A continuación, cegó la palabra a la persona que va a conducir.
Esta jornadas es un muy conocido comunicador
y por favor, el señor don Julio Somoano Rodríguez pasea.
Qué tal.
Qué tal Buenos días, cómo estáis?
Bueno, yo encantado estar aquí encantado
estar aquí en primer lugar,
porque bueno, me parece que estar en este Instituto Universitario,
que lleva el nombre de Gutiérrez Mellado,
a mí que soy un humilde estudioso de la Constitución,
pues pues bueno, me tiene mentir,
encantado, así que encantado de formar parte de esta iniciativa
y más de una jornada encima,
que lo que hace es reunir o mostrar el poder que tiene la unión
entre la universidad, entre el Ministerio de Defensa
y entre las empresas privadas, no lo lejos que podemos llevar llegar
cuando cuando colaboramos todos,
no cuando me llamaron para para conducir.
Esto me dijeron.
No es una jornada sobre ens mis 2;
en el ámbito de las empresas, proveedores de equipos
y sistemas de defensa, y dije, bueno, no es de mis temas,
no es de los temas que más se sí pero bueno,
entonces que tengo que hacer el mexicano,
tú eres como un árbitro de baloncesto.
Es decir, va a haber un moderador, va a haber tres ponentes;
el moderador, sabe mucho del tema
pero tiene que quedar bien con los ponentes
y entonces eres tú el malo de la película.
El que vas a decir.
Oye, ya os tenéis que callar?
No.
Entonces básicamente tenemos tres paneles por delante,
paneles apasionantes.
El primero es el panel normativo, acreditaciones y guía.
Estic 105,
el segundo, el panel de contratación muy pliegos
y el tercero es.
Estamos preparados?
Vale, cada panel va a durar 55 minutos y las reglas del juego?
Yo tengo aquí el cronómetro de baloncesto,
las reglas de juegos que cada panel dura 55 minutos.
Vamos a intentar que el moderador
y los panelistas hablen durante 40 minutos y para ello
yo les pido intervenciones no muy largas
y que haya diálogo.
Vale y los últimos 15 minutos.
Llegaré y yo les cortaré.
Les cortaré seguro porque esto ya me ha pasado,
ya lo he vivido?
Vale?
Y lo que haré será abrir el turno
para que seáis vosotros los que intervenga
es para que esto sea una comunicación bidireccional y al final,
podamos irnos de aquí con.
En fin, con con el conocimiento de la suma de todos,
no vale Entonces, sin más preámbulos,
vamos a empezar por el principio,
que es el primer panel, que es el panel normativo,
y entonces llamó a la mesa a moderador
o de panel trazado el pastor Vargas director sí sí claro claro
no me lo veis ni altura.
Director de la Escuela Técnica Superior del Instituto de Ingeniería
Industrial de la UNED, qué tal Rafael?
Te has preparado?
Tú tú debes que vas a poder cortarles
y las que se alargan si tal o cómo lo ves?
De informática vale,
vale, perfecto, la otro todavía no las terminado vale.
María soraya articles Burgos, jefa de la Unidad de auditorías
de seguridad de Cestic, del Ministerio de Defensa.
Qué tal me han hecho ahora ya.
Miguel Ángel, la mutua Gómez,
que subdirector adjunto de coordinación de unidades
de la secretaría general de administración digital.
Bienvenido Miguel.
Agradece.
Javier candau, que es adjunto al subdirector general del CCN.
Bueno, Rafael, pues sin más dilación,
te agradezco todo a ti durante 40 minutos.
Bueno, gracias por la presión,
me acabas de destrozar en la agenda que tenía, pero bueno,
en serio sí sí volveré a puesto 10 minutos, en vez de 15,
pero vamos a ajustar, no te preocupes, cubrió.
Bueno, vamos a empezar un poquito, no querían simplemente para para
contextualizar un poco la mesa, queríamos un poco centrar.
El debate en cuenta es un panel normativo
aquí entrado en cuestiones que tienen que ver con auditorías,
que es el esquema nacional de seguridad.
Una cosa que no suele no nos suele gustar mucho,
que suelen ser la música si toda la parte regulatoria
que tiene que ver con dotaciones,
que se tienen que tomar dentro del punto de vista de las empresas,
todas las que son proveedoras de la administración pública
y no servicios subcontratados.
Me acuerdo hoy en día es un poco centrar el panel
en esas cuestiones.
De acuerdo?
Pues eso contamos con con tres grandes ponente.
Ya se ha presentado lo único
decir que digan ángeles directos de Planificación y Coordinación
de seguridad al secretario general de administración digital
vale simplemente por pronto porque ya un poco bueno la idea
un poquito y es lo que decía hablar un poco de estos derechos.
Ejes de punto.
Insta de las Fuerzas Armadas,
tenemos a soraya la administración pública
y, por supuesto, dcn,
que es el referente en cuanto a la parte de desarrollo,
acreditaciones que tienen que ver sobre todo con productos
y el esquema nacional de seguridad,
aunque Miguel Ángel también está muy involucrado en su momento
en esos temas, con lo cual tiene conocimiento de causa
perfectamente muy interiorizado el concepto de esquema nacional
de seguridad vale?
Aquí también.
Es importante recalcar dos cuestiones.
Ezquerra hacia la ciudad.
Lleva bastante tiempo ya en funcionamiento en España.
Mis dos es la directiva europea que traslada fundamentalmente gran
parte del esquema hacia la subida.
Yo creo que incluso Javier, luego lo puede también como un poco.
Al final se toma como referencia ese esquema hacia de su vida
como base de funcionamiento de la mis dos con algunas modificaciones
y debemos, por tanto, están muy orgullosos
de cómo, cómo se ha desarrollado.
Vale?
Bueno, yo en esta primera parte siempre entera
deja un poquito claro, los objetivos van a ir.
Entonces, sí me gustaría darle dos minutos.
La palabra dos minutos y cada 1, un poco, para contextualizar,
pues es un poco la propuesta de la aplicación,
incidencia y contexto en los diferentes ámbitos
que representan cada uno de ellos y cómo afecta, por supuesto,
al público de la decisión de hoy, que está en unas empresas
que van a funcionar como proveedores de servicios
en la flora.
Si queréis, empezamos por mi derecha.
Me acuerdo soraya.
Bueno, sí yo soy la jefa de la unidad de auditoría
de seguridad del Cestic, en el Ministerio de Defensa,
centrándonos en la diferencia, o en las similitudes y sinergia
entre el esquema nacional de seguridad
y mis dos podríamos decir que el actual,
de clima nacional de seguridad es podremos, es,
podríamos decir que es en ese 2, al igual que el ministro,
porque es una gran segunda versión, por lo tanto,
ambas regulaciones que te dan,
donde la mejora de la ciberseguridad se encuentran en su segundo estadío.
Quizá el esquema nacional de seguridad,
que llamas para para una tercera versión,
ambas dop, se centran en la mejora de la ciberseguridad,
aunque el alcance y la afectación de la diferentes empresas
que tienen que llevar a cabo.
La regula a la adaptación de su normativa interna
para y su proceso para poder alcanzar hecha normativas
son un poco diferente.
El alcance del esquema nacional de seguridad se centra principalmente
en la administración pública.
Cuando nació inicialmente,
solamente cuando se daba el alcance era estaba circunscrito
a la seres que actualmente está a todas las administraciones pública
y a todas las organizaciones privadas que van de alguna manera
a dar un servicio a las administraciones pública.
Por lo tanto, en el nuevo quemado hacia el de seguridad del año
2000 veintidos es incorpora la necesidad
de que la organizaciones privadas tengan
que hacer un cumplimiento del plan nacional de su vida,
si quieren dar un servicio a la Administración.
Por tanto, el alcance se ha ampliado a estas entidades privada
y, sin embargo, la normativa europea se centran,
sectores crítico y sectores esenciales,
si bien, por ejemplo, el Ministerio de Defensa,
un caso muy concreto en el que se queda afectado
por ambas 2,
porque, como el Ministerio de Defensa concretamente el Cestic
provee el servicio de firma electrónica
y proporciona certificados su infraestructura clave pública,
el ministerio defensa, por ejemplo, está afectado de ambas regulaciones
y como tal la unidad de auditorías, pues ha intentado dar cabida
a ambas parte y a estudiar cuáles son las diferencias
entre la aplicación de esquema nacional de seguridad y mis dos a
para poder obtener un certificado que cubra ambas partes.
