La Comisión Europea adopta el primer código de red sobre ciberseguridad para el sector eléctrico
El pasado lunes, 11 de marzo, la Comisión Europea adoptó el primer código de red de la UE sobre ciberseguridad para el sector eléctrico (C/2024/1383). Previsto en el Reglamento sobre la electricidad (UE) 2019/943 (artículo 59) y en el Plan de acción de la UE de 2022 para digitalizar el sistema energético, este acto delegado es un paso importante para mejorar la ciberresiliencia de las infraestructuras y los servicios energéticos críticos de la UE. Apoyará un nivel alto y común de ciberseguridad para los flujos de electricidad transfronterizos en Europa. El expediente pasa ahora al Consejo y al Parlamento Europeo para examinar el texto y las normas entrarán en vigor una vez finalizado este período.
El código de red tiene como objetivo establecer un proceso recurrente de evaluación de riesgos de ciberseguridad en el sector eléctrico. Estas evaluaciones tienen como objetivo identificar sistemáticamente las entidades que realizan procesos digitalizados con un impacto crítico o alto en los flujos de electricidad transfronterizos, sus riesgos de ciberseguridad y luego las medidas de mitigación necesarias. Para ello, este código de red establece un modelo de gobernanza que utiliza y está alineado con los mecanismos existentes establecidos en la legislación horizontal de la UE, en particular la Directiva revisada de seguridad de la información y las redes (NIS2). Este es el caso, por ejemplo, de la notificación de ciberataques y vulnerabilidades mediante los equipos de respuesta a incidentes de seguridad informática (CSIRT) establecidos, o de la coordinación con la red CyCLONe en caso de incidentes y crisis de ciberseguridad a gran escala. Por lo tanto, las nuevas normas promoverán una base común, respetando al mismo tiempo las prácticas e inversiones existentes tanto como sea posible. Este modelo puede desarrollar, seguir y revisar periódicamente las metodologías de diferentes partes interesadas, teniendo en cuenta los mandatos actuales de diferentes organismos tanto en el sistema regulatorio de ciberseguridad como en el de electricidad.
El acto delegado sigue a un extenso proceso de consulta con las partes interesadas relevantes, incluidas las contribuciones de ENTSO-E, la Entidad DSO de la UE y ACER, y un período de cuatro semanas para recibir comentarios del público a finales del año pasado. La Comisión también ha informado al Parlamento Europeo sobre la iniciativa.
Según las normas de procedimiento de la UE, el acto delegado está sujeto al escrutinio de los dos colegisladores de la UE. Esto significa que el Parlamento Europeo y el Consejo tienen cada uno un plazo de dos meses para presentar objeciones a esta legislación secundaria, que puede ampliarse otros dos meses.
