Regulativa o kibernetičkoj sigurnosti: zakoni, standardi i obaveze

Alpha Guide » Igre » Regulativa o kibernetičkoj sigurnosti: zakoni, standardi i obaveze

Propisi o kibernetičkoj sigurnosti postali su temeljni stub za poslovanje preduzeća, javne uprave i građane, omogućavajući im da posluju s relativnim mirom u sve agresivnijem digitalnom okruženju. Napadi ransomwarea, masovna kršenja podataka, krađa identiteta i sabotaža kritične infrastrukture više nisu futuristički scenariji, već svakodnevne pojave za organizacije svih veličina.

S obzirom na ovu situaciju, rješenje se ne može ograničiti na instaliranje antivirusnog softvera i nadanje najboljem: potreban je robustan, koherentan i stalno promjenjiv regulatorni okvir koji će definirati jasne obaveze, uspostaviti minimalne sigurnosne standarde i poticati međunarodnu saradnju. U sljedećim paragrafima naći ćete sveobuhvatan pregled španskog i evropskog pravnog okvira, najvažnijih tehničkih standarda (ISO, NIST, ENS), obaveza za kompanije i novih regulatornih trendova.

Šta je sajber sigurnost i koje vrste prijetnji zakon reguliše?

Kada govorimo o sajber sigurnosti, govorimo o zaštiti sistema, mreža i podataka od bilo kakvog neovlaštenog pristupa, korištenja, modifikacije ili uništenja. Definicija koju koristi američka Nacionalna inicijativa za karijere i studije sajber sigurnosti (NICCS) opisuje je kao aktivnost, proces ili sposobnost kojom se informacioni i komunikacijski sistemi, kao i informacije koje oni sadrže, brane od oštećenja ili iskorištavanja.

U praksi, ovo se prevodi u skup tehničkih, organizacijskih, pravnih i mjera obuke usmjerenih na zaštitu digitalnih informacija u međusobno povezanom mrežnom okruženju. Kibernetička sigurnost spada pod okrilje informacione sigurnosti, ali s vrlo jasnim fokusom na rizike koji nastaju posebno u kibernetičkom prostoru.

U tom kontekstu, pojavljuju se povezani koncepti na koje se regulacija također fokusira, kao što su kibernetički kriminal, kibernetičke prijetnje i sam kibernetički prostor . Kibernetički kriminal obuhvata kriminalno ponašanje počinjeno putem interneta (online prevare, napadi na sisteme, iznuda putem ransomwarea itd.). Kibernetičke prijetnje su mogućnosti ili prilike za nanošenje štete digitalnim sredstvima. A kibernetički prostor se shvata kao ta međusobno povezana stvarnost koja se proteže izvan interneta i integriše mreže, uređaje i sisteme širom svijeta.

Ilegalne aktivnosti koje spadaju pod ovaj kišobran su veoma raznolike: od prevare u e-trgovini ili krađe akreditiva do uvođenja zlonamjernog softvera u sisteme kompanije, širenja lažnih vijesti radi nanošenja štete pojedincu, lažnog predstavljanja brenda ili namjernih napada na kritičnu infrastrukturu. Stoga se sajber sigurnost povezuje s različitim granama prava kao što su krivično pravo, građansko pravo, zaštita podataka i prava na čast i privatnost.

Ključ leži u online dimenziji ponašanja i njegovom utjecaju : kada se napad izvrši u digitalnom okruženju, brzina širenja, geografski doseg i teškoća atribucije potpuno mijenjaju pravila igre. To opravdava brzo prilagođavanje zakonodavstva kako bi se obuhvatile situacije koje nisu ni bile razmatrane u fizičkom svijetu.

Evropski regulatorni okvir za sajber sigurnost

Evropska unija je razvila sveobuhvatan regulatorni okvir za rješavanje sajber prijetnji , kombinujući direktive, propise i specifične strategije. Cilj je dvostruk: prvo, podići minimalni nivo sigurnosti u svim državama članicama; i drugo, spriječiti da ranjivost jedne zemlje postane ulaz za ugrožavanje drugih.