Así que doy paso a Ángel para que continúen.
Gracias.
Gracias, buenos días.
Un placer poder intervenir en estas jornadas.
Bueno, por ponernos en situación desde que se publicó la estrategia
de ciberseguridad de la Unión Europea en diciembre de 2020,
la Unión Europea ha emprendido una intensa actividad
de producción normativa en materia de ciberseguridad, que es coherente
con el contexto que estamos viviendo desde todo punto de vista.
En diciembre de 2000 veintidos se publicó la directiva nis 2,
la directiva anís dos es una segunda edición,
como adelantaba.
Soraya del anexo 1, a la luz de una serie de ineficiencias,
deficiencias, lagunas, carencias y problemas
que se habían encontrado.
La aplicación de la primera de la primera directiva es un periodo
en el que nosotros, que ya llevábamos un recorrido de 13 años
con el esquema nacional de seguridad,
pues pudimos simultanear la actualización del esquema nacional
de seguridad con el examen y la preparación
de la directiva, anís 2, para que en el momento
en que eso llegará pues estuviéramos preparados.
Es decir, que hemos manejado la noción del alineamiento
temprano para estar preparados.
Lo que hace la directiva anys dos es a apunta varias temas.
Apunta a la construcción de la articulación de la gobernanza,
la cooperación y la comunidad, tanto en el ámbito transfronteriza,
en el ámbito nacional como dentro de las propias entidades,
y viene a establecer una serie de medidas
para las entidades en su ámbito de aplicación esenciales importantes
en los sectores de los anexos uno dos para armonizar la enfoque
hacia la ciberseguridad.
En toda la Unión Europea
y en las organizaciones en el alcance,
como decía, al preparar la la versión del ns.
Mis dos hemos tenido eso en cuenta
y hemos querido prepararnos todos.
Por eso hoy en día el esquema nacional de Sevilla
es de aplicación a todo el sector público en España,
a sus proveedores tecnológicos,
a los sistemas que manejan información clasificada
y hemos introducido cuestiones que tienen gran calado
en las empresas.
La primera, que los pliegos de prescripciones técnicas,
exigirán la conformidad con el esquema nacional
de seguridad.
Esto se quiso introducir en la versión de 2010,
pero en aquel momento no había madurez.
Se introdujo la versión de 2000 veintidos y, bueno,
pues hubo cientos de comentarios, 700 800 comentarios.
Nadie incidió es decir que todo el mundo consideró
como algo lógico que los pliegos exigieran la conformidad
con el venirse vía autoevaluación o declaración
en caso de categoría básica
o certificación de la conformidad en categorías media y alta.
También se ha exigido a los proveedores que tengan
una política de seguridad que tengan un un punto de contacto
para las cuestiones de seguridad y para el caso
de que haya una comunicación necesaria
por razón de algún tipo de incidente,
y también se ha introducido la referencia explícita
al catálogo de servicios y productos de seguridad de las tecnologías
de la información,
con una jugada maestra, que es una jugada maestra,
que yo digo que es de las que pasan desapercibidas,
pero en el exterior se han dado cuenta en otros países,
y es que hemos conseguido vincular dos siglos el siglo de la seguridad
y el siglo de la Contratación.
Por qué?
Porque el esquema nacional de seguridad hace referencia
a ese catálogo y los sistemas dinámicos de adquisición
centralizada cuando contemplan los requisitos de seguridad,
se refieren a el esquema nacional de seguridad
y se refieren en la forma de acreditarlo a que los productos
estén en ese catálogo de peste o tengan la conformidad con el enes,
con lo cual hemos conseguido, digamos,
vincular estos mundos bueno, todo ello en una dinámica
en la que, bueno, lo voy a comentaremos.
Seguimos observando todo lo que está ocurriendo,
porque vamos a generar instrumentos para la mejor aplicación del anís dos
de la mano de la flexibilidad del ns,
que son los perfiles de cumplimiento específicos, y bueno,
pues ahí estamos trabajando en todo lo que es el análisis pormenorizado
de la directiva anys 2,
su acto de implementación recientemente publicado,
y la guía de orientativa que ha publicado en es en isa,
para consulta que tiene.
Para nosotros un valor fundamental
es que menciona explícitamente al ns al esquema nacional de seguridad,
porque incluye unas tablas de correspondencias de medidas
y, bueno, pues una primera aproximación
a la correspondencia con el ns, pero bueno, eso está abierto,
va consulta, y enviaremos comentarios
y contribuciones en su momento de dpo.
La palabra apoyase.
Bueno, pues, nada por complementar al resto de ponentes
en un principio.
El Hanish dos hace otra cosa para diferentes países.
Se es obligarles a a demostrar o a adquirir.
Cuál es su gobernanza.
No precisamente los retrasos que hemos tenido.
El anécdota punto cero en su aprobación,
que debía estar traspuesta el 17 de octubre pasado por esa,
ha sido un poco por por por este sistema de gobernanza, no España,
todo desde prácticamente la misión o punto cero
por un sistema centralizado donde había mucha autora de competentes
y se creía que de esta manera se acercaba
uno más a a los sujetos obligados, la la han ido.
Punto cero es en un principio más exigente.
Hemos pasado de seis sectores a 18 sectores
y vamos a exigir cumplimiento en sectores
donde la madurez en ciberseguridad, pues es un poquito escasa.
Entonces eso va a ser uno de los primeros retos.
También vamos a tener el reto de que la misma punto cero
prácticamente la de si la designación era una herencia de la Ley
de infraestructuras críticas y el Real el real decreto asociado,
con lo cual era un trámite bastante pesado,
la designación de cualquier operador de servicios esenciales,
operador de infraestructuras críticas
o la misma, don punto 0,
la Unión Europea ha aprendido lo que la diferentes aproximaciones
de los distintos países y vaciado a obligar a las empresas
a una autorresignación que quiere decir.
Habrá un portal web,
se registrarán y habrá un punto de contacto sectorial
que validará a esa empresa como proveedor
o como entidades esencial o como entidad importante,
con lo cual ese proceso esperemos que esté bastante agilizado
y bastante rodado para mediados del año que viene.
Para mediados de 2025 que se le va a decir a estas empresas
o incumplimiento de medidas
Miguel Ángel.
La ha citado el.
El acto de ejecución de la Unión Europea
para para proveedores de servicios digitales,
modere, de Buqueras proveedores de servicios en nube,
que no tiene un carácter de -o que actúan en diferentes países
de la Unión Europea, pero estimamos que actos de ejecución
se repicará para las entidades esenciales,
entidades importantes,
con lo cual ya vamos a tener un conjunto de medida muchísimo
más aterrizado
y luego, por supuesto, si obligando a la notificación de incidentes
en ese sentido,
tanto en el cumplimiento de medidas como la notificación de incidentes
-él como aquí en España lo tenemos avanzado
-el-como en el cumplimiento de medidas y notificación
de incidentes, lo tenemos avanzado con el esquema nacional
de seguridad.
Simplemente lo único que tenemos que hacer es escalar al sector
privado lo que ya vemos que está funcionando
en el sector público.
Gracias, Javier.
Ha visto que ha habido bastante palabras que han aparecido
durante las intervenciones de los ponentes.
Aparece el concepto de gobernanza.
El concepto de transparencia, concepto, auditoría,
me centrar en este último parece interesante desde un punto de vista,
sobre todo porque el cumplimiento de los perfiles
en la normativa se basa mucho en el concepto auditoría
no, y quería un poco la la opinión de desarrollar respecto,
sobre todo desde el punto de vista de esas auditorías del camino
hacia la subida como como podrían ser las las futuras o recientes
o presentes del mis dos de acuerdo,
porque verdad que estamos plata exposición, estamos voz pendiente,
pero cómo va a afectar, digamos, al modelo de autoridad
del funcionamiento de ahora, es decir,
cómo va a afectar al otro las empresas
el funcionamiento de esas cumpliendo normativos y sobre todo de punto
insta a los proveedores, al ministro de defensa
de las Fuerzas Armadas, bien, más la más que nada en España.
Está claro que cuando se hace un examen nos esforzamos,
no hay examen, no nos ponemos a reordenar,
apele a designar roles y a establecer claramente
los procesos.
Eso ha ocurrido claramente en mi organización
hasta que no se ha marcado el alcance concreto
para una auditoría que implica a la infraestructura principal
de defensa.
No apila.
