El artículo 5 del Tratado del Atlántico Norte hace referencia al 'principio de defensa colectiva' y estipula que un ataque contra uno de los Aliados se considera un ataque contra todos los aliados.
"Las partes convienen en que un ataque armado contra una o contra varias de ellas, acaecido en Europa o en América del Norte, se considerará como un ataque dirigido contra todas ellas y, en consecuencia, acuerdan que si tal ataque se produce, cada una de ellas, en ejercicio del derecho de legítima defensa individual o colectiva, reconocido por el artículo 51 de la Carta de las Naciones Unidas, asistirá a la Parte o Partes así atacadas, adoptando seguidamente, individualmente y de acuerdo con las otras Partes, las medidas que juzgue necesarias, incluso el empleo de la fuerza armada, para restablecer y mantener la seguridad en la región del Atlántico Norte", recoge el citado texto.
Sin embargo, en un contexto de conflicto bélico en el que junto a ataques armados se están llevando a cabo también importantes ciberataques que pueden inhabilitar infraestructuras básicas o interrumpir servicios esenciales, ¿puede considerarse un ataque cibernético contra un estado miembro suficiente para activar este principio?
Un funcionario de la OTAN así lo asegura. Según ha manifestado a Reuters, un ciberataque contra un estado miembro de la OTAN podría desencadenar el artículo 5. La alianza ya había señalado en varias ocasiones que un ataque cibernético grave podría activar la cláusula, aunque hasta la fecha solo se hablaba de escenarios hipotéticos. La guerra de Ucrania cambiaría las cosas.
"Los aliados también reconocen que el impacto de actividades cibernéticas acumulativas maliciosas significativas podría, en ciertas circunstancias, ser considerado como un ataque armado", ha señalado el funcionario a la agencia de noticias.
"No vamos a especular sobre la gravedad que debería tener el ciberataque para desencadenar una respuesta colectiva. Cualquier respuesta podría incluir sanciones diplomáticas y económicas, medidas cibernéticas o incluso fuerzas convencionales, dependiendo de la naturaleza del ataque", añade el responsable.
No se han definido las líneas rojas
Gran Bretaña y EE.UU. han anunciado sobre posibles ataques cibernéticos en Ucrania que podrían tener consecuencias internacionales si, por ejemplo, el software malicioso diseñado para atacar redes en Ucrania comienza a extenderse a otros lugares.
Además, hay una preocupación generalizada por parte de los expertos en ciberseguridad porque Rusia pueda asociarse con grupos de atacantes que lanzaron software malicioso, como el malware dirigido contra Colonial Pipeline en EE.UU.
También ha habido inquietud entre los expertos en seguridad cibernética de Rusia de que podría asociarse con algunas de las pandillas y personas que lanzaron software malicioso, como el malware utilizado para pedir rescate a Colonial Pipeline en los Estados Unidos el año pasado.
El presidente del Comité de Inteligencia del Senado en EE.UU, Mark Warner, ha reconocido que no habría pautas claras sobre cómo debería responder la OTAN si de da un caso de este tipo. Comenta que estas cosas "han estado en discusión hipotética dudante una década, pero como no hemos llegado a "ninguna conclusión universal sobre los defectos de esos estándares y qué nivel de atribución se necesita, nos encontramos en un área muy gris", ha explicado.
"¿Hemos aclarado suficientemente a los rusos las líneas rojas en ciberseguridad o al público de la OTAN o al público americano las líneas rojas en ciberataques? No creo que hayamos hecho eso", asevera.
El responsable habla de la 'ambigüedad estratégica' y plantea el caso hipotético de que un ciberataque ruso a Ucrania impactara en Polonia, que sí es miembro de la OTAN. Warner como ejemplo qué pasaría si ese ataque provoca cortes de energía en hospitales que provocan la muerte de pacientes u ocasionan accidentes fatales en las carreteras.