Muy grave · componentes de control y señalización · España

Conducta

Quien incumple la normativa en materia de autorización y puesta en el mercado de componentes y elementos de la infraestructura ferroviaria y de los equipos de energía, control y señalización de los vehículos, calificado como infracción muy grave contra la seguridad del sistema ferroviario

Importe

Multa de 38.001 a 380.000 EUR, que puede incrementarse hasta el triple del beneficio obtenido cuando este sea cuantificable

Ley 38/2015, arts. 106.1.19 y 109.1.a) y 109.2

Grave · componentes de control y señalización · España

Conducta

La misma conducta cuando no alcanza la calificación de muy grave: incumplimiento de la normativa de autorización y puesta en el mercado de componentes y de los equipos de energía, control y señalización de los vehículos

Importe

Multa de 7.501 a 38.000 EUR

Ley 38/2015, arts. 107.1.11 y 109.1.b)

Grave · falta de comunicación de cambios en señalización · España

Conducta

El administrador de infraestructuras que no comunica sin demora al órgano competente cualquier modificación esencial de la autorización de seguridad concedida, incluida la que afecta a los sistemas de señalización

Importe

Multa de 7.501 a 38.000 EUR

Ley 38/2015, arts. 107.1.12 y 109.1.b)

El Reglamento no tiene régimen sancionador. Tampoco lo tiene la Directiva (UE) 2016/797, que es su base jurídica: se comprobó su articulado completo y no contiene artículo de sanciones. La consecuencia de no cumplir una ETI no es una multa europea, sino que el organismo notificado no expida el certificado «CE» y la entidad responsable de la autorización no autorice el subsistema o el vehículo. En España sí hay multa, pero llega por la ley nacional del sector ferroviario y no por remisión de este Reglamento.

La ETI no define notificación de incidentes: fija requisitos técnicos del subsistema, no deberes de aviso. El régimen de notificación del ferrocarril llega por NIS2 y el RDL 12/2018, con los que la ficha declara el deslinde.

Fabricantes de equipos de CMS

Los fabricantes de los equipos y componentes de interoperabilidad que integran un subsistema de control-mando y señalización, obligados a que el subsistema cumpla la ETI y a mantener actualizados sus componentes cuando se publica una corrección de errores (art. 5.1 · punto 7.2.10.2)

Solicitantes de autorización y de verificación

Quien solicita la puesta en servicio de una infraestructura o la introducción en el mercado de un vehículo, con el deber añadido de reunir los requisitos de mantenimiento de todos los componentes y de proporcionar un sistema de gestión de la configuración (art. 5.1 · punto 4.2.20.2)

Administradores de infraestructuras

Quien gestiona la red y sus subsistemas de CMS en tierra: aplica las correcciones de errores en tierra, registra en el RINF las correcciones aplicables a los equipos embarcados y evalúa si el impacto de un error es aceptable para la seguridad y la explotación de su red (art. 5.2 · punto 7.2.10.3.1)

Empresas ferroviarias

Los operadores de los trenes, obligados a determinar qué correcciones de errores necesita cada vehículo comparando el RINF con la información de sus fabricantes, y a aplicarlas a bordo en los plazos del apéndice B (art. 5.2 · punto 7.2.10.3.2)

Organismos notificados

Los organismos de evaluación de la conformidad que expiden los certificados «CE» dentro de los límites de su competencia y describen en ellos las restricciones y condiciones de uso (art. 5.3 · punto 6.5.1)

Estados miembros

Obligados a notificar a la Agencia las normas nacionales de los puntos abiertos y de los casos específicos, a notificar el plan de implementación nacional y a mantener los sistemas de clase B heredados (arts. 3.2, 4.2, 5.4 y 7)

Exclusiones

Reglamento de Ejecución (UE) 2023/1695 de la Comisión, de 10 de agosto de 2023, sobre la especificación técnica de interoperabilidad relativa a los subsistemas de control-mando y señalización del sistema ferroviario de la Unión Europea y por el que se deroga el Reglamento (UE) 2016/919