Un ejemplo muy claro que podría podría ser casualidad,
pero la política de seguridad, la información que era del año 2006
en base a una desviación encontrado durante una auditoría
se ha producido la aprobación recientemente,
la nueva política de seguridad?
Pues se casualidad,
pero está claro que se ha producido esa actualización de normativa
que imprescindible para poder
no tener una no conformidad en el primer control de seguridad,
que se os uno de tipo nacional de seguridad.
Por lo tanto,
una auditoría permite establecer una actualización de normativa,
permite establecer claramente quién hace qué y permite claramente
establecer cuáles son los procesos que llevan a cabo para cumplir
con cierta medida.
Todo hecho entonces te puzle consigue establecer una seguridad jurídica
o seguridad segura para que todos los elementos,
grupos como la organización puedan cumplir una serie de controles
desde nuestra unidad.
Desde el principio pensamos que la mejor manera
de poder pasar una auditoría era siendo auditores.
Por lo tanto, lo primero que hicimos fue designarle a solicitar al CCN
ser una ser reconocido como órgano de auditoría técnica
y a, y de hecho nosotros hemos realizado auditorías.
Antes de ser auditados, a día de hoy estamos en proceso
de hacer la primera auditoría y ese proceso no ha dado inicial,
en el cual nosotros éramos los examinadores,
no a la capacidad para poder apoyar el hecho de ser auditado.
Miren cuánto esquema nacional de seguridad en comparativa
con la mixtos,
este proceso del que estoy hablando de que la principal,
la estructura de la baja clasificación en el mix de defensa,
se lleva a cabo hecha esta auditoría,
hemos hecho una comparativa de cuáles son las medidas principales
que diferencian a listos con el nivel de categoría media
en nacional de seguridad, el esquema nacional de seguridad leal,
el más alto de todo.
En teoría se cumple con estos en teoría más o menos,
pero como en nuestro caso, que estamos en una categoría media,
el nivel de cumplimiento no es inmediato,
hay que hacer una serie de cosas.
Cuáles son las medidas principales?
Tendríamos que aumentar en el Ministerio de Defensa
para poder cumplir con estos bien.
La primera idea tiene que ver con el control de acceso
al sistema de información.
En ese control de acceso al sistema de información
se requiere ese éxito en privilegio separado para poder acceder
e incluso si el usuario tiene que acceder a distinta parte
o distintas zonas del sistema de información.
Los atributos de seguridad son separado.
Por lo tanto, hechas características de seguridad, que son de nivel alto
a la información, al de seguridad son las que piden ir 2,
ya que cumplirse, si el sistema de formación
quiere alcanzar mis dos o nivel alto no es exactamente 0,
otras saben que existe una, un documento publicado por el CCN,
que es la excepción, estic 8, 9, 2,
que establece el perfil de cumplimiento para estos,
y en esta directiva se establece que es suficiente con el nivel alto,
el refuerzo uno en el control Hope, hace 2, sin embargo,
cierto que para poder cumplir completamente recónditos
debería obtener orientar más en sistema un cumplimiento con 0.
Tras de todas maneras, el mix de defensa tramo
orientado a llevar a cabo su cumplimiento,
otra de las medidas que habría que cumplir sería una.
En cuanto a la gestión de incidentes,
que listo hace bastante hincapié debería de llevarse a cabo,
una reconfiguración automática del sistema
en caso de que se detecten cierto tipo de incidentes.
Recogerse, reconfiguración, por ejemplo, de regla de faro
webs de configuración de cuenta anulación reseteo de cuenta bueno
cualquier tipo de actualización automática
más lo que hace un producto de ciberseguridad,
de tipo solar, de orquestación y automatización,
debería llevarse a cabo un nivel medio.
No se requiere esta automatización, orquestación, pero a nivel alto
honesto sí sí se requeriría.
Por lo tanto, sería otro grupo de medidas
que tendríamos que cumplir.
En cuanto a la, el hecho de que se cumpla
o se establezca cualquier sistema de información en la nube
requeriría una, reconfiguración o confederación
segura con la vía correspondiente de estic esto también sería
a nivel alto.
En cuanto a la interconexión del sistema,
tendría que haber un acuerdo,
entre parte de cuáles son exactamente la funcionalidad de responsabilidad
que tendrían que establecerse entre la parte
para llevar a cabo esa interconexión de sistema.
Tanto usted será alto o onís 2, lo otra parte muy muy importante,
que diferencia claramente un sistema de información
que esté categorizado a nivel medio, nivel alto,
o mis dos serían.
Los planes de contingencia tienen que existir planes de contingencia,
tienen que ser y medio de respaldo.
En lugares separado tienen que existir personas
que se dedican específicamente hace para periódicos.
Por lo tanto, esto sería una gran diferencia
entre nivel medio y alto y ministros en cuanto a la comunicaciones.
Se necesita establecer, cuando se haga un túnel,
lado se crea, se crea una red privada virtual;
tiene que hacerse como mojado, ha determinado
una criptografía específica de enero algoritmo específicos
y con productos certificado.
Tú también sería el nivel más alto la copia de seguridad
también tendrían que agua guardase en un lugar diferentes
lugares medio respaldo,
que va a llevar también copia de seguridad,
por lo tanto, sería también diferente entre medio y nivel alto,
y en cuanto a la negación de servicio,
tienen que adaptarse completado desde el servicio.
También tiene que contratarse que no se produzcan,
se puedan controlar los ataques de denegación de servicio,
y otras son un poco todas las medidas que sean diferentes entre medio
y niveles altos.
Por lo tanto, hay que reseñar
que se tiene que hacer un esfuerzo bastante diferente
en una organización para cumplir con estos,
porque todo lo que contase a nivel alto pero quedaría.
Equipararía a nivel 2.
Este conjunto de medida es bastante exigente
y quizá haya que revisar.
Yo creo que algo podrían responder y compañía
si hay alguna otra medida que realmente no está contemplado
en el esquema nacional de seguridad y que aun así no se llega a listos,
por ejemplo, yo creo que no hay ningún refuerzo específico
en nacional de seguridad que exige hacer otras,
y yo, por ejemplo, no lo he encontrado en el perfil
de punibles contra la balanza de seguridad.
Puede que haya que revisar alguna de la medida del esquema nacional
de seguridad, porque haciendo todo el esfuerzo
ni delante, incluyendo añaden un cierto refuerzo,
no se llegue a lo que se exige el nivel dos bueno
y otra cosa otra parte importante o por algo que nos preocupa
desde el punto de vista de las auditoría a la hora
de diseñar el alcance de a qué sistema de formación
queremos llegar,
sería establecer si se va a llevar a cabo obligatoriamente
una auditoría para sistemas que albergan información
clasificada hecho desde el punto de vista del Ministerio de Defensa.
Es importante saber hacia dónde vamos, porque a la hora
de hacer todo el proceso de auditoría en los sistemas de clasificación
no llegan irremediablemente a ver cómo lo hacemos en alta clasificación
y como los procesos de acreditación de sistemas que albergan
información confidencial o secreta son más diferente
a los que se llevan a cabo con el corazón de seguridad,
aunque sea a nivel alto
la aclaración, el cumplimiento dentro de a corto plazo
de cuál sería esa diferencia entre la auditoría que se hace
en el sistema de baja clasificación y alta clasificación,
para nosotros sería bastante interesante
para poder orientar todo el proceso, porque al fin y al cabo,
la o al órgano de auditoría técnica con el órgano todavía auditoría,
técnica que están en el Ministerio de Defensa
para hacer auditoría, requieren saber si su proceso en alta clasificación
van a ser similares a la baja clásica,
y le doy paso a su compañero a ver, sino agradecer.
Recojo el baldón muy bien.
Bueno, continuando con lo que ha planteado Soraya
simplemente por posicionarnos.
Las administraciones públicas están en el ámbito de aplicación
Denis dos días de Administración General del Estado,
comunidades autónomas y las entidades locales
a determinar que eso ya se precisa de se precisarán en la trasposición
de la directiva anís, 2.
Entonces, de cara a lo que son las obligaciones
hay que citar algo que no habíamos mencionado hasta este momento,
y es que el artículo 20 de la directiva anís 2,
recoge la responsabilidad de los órganos directivos
de las entidades en el ámbito de aplicación
tienen la obligación en relación con la aprobación
de la, de las medidas a implantar, la supervisión, la responsabilidad
por un incumplimiento deberán también pasar por procesos de formación
y alentar esa formación dentro de sus dentro de su ámbito.
