EPSO Seguridad: el reglamento cibernético detrás de las preguntas

Un campo sostenido por cinco instrumentos

No hay ninguna oposición EPSO dedicada a Seguridad. Lo que sí existe, y sigue abierto de forma continua, es CAST Permanente — con perfiles de Operaciones de seguridad, Operaciones de seguridad incluida la seguridad regional, Seguridad técnica, Seguridad de la información y de los documentos y Seguridad informática. El contenido de seguridad aparece además dentro de los MCQ de campo de Informática y Derecho.

El temario tiene dos mitades. Una es institucional: Europol, Eurojust, Frontex, el EU INTCEN, el Espacio de Libertad, Seguridad y Justicia, y la diferencia entre misiones civiles de la PCSD y operaciones militares. La otra es legislativa: el cuerpo de Derecho de la UE que hoy rige la ciberseguridad y la resiliencia.

Esta guía cubre la segunda, en profundidad, porque es donde viven las disposiciones precisas — plazos medidos en horas, categorías definidas e instrumentos que se solapan a propósito. La mitad institucional también se examina, y sus fuentes oficiales están al final.

Cinco instrumentos hacen casi todo el trabajo:

Para ver cómo se estructuran los MCQ de campo en las vías de especialista, consulta nuestra guía del FRMCQ de las oposiciones de especialista EPSO. La vía de Informática se solapa mucho — nuestra guía de especialista en TI cubre el marco regulador digital desde el otro lado.

El formato

30 preguntas en 40 minutos, 15 aciertos para aprobar. Con el modelo EPSO actual el MCQ de campo es el instrumento de clasificación; las pruebas de razonamiento son filtros de apto/no apto que no alimentan tu nota final.

NIS2 — Directiva (UE) 2022/2555

Adoptada el 14 de diciembre de 2022, publicada en el DO L 333 de 27 de diciembre de 2022.

A quién cubre

La cobertura se construye por varias vías, y las preguntas evalúan si sabes que hay más de una:

• entidades de un tipo contemplado en el anexo I o el anexo II que cumplan los criterios;
• otras entidades de esos tipos identificadas por un Estado miembro como esenciales conforme a las disposiciones de identificación;
• entidades identificadas como entidades críticas con arreglo a la Directiva (UE) 2022/2557;
• si el Estado miembro así lo prevé, entidades que hubiera identificado antes del 16 de enero de 2023 como operadores de servicios esenciales con arreglo a la Directiva (UE) 2016/1148 o al Derecho nacional.

Esta última vía es un puente transitorio desde la primera Directiva NIS, y la fecha es lo bastante concreta como para ser una pregunta por sí sola.

Los dos plazos

Cuando las entidades esenciales o importantes tengan conocimiento de un incidente significativo, presentan al CSIRT o, en su caso, a la autoridad competente:

• en un plazo de 24 horas desde que tienen conocimiento — una alerta temprana, que indique, cuando proceda, si se sospecha que el incidente obedece a actos ilícitos o malintencionados o si puede tener repercusiones transfronterizas;
• en un plazo de 72 horas desde que tienen conocimiento — una notificación de incidente, que actualice la alerta temprana y ofrezca una evaluación inicial del incidente.

Ambos van cualificados por «sin demora indebida y, en cualquier caso, en un plazo de». El paso de 24 horas es una alerta, no un informe — su contenido es deliberadamente escaso, porque su función es la velocidad. Confundir ambos es el error estándar.

Cuando se sospeche que un incidente guarda relación con actividades delictivas graves, los Estados miembros deben alentar a las entidades a denunciarlo a las autoridades policiales competentes, con arreglo a las normas procesales penales aplicables y sin perjuicio de las normas de protección de datos personales.

EU-CyCLONe

La red europea de organizaciones de enlace para las crisis cibernéticas está compuesta por representantes de las autoridades de gestión de crisis cibernéticas de los Estados miembros y — cuando un incidente de ciberseguridad a gran escala potencial o en curso tenga o pueda tener repercusiones significativas en servicios y actividades incluidos en el ámbito de la Directiva — por la Comisión. En los demás casos la Comisión participa como observadora.

