Nueva estrategia: de la defensa pasiva a la ciberdefensa activa
El Gobierno federal prepara un cambio de estrategia de fondo en la ciberseguridad alemana. Un proyecto de ley aprobado por el Consejo de Ministros otorgará a la Oficina Federal de Seguridad en Tecnologías de la Información (BSI), la Policía Federal y la Oficina Federal de Investigación Criminal (BKA) competencias ampliadas para una «ciberdefensa activa». Estas medidas van bastante más allá de los planteamientos preventivos anteriores y permiten por primera vez intervenir directamente en las estructuras de los atacantes.
El ministro federal del Interior, Alexander Dobrindt (CSU), describe el nuevo planteamiento como una actuación proactiva: «Devolvemos el golpe, eliminamos la amenaza cuando nos atacan, podremos perturbar a los atacantes y destruir su infraestructura». Este anuncio marca un cambio de paradigma de una ciberestrategia puramente defensiva a otra ofensiva.
Competencias y medidas concretas en detalle
El proyecto de ley prevé distintas herramientas nuevas que se pondrán a disposición de las autoridades de seguridad:
- Prohibición del funcionamiento de sistemas informáticos de los que emane un peligro
- Redirección del tráfico de datos para analizar e interrumpir los ataques
- Lectura, borrado o modificación de datos en sistemas ajenos
- Actuación contra dominios de internet maliciosos cambiantes
El BSI quedará facultado para buscar e identificar, a petición de las instituciones y en sus sistemas de TI, las medidas preparatorias de los atacantes. Un foco especial recae en la lucha contra la distribución de software malicioso a través de dominios comprometidos.
Para aplicar los cambios previstos se necesitarán en total 37 empleados adicionales, lo que evidencia la carga de trabajo esperada para los nuevos ámbitos de tareas.
Justificación: Alemania en el punto de mira de los ciberataques internacionales
El Gobierno federal justifica la modificación legal con el creciente panorama de amenazas. Alemania, como principal potencia económica de Europa, está cada vez más en el foco de ciberataques que en ocasiones pueden tener un gran impacto. Las amenazas híbridas, en particular, ganan importancia.
Potencias extranjeras, actores estatales u organizaciones vinculadas a ellos son cada vez más los autores de ciberataques contra Alemania. Los ataques se dirigen contra la economía, la industria, los organismos públicos y la política, con los objetivos de:
- Espionaje
- Sabotaje
- Extorsión
- Demostración de poder en el espacio digital
Según el proyecto de ley, «las medidas preventivas en los propios sistemas de TI no ofrecen por sí solas una protección suficiente» frente a ciberataques a gran escala con un elevado potencial de daño. Por ello, las autoridades deben recibir posibilidades complementarias para impedir directamente tales ataques.
Delimitación entre prevención de peligros y persecución penal
Las competencias adicionales de la Policía Federal deben servir exclusivamente a la prevención de peligros, no a la persecución penal. Las medidas de defensa especiales solo están previstas en determinados casos, por ejemplo cuando el peligro se dirige contra «organismos o instituciones cuyo funcionamiento sea esencial para la comunidad o la defensa».
Voces críticas desde el mundo empresarial
La asociación de la industria de internet Bitkom valora en principio positivamente el mayor compromiso del Gobierno federal con la ciberdefensa, pero ve aspectos problemáticos. Bitkom valora de forma especialmente crítica las nuevas facultades de intervención de la Policía Federal y la BKA, que permiten contraataques contra los sistemas de los atacantes.
El principal punto de crítica: «Como los ciberataques a menudo no pueden atribuirse técnicamente sin lugar a dudas y los autores dejan pistas falsas, existe el riesgo de afectar a terceros no implicados». Esta valoración remite a la complejidad técnica de la atribución de los ciberataques y a los posibles daños colaterales.
También la Federación de la Industria Alemana (BDI) reclama mejoras. La crítica se dirige contra el enfoque centrado en el Estado: «El proyecto apuesta hasta ahora demasiado por la intervención estatal y demasiado poco por la colaboración con la economía». Las obligaciones de cooperación de las empresas deberían formularse de forma más precisa y proporcionada.
Importancia para el sector de la seguridad
Los cambios legales previstos tienen amplias implicaciones para todo el sector de la seguridad. Las empresas deben prepararse para mayores posibilidades de intervención administrativa y adaptar en consecuencia sus conceptos de seguridad informática. Ello afecta tanto a la infraestructura técnica como a los requisitos legales de cumplimiento.
Para los proveedores de tecnología de seguridad surgen nuevos campos de negocio, ya que una mayor actividad estatal exige también las correspondientes medidas de protección para las empresas. La demanda de soluciones de seguridad robustas debería seguir creciendo.
Perspectivas: un cambio de paradigma con preguntas abiertas
El proyecto de ley marca un cambio de fondo en la estrategia alemana de ciberseguridad. Por primera vez, los organismos estatales no solo actuarán de forma defensiva, sino que podrán intervenir activamente en sistemas ajenos. Ello conlleva, sin embargo, retos jurídicos y técnicos que aún no están del todo aclarados.
Las críticas de las asociaciones empresariales muestran que el equilibrio entre una ciberdefensa eficaz y la protección de terceros no implicados constituye un reto central. Cómo se comporte esta ciberdefensa activa en la práctica y si el marco jurídico es suficientemente preciso solo se verá con su aplicación.
Las empresas deberían prepararse ya para la nueva situación jurídica y adaptar en consecuencia sus conceptos de seguridad. La colaboración entre los organismos estatales y la economía privada será de importancia decisiva para el éxito de la nueva estrategia.
