La ampliación de la divulgación de ciberseguridad que el Gobierno situaba en el 'primer semestre del próximo año' se retrasa a 2027; verificadas 40 de 773 empresas

SEÚL

La divulgación obligatoria de información sobre ciberseguridad para todas las empresas cotizadas, que el Gobierno dijo en octubre del año pasado que "planea aplicar desde el primer semestre del próximo año" tras una serie de hackeos que alcanzaron a operadoras de telecomunicaciones, entidades financieras e incluso la red de trabajo del Gobierno, no entrará en vigor hasta el 1 de enero de 2027. El Ministerio de Ciencia y TIC informó de que el día 20 el Consejo de Ministros aprobó la reforma del decreto de aplicación de la 'Ley de Promoción de la Industria de la Seguridad de la Información' (Ley de la Industria de la Seguridad de la Información) con ese contenido. El decreto reformado suprime el requisito de 'ventas de 300.000 millones de wones o más' para las cotizadas, con lo que impone la obligación de divulgación a todas las empresas cotizadas en KOSPI y KOSDAQ, y elimina también las excepciones para entidades públicas, entidades financieras y empresas de servicios financieros electrónicos. No obstante, a las pequeñas empresas cotizadas se les aplicará a partir del 1 de enero de 2029. El alcance de la divulgación se amplía, pero de las 773 empresas que divulgaron el año pasado el Gobierno verificó a posteriori a 40, y la multa administrativa que puede imponerse a las empresas que rechacen la verificación o no hagan la divulgación corregida es de hasta 10 millones de wones.

La ampliación que el Gobierno situaba en el 'primer semestre del próximo año' no se aplicará hasta enero de 2027

La ampliación de la divulgación era una tarea central del 'Plan integral interministerial de protección de la información' presentado conjuntamente por los ministerios implicados el 22 de octubre del año pasado. El documento de Policy Briefing de entonces afirmaba que, "ampliando a todas las cotizadas las empresas obligadas a divulgar información sobre ciberseguridad", se "introducirá un sistema que califique y haga público el nivel de capacidad de seguridad" a partir de los resultados de la divulgación. El mismo documento presentaba el plan diciendo que "se ha planteado centrado en tareas a corto plazo que pueden ejecutarse de inmediato". Dijo que la 'Estrategia Nacional de Ciberseguridad', con las tareas a medio y largo plazo, se elaboraría aparte dentro del año, y en el turno de preguntas de la rueda de prensa se respondió que se elaboraría y presentaría "antes de que acabe diciembre".

El momento de aplicación salió directamente en el turno de preguntas. Desde la prensa se preguntó: "Pregunto una vez más solo por el calendario: ¿la divulgación obligatoria de ciberseguridad para todas las cotizadas se aplicará ya desde el próximo año?", y la parte del Gobierno respondió: "Tenemos previsto aplicar la obligación de divulgación de ciberseguridad desde el primer semestre del próximo año". En la transcripción no consta quién dio esa respuesta. En aquella comparecencia estaban el viceprimer ministro y ministro de Ciencia y TIC, Bae Kyung-hoon; el segundo viceministro de Ciencia y TIC, Ryu Je-myung; Shin Jin-chang, titular de la Secretaría General de la Comisión de Servicios Financieros; Lee Jung-ryul, al frente de la Secretaría General de la Comisión de Protección de la Información Personal; Kim Chang-seop, al frente de la Tercera Subdirección del Servicio Nacional de Inteligencia, y Lee Yong-seok, responsable de la Oficina de Innovación del Gobierno Digital del Ministerio del Interior y Seguridad.

La aplicación real llegó más tarde. Cuando el Ministerio de Ciencia y TIC sometió a consulta pública previa la reforma del decreto el 9 de enero de este año, dijo que "se prevé avanzar para que pueda aplicarse a partir de los obligados a divulgar información sobre ciberseguridad en 2027". En ese momento el plazo de aplicación ya estaba fijado en 2027. En la segunda consulta pública previa del 11 de mayo (Aviso del Ministerio de Ciencia y TIC n.º 2026-569), cambiaron las disposiciones adicionales. Se añadió que para las pequeñas empresas según la Ley Marco de Pymes se aplaza dos años la fecha de entrada en vigor, teniendo en cuenta su personal y sus condiciones de gestión. Cuando se hizo la consulta pública de enero, el documento de Policy Briefing decía que se suprimía la excepción para las pequeñas empresas. El plazo para presentar opiniones en la segunda consulta era hasta el 22 de junio, y junto con el proyecto normativo se adjuntaron un análisis de impacto regulatorio y una exposición de motivos por artículos. Al final, la ampliación de la divulgación presentada en octubre del año pasado como 'tarea a corto plazo' empezará en 2027, y las pequeñas cotizadas no empezarán a divulgar hasta dos años después.

La presentación del plan integral ya llegó tarde. En el turno de preguntas, quien respondió por el Gobierno empezó diciendo: "Sobre el motivo del retraso de finales de septiembre, la verdad es que nosotros seguimos centrados en los 5 ministerios", y luego dijo: "Hubo cierto retraso".

El Ministerio de Ciencia y TIC esgrime la eliminación de puntos ciegos y el derecho de la población a saber

El Ministerio de Ciencia y TIC explicó que con esta reforma eliminará los puntos ciegos del sistema de divulgación y garantizará el derecho de la población a saber, y que al mismo tiempo inducirá a las empresas a ver la protección de la información como una inversión y no como un coste. Bae dijo el día 20: "La divulgación de ciberseguridad es un sistema importante que garantiza el derecho de la población a saber e induce la inversión voluntaria de las empresas en protección de la información". Bae dijo: "Espero que se consolide un círculo virtuoso en el que la inversión en protección de la información se active aún más y suba el nivel de protección de la información de todo el país".

