El texto detalla debates sobre el proyecto de ley de ciberseguridad del Reino Unido, donde algunos legisladores piden responsabilidad civil personal para directivos ante fallos graves. El gobierno rechaza esto, prefiriendo multas corporativas millonarias y una gobernanza a nivel de junta directiva. También se discuten los estrictos plazos de reporte de incidentes, que algunos consideran excesivos y otros insuficientes.

Los pares han cuestionado por qué el proyecto de Ley de Ciberseguridad y Resiliencia del Reino Unido no permite a los reguladores penalizar a los altos ejecutivos cuando el incumplimiento de una organización implica su consentimiento, connivencia o negligencia deliberada o descuidada.

Haciendo eco de argumentos escuchados en la industria durante años, las baronesas Kidron y Ludford respaldaron enmiendas que introducirían la responsabilidad civil personal para los altos ejecutivos y convertirían la ciberseguridad en una responsabilidad a nivel de junta directiva.

"La intención detrás de la enmienda es cambiar la cultura de una organización, para asegurar que se tomen medidas preventivas y evitar penalizaciones", dijo la baronesa Kidron. "Como dije al principio, el cambio cultural comienza desde arriba".

El Register ha informado anteriormente sobre las peticiones para que las organizaciones del NHS traten la ciberseguridad como una prioridad de la junta directiva.

Más recientemente, 60 organizaciones se comprometieron con los objetivos del Compromiso de Ciberresiliencia del gobierno del Reino Unido, prometiendo asegurar que sus juntas directivas asuman la responsabilidad de la ciberseguridad de su organización.

Los pares que apoyan las enmiendas señalaron las normas del sector financiero introducidas en la última década que pueden imponer una responsabilidad regulatoria o penal a la alta dirección por fallos graves.

Argumentaron que las enmiendas acercarían el proyecto de ley a la directiva NIS2 de la UE, que incluye medidas de rendición de cuentas para la alta dirección. No obstante, la responsabilidad personal no es obligatoria bajo NIS2 y los Estados miembros la han implementado de manera diferente.

Apoyando la propuesta de responsabilidad personal, Lord Clement-Jones dijo: "Si una persona es apta para cobrar un salario ejecutivo de millones de libras dirigiendo un proveedor nacional crítico, debe estar preparada para asumir la responsabilidad personal de asegurarlo".

A pesar del apoyo de varios pares, el gobierno defendió su plan actual de imponer multas máximas sustanciales e introducir requisitos de seguridad, resiliencia y gobernanza a través de legislación secundaria.

"Es absolutamente correcto que las organizaciones, especialmente aquellas que prestan nuestros servicios esenciales, rindan cuentas adecuadamente por sus actividades", dijo la ministra de ciberseguridad, la baronesa Lloyd de Effra, quien no apoyó la enmienda de responsabilidad personal.

Citó las multas máximas de 17 millones de libras o el 4 por ciento de la facturación anual de la organización infractora, lo que sea mayor, calificándolo como "un régimen de cumplimiento significativo".

La baronesa Lloyd afirmó que los próximos requisitos de seguridad y resiliencia obligarían a una gobernanza a nivel de junta directiva alineada con el Marco de Evaluación Cibernética del NCSC. El gobierno aún no ha consultado los detalles.

"Eso cubrirá cuestiones como la capacidad organizativa, la responsabilidad senior, la rendición de cuentas por la seguridad y la resiliencia y la escalada efectiva de riesgos, y es de esa manera que conectaremos la claridad sobre lo que se espera de las juntas con la rendición de cuentas a través del régimen de cumplimiento".

Requisitos de notificación y otros asuntos

Por separado, los pares interrogaron al gobierno sobre la estructura de los estrictos requisitos de notificación del proyecto de ley, advirtiendo que la redacción actual amenaza con abrumar a los reguladores con una carga administrativa.

Uno de los objetivos principales del proyecto de ley CSR es recopilar más datos sobre las amenazas que enfrentan las organizaciones del Reino Unido imponiendo requisitos de notificación más estrictos a las entidades incluidas.