Esto es importante porque en el esquema nacional de seguridad
hemos tratado siempre desde el principio,
implicar a la organización y al máximo nivel,
pero aquí la directiva nis dos es una cuestión explícita
y además, bueno, pues tiene un régimen socio y sancionatorio,
como decía Juan 10 también demostrar el cumplimiento,
pues va a ser.
Y mediante certificación, va a ser un aspecto esencial.
Nosotros hemos venido preparando el terreno
y apuntamos a que no haya doble certificación,
es decir, que no haya una carga adicional,
sino que es la certificación de la conformidad con el ns
-sirva para acreditar también la conformidad
con las medidas de Anex 2.
De ahí la importancia que decía de esas correspondencias
en la guía de Orientación Denis
para preparar ese terreno hemos publicado,
en algún momento como alineamiento temprano,
un pertinente cumplimiento específico para las entidades.
En el ámbito de Denis dos digo que es un alineamiento temprano,
porque seguimos verificando o cotejando con el órgano,
con el acto de implementación,
y con la guía Denis dos para, para mejorar,
y una de las características del del pertinente cumplimiento
es que en base a la categorización y al análisis de riesgos,
ese perfil de cumplimiento puede incluir medidas del ámbito del Nse,
y incluso está contemplado que pueda incluir otras medidas
que pudiéramos necesitar para ese cumplimiento con mis 2,
con lo cual tenemos flexibilidad.
Tenemos un instrumento, tomaremos nota de Sí;
hallazgo que pueda ser necesario para una futura actualización
del esquema nacional de seguridad,
cosa que ya venimos haciendo desde que se publicó
en mayo de 2000 veintidos, pero en principio tenemos
un instrumento que nos permite flexibilidad y que,
junto con los mecanismos de acreditación de entidades
de certificación de órganos no mi profundidad técnica
y poco lo que es el esquema de certificación desplegados,
pues nos permiten seguir adelante y haciendo un uso
de todo el bagaje que ya tenemos, porque algo que hemos batallado
estos tiempos es que el acto de implementación reconociera
que los Estados miembros pueden hacer uso de sus marcos
y hace orientaciones, etc. Y luego pues nos hemos preocupado
de quien esa recogiera la correspondencia con el anexo,
entonces de todo el trabajo que estamos haciendo surgirán versiones
de ese perfil de cumplimiento,
y probablemente los tengamos que hacer o variantes.
O estamos explorando por ahí alternativas
para mejor, ofrecer la mejor herramienta posible
a todas las entidades en el en el alcance
o en el ámbito de aplicación de tenis dos luego.
Pues bueno, lo que nos decía ella es muy interesante.
Estaba yo aquí tomando nota, había una referencia al cielo,
tras nosotros le llamamos mínimo privilegio,
otras no aparecen en el el real decreto,
pero sí hay cuestiones que veis en los trabajos que puede dar
lugar a evolución de la ns o a tenerse en cuenta en el perfil
del cumplimiento específico, pues tomaremos nota.
Tenemos en esta época
y tras la actualización del ns los siguientes resortes
que complementan el perfil del cumplimiento,
los requisitos de seguridad modificados
y los refuerzos codificados.
Con lo cual, con todos esos mimbres,
pues vamos a seguir trabajando para, bueno,
pues los tiempos que tenemos hasta que llegue la transposición
de la directiva.
Anís 2, tener las mejor la empresa,
herramientas posibles a disposición de todas las entidades,
a ver, bueno, está claro que que no van a auditar,
e así que hay que ponerse un poco a las pilas,
porque si nos vamos a la certificación
del esquema nacional de seguridad, tenemos unas 3.000 quinientas
largas, casi 2000 certificación al empresas
y menos de 1.000 en sector público es muy fácil el equilibrio,
un pliego, este certifico anal, ns,
luego otra cosa es aplicarnos a nosotros la medida,
pero también tengo que decir una cosa.
Se ha optado por intentar cumplir la directiva
ni dos a través del esquema nacional de seguridad,
porque es un esquema nacional que podemos tocar,
podemos tunear, podemos hablar,
no tenemos que preguntarle a nadie para sacar un perfil de cumplimiento
que se ha hecho ahora mismo ese perfil de cumplimiento
del que hablaba Soraya que hablaba Miguel Ángel
el ocho nueve dos un perfil de cumplimiento de máximas.
Ahora mismo estamos pidiendo todo lo que creemos que podemos medir,
pero también sabemos que no es el 1.000 lo mismo.
El nivel de madurez en cómo demostrar cumplimiento que tenemos en España.
El que tienen en otros países,
en otros países, unos han tirado por abrazar la iso 27.001
estándar internacional que no pueden tocar y que es difícil
que puedan adaptar por abrazar la anís que suelen estándar americano
o por abrazar otra opción normativa.
Creo que la normativa en este sentido nacional
permite al país exigir
y tunear el las exigencias que le van a dar a las empresas en un principio
como lo hemos sido un criterio de máximos.
Hemos dicho.
Si tienes en ese nivel alto cumples;
con eso cualquier empresa denunciativa
la nsa, automáticamente cumple con la unif 2;
veremos si hay algún matiz.
Creo que que no va a haber ninguno.
Pero a pesar de que esto ahora ya nos ha citado 9,
nueve medidas que, en su opinión,
podrían no estar cubiertas cuando apliquemos la mis,
hay que hay que tener una cosa clara,
al anys dos punto 0, al fin y al cabo ahora todo el mercado único
de la Unión Europea y va a aplicar criterios de mínimas.
Entonces hay un principio que vamos a aplicar aquí en España,
que es que no vamos a pedir más, que no pide a los otros países.
Por qué?
Porque ya tuvimos una mala experiencia
cuando en algunos sistemas clasificados sobre todo de estrictes
nosotros sí que pedíamos auditoría y franceses,
alemanes pedían autoevaluaciones.
Nosotros vamos a pedir lo mismo que otros países.
No vamos a hacer, por supuesto, un stopper para las empresas,
con lo cual yo lo que preveo que en este ocho nueve dos se alivie más
de lo que está ahora, esa va a hacer la primera aproximación
porque y tiene razón soraya en la medida de control de acceso,
de de reconfiguración automática de servicio de nuevo yo creo
que esa cosa también la madurez de la tecnología de usura
no las está proporcionando de una manera automática.
Si esto nos lo están pidiendo,
francesa, alemana, esos checos nosotros no lo vamos a pedir.
En ese sentido, vamos a estar muy vigilantes.
Hay un grupo que coordina todo hecho,
que se llama grupo de cooperación.
No están todos los países donde se ha discutido el acto de implementación
y estaremos también muy cerca de Niza,
que tiene la visión de cómo se están aplicando la mis 2.
En el resto de países sí que vamos a ir a entidades esenciales;
demostración de cumplimiento mediante una certificación,
entidades importantes, autoevaluación;
me acuerdo entonces este dato es importante que lo manejemos
y en ese sentido creemos que tenemos un esquema muy maduro
de certificación.
Tenemos así 20 empresas y organismos públicos.
Ahora ya ha comentado que ellos son órgano de auditoría técnica.
Tenemos 4, cuatro organismos público que son órganos
de auditoría técnica.
Tenemos que crecer ahí sobre todo para la parte autonómica,
que los centros de operaciones autonómicos,
o sea las agencias autonómicas
se constituyan en organismo de auditoría técnica,
la única que ahora mismo está constituido en organismo de auditoría
técnica de la agencia de ciberseguridad catalana
estamos presidiendo, pues Andalucía a Madrid,
etc. Para que se constituyan hechos órgano adultere técnica,
porque para los organismos públicos algunas veces hombre pueden tirar
de certificaciones de empresas privadas,
pero muchas veces no tiene ni presupuesto ni recursos.
Para eso,
para el sector privado sí que hay una amplia número de empresas,
y además, muy vigilado en el asunto
de cuánto va a costar cada una estafa auditoría,
con lo cual lo podemos parametrizar de una manera bastante clara.
Entonces mis dos mensajes es auditoría,
si sobre todo para las entidades esenciales se va a pedir
lo que piden todos los demás países, no nos vamos a pasar de frenada,
y después importante esta 8, 9, dos como un esquema nacional,
la vamos a ir ajustando a lo que piden
todos los demás países.
El grupo de cooperación de la Unión Europea
y las indicaciones de esa.
Muchas gracias, Javier.
A mí se me ocurría varias preguntas al dicho una falta de recursos
y otra de cuánto nos costaría hacer las auditorías.