Direktive NIS i NIS2: srž kibernetičke sigurnosti u EU

Prvi veliki korak u ovom procesu bila je Direktiva 2016/1148, poznata kao NIS Direktiva , koja je uspostavila mjere za osiguranje zajedničkog nivoa sigurnosti za mreže i informacione sisteme širom EU. Ova uredba zahtijeva od država članica da usvoje nacionalne strategije za sajber sigurnost, formiraju Timove za odgovor na incidente računarske sigurnosti (CSIRT) i prate operatere osnovnih usluga i pružatelje digitalnih usluga.

Direktiva o NIS-u posebno reguliše obaveze operatera osnovnih usluga (kao što su energetika, transport, zdravstvo i bankarstvo) i određenih pružalaca digitalnih usluga. Od njih se traži da usvoje tehničke i organizacione mjere proporcionalne riziku, osiguraju odgovarajući nivo sigurnosti i da odmah obavijeste nadležni organ ili nacionalni CSIRT o značajnim incidentima.

Međutim, porast sajber kriminala i ubrzanje digitalizacije nakon pandemije pokazali su potrebu za daljnjim mjerama. To je dovelo do usvajanja Direktive (EU) 2022/2555, poznate kao NIS2 , koja proširuje obuhvaćene sektore, jača zahtjeve za upravljanje rizicima i značajno skraćuje rokove za prijavljivanje incidenata (24 sata za prvu obavijest).

NIS2 uključuje nove sigurnosne obaveze, uspostavlja strože nadzorne režime i relevantne ekonomske sankcije za bitne i važne subjekte, te eksplicitno ukazuje na odgovornost upravljačkih tijela, koja moraju biti uključena u upravljanje kibernetičkom sigurnošću i mogu biti sankcionirana u slučaju grube nepažnje.

Regulativa EU o kibernetičkoj sigurnosti i sistem certifikacije

Još jedan ključni stub je Uredba EU o kibernetičkoj sigurnosti iz 2019. godine , koja jača mandat ENISA-e (Agencije Evropske unije za kibernetičku sigurnost) i stvara evropski okvir za certifikaciju kibernetičke sigurnosti za IKT proizvode, usluge i procese.

Zahvaljujući ovom okviru, kompanija može certificirati proizvod ili uslugu kibernetičke sigurnosti samo jednom i taj certifikat biti priznat širom EU, što pojednostavljuje unutrašnju trgovinu i povećava povjerenje na tržištu. Certifikacija postaje pečat kvalitete koji olakšava dokazivanje usklađenosti sa sigurnosnim zahtjevima koje zahtijevaju kupci i regulatori.

Evropska komisija je usavršavala ovaj okvir i predložila je specifične izmjene, poput one odobrene u januaru 2025. godine, kako bi se omogućile evropske sheme certifikacije primjenjive na upravljane sigurnosne usluge (odgovor na incidente, testiranje penetracije, sigurnosne revizije, savjetovanje itd.). Cilj je jačanje povjerenja u usluge koje su ključne za sprječavanje, otkrivanje i oporavak od sajber napada.

Nova uloga za ENISA-u

ENISA se razvila od prvenstveno tehničkog i savjetodavnog tijela do tijela sa stalnim i ojačanim mandatom . Njene ključne funkcije uključuju pripremu osnova za sheme certifikacije, javno izvještavanje o izdatim certifikatima, podršku operativnoj saradnji između država članica i djelovanje kao referentna tačka u većim prekograničnim incidentima.

Nadalje, Komisija je predložila da ENISA razvije zajednički kapacitet za upravljanje ranjivostima na nivou cijele EU , pružajući usluge zainteresiranim stranama i upravljajući jedinstvenom ulaznom tačkom za prijavljivanje incidenata, kako je predviđeno inicijativama poput Digitalnog omnibusa. Sve ovo ima za cilj harmonizaciju upravljanja ranjivostima i poboljšanje koordiniranog odgovora na složene napade.

GDPR, eIDAS, DORA i drugi ključni elementi

Uz NIS2 i Uredbu o kibernetičkoj sigurnosti, i drugi evropski propisi imaju direktan utjecaj na kibernetičku sigurnost. Opća uredba o zaštiti podataka (GDPR) zahtijeva usvajanje odgovarajućih tehničkih i organizacijskih mjera kako bi se garantirala povjerljivost, integritet i dostupnost ličnih podataka, s kaznama koje mogu doseći i do 4% globalnog prometa.