El proyecto de ley exige que las organizaciones reguladas emitan una notificación inicial en 24 horas y un informe más completo en 72 horas. Define un incidente como un evento que tiene, o es capaz de tener, un efecto adverso en una operación.

La exministra de seguridad, la baronesa Neville-Jones, sugirió cambiar la redacción de "capaz de" a "probable que tenga", para reducir la carga de notificación de las organizaciones reguladas.

Lord Clement-Jones estuvo de acuerdo, advirtiendo que la redacción actual "desataría un tsunami administrativo de informes defensivos".

También argumentó que la definición de compromiso de datos del gobierno era excesivamente amplia y "expandía drásticamente la red de notificación para incluir anomalías de datos técnicos que causan cero interrupción o pérdida a los clientes reales".

Dijo que las reglas de notificación y la definición amplia de compromiso podrían dejar que los operadores responsables de servicios esenciales pasen más tiempo en el papeleo que mejorando sus defensas.

El gobierno no cambió de opinión, y la baronesa Lloyd afirmó que los informes más estrictos eran cruciales para lograr los objetivos del proyecto de ley, que busca actualizar el Reglamento NIS 2018 existente.

Mientras algunos pares buscaban aliviar la carga de los informes, otros intentaron aumentarla en otras áreas.

La baronesa Harding, quien está en una posición única para opinar sobre la respuesta a los ciberataques, propuso un informe intermedio de 14 días y un informe final un mes después de que ocurriera el ataque.

Basándose en su experiencia como ex directora ejecutiva de TalkTalk, dijo que después de 72 horas, las organizaciones atacadas comienzan a obtener "datos reales", pero "es realmente después de un par de semanas cuando se tiene una noción adecuada de lo que ha sucedido".

El informe final llega a la marca de un mes, cuando "la niebla comienza a despejarse y tienes una noción adecuada de la escala real del problema", afirmó.

Harding dijo que a los altos ejecutivos se les dice típicamente desde todos los lados que no digan nada sobre un ciberataque, pero esto solo sirve a los criminales, que mientras tanto pueden estar atacando a otras víctimas.

"Si compartes esta información en medio de la confusión con los reguladores y con las agencias encargadas de hacer cumplir la ley, así es como la ley puede prevalecer", afirmó.

"Es la forma en que los reguladores pueden comprender qué está sucediendo, es la forma en que pueden advertir a otros que podrían verse afectados y es la forma en que las agencias policiales pueden hacer su trabajo para intentar encontrar a los malos".

La baronesa Lloyd defendió el proceso de dos etapas del proyecto de ley, argumentando que ya proporciona información en los puntos en que los reguladores la necesitan.

Reafirmó que el informe inicial de 24 horas alerta al NCSC y le permite determinar si otras organizaciones están afectadas, mientras que el informe de 72 horas contendrá los detalles necesarios para permitir una respuesta más efectiva.

"Creemos que las etapas que hemos establecido cumplen con eso. Han sido desarrolladas cuidadosamente para proporcionar la notificación correcta en el momento apropiado", dijo a los pares.

"Han sido desarrolladas en consulta con la industria, como exhortaron muchos nobles lores en el grupo anterior.

"Crucialmente, bajo los poderes de recopilación de información de la Cláusula 15, los reguladores también pueden solicitar más información sobre un incidente que haya sido reportado si consideran que es necesario para comprender el incidente y cómo se está gestionando.

"Obviamente, eso puede ser apropiado en algunos incidentes y no en otros. Ese tipo de equilibrio práctico es posible gracias al proyecto de ley".

Por separado, el Gran Comité pasó el segundo día analizando el proyecto de ley, detallando las responsabilidades de los centros de datos, así como examinando los requisitos para notificar a los clientes afectados en 24 horas después de una brecha en lugar de 72 horas.

El gobierno también rechazó las preocupaciones de que los datos de ciberseguridad recopilados bajo las reglas de notificación pudieran contribuir a procesos judiciales extranjeros injustos. La baronesa Lloyd dijo que los ministros habían considerado el asunto y evaluado el riesgo como muy bajo.

Fuente:
TheRegister