenas prácticas y la mejora de la concienciación común sobre las amenazas.

La diferencia es que el acuerdo anunciado ahora sitúa en el centro de la cooperación a CERT-EU y CERT-UA, dos estructuras directamente implicadas en la prevención y gestión de incidentes. De este modo, complementa la relación más amplia entre ENISA y las autoridades ucranianas con un canal destinado a los equipos que trabajan efectivamente sobre las amenazas y los incidentes.

Sin embargo, la Comisión no ha publicado el texto del acuerdo administrativo. El anuncio no precisa qué categorías de datos podrán intercambiarse, si el mecanismo incluye indicadores técnicos de compromiso, información sobre vulnerabilidades, datos sobre atacantes u otros tipos de información operativa, ni qué clasificaciones o restricciones de distribución se aplicarán.

Tampoco se precisan la duración del acuerdo, los procedimientos para los intercambios urgentes o las garantías específicas para los posibles datos de carácter personal o información sensible. Estos elementos son importantes antes de que el mecanismo pueda describirse con mayor precisión de la que permite la comunicación pública de la Comisión.

CERT-EU funciona sobre la base del reglamento europeo de 2023 relativo a la ciberseguridad de las instituciones y organismos de la UE. Entre sus funciones se encuentran el intercambio de información sobre amenazas, vulnerabilidades e incidentes y la coordinación de la respuesta dentro del ecosistema institucional europeo. El nuevo acuerdo con Ucrania no modifica esta delimitación institucional ni convierte a CERT-UA en un componente de CERT-EU.

Por tanto, los dos sistemas no están integrados en una única infraestructura. El anuncio no afirma que las autoridades ucranianas reciban acceso directo a las redes de las instituciones de la UE ni que CERT-EU obtenga acceso a los sistemas gubernamentales ucranianos. Lo que se confirma es la creación del marco para el intercambio y la cooperación entre ambos servicios.

El diálogo de octubre también tuvo un componente legislativo. La UE y Ucrania analizaron los avances de las reformas ucranianas y el acercamiento a importantes pilares de la legislación europea en materia de ciberseguridad, incluida la Directiva NIS2 y Cyber Resilience Act.

Este acercamiento debe diferenciarse de la aplicación automática del Derecho de la UE. Ucrania es un país candidato, y la armonización de su legislación con las normas europeas forma parte del proceso de integración. Las conversaciones sobre NIS2 y Cyber Resilience Act no significan que todas las obligaciones de estos actos se apliquen ya a Ucrania del mismo modo que a un Estado miembro.

Los participantes también debatieron la aplicación de EU 5G Cybersecurity Toolbox en Ucrania. La seguridad de las redes de telecomunicaciones es tratada por ambas partes tanto como una cuestión de resiliencia cibernética como un elemento necesario para el acercamiento económico e institucional a la UE.

La cooperación operativa no se limita a los CERT. El diálogo abarcó la gestión de crisis cibernéticas, la ciberdefensa y el uso de Cyber Diplomacy Toolbox, el instrumento mediante el cual la UE puede combinar medidas diplomáticas y, en determinadas situaciones, restrictivas contra actividades cibernéticas maliciosas.

También se debatieron la lucha contra la ciberdelincuencia, las investigaciones, los avances relativos a la Reserva Europea de Ciberseguridad y el apoyo prestado a Ucrania mediante Tallinn Mechanism. Sin embargo, la mención de la Reserva en el diálogo no significa que el nuevo acuerdo CERT-EU–CERT-UA conceda automáticamente a Ucrania acceso a este instrumento.

Otro componente es la cooperación ya existente entre ENISA y las autoridades ucranianas. La Comisión describe esta relación como amplia y afirma que ambas partes quieren transformar la cooperación cibernética en resultados operativos concretos. El nuevo acuerdo entre CERT-EU y SSSCIP se presenta como uno de esos resultados.

Las conversaciones también incluyeron las asociaciones entre el sector público y la industria de la ciberseguridad. Para Ucrania, la experiencia acumulada en condiciones de guerra puede utilizarse para probar procedimientos y comprender los métodos empleados por actores estatales. Para la UE, el intercambio puede contribuir a identificar con mayor rapidez campañas que afecten simultáneamente a Ucrania y a organizaciones europeas.

El quinto Diálogo Cibernético fue copresidido, por parte europea, por Despina Spanou, directora general adjunta de DG CONNECT, Christiane Kirketerp de Viron, directora interina de ciberseguridad y confianza, y Maciej Stadejek, director de política de seguridad y defensa del Servicio Europeo de Acción Exterior. La delegación ucraniana estuvo encabezada por Andrii Droniuk, viceministro de Asuntos Exteriores.

También participaron en las conversaciones ENISA, Europol, el Colegio Europeo de Seguridad y Defensa y EUAM Ukraine, junto con ministerios, servicios de seguridad y estructuras militares y de inteligencia de Ucrania. Los Estados miembros de la UE participaron como observadores.

La siguiente etapa es la puesta en práctica del acuerdo. Para evaluar su alcance real, deben aclararse los tipos de información que circularán entre CERT-EU y CERT-UA, los procedimientos de intercambio, los límites de uso y protección de los datos y la forma en que funcionará la cooperación en caso de incidentes que afecten simultáneamente a infraestructuras europeas y ucranianas.

https://2eu.brussels/ro/news/ue-si-ucraina-deschid-schimbul-cert-eu-cert-ua-pentru-prevenirea-si-gestionarea-incidentelor-cibernetice