La Comisión Europea ha presentado un ambicioso paquete legislativo para reforzar la ciberseguridad en la Unión Europea (UE), pasando de un enfoque fragmentado a un marco unificado para fortalecer la resiliencia digital y simplificar el cumplimiento de las normativas, conviertiendo este ámbito en una palanca de competitividad para el sector TI.
Esta nueva propuesta incluye una versión revisada de la Cybersecurity Act, cambios en la Directiva NIS2, que establece requisitos de ciberseguridad para entidades públicas y privadas que ofrecen servicios esenciales, y un marco específico para reducir riesgos en las cadenas de suministro TIC.
El objetivo es reforzar la capacidad de prevenir, detectar y responder a las crecientes amenazas en todo el territorio europeo, con especial atención en servicios esenciales e infraestructuras críticas para la economía y la sociedad, donde muchas empresas TI son proveedoras clave.
Para las compañías del sector tecnológico, este nuevo escenario consolida un marco común, reduce la fragmentación regulatoria y abre nuevas oportunidades en soluciones de seguridad gestionada, certificación y consultoría de cumplimiento.
Claves de la nueva Cybersecurity Act
La revisión de la Cybersecurity Act refuerza el papel de la Agencia de la Unión Europea para la Ciberseguridad (ENISA), que pasa a ser un actor central en la coordinación operativa, el análisis de amenazas y el soporte a Estados miembros y empresas. Esto favorecerá el desarrollo de proyectos avanzados en áreas como inteligencia artificial aplicada a la detección de ciberataques, servicios gestionados de seguridad (MSSP) o herramientas de evaluación de riesgos.
De esta forma, se crea un entorno propicio para que startups y scaleups tecnológicas encuentren nuevos nichos de mercado, al tiempo que las empresas consolidadas pueden ampliar su catálogo de servicios alineados con los requisitos regulatorios.
El paquete potencia también el marco europeo de certificación (ECCF), con procedimientos más ágiles, plazos estándar de 12 meses para nuevos esquemas y mecanismos de mantenimiento continuo. Esto permite al mercado disponer de certificaciones actualizadas frente a amenazas emergentes y alinear mejor los esquemas con otras normativas como el Cyber Resilience Act o NIS2.
Certificación y «postura de ciberseguridad»
Una de las novedades más relevantes es la posibilidad de certificar la “postura de ciberseguridad” de las entidades, más allá de productos y servicios concretos. Este enfoque convierte la madurez global en ciberseguridad de las empresas TI en un activo verificable que puede usarse para ganar licitaciones, atraer clientes y demostrar el cumplimiento frente a múltiples marcos regulatorios.
El uso de certificaciones europeas facilitará la conformidad con diferentes requisitos legales, reduciendo costes de auditoría y pruebas redundantes para proveedores que operan en varios Estados miembros. Para el ecosistema TI, esto se traduce en una ventaja competitiva clara para quienes inviertan en elevar y demostrar su nivel de seguridad.
Seguridad de la cadena de suministro
El paquete establece también un marco horizontal para reducir riesgos de ciberseguridad en las cadenas de suministro TIC, especialmente frente a proveedores de tecnología de terceros países catalogados como de alto riesgo, cuyos productos o servicios pueden suponer una amenaza para la seguridad por factores no solo técnicos, sino también geopolíticos, jurídicos o de control empresarial.
Para ello, se prevén evaluaciones coordinadas de riesgos a nivel de la UE, identificación de activos TIC clave y medidas de mitigación, como restricciones al uso de componentes de estos proveedores en infraestructuras críticas. Esto impacta directamente a fabricantes, integradores y proveedores de servicios TI: la procedencia, el diseño seguro y la trazabilidad de componentes se convertirán en criterios estratégicos de negocio.
Las empresas tecnológicas europeas con soluciones seguras y cadenas de suministro fiables se verán reforzadas frente a competidores extracomunitarios, lo que supone una oportunidad para participar en proyectos estratégicos donde la seguridad es un criterio clave para proteger la soberanía digital y la resiliencia económica europea.