Identificador

CELEX 32023R1695

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

Es una norma de interoperabilidad técnica, no de ciberseguridad. En el texto consolidado en español no aparece ni una vez «ciberseguridad», «vulnerabilidad», «amenaza», «confidencialidad», «autenticidad» ni «cifrado». Lo que sí hay es concreto y verificable: el parámetro básico 4.2.8 exige gestión de claves criptográficas para proteger los datos transmitidos por radio, y el apéndice A convierte en obligatorias cuatro especificaciones de clave y seguridad de extremo a extremo (SUBSET-146, SUBSET-038, SUBSET-114 y SUBSET-137). A eso se añade un régimen de mantenimiento de especificaciones que funciona como gestión de versiones del parque de señalización. El grueso del régimen ciber ferroviario español no llega por aquí: llega por NIS2 y el RDL 12/2018, que obligan al administrador de infraestructuras y a las empresas ferroviarias como entidades del sector transporte.

Valoración del curador · nivel 2 de 5

Conformidad del subsistema con la ETI

Fabricantes y solicitantes de autorización responden de que el subsistema de control-mando y señalización cumpla el anexo I entero antes de llegar a la red. Es la obligación paraguas de la que cuelgan los parámetros básicos del capítulo 4.

Literal de la norma Los fabricantes y los solicitantes de autorización de puesta en servicio de infraestructuras o de introducción en el mercado de vehículos velarán por que los subsistemas mencionados en el artículo 2 del presente Reglamento que esté previsto utilizar en las redes citadas en el artículo 2, punto 1, de la Directiva (UE) 2016/797 cumplan la ETI establecida en el anexo I del presente Reglamento.

Art. 5.1

Gestión de claves criptográficas de la radiocomunicación Ciber

El parámetro básico 4.2.8 exige gestionar las claves criptográficas que protegen los datos transmitidos por radio entre el tren y la infraestructura. Los requisitos concretos no están en el Reglamento: el punto remite al apéndice A, cuadro A 1, entrada 4.2.8 a, que a su vez obliga a cuatro especificaciones de la lista del cuadro A 2 (SUBSET-146 «ERTMS End-to-End Security», SUBSET-038 «Offline key management FIS», SUBSET-114 «KMC-ETCS Entity Off-line KM FIS» y SUBSET-137 «On-line Key Management FFFIS»). El propio punto acota el alcance: la ETI solo cubre los requisitos relativos a las interfaces de los equipos de control-mando y señalización, no el centro de gestión de claves ni la operativa que lo rodea.

Literal de la norma Este parámetro básico especifica los requisitos para la gestión de claves criptográficas utilizadas para la protección de los datos transmitidos por radio.

Anexo I, punto 4.2.8

Especificaciones obligatorias de seguridad en las interfaces de radio Ciber

Las interfaces por las que viajan los datos de señalización (interfaz aire de GSM-R y de FRMCS para ETCS y para ATO, interfaz entre la comunicación de datos y las aplicaciones a bordo, e interfaces RMR con el ETCS y el ATO en tierra) tienen que ajustarse a las especificaciones obligatorias del apéndice A. Entre ellas están la SUBSET-146 «ERTMS End-to-End Security», exigida en las entradas 4.2.5 h, 4.2.5 i, 4.2.5 j, 4.2.6 d, 4.2.6 g, 4.2.6 j, 4.2.6 k, 4.2.7 c, 4.2.7 f, 4.2.7 g y 4.2.7 h del cuadro A 1, y la SUBSET-148 «ATO-OB/ATO-TS FFFIS Transport and Security Layers», exigida en las entradas 4.2.5 h y 4.2.5 i. Es todo lo que la ETI dice de seguridad de las interfaces: no fija algoritmos, longitudes de clave ni periodos de renovación en su propio texto.

Literal de la norma Los protocolos de comunicación de datos se ajustarán a lo dispuesto en el apéndice A, cuadro A 1, 4.2.5 j.

