En abril de 2025, en el marco de su labor legislativa, la Comisión Europea puso en marcha una consulta previa a la revisión del Reglamento sobre ciberseguridad (Cyber Security Act o CSA), un texto aprobado en 2019 por el Parlamento. En un principio, este reglamento establecía un mandato permanente para la ENISA, la Agencia de la Unión Europea para la Ciberseguridad. 

Este organismo contribuye a la política de la Unión en materia de ciberseguridad y trabaja principalmente en interés de los organismos públicos, aunque no exclusivamente. La agencia colabora con organizaciones y empresas para reforzar la confianza en la economía digital, aumentar la resiliencia de las infraestructuras de la UE y, a largo plazo, preservar la seguridad digital de los ciudadanos de la UE. Vela por el intercambio de conocimientos, el desarrollo de estructuras y la formación del personal, y lleva a cabo acciones de sensibilización.

La Ley de Ciberseguridad de la UE también ha definido un marco de certificación de ciberseguridad para armonizar a escala europea los métodos de evaluación y los distintos niveles de garantía de la certificación, en el que la ENISA ocupa un lugar destacado.

Solo desde 2019 se han añadido varios reglamentos más a la Ley de Ciberseguridad de la UE (CSA), que a su vez completaba textos ya existentes, como, por ejemplo, la Directiva sobre privacidad electrónica (ePrivacy) de 2002, relativa a las comunicaciones electrónicas y destinada a proteger la privacidad en Internet.

Desde 2019, podemos añadir la Ley de Ciberresiliencia, en vigor desde diciembre de 2024, que tiene por objeto subsanar las deficiencias de seguridad de los productos digitales, o la DORA, cuyo objetivo es aumentar la resiliencia de las organizaciones frente a los ciberataques. O también la Directiva NIS2, aplicable desde octubre de 2024, que obliga a los proveedores de servicios esenciales a garantizar la seguridad de sus cadenas de suministro. Sin olvidar el RGPD, en vigor desde 2018, y el Reglamento sobre inteligencia artificial (IA Eu Act), en vigor desde agosto de 2024... así como las normativas nacionales, como la LOPMI y la Ley de mayoría digital...

Tantas novedades normativas que aumentan las obligaciones de cumplimiento de las empresas...y que obligan a las aseguradoras a lidiar con un panorama jurídico complejo y fragmentado. Por este motivo, la Federación Europea de Seguros y Reaseguros (Insurance Europe*) acogió favorablemente en abril de 2025 el anuncio de una revisión del Reglamento sobre ciberseguridad.

Insurance Europe ha acogido con satisfacción la revisión por parte de la Comisión Europea de la Ley de Ciberseguridad (CSA) y la futura iniciativa «ómnibus digital»**, respaldando el objetivo de simplificar la normativa, reducir las cargas administrativas y garantizar un enfoque proporcionado y basado en los riesgos.

Consultada en el marco de esta revisión, la Federación (de federaciones) apoya los esfuerzos destinados a racionalizar los requisitos de información en materia de ciberseguridad y a eliminar los solapamientos y duplicidades innecesarias generadas por las sucesivas directivas y reglamentos europeos.

Insurance Europe subraya la necesidad de claridad jurídica y normativa en toda la UE, señalando que, en algunos casos, siguen vigentes directrices nacionales obsoletas a pesar de haber sido sustituidas por la legislación europea. Esto supone un reto especial para los operadores transfronterizos, que deben cumplir normas divergentes y, en ocasiones, contradictorias.

En resumen, la asociación europea solicita que esta revisión del Reglamento sobre ciberseguridad dé lugar a un texto más coherente y comparable entre las jurisdicciones nacionales, al fin de las redundancias en las declaraciones (ante las distintas autoridades de supervisión) y a una orientación clara y coherente para evitar marcos nacionales contradictorios.

En el portal de la Comisión Europea se recuerda que la revisión de la ley sobre ciberseguridad tiene por objeto aclarar el mandato de la Agencia Europea de Ciberseguridad (ENISA) y mejorar el marco europeo de certificación en materia de ciberseguridad con el fin de reforzar la resiliencia.

Asimismo, tiene por objeto racionalizar, simplificar y completar la legislación europea para que la aplicación del marco europeo de ciberseguridad resulte más accesible para los usuarios y las empresas, y dar prioridad a las medidas destinadas a respaldar los objetivos de la UE en materia de desarrollo de una cadena de suministro segura y resiliente, incluida la base industrial europea en el ámbito de la ciberseguridad.

«Solo una revisión de la CSA a nivel de la UE permitirá poner claramente el énfasis en la racionalización, la priorización y la simplificación de las medidas presentes en el conjunto de los actos legislativos relacionados con el ciberespacio». *** Por lo tanto, parece que se va por el buen camino.

Tras la consulta pública (que finalizó el 20 de junio de 2025) y la audiencia con las partes interesadas, la Comisión (Europea) baraja cuatro opciones que van desde el statu quo hasta la derogación del reglamento vigente (lo que implicaría la adopción de uno nuevo). No obstante, la Comisión se reserva la posibilidad de adoptar medidas no legislativas o intervenciones reglamentarias específicas.

En cualquier caso, la Comisión espera que esta iniciativa tenga repercusiones económicas positivas a largo plazo, al tiempo que permita racionalizar y simplificar las cargas administrativas que pesan sobre las empresas. En este punto, coincide con las observaciones de Insurance Europe, a la que se consultó en calidad de parte interesada.

Se llevará a cabo un análisis de impacto una vez finalizadas la consulta pública y las entrevistas con las partes interesadas. Dicho análisis se basará en las consultas ya realizadas en 2024 y 2023.

Esperemos que esta iniciativa dé lugar a una armonización a todos los niveles que beneficie a los agentes económicos y a un ajuste del mandato de la ENISA para responder mejor a un mundo digital que ha evolucionado rápidamente desde 2019.

Se espera que la Comisión presente sus conclusiones en el cuarto trimestre de 2025; volveremos a tratar este tema en un próximo artículo.

*Insurance Europe agrupa a federaciones, asociaciones y sindicatos nacionales de aseguradoras de toda Europa. Su presidente es Frédéric de Courtois, director general de AXA, y France Assureurs es miembro de la misma.

** La Comisión Europea propuso el 26 de febrero de 2025 una directiva denominada «Omnibus», cuyo objetivo es aliviar las cargas administrativas de las empresas en materia de finanzas sostenibles y de deber de diligencia (por ejemplo, eximir a las pymes de la obligación de llevar un registro de los tratamientos de datos personales).

*** Fuente: Comisión Europea: Convocatoria de aportaciones para un análisis de impacto (Ref. Ares(2025)2970891 - 11/04/202)