El Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información (en adelante, RDL 12/2018) constituye una pieza fundamental en la legislación española para la protección de las redes y sistemas de información. Esta normativa, que transpone la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, establece un marco integral para garantizar un alto nivel de seguridad en este ámbito.

En este blog, realizaremos un análisis exhaustivo del RDL 12/2018, abordando sus aspectos más relevantes y ofreciendo una visión completa de su impacto en la seguridad de las redes y sistemas de información en España.

1. Objeto y ámbito de aplicación

El RDL 12/2018 tiene como objetivo principal regular la seguridad de las redes y sistemas de información utilizados para la prestación de servicios esenciales y servicios digitales, con el fin de protegerlos frente a posibles ciberataques y garantizar su correcto funcionamiento.

El ámbito de aplicación del RDL 12/2018 se extiende a:

• Operadores de servicios esenciales: Aquellos que ofrecen servicios críticos para el funcionamiento de la sociedad, como energía, transporte, salud, agua y finanzas.
• Proveedores de servicios digitales: Aquellos que ofrecen servicios de forma electrónica, como plataformas de comercio electrónico, servicios en la nube y redes sociales.

2. Marco estratégico e institucional

El RDL 12/2018 establece un marco estratégico e institucional para la seguridad de las redes y sistemas de información, que incluye:

• Estrategia Nacional de Ciberseguridad: Define los objetivos y medidas para alcanzar y mantener un alto nivel de seguridad en este ámbito.
• Autoridades competentes: Determina las entidades responsables de la supervisión y el cumplimiento del RDL 12/2018, incluyendo la Secretaría de Estado de Seguridad, la Secretaría de Estado para el Avance Digital y el Centro Nacional de Inteligencia.
• Funciones de las autoridades competentes: Define las funciones que deben desempeñar las autoridades competentes, como la supervisión del cumplimiento de las obligaciones de seguridad, la gestión de incidentes de seguridad y la cooperación con otras entidades.

3. Obligaciones de seguridad

El RDL 12/2018 establece una serie de obligaciones de seguridad que deben cumplir los operadores de servicios esenciales y proveedores de servicios digitales. Estas obligaciones se basan en los principios de gestión de riesgos y enfoque proactivo, y se centran en los siguientes aspectos:

• Identificación y gestión de riesgos: Los operadores y proveedores deben identificar los riesgos de seguridad que pueden afectar a sus redes y sistemas de información y adoptar medidas para mitigarlos.
• Protección de activos: Los operadores y proveedores deben proteger sus activos de información mediante medidas técnicas y organizativas adecuadas.
• Gestión de incidentes de seguridad: Los operadores y proveedores deben contar con un plan de gestión de incidentes de seguridad para responder de manera eficaz a cualquier incidente que pueda afectar a sus redes y sistemas de información.
• Notificación de incidentes de seguridad: Los operadores y proveedores deben notificar a las autoridades competentes los incidentes de seguridad que puedan tener un impacto significativo en la prestación de sus servicios.
• Auditorías de seguridad: Los operadores y proveedores deben realizar auditorías de seguridad periódicas para evaluar el cumplimiento de las obligaciones de seguridad y detectar posibles vulnerabilidades.

4. Régimen sancionador

El RDL 12/2018 establece un régimen sancionador para garantizar el cumplimiento de las obligaciones de seguridad. Las infracciones se clasifican en tres categorías:

• Infracciones muy graves:
  • No adoptar medidas para subsanar deficiencias detectadas.
  • Incumplimiento reiterado de la obligación de notificar incidentes.
  • No tomar las medidas necesarias para resolver incidentes.
• Infracciones graves:
  • Incumplimiento de las disposiciones reglamentarias o instrucciones técnicas de seguridad.
  • Falta de adopción de medidas para subsanar deficiencias.
  • Incumplimiento de la obligación de notificar incidentes.
  • Falta de interés en la resolución de incidentes.
  • Proporcionar información falsa o engañosa al público.
  • Poner obstáculos a las auditorías.
• Infracciones leves:
  • Incumplimiento de las disposiciones reglamentarias o instrucciones técnicas de seguridad.
  • Falta de adopción de medidas para corregir deficiencias.
  • No facilitar información a las autoridades competentes.
  • No someterse a una auditoría de seguridad.
  • No proporcionar información al CSIRT de referencia o a la autoridad competente.
  • No notificar sucesos o incidencias.
  • No completar la información de la notificación de incidentes.
  • No seguir las indicaciones del CSIRT de referencia para resolver un incidente.

¿Cuáles son las sanciones?

Las sanciones aplicables varían en función de la gravedad de la infracción:

• Infracciones muy graves: Multa de 500.001 a 1.000.000 euros.
• Infracciones graves: Multa de 100.001 a 500.000 euros.
• Infracciones leves: Amonestación o multa de hasta 100.000 euros.

5. Impacto del RDL 12/2018

El RDL 12/2018 ha tenido un impacto significativo en la seguridad de las redes y sistemas de información en España. Entre los principales beneficios de esta normativa se encuentran:

• Mayor concienciación sobre la importancia de la seguridad cibernética: El RDL 12/2018 ha contribuido a aumentar la concienciación sobre la importancia de la seguridad cibernética entre los operadores de servicios esenciales y proveedores de servicios digitales.
• Mejora de las prácticas de seguridad: El RDL 12/2018 ha impulsado la mejora de las prácticas de seguridad en las redes y sistemas de información de los operadores y proveedores.

• Reducción del número de incidentes de seguridad: El RDL 12/2018 ha contribuido a reducir el número de incidentes de seguridad en las redes y sistemas de información de los operadores y proveedores. Esto se debe a la implementación de medidas de seguridad más robustas y a la mejora de la capacidad de respuesta ante incidentes.

• Mayor colaboración entre los diferentes actores: El RDL 12/2018 ha fomentado la colaboración entre los diferentes actores implicados en la seguridad de las redes y sistemas de información, como las autoridades competentes, los operadores, los proveedores y las empresas de seguridad. Esta colaboración ha permitido mejorar la comunicación y el intercambio de información, lo que ha contribuido a una mayor eficacia en la lucha contra las ciberamenazas.

6.Retos y desafíos

A pesar de los avances logrados, todavía existen algunos retos y desafíos en materia de seguridad de las redes y sistemas de información en España. Entre los principales retos se encuentran:

• La sofisticación creciente de las ciberamenazas: Las ciberamenazas se están volviendo cada vez más sofisticadas, lo que exige a los operadores y proveedores estar constantemente actualizando sus medidas de seguridad.
• La falta de recursos en algunas organizaciones: Algunas organizaciones, especialmente las pequeñas y medianas empresas, no cuentan con los recursos suficientes para implementar las medidas de seguridad necesarias.
• La necesidad de una mayor concienciación entre los usuarios: Es importante que los usuarios finales sean conscientes de los riesgos de seguridad cibernética y tomen medidas para protegerse, como utilizar contraseñas seguras y evitar abrir correos electrónicos o archivos adjuntos sospechosos.