Yo creo que las empresas se desplazaron,
aunque luego lo dejamos por las preguntas a su padre
de varios, porque tenemos a la visita baloncesto presionando bien,
mejor dejarlo para el final.
Yo tengo otra cuestión que tiene que ver también
con la parte del cumplimiento.
Otra otra cuestión de carácter general,
y aquí voy a pasar de más a a Javier.
Un poco la pelota para rebote, que es el tema que tiene
que ver con certificaciones y todas las guías stic de acuerdo,
porque hay una parte muy importante que se ha cometido en España
hace tiempo ya como obligatoria, que es el uso
de la certificación de productos.
Ejemplo 10, estic 105, por ejemplo, aparte de otras vías,
que ahí adicionales, perfiles cumpliendo,
y si me gustaría ver un poco cómo, cómo van, digamos,
cómo han afectado o cómo afecta la trasposición del Hanish Deutsche
al esquema hace una subida con esto; certificación,
porque de lo que yo tengo entendido en principio se van a mantener
y se han incorporado directamente en la amnistía.
Vuelvo a lo que comentaba antes del modelo español
o el modelo del esquema de la seguridad.
Vaya como se ha ido, digamos, adaptando usando dentro
del la directiva anécdota, habían sí bueno importante,
mezclada de la certificación.
En nosotros siempre entendemos que puede haber tres tipos
de certificaciones, productos, procesos y sistemas.
Los productos están cubiertos por la acepción.
Estic 101.
Un catálogo de productos normalmente se llama catálogo de productos
cualificados y se distingue en ese catálogo de productos
que vienen de una certificación más estándar,
más pesada como común, Criteria, o una certificación mal ligera,
como la que tenemos en el CCN,
que se llama Lynce.
Creo que cualquier producto que se conecte a Internet
debería tener algún tipo de certificación ligera,
que quiere decir que no aporte más.
Vulnerabilidades al sistema y se pase un td,
penetración que veamos que el el, el producto del,
lo suficientemente seguro
como para que se pueda operar en asuntos críticos,
no.
Entonces.
En ese sentido, la Unión Europea publicó allá hace tiempo creo
que en el año 2021 la saber security,
esa seguridad de ciberseguridad lo que te dice
es que tienen que certificarse una serie de de productos o servicios
o sistemas,
y va a establecer 3, tres niveles básico,
moderado y alto de.
De hecho se sistemas de seguridad o de esta certificaciones,
lo que pasa que su implementación está tardando muchísimo si quisiera,
para para la certificación tipo, como un criterio, que era
una certificación o un estándar completamente asentado.
Creo que este año 2024 hemos conseguido
que nos pongamos de acuerdo dentro de todo Faisal la Unión Europea,
en adoptar el común Criteria, como uno de los esquemas
de certificación que estaban bajo la férrea,
el siguiente, el de los servicios nube, y ahí hay,
o es un montón de aristas e invitó punto de vista
de los países con respecto a la soberanía,
y de ahí se van a ir evolucionando a otras.
Hay uno que está pendiente
de que esta ley perdone esta ley de ciberseguridad
evolucione a una ley de curso ampliada,
que va a exigir certificación a los proveedores de servicios
de ciberseguridad.
Entonces está esta ampliación de la Cesia,
estaba a punto de consolidarse,
aprobarse y publicarse la Unión Europea.
Entonces, ahí vamos a tener otra variante, que es hasta ahora.
Estamos hablando de productos, algunos servicios nube.
Pues también los servicios de ciberseguridad quiere decir
que la mi, el mismo esquema de certificación
de la Unión Europea,
un esquema complejo.
Por eso, cuando me preguntan de las Pérez en, estic 105 105,
en un principio se centraban los productos, y ahora,
en que empezamos a incorporar servicios dentro del acepciones 105
nuestra aproximación es que tiene que ser inclusiva,
que siempre tiene que haber cuatro o cinco productos
para que cuando un responsable en un ppp ponga ese requisito
de que estén el catálogo tenga amplia variedad para poder optar;
y si no, pues iría transitoriamente a productos que no estén que no estén
en el catálogo con el compromiso de incluirlos una vez que hayan ganado
el riesgo de acuerdo la empresa correspondiente,
con lo cual lo que estamos consiguiendo
con o con el catálogo de productos estil
es ir también un poco por delante de la Unión Europea.
Nosotros llevamos con el catálogo más de 5, seis años;
la Unión Europea hasta ahora ha empezado a hablar de hecho mucho
después de que no solo de que dentro que en España
hubiéramos publicado un catálogo
y si exigiéramos una cierta certificación
a cualquier cosa que implementamos en un sistema, no.
Esto me lleva a hacer una una, una ampliación
sobre una un punto de debate
Cabrio Soraya antes, que es sobre el tema
de los sistemas que manejan información clasificada,
los sistemas de información clasificada.
Tenemos el problema que en la ley de secretos oficiales
sigue siendo la del año 68.
Entonces, evidentemente, cómo vamos a exigir
una serie de requisitos de un sistema confidencial
cuando prácticamente realmente en nuestro sistema nacional
no se sigue con piratear; todos lo reconocemos,
el reservado del secreto, incorporamos confidencial
y difusión limitada o confidencia y libre estricte,
porque incorporamos la clasificación de Unión Europea
y de otra nuestra aproximación es parecida.
Yo creo que un en ese nivel alto, va a cumplir y en condiciones,
y en requisito de ciberseguridad
todos los requisitos que exige un sistema secreto,
excepto dos o tres en las cifras, sea nacional, es decir,
que se implementen producto de cifras certificados y que en algún momento
se haya haya un poquito o un poquito,
bastante más granularidad.
Los acceso a los documentos,
que muchos sistemas prácticamente lo permite,
con lo cual, si te cumplimos a todos los aspectos,
la evolución de un en ese nivel alto a un sistema confidencial seguro
y reservado, y secreto,
pues con los matices que comunicado, serían más que suficiente,
no?
Entonces, con respecto al catálogo,
yo animo a los que son de empresas a incluir productos en el catálogo.
Por qué?
Porque van a tener una reedición por parte
de una empresa auditora por parte del CCN
si el producto amenazar alta clasificación.
Con lo cual, al que va a incorporar ese producto en su sistema
a ser un motivo de confianza, de confianza.
Complementando lo que apuntaba Javier,
y teniendo en cuenta que el artículo 24
de la directiva anys dos se refiere a la utilización de los esquemas
europeos de certificación y son o comentaba antes,
los los sistemas dinámicos de adquisición.
Como pueden ver, el 25 de adquisición de productos,
software se remitan a al catálogo y se remiten a la utilización
de los esquemas europeos de certificación,
y lo hizo además, y lo han hecho de una forma
también de alineamiento temprana.
Ya tenemos Deleuze esquema europeo de certificación de producto
desde enero de 2024 en algún momento llegará ese resquemor europeo
de certificación de servicios en la nube.
Pero nuestros sistemas dinámicos
de adquisición ya contemplan la referencia a esos esquemas
y la vinculación también con el catálogo
y con la certificación de los productos
o de la conformidad, ponerle en ese,
con lo cual lo que estamos haciendo es ir abarcando todos los elementos
que que permitan funcionar iba a decir en velocidad de crucero,
con todas las piezas, bien engrasadas y bien integrado.
Así que no haya elementos de ruptura,
y eso es lo que yo comentaría ahora en este momento.
Sobre el tema de los productos, las certificaciones que tuvo,
bueno, con respecto a la utilización de la ley hace ceses tick 105
para utilizar productos que tenía la guia pues es perfecto,
porque el nivel de valores que tiene España a la hora de incorporar
a un producto que he hecho una lista se fue encima de la Unión Europea.
El único problema que vemos nosotros a la hora de incorporar
cualquier sistema de información en uno que ya está certificado
es que cualquier sistema de información puede poner
en peligro en peligro al resto, aunque no esté en la guía,
por ejemplo, el hospital gómez huye al sistema de la uci,
puede venir con bicho y si viene con bicho.
Yo no podía la vida que tenéis ti para ser no va a estar
en ese catálogo ya bastante.
Ahí no hay un la sección de miscelánea
para meter muchas cosas,
pero no puedo meter todo el software del mundo mundial
internamente.
Tenemos que hacer auditoría,
crea para específica le llamamos forense frase
a ver si si hace salida hacia fuera el software de forma indiscriminada
o tiene algo dentro que puede poner en peligro al sistema.