ENISA ejerce la secretaría de EU-CyCLONe, apoya el intercambio seguro de información y facilita las herramientas necesarias para la cooperación.

Participante de pleno derecho cuando es grande, observadora cuando no lo es. Esa condición es justo el tipo de detalle que separa a un candidato preparado de uno bien leído.

Las funciones de ENISA en materia de información

ENISA crea una base de datos europea de vulnerabilidades, en la que las entidades — con independencia de que estén o no dentro del ámbito de la Directiva — y sus proveedores pueden registrar vulnerabilidades conocidas públicamente. Disponer de información correcta y oportuna sobre vulnerabilidades sirve por igual a las entidades, a los usuarios de sus servicios, a las autoridades competentes y a los CSIRT.

ENISA adopta además, en cooperación con el Grupo de Cooperación, un informe sobre el estado de la ciberseguridad en la Unión, que incluye una evaluación del nivel general de concienciación e higiene cibernéticas entre ciudadanos y entidades, incluidas las pymes; una evaluación agregada del resultado de las revisiones por pares; y una evaluación agregada del grado de madurez de las capacidades y recursos de ciberseguridad en toda la Unión, también a nivel sectorial, y del grado de alineación de las estrategias nacionales de ciberseguridad. El informe incluye recomendaciones políticas concretas.

Terceros países

La Unión puede, cuando proceda, celebrar acuerdos internacionales con arreglo al artículo 218 del TFUE con terceros países u organizaciones internacionales que permitan y organicen su participación en determinadas actividades del Grupo de Cooperación, la red de CSIRT y EU-CyCLONe. Esos acuerdos deben cumplir el Derecho de la Unión en materia de protección de datos.

Normas

Para promover una aplicación convergente de las medidas de gestión de riesgos, los Estados miembros fomentan el uso de normas europeas e internacionales — sin imponer ni discriminar a favor del uso de un tipo particular de tecnología. La neutralidad tecnológica está escrita dentro del propio fomento.

Cuando no exista un esquema europeo de certificación de la ciberseguridad adecuado a los efectos de la disposición correspondiente, la Comisión podrá — previa consulta al Grupo de Cooperación y al Grupo Europeo de Certificación de la Ciberseguridad — solicitar a ENISA que prepare un esquema candidato con arreglo al artículo 48, apartado 2, del Reglamento (UE) 2019/881.

El Reglamento de Ciberseguridad — Reglamento (UE) 2019/881

De 17 de abril de 2019, relativo a ENISA y a la certificación de la ciberseguridad de las TIC, por el que se deroga el Reglamento (UE) n.º 526/2013, publicado en el DO L 151 de 7 de junio de 2019.

Establece un marco europeo voluntario de certificación de la ciberseguridad para productos de TIC, servicios de TIC y procesos de TIC. Los esquemas europeos proporcionan un marco común de confianza para los usuarios.

Voluntario es la palabra que hay que subrayar. Buena parte del valor de examen está en resistirse a suponer que un marco europeo de certificación tiene que ser obligatorio. Lo que hace el marco es crear presunciones y criterios comunes — no una obligación de certificarse.

Las autoridades nacionales de certificación de la ciberseguridad se designan con arreglo al artículo 58. Los esquemas candidatos los prepara ENISA en virtud del artículo 48, apartado 2, a petición de la Comisión.

El Reglamento de Ciberresiliencia — productos con elementos digitales

El Reglamento de Ciberresiliencia se apoya directamente en el Reglamento de Ciberseguridad, y el engarce es examinable.

Los productos con elementos digitales, y los procesos establecidos por el fabricante, para los que se haya expedido una declaración UE de conformidad o un certificado en virtud de un esquema europeo de certificación de la ciberseguridad adoptado conforme al Reglamento (UE) 2019/881, se presumen conformes con los requisitos esenciales de ciberseguridad del anexo I — en la medida en que esa declaración o certificado, o partes de ellos, cubran esos requisitos.

