Summary

  • La posición negociadora aprobada el 21 de octubre por Council of the EU sustituye el punto único europeo de recepción propuesto por European Commission por entradas nacionales.
  • El sitio común que gestionaría ENISA serviría para localizar obligaciones y ventanillas; el texto le prohíbe recibir, transmitir o almacenar la notificación del incidente.

Una empresa puede descubrir un solo incidente y encontrarse con varias normas que piden noticias. ¿Dónde deja el parte? La propuesta de European Commission ofrecía una entrada europea única. El mandato del Consejo mueve la primera recepción a cada Estado miembro. Conserva una guía europea, pero la convierte en una mesa de información, no en la caja donde cae el expediente.

El artículo 23a del texto negociador encarga a ENISA señalar qué obligaciones corresponden y dirigir al notificante hacia la entrada nacional adecuada. Su apartado 4 es tajante con la arquitectura: esa guía no podría presentar, transmitir, guardar ni procesar un aviso, ni recoger datos que identifiquen a la entidad o al incidente. Si aparece un botón de «enviar», tendrá que estar detrás de otra puerta.

El artículo 23b deja a los países decidir cómo montar esa puerta. Pueden conectar sistemas ya existentes y distribuir el aviso a autoridades competentes y equipos de respuesta. El mandato les pide buscar la interoperabilidad entre entradas nacionales. ENISA aportaría recomendaciones no vinculantes y una solución de código abierto utilizable por los Estados. Así, la conveniencia de un mapa común convive con la tarea menos vistosa de hacer hablar a varios sistemas públicos.

El propio documento admite costes de creación, adaptación y conexión transfronteriza. También propone trabajos para armonizar notificaciones y facilitar avisos cuando el incidente cruce fronteras. Para quien comunica un ataque, la prueba llegará en tres pasos: una dirección correcta, un recibo claro y una ruta que lleve la información a todas las autoridades que deban actuar.

El Consejo ya fijó su posición para negociar. El Parlamento debe adoptar la suya antes del acuerdo legislativo. El sistema vigente de avisos sobre productos bajo el Cyber Resilience Act mantiene su cauce propio.