Por lo tanto, de toda forma dentro del proceso de auditoría interna
tenemos que comprobar que cualquier elemento que entre el sistema
no ponga el peligro al reto ni un incorporen ningún tipo
de vulnerabilidad, que es un trabajo añadido.
Bueno, pues ya sabe si cree certificados.
Lo que tenemos que hacer es pasar por los laboratorios, no Javier,
que para eso tenemos certificación y bueno a importante,
sobre todo a la hora de proveer a los servicios públicos,
al Ministerio de Defensa y a todas las puertas tan malas
en general, un poco con la seguridad.
De estas certificaciones
hace mucho hincapié por una razón fundamental,
porque tenemos, como decía Soraya,
una amalgama demasiado amplia de productos y servicios,
y es conveniente que digamos eso esté bien establecido de punto instal
que cualquier administración pública,
incluso las propias empresas, utilizan ese tipo de productos.
Es bueno que digamos son existan, damos bruto certificado,
no sé Javier, cuántas se mejor
animar a la gente también para ser muy colaborativa.
Bueno, sitio incluso a mí lo que decía Soraya.
Ese es un problema, que los servicios de salud
de las comunidades autónomas no lo vienen insistiendo,
es decir, lo ideal es que tú cuando están montando incorporando productos
a tus sistemas,
si vienen certificados, bueno, pues ya tiene una garantía,
pero evidentemente, el mundo muy complejo,
muy amplio y mucho, no vienen certificados.
Como decía, hay sectores que la madurez en ciberseguridad,
pues todavía no es la que deseáramos
lo que nos ha pasado con lo dispositivo médico,
pues que estamos haciendo contactos dispositivo, médico,
que se conecta a Internet y que muchas veces
el mismo fabricante te exige una conexión remota
desde sus propias instalaciones, y hay muchas veces
los servicios de ciberseguridad de los servicios de salud autonómico
tienen poco margen de negociación.
No estamos abriendo una familia para dispositivos médicos
y empezaremos a intentar a estos.
Mostró porque tiene en cuenta que al final la de proveedores
de aparato de resonancia magnética y lo que hay
y esos son globales, no entienden de que el aparato
tenga que sufrir una certificación en España,
no en otro país por otra cosa, las iremos conjugando
y iremos poniendo las dificultades necesaria para le sean rentable.
Exigir una certificación más que tengamos que tener aislado,
hacer un esfuerzo de auditoría forense y auditoría,
es decir, si hubiera sobre los productos
y después, como hacen todos todos, todos los servicios de salud,
construir una, una barrera de ciberseguridad adicional,
porque el producto viene con pocos requisito de ciberseguridad
y sabemos que que vamos a tener que gestionar productos que van a ser
que van a estar obsoletos en 5, 6, siete años,
pero el aparato de resonancia magnética para seguir funcionando
a algo, 20 o 25 años que establezca los pica.
Entonces, como muchas veces el proveedor no asume eso,
tendremos que complementarlo con lo que llamamos medidas
de seguridad compensatorias.
Bueno, Javier Abrimos, bueno, eso tendría que haber un poquito
contra las funciones que tengo, pero lo saben para las preguntas
que tiene con los sectores críticos, no dentro de las de la misma,
que ya ha pasado a un poco la forma tradicional
de considerarse los infraestructuras.
Críticas de la ley nacional a nos
queda nueve minuto Julio acercando que si, si yo debo aquí ya,
varias asustando las asustados de sus talante,
desterramos un poco la parte del panel,
con una una cuestión adicional.
Si quería un poco ahí esto va un poco más para para Miguel Ángel,
por por razones obvias,
un poco ver las perspectivas futuras sobre la evolución de las normativas
ha visto que hemos hablado de muchas normativas
y algunas también colaterales que no han aparecido,
como el día y la infraestructura digitales europeas,
entonces espacio, una jungla de normativas de acuerdo
al respecto que cuando cuando una empresa
nos pregunta muchas veces decimos cuál es la más importante,
no.
Entonces, bueno, yo quería un poco preguntaba Miguel Ángel
sobre la solución de estas normativas, de las vías,
pero cómo ve la evolución, digamos, o la unificación de normativas
o cómo simplificar estas cuestiones de punto de vista,
porque lo que nos compete aquí es un poco que las empresas
dan una serie de productos y servicios
y es interesante saber cómo, como al final
esta jungla de normativas,
esta cantidad normativas nos afecta en muchos sentidos,
no y interesarán desde hace difícil seguir.
El ritmo de la.
La normativa lo he comentado antes están simplificando.
Los perfiles está haciendo unificación entre sí me gustaría aquí
a un futuro próximo,
digamos cómo va a quedar un poco el panorama de punto de vista,
pues las empresas puedan alcanzar,
puedan permitirse el hecho de certificarse
y los beneficios que obtienen, que también es importante
ellos y por supuesto administración pública y las Fuerzas Armadas,
en este caso, bueno, el en el terreno de la normativa,
como decía, hay una intensa producción normativa
porque la ciberseguridad se ha convertido
en un aspecto estratégico de la transformación digital
que se proyecta a todo, o sea, se proyecta a las personas,
a los procesos, a la tecnología, a los datos,
y entonces al construir la transformación digital,
pues el valor está en lo digital,
la amenaza siga el valor y había que protegerlo.
Nosotros ya nos habíamos adelantado, porque se concibió en su día
cuando la Ley de administración electrónica
de 2007, que la administración electrónica
y lo digital no podía ir sin la adecuada protección y bueno,
hemos trabajado en consecuencia estos años,
pero la realidad es muy dura
y lo pone, lo pone de manifiesto el nosotros
a ver a ver cómo lo digo.
Sin que se me malinterprete, hemos puesto el énfasis
en que la adopción y la implantación de las medidas
era una ventaja competitiva y era un hecho positivo,
más que ir con el discurso del cumplimiento normativo,
porque se nos evidencia en el día a día,
cuando hay incidentes
que las las los actores que han sufrido el incidente.
Reconocen que, de haber tenido un nivel de aplicación
de las medidas del Nse más avanzado, más profundo,
más maduro o bien hubieran podido contener el incidente
o mitigar o que hubiera tenido unas consecuencias más limitadas.
Entonces estamos construyendo la transformación digital
y la sociedad digital a la carrera
y en el ámbito de la Unión Europea.
Bueno, pues tenemos el saber si el reglamento de ciberseguridad
que citaba Javier,
que esto es de 2018 que ya sentaba el esquema, los esquemas europeos
de certificación y las bases de la Enisa,
y después, bueno, pues ha llegado la anys.
2, ese el reglamento de ciberresiliencia,
recientemente publicado que se va a proyectar a todos los productos
que se comercializan ramificaciones a fabricantes proveedores
en la Unión Europea con componente digital
y, bueno, llegará el reglamento de cíber solidaridad
con con los mecanismos transfronterizos de alerta,
de actuación y de análisis de los incidentes,
y, bueno, pues es un elemento que entendemos lógico,
porque no se puede entender la transformación digital
sin sin ciberseguridad.
Bien, qué es lo que va a pasar en los próximos tiempos
en los próximos tiempos?
Pues tendrá que llegar la transposición de la directiva anys
dos a nuestro ordenamiento jurídico y de cara a las empresas
lo que decíamos antes; o sea, tratamos de generar
un escenario lo más claro y lo más nítido posible,
es decir, eludiendo pues dobles escenarios
de dobles marcos o múltiples marcos de medidas,
aplicar, evidentemente eludiendo evitando la doble certificación
para que en nuestro ámbito esa a cumplimiento
de la del anís mis 2,
pues ya venga aprovechando todo el bagaje
que que tenemos una de las cuestiones que hemos trasladado
a la Comisión Europea.
En la preparación del acto de ejecución y a enisa.
En la preparación de las guías de orientativas es había
esa orientación para el cumplimiento de las de las medidas Denis 2,
es que no pueden ponernos después de todo el recorrido
que tenemos, pues prácticamente de 15 años
en la casilla de salida, porque tenemos una una situación
que comparativamente con con otros estados miembros
nos permite un escenario en el que podemos aplicar
la directiva anís dos de una forma,
pues más ágil, más eficaz y más eficiente
de la mano de todos los de todos los instrumentos en el futuro,
pues, como decía, llegará a la anys 2,
llegará el reglamento de ciberseguridad,
solidaridad llegará a la modificación del reglamento de ciberseguridad
para incluir la certificación de los servicios de seguridad
gestionados y lo que vamos a ir es a un escenario
en el que el nivel de exigencia va a ser mayor,
porque el rango, el rango que tienen mis dos su transposición,
con la responsabilidad que decíamos de los órganos de dirección
y las obligaciones de acreditar que se cumplen las medidas,
más el régimen sancionatorio,
pues nos generan un escenario, pues mayor exigencia.