Anexo I, puntos 4.2.5, 4.2.6 y 4.2.7 · apéndice A, cuadros A 1 y A 2

Documentación técnica de mantenimiento y versiones aprobadas Ciber parcial

El fabricante documenta todos los requisitos y procedimientos de mantenimiento del equipo durante su ciclo de vida, y en particular las versiones compatibles aprobadas de hardware y software, los procedimientos de sustitución de unidades sustituibles en línea y los procedimientos necesarios para actualizar los módulos del sistema cuando existan correcciones de errores conforme al artículo 9.

Literal de la norma las condiciones de mantenimiento de primer nivel, es decir, la definición de las unidades sustituibles en línea (LRU), la definición de las versiones compatibles aprobadas de hardware y software, los procedimientos de sustitución de las LRU averiadas y las condiciones de almacenamiento de las LRU y de reparación de las LRU averiadas;

Anexo I, punto 4.2.20.1

Sistema de gestión de la configuración del subsistema Ciber parcial

El solicitante reúne los requisitos de mantenimiento de todos los componentes (sean o no componentes de interoperabilidad), define los procedimientos de lanzamiento de componentes actualizados por corrección de errores, aporta un sistema de gestión de la configuración para determinar las repercusiones en el subsistema y garantiza la disponibilidad de la documentación de versiones.

Literal de la norma definir procedimientos para el lanzamiento de componentes de interoperabilidad actualizados debido a correcciones de errores de las especificaciones (mantenimiento de las especificaciones) con arreglo a la documentación pertinente del componente de interoperabilidad, cuando proceda. El solicitante proporcionará un sistema de gestión de la configuración para determinar las repercusiones en el subsistema. El solicitante garantizará la disponibilidad de la documentación relativa a la versión de los componentes de interoperabilidad incluidos en sus subsistemas.

Anexo I, punto 4.2.20.2

Identificador del sistema, funcional y de realización Ciber parcial

Cada proveedor asigna a la funcionalidad ERTMS de sus componentes y subsistemas un identificador del sistema, compuesto de un identificador funcional (la referencia de la funcionalidad implantada) y un identificador de realización (la configuración concreta de hardware y software).

Literal de la norma Cada proveedor definirá el «identificador del sistema», el «identificador funcional» y el «identificador de realización».

Anexo I, punto 4.2.20.3

Mantenimiento de las especificaciones Ciber parcial

Fabricantes, administradores de infraestructuras, empresas ferroviarias y cualquier otra entidad responsable de los vehículos o de la infraestructura responden de que los subsistemas cumplan los requisitos de mantenimiento de las especificaciones. Durante el proceso de control de cambios los errores se clasifican en los que impiden el servicio normal y los que no, y hay tres meses para responder a los cuestionarios de la Agencia con las resoluciones y las medidas de mitigación.

Literal de la norma Los fabricantes y administradores de infraestructuras, las empresas ferroviarias o cualquier otra entidad responsable de los vehículos o de la infraestructura ferroviarios velarán por que los subsistemas mencionados en el artículo 2 cumplan los requisitos de mantenimiento de las especificaciones establecidos en el punto 7.2.10 del anexo I.

Art. 5.2 · anexo I, punto 7.2.10

Aplicar las correcciones de errores en tierra y publicarlas en el RINF Ciber parcial

El administrador de infraestructuras evalúa si el impacto de cada error es aceptable para la seguridad y la explotación de su red, identifica los vehículos autorizados que no han implantado la mitigación, aplica en tierra las correcciones que permitan a un equipo a bordo conforme prestar servicio normal, y registra en el RINF qué correcciones son aplicables a los equipos embarcados (por primera vez, como máximo seis meses después de que la Agencia publique el análisis de compatibilidad de base).

Literal de la norma En el caso de los subsistemas del ERTMS en tierra afectados, los administradores de infraestructuras aplicarán las correcciones de errores en tierra pertinentes que permitan a un sistema de CMS a bordo conforme con la ETI (incluida la aplicación de las correcciones de errores a bordo) prestar un servicio normal, de conformidad con el apéndice B (cuadro B2) de la presente ETI de CMS.