Uredba eIDAS , sa svoje strane, uspostavlja okvir za elektronsku identifikaciju i usluge povjerenja (elektronski potpisi, pečati, vremenski žigovi, ovjerena elektronska dostava, autentifikacija web stranice). Postavljanjem vrlo strogih sigurnosnih zahtjeva, ona postaje ključni element za osiguranje povjerenja u digitalne transakcije i u javnom i u privatnom sektoru.

U finansijskom sektoru, Uredba DORA (Zakon o digitalnoj operativnoj otpornosti) dodaje dodatni sloj obaveza u vezi s digitalnom otpornošću, naprednim testiranjem penetracije, kritičnim upravljanjem IKT-om trećih strana i obavještavanjem o incidentima, što je u skladu s duhom NIS2, ali s vrlo specifičnim fokusom na finansijske usluge.

Regulativa o kibernetičkoj sigurnosti u Španiji

Španija prilagođava svoje zakonodavstvo kako bi se uskladila s evropskim zahtjevima, a istovremeno rješava vlastite potrebe za zaštitom. Ključna referentna tačka je Zakonik o kibernetičkoj sigurnosti objavljen u Službenom glasniku (BOE), koji sažima glavne propise koji se odnose na ovo područje.

Kraljevski dekret-zakon 12/2018 i naknadni razvoj

Kraljevski dekret-zakon 12/2018, o sigurnosti mreža i informacionih sistema , je uredba kojom se prva NIS direktiva transponuje u špansko zakonodavstvo. Njime se definišu sigurnosni zahtjevi i obaveze prijavljivanja incidenata za operatere osnovnih usluga i određene pružaoce digitalnih usluga (online tržišta, pretraživače i usluge računarstva u oblaku koje nisu mikro ili mala preduzeća).

Među najrelevantnijim obavezama za srednje i velike pružatelje digitalnih usluga su: obavještavanje nadležnog tijela (Ministarstva za digitalnu transformaciju) o svojim aktivnostima u prva tri mjeseca, usvajanje odgovarajućih tehničkih i organizacijskih mjera za upravljanje sigurnosnim rizicima i obavještavanje odgovarajućeg CSIRT-a (gdje je primjenjivo, INCIBE-CERT) o značajnim incidentima.

Ove mjere moraju uzeti u obzir sigurnost IT infrastrukture , upravljanje incidentima, kontinuitet poslovanja, praćenje i reviziju, kao i usklađenost s međunarodnim standardima. Iako standard ne pruža iscrpnu listu kontrola, on jasno definira područja koja moraju biti pokrivena kako bi se postiglo razumno i proporcionalno upravljanje rizicima.

Regulatorni razvoj proizašao je iz Kraljevskog dekreta 43/2021 , koji određuje dodatne obaveze za operatere elektronskih komunikacijskih mreža i usluga, jačajući sigurnost i otpornost telekomunikacijske infrastrukture, jednog od najkritičnijih sektora i izloženog sajber napadima.

Zaštita podataka, pouzdane usluge i kritična infrastruktura

Što se tiče privatnosti, španski Organski zakon o zaštiti podataka i garanciji digitalnih prava (LOPDGDD) dopunjuje i proširuje GDPR u Španiji, uspostavljajući dodatne zaštitne mjere i obaveze za korištenje ličnih podataka u digitalnim okruženjima. Ovaj zakon zahtijeva od organizacija da implementiraju robusne kontrole kibernetičke sigurnosti kako bi spriječile povrede i curenje podataka.

U oblasti elektronske identifikacije i usluga povjerenja, Zakon 6/2020 prilagođava španske propise Uredbi eIDAS, definirajući obaveze pružatelja usluga povjerenja (elektronski potpis i pečat, ovjerena dostava, certifikati za autentifikaciju itd.) i uspostavljajući detaljan okvir za kibernetičku sigurnost ovih kritičnih usluga.