El contenido de la reforma se centra en ampliar los sujetos obligados. Según el texto de la segunda consulta pública previa, en el artículo 8, apartado 1, del decreto se eliminan a la vez la condición de designar y notificar un responsable de seguridad de la información (CISO) y la condición de ventas de 300.000 millones de wones o más, y se incluyen las empresas cotizadas en el mercado de valores y en KOSDAQ. Según el documento del Ministerio de Ciencia y TIC del día 20, quedan fuera las sociedades con fines de adquisición especiales (SPAC). Los obligados a obtener la certificación del sistema de gestión de la seguridad de la información (ISMS) según la Ley de Redes de Información y Comunicaciones a cierre del año anterior se incorporan como nuevo punto 4 del mismo apartado. Se suprime el artículo 8, apartado 2, con lo que desaparecen las condiciones de exclusión de entidades públicas, pequeñas empresas, empresas financieras y empresas de servicios financieros electrónicos. El criterio de cálculo del número de usuarios también pasa de la media diaria de los tres meses anteriores al cierre del año anterior a la media diaria de todo el año anterior.

El Ministerio de Ciencia y TIC dijo que publicará unas 'Directrices de divulgación de ciberseguridad' que reflejen la reforma y ofrecerá consultoría a las empresas que asumen la obligación por primera vez. También habrá asesoramiento en línea permanente, formación y formación itinerante por regiones. La exposición de motivos del texto de la segunda consulta incluye la explicación de que se busca superar la inquietud de la población, agravada por los recientes hackeos, y elevar la capacidad nacional de protección de la información. En su comunicado del 9 de enero, el Ministerio de Ciencia y TIC resumió el contenido de la reforma como 'supresión del criterio de ventas de las empresas cotizadas, inclusión de las empresas con certificación del sistema de gestión de la seguridad de la información (ISMS) y abolición de las excepciones', y su objetivo como 'inducir la inversión voluntaria en seguridad de las empresas y reforzar la garantía del derecho de la población a saber'. Ese mismo día, Choi Woo-hyuk, responsable de la Oficina de Política de Redes del Ministerio de Ciencia y TIC, dijo: "Con esta mejora del sistema se puede comprobar la situación de protección de la información de más empresas que antes".

KT, en la que la inspección urgente 'no detectó nada destacable', también apareció dos meses después en la rueda de prensa del plan

El debate sobre la ampliación de la divulgación se aceleró después de que se produjeran grandes incidentes. Un responsable del Ministerio de Ciencia y TIC dijo en el documento de Policy Briefing del 11 de agosto del año pasado: "Con motivo del incidente de intrusión de SKT, realizamos hasta esta semana inspecciones urgentes sobre el terreno en otras operadoras de telecomunicaciones como KT y LGU+ y en las principales plataformas como Naver, Kakao, Coupang y Woowa Brothers, y no se detectó nada destacable".

En la rueda de prensa del plan integral, celebrada algo más de dos meses después, surgió en las preguntas el incidente de KT, que había sido objeto de aquella inspección. Desde la prensa se planteó: "Tengo entendido que el reciente problema de las femtoceldas de KT también se produjo, al final, porque KT no pudo desechar todas". Ryu Je-myung respondió sobre las femtoceldas: "Una cosa, la recuperación, el problema de recuperarlas no es fácil". Ryu dijo además: "A raíz de este incidente de KT, en los micropagos queremos eliminar que se haga solo con la autenticación por SMS o ARS". En el mismo turno de preguntas también se mencionó el incidente de Lotte Card.

La receta que presentó el Gobierno fue ampliar las inspecciones y la divulgación. El documento de Policy Briefing afirmaba: "Para disipar la inquietud generalizada por los hackeos, se pone en marcha de inmediato una inspección a gran escala de las vulnerabilidades de seguridad de unos 1.600 sistemas de TI que utiliza la mayoría de la población, como los del sector público, financiero y de telecomunicaciones". Shin Jin-chang dijo que terminaría a finales de ese mes la inspección de 260 sistemas del sector financiero entre ellos. La ampliación de la obligación de divulgación entró en ese paquete de medidas, pero el decreto que le da base legal fue aprobado por el Consejo de Ministros el día 20 de este mes, casi un año después de aquella rueda de prensa.

El mismo plan incluía varias tareas dirigidas a las empresas que sufren incidentes. El Gobierno dijo que "ampliará las facultades de investigación del Gobierno para que, si obtiene indicios de hackeo, pueda investigar con rapidez sobre el terreno aunque no haya notificación". Decidió que la auditoría de las certificaciones ISMS e ISMS-P se centraría en las auditorías presenciales y que se retiraría la certificación si una empresa certificada presenta deficiencias graves. También se incluyó que, si se produce un hackeo por negligencia de seguridad de una empresa, se aliviará la carga de la prueba del consumidor, y que se estudiará crear un fondo que destine los ingresos por sanciones económicas por filtración de datos personales al apoyo a las víctimas, entre otros fines. El refuerzo de la responsabilidad del CEO y del papel del CISO también figuró entre las tareas. En la rueda de prensa se mencionaron, de los unos 1.600 objetivos de inspección, 900 grandes empresas y 260 entidades financieras, y desde la prensa se preguntó citando la cifra de 228 infraestructuras de entidades públicas.