Anexo I, punto 7.2.10.3.1

Aplicar a bordo las correcciones de errores registradas Ciber parcial

La empresa ferroviaria compara las correcciones de errores registradas en el RINF para el área de uso de cada vehículo con la información de sus fabricantes, determina cuáles hay que aplicar y las aplica en el subsistema de CMS a bordo, con el apoyo del fabricante y en los plazos del cuadro B1.1 del apéndice B.

Literal de la norma Las empresas ferroviarias compararán las correcciones de errores registradas en el RINF para el área de uso del vehículo con la información previamente proporcionada según se indica en el punto 7.2.10.1, a fin de determinar qué correcciones de errores es necesario realizar en los vehículos.

Anexo I, punto 7.2.10.3.2 · apéndice B, cuadro B1.1

Informar sin demora de las desviaciones detectadas Ciber parcial

Cuando durante las pruebas o en la vida operativa aparece una desviación respecto a las funciones o prestaciones previstas, solicitantes y explotadores informan sin demora a la Agencia Ferroviaria de la Unión Europea y a la entidad que autorizó el vehículo o el subsistema en tierra. No es un régimen de notificación de incidentes de seguridad (el destinatario es la autoridad ferroviaria, no un CSIRT), pero la desviación se define por su efecto: una causada por un ataque también obliga a informar.

Literal de la norma En caso de que durante las pruebas o a lo largo de la vida operativa del subsistema se detecten desviaciones respecto a las funciones y/o prestaciones previstas, los solicitantes y/o los explotadores deberán informar sin demora a la Agencia y la entidad responsable de la autorización que emitió las autorizaciones de los vehículos o los subsistemas en tierra afectados, con el fin de poner en marcha los procedimientos establecidos en el artículo 16 de la Directiva (UE) 2016/797.

Anexo I, punto 6.5

Certificados «CE» con restricciones y condiciones de uso

El organismo notificado expide los certificados dentro de los límites de su competencia, describe en ellos las restricciones y condiciones de uso del componente o del subsistema, y coordina con la Agencia cómo se tratan los errores en los certificados y en los expedientes técnicos adjuntos. El fabricante o el solicitante hace lo propio en la declaración «CE».

Literal de la norma Los organismos notificados velarán por que los certificados basados en el capítulo 6 del anexo I del presente Reglamento se expidan dentro de los límites de sus competencias por lo que se refiere a los componentes de interoperabilidad o a los subsistemas, de conformidad con los artículos 10 o 15 de la Directiva (UE) 2016/797, respectivamente.

Art. 5.3 · anexo I, puntos 6.5.1 y 6.5.2

Plan de implementación nacional

Cada Estado miembro elabora y notifica a la Comisión y a la Agencia su plan nacional de implementación del ERTMS conforme al punto 7.4.4 del anexo I. El plazo venció el 15 de junio de 2024.

Literal de la norma Los Estados miembros notificarán su plan de implementación nacional elaborado de conformidad con el punto 7.4.4 del anexo I a la Comisión y a la Agencia, a más tardar, el 15 de junio de 2024.

Art. 5.4 · anexo I, punto 7.4.4

Mantenimiento de los sistemas de clase B

Los sistemas nacionales heredados de protección del tren y de radio (los de clase B del anexo II, entre ellos los españoles) se mantienen tal como están especificados, y solo se modifican para mitigar errores críticos que afecten a la seguridad. Cualquier modificación se notifica a la Comisión y a la Agencia, y se pide dictamen técnico de conformidad.

Literal de la norma Los Estados miembros velarán por que la funcionalidad, las prestaciones y las interfaces de los sistemas de clase B se mantengan según lo especificado en el anexo II del presente Reglamento, excepto cuando se requieran modificaciones para mitigar errores críticos de dichos sistemas que afecten a la seguridad.