Nosotros lo que vamos a hacer es tratar de ofrecer
todos los instrumentos
para que se pueda aprovechar todo el bagaje que ya tenemos
y pueda hacerse todo lo que haya que hacer
de la forma más eficaz y eficiente posible.
Vale, pues, un minuto para Fabián
y un minuto para soraya porque terminamos 40 minuto,
más o menos por complementar a Miguel Ángel,
lo que yo resalto lo último que ha dicho
y sé que no nos pueden poner en la casilla de salida
que quiere decir esto,
que nosotros llevamos una experiencia en certificación, en esquema nacional
de seguridad y en todo lo que rodea con él
con el consejo de certificación que está funcionando.
Llevamos mucho tiempo y tenemos mucha madurez acumulada.
Es, es que no nos podemos comparar con un país
voy a poner un país grande, como Italia,
donde no tiene ningún esquema de certificación asociado.
Por eso, aunque nosotros estamos viendo
en las cosas que apunta la directiva ni 2,
sobre qué?
Qué medidas de seguridad vamos a tener que implementar?
Creo que vamos sobrados, vamos sobrado.
Si una empresa, un organismo público,
sea trabajado, el esquema nacional de su vida,
su migración al cumplimiento del anís va a ser muy sencillo,
porque porque ya lo tenemos todo
analizaremos algún aspecto algo o algún asunto diferencial,
y después lo que decía antes no vamos a exigir más.
Exijan los otros países y hay muchos países que ya
son reticentes que el acto de ejecución que se ha aplicado
a los a los que a lo que están trabajando en diversos países,
como los proveedores de servicios en nube,
se aplique a las entidades esenciales importante,
con lo cual yo yo creo que el nivel que se va a tener que exigir va
a ser bastante eleve.
Nosotros nos adaptaremos, pues en el Ministerio de pensar.
Lanzamos la casilla de salida,
tenemos a trabajamos sobre una categoría media,
en información de seguridad,
y en la próxima auditoría interna de verificación
incorporaremos controles para llegar a listos.
Es decir, y de forma paralela
a una organización que haya trabajado con la administración pública,
porque haya participado suministrando un servicio por utilizar,
y todo en la experiencia de declaración de seguridad.
Para si es un servicio esencial o crítico de España,
pues pasarse annex dos sin mayor problema.
Aquí no, no estamos en la casilla de sanidad?
Pues han sido minutos.
Bueno, creo que hemos cumplido.
Julio te toca, como se debe de llevar la escuela.
Así se a preguntar sin garena disciplina?
Bueno, ha sido un coloquio en varias bastante interesante,
me quedé con un titular.
Vamos sobrados y en estos minutos vamos a.
Vamos a abrir el abrir el turno para que pudierais,
aportar, preguntar, desahogados.
Entonces yo os invito a que levanten la mano para un micrófono
y os identificáis.
Hacéis la pregunta
y si queréis que alguien en concreto la responda?
Pues pues también lo indica.
Es.
Buenos días, bueno, precipitada Gutiérrez Mellado,
ya a la mesa el acero, no sé si es una pregunta,
una propuesta es en referencia a los al portal de contratación del Estado
y un poco esa desviación que está habiendo
de algunas empresas, sobre todo en la aplicación
cuando, por ejemplo, se impide el ns en categoría alta,
pero el alcance no es el que quiere la administración.
Entonces, el haber un poco sí sí
dentro de las especificaciones técnicas podría entrar las el alcance
y no buscar tanto lo que es la certificación,
porque a lo mejor es más importante muchas veces
el alcance, no, sobre todo de los criterios que se piden
que a la propia no, y es un poco a ver cómo podíamos entre todos,
pues esas desviaciones que está habiendo,
pues un poco curarlas, porque lo sufrido.
Estoy completamente de acuerdo contigo,
pero la unidad de gestión económica,
las cláusulas que se introducen en los contratos no te deja tampoco
para que por el tema de la libre competencia,
pero estoy completamente de acuerdo
que tiene que ser en el ámbito del alcance global,
atribuye, se por mí reviso el pliego.
Me a mí me queda claro no dibujando.
Es algo que he leído a pie, no es un tema,
es un tema recurrente.
El el problema que tenemos.
Lo que sí que sí que es cierto que sí que tenemos en el esquema
o en los el esquema de certificación del ns,
un esquema bastante transparente, es decir,
cuando vosotros vais a consultarse una empresa,
tiene la certificación correspondiente o 10
descargado, en el certificado,
podéis ver las dimensiones en las cuales está a nivel medio,
nivel, alto, etc. Y yo creo que la pregunta va sobre eso,
que muchas veces nos no certificamos a nivel alto en 1,
ya estamos en alto, pero realmente necesitamos alguna dimensión más
en donde haya una certificación nivel alto.
Yo creo que es un refinamiento que iremos, iremos alcanzándolo,
pero muchas veces las empresas lo que ve en el negocio van
a una certificación o con el mínimo esfuerzo,
y de ahí y de ahí pues ya se puede decir exhibir el certificado.
Creo que en algún momento en la valoración de los pliegos,
deberemos de incluir eso, lo que pasa, que eso es otra vuelta,
que tendremos que ir con el órgano de contratación
y, sobre todo casi casi con lo que escribe lo
que es el que escribe el pliego,
el que tiene que estar atento a decir.
Oye, si yo tengo estas tres dimensiones, nivel alto,
el que me provee tiene que tener redimensionant,
pero bueno, poco a poco.
Yo creo que para matizar, porque difíciles
donde la problemática sin hombres a me dice
que a nivel alto una una serie a nivel viviendo medio
pero me proporciona a un certificado nivel medio
el cual la el suministro que me va a hacer a mí no tiene nada que ver.
Cuando se iba a hacer un desarrollo del software
y no cumple cierta medida de seguridad,
a mí no me vale, tiene.
Tiene que haber alcanzado ese nivel para las medidas que tienen que ver
con el servicio que se va a proporcionar
a la administración solo que a mirar con el letra pequeña al alcance.
Eso es lo que entiendo que debemos estar muy certero
a la hora de decir este certificado para mí inválido o no,
lo que pasa que de cara a la gestión económica
y a la decir sí o no a una oferta no es tan fácil
decir que no.
No más más preguntas.
Buenos días.
Enhorabuena por el panel, que va centrando muy bien el tiro,
pero yo quería ir un poco más allá aspecto práctico
de todo esto que estamos viendo y la pregunta sería.
Para la pequeña y mediana empresa
la aplicación del ese y sobre todo de estos,
como les mejora, les afecta en el entendimiento del riesgo
para que ellos puedan gestionar el riesgo.
Cómo van a mejorar esa percepción del riesgo desde el punto de vista
de la ciberseguridad y de qué manera práctica
van a ser ellos también receptores de esa información,
para consumir o proveedores de ese entendimiento del riesgo.
Contesto yo para pequeña y mediana empresa,
sí es pequeña, no era esa identidad
ni esa entidad lo importante, o sea 50 empleados ni ere,
entidades esencial importante.
Ahí ahí vamos a ver.
En el helio de una empresa que contratado
se pasó a 51
o dejar de contratar en uno pasa 49, pero bueno,
yo creo que muchas veces la la.
La evolución de la empresa puede bastar por encima de todo.
Eso, no.
Si eres mediana pues si entre 10.050
empleado vas a ser entidad importante,
con lo cual lo único.
Etc. Seguir una autoevaluación y yo creo que sí que te vas
a beneficiar de que el la autoridad de control de la directiva anís
que realimente de posibles ataques y esa labor de concienciación
y que tú valores.
El riesgo pues la podamos conseguir de una manera mejor.
Si ya eres una entidad grande vas a ser esencial o importante,
pero bueno vamos a centrarnos en los sectores
de alta criticidad que son 11 ahí están todas las entidades esenciales
estas sí esenciales porque o tienen información que forma parte
del patrimonio tecnológico español.
