Evaluación y certificación de productos, procesos y servicios. Hasta la fecha, esta es una de las dos grandes líneas abiertas por la UE tras la publicación de su Ley de Ciberseguridad. No es un asunto fácil de entender para todo el mundo (y sí muy polémico para algunos), porque a la complejidad previa en la materia a escala global y de cada estado, se viene a sumar el complicado modelo por el que hemos optado los europeos y el vibrante y multidimensional escenario digital, que quizá no aguante una sistemática anclada a efectos prácticos en el sector industrial del siglo pasado, si no fuera con el apoyo digital de una hipotética IA en la que se pueda confiar.

En esta edición SIC dedica unas páginas especiales a exponer el estado del arte de la evaluación y certificación de la ciberseguridad del conjunto de productos TIC, del que por ahora los que tienen propósitos exclusivos de ciberseguridad son una pequeña parte.

La idea es ir creando un marco de esquemas europeos en distintos frentes (productos TIC (EUCC), nube, 5G, IoT, componentes industriales, desarrollo seguro, IA, criptografía...), y establecer distintos niveles, además de contemplar la sectorización. También se quieren armonizar (en lo que fuera necesario) las metodologías de certificación ligeras. Y por añadidura, que el constructo vaya siendo compatible con lo que se guise en los espacios extracomunitarios.

La idea es promover el cumplimiento legal a la europea en los productos que se fabriquen y que se vendan y/o consuman en el mercado interior y, al tiempo, potenciar la industria propia, algo a lo que sin duda debe contribuir decisivamente la otra gran apuesta de la UE: el Centro Europeo de Competencia Industrial, Tecnológica y de Investigación en Ciberseguridad y la Red de Centros Nacionales de Coordinación.

Estas loables pretensiones tienen un notable impacto en el mercado (oferta y demanda), en las regulaciones, la capacitación de las personas, la competitividad, la I+D+i + P (de Producción)... Y, por supuesto, requieren de un plan B, no vaya a ser que la globalización funcione de verdad y se nos caigan a todos las barreras.

RSIs/CISOs. El Real Decreto 43/2021 ha provocado una explosión de webeventos para explicar, supuestamente a los interesados, las consecuencias que tiene su contenido para los RSIs/CISOs.

Con el ánimo de aportar, tres excelentes profesionales (un CISO y dos que lo han sido) brindan en esta edición sus opiniones, que no tienen desperdicio. Un ex habla directamente de CISOs de primera y de segunda (según estén o no regulados); y un CISO en activo y un ex, le entran a la Declaración de Aplicabilidad. Para no perdérselo.

Países en los que mirarnos. Algunos están peor; pero otros nos llevan ventaja en darle valor a su ciberseguridad. Mencionaremos dos, uno de la UE y otro que se acaba de marchar. El primero, Francia, preocupado por los ciberataques a hospitales, va a reforzar su estrategia con un presupuesto extra de 1.039 millones de euros (720 los pondrá el Estado y 319 el sector privado).

El segundo, Reino Unido, que cuenta con una estrategia de seguridad cibernética dotada con 2.200 millones de euros, ha creado un Consejo de Seguridad Cibernética y tiene avanzada una propuesta para desarrollar el mercado de la identidad digital. (Los británicos son así).

En España tenemos más leyes, normas, organismos, los mejores expertos, los mejores proveedores, hubs, clusters, observatorios… Pero no tenemos euros.

Telefónica. No es de extrañar que gran parte del sector esté todavía recuperándose de la sorpresa causada por la noticia del despido de Pedro Pablo Pérez, hasta ese momento CEO de la Unidad de Negocio de Ciberseguridad. Y no solo de él, sino de otras personas de su Equipo. En los mentideros del gremio se oye de todo. Veremos si la cosa da más que hablar.