Art. 7

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Anexo I, punto 4.2.8 · puntos 4.2.5, 4.2.6 y 4.2.7 · apéndice A, cuadros A 1 y A 2 · categorización del curador, no de la norma

Inventario y gestión de activos Compartida

Un inventario completo de los activos y de sus dependencias: sin él, el parcheo, la vigilancia y la recuperación operan sobre un parque desconocido.

Anexo I, puntos 4.2.20.1, 4.2.20.2 y 4.2.20.3 · categorización del curador, no de la norma

Fabricante de equipos de CMS

Quien fabrica los equipos y los componentes de interoperabilidad que integran un subsistema de control-mando y señalización. Es el primer obligado de la norma: el artículo 5.1 le atribuye velar por que los subsistemas cumplan la ETI, el punto 4.2.20.1 le impone documentar los requisitos de mantenimiento durante todo el ciclo de vida (incluidas las versiones compatibles aprobadas de hardware y software) y el punto 7.2.10.2 le obliga a actualizar sus componentes cuando se publica una corrección de errores.

Literal de la norma Los fabricantes y los solicitantes de autorización de puesta en servicio de infraestructuras o de introducción en el mercado de vehículos velarán por que los subsistemas mencionados en el artículo 2 del presente Reglamento que esté previsto utilizar en las redes citadas en el artículo 2, punto 1, de la Directiva (UE) 2016/797 cumplan la ETI establecida en el anexo I del presente Reglamento.

Art. 5.1 · puntos 4.2.20.1 y 7.2.10.2

Solicitante de la verificación del subsistema

Quien pide la autorización de puesta en servicio de una infraestructura o la introducción en el mercado de un vehículo, y quien encarga al organismo notificado la verificación «CE» del subsistema. Es el papel que integra piezas de varios fabricantes: el punto 4.2.20.2 le obliga a reunir los requisitos de mantenimiento de todos los componentes, a definir los procedimientos de lanzamiento de componentes actualizados y a proporcionar un sistema de gestión de la configuración.

Art. 5.1 · punto 4.2.20.2

Administrador de infraestructuras

Quien gestiona la red ferroviaria y sus subsistemas de control-mando y señalización en tierra. La ETI no lo define (la definición vive en la Directiva 2012/34/UE), pero le dirige obligaciones propias: aplicar las correcciones de errores en tierra, registrar en el RINF qué correcciones son aplicables a los equipos embarcados, evaluar si el impacto de un error es aceptable para la seguridad y la explotación de su red, y notificar la definición de los controles de compatibilidad.

Art. 5.2 · art. 12 · art. 13 · punto 7.2.10.3.1

Empresa ferroviaria

El operador que explota los trenes. La ETI le dirige una obligación nítida y muy poco conocida: comparar las correcciones de errores registradas en el RINF para el área de uso de cada vehículo con la información de sus fabricantes, determinar cuáles hay que aplicar y aplicarlas en los subsistemas de CMS a bordo dentro de los plazos del apéndice B.

Literal de la norma Las empresas ferroviarias compararán las correcciones de errores registradas en el RINF para el área de uso del vehículo con la información previamente proporcionada según se indica en el punto 7.2.10.1, a fin de determinar qué correcciones de errores es necesario realizar en los vehículos.

Art. 5.2 · punto 7.2.10.3.2

Organismo notificado

El organismo de evaluación de la conformidad que expide los certificados «CE» de los componentes de interoperabilidad y de los subsistemas. No es un obligado de fondo (no implanta nada), pero es la puerta por la que pasa el cumplimiento: si no certifica, el subsistema no se autoriza. El punto 6.5.1 le obliga además a describir en el certificado las restricciones y condiciones de uso y a coordinar con la Agencia el tratamiento de los errores.

Art. 5.3 · punto 6.5.1

Estado miembro

El Estado, a través de su autoridad nacional de seguridad y de su administración ferroviaria. La ETI le encarga notificar las normas nacionales que cierran los puntos abiertos y los casos específicos, notificar el plan de implementación nacional, y mantener la funcionalidad y las interfaces de los sistemas de clase B heredados.

Arts. 3.2, 4.2, 5.4, 7 y 13.1