Expectativas ante la revisión de la Estrategia de Ciberseguridad Nacional española

Ciberseguridad en España.

Serie: 'Criminología en serie' (XXVII)

La Universidad Isabel I está dedicando profundos esfuerzos a analizar el contexto de seguridad global en el que se inserta el futuro inmediato de España. La pertenencia de nuestro país a dos grandes esferas de seguridad integral, la Unión Europea en el ámbito continental y la OTAN en la escala defensiva, trazan unos ejes fundamentales que seguir en esta coyuntura compleja después de la invasión rusa de Ucrania. Sin embargo, el rendimiento y límites de una nueva visión estratégica de las nuevas amenazas, vulnerabilidades y riesgos que el ciberespacio implica para sociedades abiertas hiper conectadas como la nuestra, requiere la periódica revisión de los parámetros de seguridad y las expectativas de una sociedad que ya proyecta buena parte de sus relaciones económicas, sociales, culturales y políticas hacia el ciberespacio. El vertiginoso ritmo de innovación tecnológica abre nuevos desafíos a los que la seguridad nacional debe responder para seguir garantizando el ejercicio en libertad de los derechos fundamentales constitucionalmente consagrados.

Por ello debería fijarse con el acuerdo político más amplio y el respaldo técnico menos discutido posible el nuevo horizonte de ciberseguridad deseable para la prosperidad de los españoles, el desarrollo del sector privado en una infinidad de subsectores productivos, y también el mejor funcionamiento del sector público. Tan ambicioso objetivo no puede ser fruto de una improvisación, sino de una acción decidida irreflexiva de los poderes públicos, ni tampoco puede diferirse al momento en el que se intensifiquen los problemas. Porque el incremento de dichos problemas es una evidencia a la vista de cómo ha continuado creciendo en los dos últimos años, y a pesar de la menor actividad económica derivada de las restricciones de la pandemia de coronavirus, el número de ciberincidentes y ciberataques, incluidos los que afectan a los sectores esenciales. España tiene una acreditada experiencia proactiva en la promoción de la seguridad integral de nuestras infraestructuras críticas, en compromiso de colaboración público privada respecto a la cultura de seguridad necesaria, pero también en inversiones y en la dotación de los órganos necesarios para asegurar la colaboración, y lo que es más importante en atención a las graves implicaciones para el normal funcionamiento de nuestra sociedad, también para asegurar la prevención, la alerta temprana y la inmediata recuperación, con una adecuada capacidad forense.

Nueva Estrategia Nacional de Seguridad

Frecuentemente a la aprobación de una nueva Estrategia Nacional de Seguridad sigue la de una estrategia más específica de ciberseguridad. Así ha sido en el caso español en anteriores ocasiones, con Estrategias Nacionales de Ciberseguridad de 2013 y 2019 que siguieron a las Estrategias Nacionales de Seguridad de 2013 y 2017 respectivamente. Se mantiene hoy en España la Estrategia Nacional de Ciberseguridad cuya aprobación se debe a la Orden Ministerial PCI/487/2019. Después de la aprobación el 28 de diciembre de 2021 de la reciente Estrategia de Seguridad Nacional se intuye próxima en el horizonte político, jurídico y de seguridad la aprobación de una nueva Estrategia Nacional de Ciberseguridad que adapte específicamente al ciberespacio las previsiones del nuevo contexto cambiante en el que debe aplicarse esta ENS 2021, con la conciencia de nuevas vulnerabilidades y a la vista de los riesgos y amenazas de este mismo año, que afectan por igual al mundo físico y al lógico.

Especialmente porque esta última ENS 2021 avanzado algunas innovaciones interesantes, particularmente en tres ámbitos: la creación de la Unidad Nacional de Notificación de Contenidos de Internet, la necesidad de hacer frente al desafío de la desinformación y la potenciación de las capacidades de la lucha contra los ataques en el ciberespacio.

Redacción de una nueva estrategia

Analizada la posición de las diferentes fuerzas políticas, las peticiones de las instituciones y Administraciones Públicas españolas y los análisis técnicos más recientes y especializados, apuntamos aquí algunas de esas expectativas que no deberían verse defraudadas por la nueva redacción de la estrategia de ciberseguridad nacional. En primer lugar, dotarse de conceptos doctrinales interdisciplinares, susceptibles de recoger las novedades tecnológicas, simplificar los procedimientos para subsumir los incidentes del ciberespacio en las normas positivas nacionales -particularmente las penales- y permitir un más adecuado paralelismo entre la capacidad de trazabilidad tecnológica de los ciberataques y los mecanismos procesales de imputación particularmente en los ataques cometidos desde países de fuera de nuestro entorno de seguridad.

Por añadidura, ese enfoque internacional debería permitir un mayor despliegue de las capacidades preventivas frente a las reactivas. Sobre todo, porque se observa en las estrategias de ciberseguridad una mayor laxitud frente a los ataques contemplados en las estrategias nacionales de seguridad, de modo que se toleran en el ciberespacio intrusiones, exfiltraciones de datos, ataques a infraestructuras críticas y amenazas inminentes a la seguridad nacional que serían intolerables en el mundo físico.

Experiencia personal

La experiencia personal a este respecto, después de varios años tanto en las comisiones del Congreso de los Diputados encargadas de la seguridad y la defensa, como en mi condición de miembro de la asamblea parlamentaria de la OTAN, me lleva a requerir dos compromisos por parte de quienes tienen que acometer esta pronta actualización de la estrategia de ciberseguridad. Por un lado, sobreponer la competencia técnica para dar respuesta a estas demandas de manera que prime la protección de una democracia avanzada de calidad como la española sobre las disponibilidades tecnológicas, esto es, que sin perder de vista la necesidad de acompasarse a los nuevos medios comisivos de los ciberataques, primen los valores constitucionales con claros límites a la actuación discrecional de los organismos de ciberseguridad, que no se han dado en nuestra experiencia reciente, pero sí en otros países de nuestro entorno de seguridad. Por otro lado, que la política de ciberseguridad, en particular la que afecta a la seguridad nacional, sea una verdadera política de Estado, por encima de las legítimas diferencias partidistas. Lo que está en juego con la próxima adaptación de Estrategia de Ciberseguridad Nacional española es nada menos que el futuro del crecimiento español como sociedad democrática y como economía avanzada en el conjunto europeo.