O da unos servicios que son crítico para el resto de la ciudadanía
estamos hablando sector transporte ferroviario
aéreo sector sanitario etc
etc no entonces yo creo que ya a estas alturas de curso,
donde el 24, la ciberseguridad, no una opción
y yo creo que cualquier quema de certificación
demuestra ese cumplimiento, va a ser más que beneficioso y, por supuesto,
estas entidades por ser esenciales, se van al de,
se van a beneficiar de una protección adicional que se puedan proporcionar
desde las autoridades de control,
es decir, van a tener mejor ciberinteligencia
que puedan tener cualquier otra de las entidades
y van a tener o es un conocimiento de superficie
exposición si ellos quieren colaborar en ese aspecto que les van a permitir
saber un poquito cuáles son sus debilidades,
y con eso vamos a intentar, con convertirlo en unos objetivos
un poquito más difíciles, yo creo que práctico de la sanción
también esa hay sanciones.
Mis dos en el embarazo de su vida.
No hay sanciones cifrando.
La derivada de la ciudad, ese aspecto práctico del uno con cuatro por 100
de la facturación tienen un servicio importante
o el dos por 100 del.
Si a un servicio crítico esencial o 10.000.000,
o sea que mucho dinero, yo creo que eso ayuda,
dada la voluntad simplemente con comentar a complementar a soraya
Javier, además del aspecto persuasivo coercitivo de la sanción,
las las empresas, las medianas bueno,
por supuesto las las pequeñas tienen que tener presente
cuáles son las consecuencias,
sí sufren determinados tipos de ciberataques.
Una entidad pública
y lo hemos visto este año puedo aguantar el tirón,
aunque pueda suceder que durante una serie de días
o incluso semanas sus servicios están y bueno al mínimo
o fuera de combate hasta que se reestablecen los sistemas,
pero una entidad mediana o pequeña como sufra un gran software
y tengan un problema con las copias de seguridad
o no tengan copiar de seguridad.
Los datos por ahí que se ofrecen es que en un tiempo
está en la quiebra fuera del mercado,
es decir, que hay un,
hay un interés de supervivencia más allá.
Por eso me hacía antes la referencia al interés de aplicación
de las medidas como ventaja competitiva más
que hacer un énfasis en el mero cumplimiento,
es decir, las las entidades tienen un un interés objetivo.
Hoy en día, en estas protegidas permitirme,
aunque sea modelador vía,
voy a me parece interesante la pregunta,
porque es verdad que siempre son las grandes
olvidadas en estas cuestiones en préstamos,
administración pública, grandes proveedores,
y es cierto que cuando hablamos de estos temas yo creo
que va más con Miguel Ángel.
En la última chata que tuvimos
estemos hablando también en tema lo mismo,
no porque ciertas cuestiones que tienen que ver con la relevancia
o el coste que tiene sea no solamente ese derecho
de saber los beneficios que vas a obtener de implantar esas medidas
de seguridad, pero no es explicar a un chaval casualidades
bajo una empresa pequeñita de vas a explicar tú todas las medidas
de ciberseguridad, el esquema,
toda la normativa no le interesa para nada,
no antes.
Yo creo que ahí la Administración Pública
sí que debería hacer un papel mucho más activo en ese,
en ese conjunto de empresas,
no tanto ya para que ofrezcan servicios,
explican de para para grandes administraciones públicas
las profesoras malas,
sino que tengan un pie de apoyo que ahora mismo
yo creo que es el donde cogía fundamentalmente
todas estas cuestiones.
Yo creo que también ha dicho Fabián antes tenemos
a las agencias autonómicas,
que pueden ser propiedad de apoyo perfectamente.
Estas cuestiones de acuerdo hablaba de la catalana,
que está muy bien preparada la vasca o la madrileña, la andaluza,
que tienen perfectamente capacidades dentro de las autonomías para poder
implementar ese tipo de ayudas a acuerdo
para no solamente vamos a lo ha hecho Miguel Ángel muy bien,
no solamente la concienciación de la ciberseguridad,
que es muy importante, la agitación de datos, etc.
Etc. Que al final redunda marca y coste o perjuicio económico
durante para las empresas en estas cuestiones,
sino que también vean que es un beneficio
no solamente la parte coercitiva,
porque entonces ahí sí que tenemos un problema a nivel
de tejido productivo.
De acuerdo,
y es verdad que el coste yo tenía pregunta de coste de la auditoría
y otras cuestiones que sus prácticas no da tiempo de acuerdo,
porque yo soy más o menos conozco algunos casos,
pero al final tienes que plantearte la opción de ir a esas inversiones
para poder, digamos, competir.
Que la idea final.
Toda esta cuestión amalgama de servicios
y que las empresas públicas de administración
cuando en fin no solamente en base a, digamos,
a que algo no voy a decir nombres, grandes empresas españolas
que tienen esos productos que están certificadas,
independiente al alcance, etc, etc.
Sino que necesitan realmente esa visibilidad de sois,
ya se hace, a través de esas certificaciones
y a lo mejor sí que se podrían poco, trabajar a nivel autonómico
en nuestro tejido empresarial con su esto a supervisión
del ministerio.
Se decepciona en este caso, no, yo creo que ahí no es tanto el hecho
de que lo entienda, que yo creo que más o menos lo tienen asumido,
pero si el hecho de que necesitan un punto de apoyo,
que creo yo que falta ahora mismo, nos antiguo
para una última pregunta, rápida.
Hola, buenos días y muy amables por la jornada.
Quería preguntar al subdirector de Miguel Ángel.
La trasposición ya llega tarde del anys,
pero algo se estará cierto en ese camino.
Quién se prevé o donde se prevé que sea el órgano sancionador
o la gente que vaya a llevar a asumir esas sancionadas?
Yo creo que esa es la pregunta
que las empresas nos realizamos con concreto,
al hecho, gracias.
Bueno, la trasposición sí que va tarde,
ha habido al principio de 2024,
pues varias leyes, caminando en paralelo,
y eso ha ocasionado una serie de retrasa
no deseable y luego con respecto a la potestad sancionadora,
hay ahora mismo un debate.
Sí que es verdad
que lo que está claro el vamos a ver.
El responsable de la trasposición
es el Ministerio del Interior y los órganos
o los organismos competentes en esa trasposición,
pues son también, por un lado, defensa, por otro lado.
Transformación digital y también presidencia del gobierno.
Qué se va a hacer?
En la estructura de gobernanza se va a crear una autoridad nacional
de ciberseguridad muy gestora, esperemos que, además de gestora,
tiene los fondos y va a ser el punto contacto con Europa
y todas las cosas que en el pasado tenía el dcn más alguna cosa más,
pues la lava asumir esta a esta autoridad le van a dar,
se le va a dar un plazo de unos 12 meses
para que en el momento que se publique,
la trasposición del aneip se constituya esta autoridad.
Eso torera, van a depender tres autoridades de control son.
Son defensa con con el CCN interior,
con la opción de coordinación de subida,
o sea, que querría Estado, seguridad y transformación digital,
sobre todo con.
Se teleco vale con la secretaría de estado de telecomunicaciones,
infraestructura digitales.
Ahí es donde bastar nuevamente la potestad sancionadora.
Me acuerdo antes en la directiva ni su no.
Punto 0.
Las autoridades de control hasta las otras competentes
era la que tiene la potestad sancionadora.
Isab, vía derivado a los 12 o 14 ministerios
y organismo público competente.
Pone la nueva anys dos punto 0.
Todas esas autoridades competentes.
Se erigen en puntos de contacto sectorial con lo que tienen que hacer
es impulsar la implantación de la directiva
ni dentro de sus organismos, pero la autora de control,
o sea la potestad sancionadora se queda mucho más restringida solo
a tres organismos.
No obstante, ese es un punto que precisamente está abierto
y que ahora cuando pase por la secretaría general
técnica del ministerio, pues igual hay comentarios,
y a lo mejor hay alguna modificación y más o menos va un poquito pico,
como es la gobernanza.
Y cómo va a ser las sanciones, las acciones.
Ellos siempre animo,
más convencer que a sancionar al final alguna sanción,
porque hasta que no hay alguna sanción parece
que no entra en fuerza la trasposición de la directiva,
algo más.
No quedan bueno, Javier candado Miguel Ángel.
La murió sola hay articles don Rafael Pastor,
muchas gracias, por vuestras contribuciones.
Nos vayáis porque el coordinador de las jornadas Francisco pero Salón
va a hacer entrega de unos recuerdos.
Bueno, ha ido bien el panel No, yo, desde luego yo algún aplauso no.