Una presunción, y parcial. La certificación no descarga la obligación al por mayor; la descarga en la medida de lo efectivamente certificado.

Las autoridades de vigilancia del mercado cooperan con las autoridades nacionales de certificación de la ciberseguridad designadas con arreglo al artículo 58 del Reglamento (UE) 2019/881 e intercambian información periódicamente. Para la supervisión de las obligaciones de notificación cooperan e intercambian información con los CSIRT designados como coordinadores y con ENISA, y pueden solicitar la asistencia de un CSIRT designado.

El papel de ENISA aquí es proactivo: puede proponer actividades conjuntas a las autoridades de vigilancia del mercado sobre la base de indicios de posible incumplimiento en varios Estados miembros, o identificar categorías de productos para los que deban organizarse acciones de barrido. En circunstancias excepcionales, a petición de la Comisión, ENISA puede realizar evaluaciones respecto de productos concretos.

Al establecer la plataforma única de notificación, ENISA debe consultar a otras instituciones u organismos de la Unión que gestionen plataformas o bases de datos sujetas a requisitos de seguridad estrictos — se menciona eu-LISA, la agencia para los sistemas informáticos de gran magnitud en el Espacio de Libertad, Seguridad y Justicia — y analizar las complementariedades con la base de datos europea de vulnerabilidades.

CER — Directiva (UE) 2022/2557

De 14 de diciembre de 2022, relativa a la resiliencia de las entidades críticas, por la que se deroga la Directiva 2008/114/CE del Consejo.

Lo examinable es la relación con NIS2. Cuando las autoridades competentes conforme a NIS2 ejerzan sus facultades de supervisión y ejecución para garantizar el cumplimiento por una entidad identificada como crítica conforme a CER, informan a las autoridades CER pertinentes del mismo Estado miembro. Cuando proceda, las autoridades CER pueden solicitar a las autoridades NIS2 que ejerzan sus facultades de supervisión y ejecución en relación con esa entidad.

Para racionalizar la supervisión y reducir la carga administrativa, ambos conjuntos de autoridades competentes deben procurar armonizar las plantillas de notificación de incidentes y los procesos de supervisión.

El reparto: NIS2 rige la resiliencia cibernética, CER rige la resiliencia física, y una entidad puede ser ambas cosas. Las Directivas están construidas para pasarse trabajo la una a la otra en lugar de duplicarlo.

DORA — entidades financieras

DORA aborda la resiliencia operativa digital de las entidades financieras, y su rasgo distintivo es el marco de supervisión de los proveedores terceros de TIC.

Ámbito. El marco de supervisión se aplica únicamente a los proveedores terceros críticos de servicios de TIC. Un mecanismo de designación tiene en cuenta la dimensión y la naturaleza de la dependencia del sector financiero respecto de esos proveedores, mediante criterios cuantitativos y cualitativos que fijan los parámetros de criticidad — evaluados con independencia de la estructura societaria del proveedor.

El supervisor principal. El marco depende de la colaboración entre el supervisor principal y el proveedor crítico, y de la capacidad del supervisor principal para llevar a cabo misiones de vigilancia e inspecciones que evalúen las normas, controles y procesos utilizados y el posible impacto acumulado de las actividades del proveedor.

Lo que no hace. El marco no sustituye la obligación propia de las entidades financieras de gestionar los riesgos derivados del uso de proveedores terceros de TIC, incluido el seguimiento continuo de los acuerdos contractuales con proveedores críticos. Tampoco afecta a su plena responsabilidad de cumplir sus propias obligaciones legales. Y se entiende sin perjuicio de la competencia de los Estados miembros para supervisar a proveedores no designados como críticos pero considerados importantes a escala nacional.

Coordinación. El Comité Mixto de las AES sigue asegurando la coordinación intersectorial global en todas las cuestiones relativas al riesgo de TIC.

Consolidación. DORA, junto con la Directiva (UE) 2022/2556, consolida las disposiciones sobre gestión del riesgo de TIC en el acervo de servicios financieros, modificando los Reglamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014, (UE) n.º 909/2014 y (UE) 2016/1011 para aclarar las normas aplicables.

Resiliencia física. Dado que la resiliencia física de las entidades financieras queda abordada de forma integral por las obligaciones de gestión del riesgo de TIC y de notificación de DORA, las obligaciones de los capítulos III y IV de la Directiva CER se tratan de forma coherente con ella y no superpuestas.

Cinco sitios donde se pierden puntos

24 frente a 72. Alerta temprana en 24 horas, notificación de incidente en 72. Ambas «sin demora indebida y, en cualquier caso, en un plazo de». Documentos distintos, fines distintos.

Certificación voluntaria. El marco europeo de certificación de la ciberseguridad es voluntario. La certificación crea presunciones de conformidad, y solo en la medida de lo que cubre.

Participante de pleno derecho frente a observador. La Comisión se sienta en EU-CyCLONe como miembro de pleno derecho solo en incidentes a gran escala con repercusiones significativas; en los demás casos, como observadora. ENISA es la secretaría, no una autoridad de Estado miembro.

Qué instrumento se aplica. Redes y sistemas de información, resiliencia física de entidades críticas, productos con elementos digitales, entidades financieras. Cuatro instrumentos, cuatro ámbitos, solapamientos deliberados y deberes de remisión cruzada en lugar de duplicación.

La supervisión no transfiere la responsabilidad. Designar crítico a un proveedor y supervisarlo no libera a la entidad financiera de gestionar ese riesgo por sí misma. El Reglamento lo dice expresamente, y una pregunta puede construirse entera sobre candidatos que supongan lo contrario.

Cómo estudiar este campo

Lee NIS2 primero — las definiciones, las disposiciones de ámbito, las medidas de gestión de riesgos y el artículo de notificación. Es el instrumento ancla, y los otros tres textos cibernéticos se definen frente a él.

Después lee las disposiciones de engarce en lugar de todo CER, el Reglamento de Ciberresiliencia y DORA. El contenido examinable está donde se tocan: presunción de conformidad, información cruzada entre autoridades competentes, la frontera del marco de supervisión.

Después cubre aparte la mitad institucional — los reglamentos fundacionales de Europol, Eurojust y la Agencia Europea de la Guardia de Fronteras y Costas, y el material del SEAE sobre misiones civiles y operaciones militares de la PCSD. Esa mitad no se cubre aquí, y se examina.

Y luego practica con reloj. Ochenta segundos por pregunta es lo que convierte cinco instrumentos en puntos. Puedes trabajar el bloque de seguridad en EU-now en sesiones cortas, y preguntar a EUgenio cuando dos instrumentos parezcan decir lo mismo — responde desde los mismos textos oficiales citados aquí, y dice cuándo no tiene fuente en lugar de inventársela.

Referencias y fuentes

Todas las citas de este artículo proceden de fuentes oficiales de la UE:

• Directiva (UE) 2022/2555 — NIS2 (DO L 333, 27.12.2022)
• Directiva (UE) 2022/2557 — resiliencia de las entidades críticas
• Reglamento (UE) 2019/881 — Reglamento de Ciberseguridad (DO L 151, 7.6.2019)
• Reglamento (UE) 2022/2554 — DORA
• ENISA — Agencia de la Unión Europea para la Ciberseguridad
• Europol
• SEAE — Seguridad y Defensa

Cuando este artículo describe qué es probable que evalúe una pregunta, se trata de nuestro criterio editorial basado en el formato de los MCQ de campo publicados — no de texto de ninguna convocatoria. Las disposiciones, plazos y definiciones están citados de los instrumentos enumerados arriba.