S druge strane, Zakon 8/2011 o zaštiti kritične infrastrukture uspostavlja pravni okvir za zaštitu sistema i imovine bitne za društvo, ekonomiju i nacionalnu sigurnost. Iako su njegovi korijeni usko povezani s fizičkom zaštitom, zakon izričito priznaje da mnoge od ovih infrastruktura zavise od IKT mreža i sistema, te stoga uključuje sajber sigurnost kao sastavni dio ukupne zaštite.

Svemu ovome treba dodati i Opšti zakon o telekomunikacijama iz 2022. godine, koji obavezuje komunikacijske operatere da usvoje sigurnosne mjere i prijave relevantne incidente vlastima, kao i Nacionalnu sigurnosnu šemu (ENS) , ažuriranu 2025. godine, koja utvrđuje obavezne sigurnosne principe, zahtjeve i nivoe za javne uprave i njihove dobavljače tehnologije.

Nacionalna sigurnosna shema i javne uprave

Nacionalni sigurnosni okvir (ENS) je, u praksi, okvir za kibernetičku sigurnost za javni sektor u Španiji. On definira osnovne principe (prevencija, otkrivanje, odgovor, oporavak, kontinuirano poboljšanje) i specificira skup mjera koje se moraju primjenjivati ​​u skladu sa nivoima sigurnosti (nizak, srednji, visok) povezanim sa svakim informacionim sistemom.

Ova shema zahtijeva od administracija i dobavljača koji s njima rade da se podvrgavaju periodičnim sigurnosnim revizijama i kontrolama , da održavaju ažurirane politike, da pravilno upravljaju identitetima i pristupom, da primjenjuju enkripciju gdje je to prikladno, te da bilježe i analiziraju aktivnosti kako bi otkrili incidente.

NIS2 u Španiji: sljedeći regulatorni val

Španija već radi na Kraljevskom dekretu kojim će se transponirati NIS2 i značajno proširiti broj sektora i subjekata koji podliježu strogim obavezama u oblasti kibernetičke sigurnosti. Pored već obuhvaćenih sektora, bit će uključena i nova područja, kao što su određeni proizvođači, poštanske usluge, istraživanje, napredni pružatelji IKT usluga i drugi.

Među najrelevantnijim očekivanim promjenama je opće smanjenje rokova za obavještavanje vlasti o ozbiljnim incidentima, koji će u mnogim slučajevima biti smanjeni na 24 sata, te jačanje upravljačkih odgovornosti i režima sankcija , usklađenih s evropskim brojkama (kazne do 10 miliona eura ili postotak globalnog prometa).

Međunarodni tehnički standardi i norme za kibernetičku sigurnost

Pored zakonodavstva, organizacije se oslanjaju na tehničke standarde i međunarodne okvire koji specificiraju koje kontrole, procese i najbolje prakse treba implementirati. Ovi standardi ne samo da pomažu u osiguravanju usklađenosti s propisima, već i pokazuju dužnu pažnju klijentima, partnerima i vlastima.

Familija standarda ISO/IEC 27000 i ISO sigurnost informacija

Porodica standarda ISO/IEC 27000 je de facto standard u upravljanju sigurnošću informacija . U njenoj srži je ISO/IEC 27001, koji definira zahtjeve za implementaciju Sistema upravljanja sigurnošću informacija (ISMS) zasnovanog na ciklusu kontinuiranog poboljšanja: analizirati rizike, definirati kontrole, implementirati ih, pregledati ih i poboljšavati.

Standard se zasniva na ISO/IEC 27002, koji pruža sveobuhvatne smjernice o organizacijskim, tehničkim i fizičkim kontrolama (politike, kontrola pristupa, šifriranje, fizička sigurnost, sigurne operacije, upravljanje incidentima itd.). Povezani standardi uključuju ISO/IEC 27005 (upravljanje rizicima), ISO/IEC 27032 (kibernetička sigurnost u strogom smislu) i ISO/IEC 27701 (privatnost).

U mnogim sektorima, posjedovanje ISO 27001 certifikata postalo je gotovo uslov za ulazak, jer značajno smanjuje vjerovatnoću ozbiljnih incidenata , olakšava revizije usklađenosti (GDPR, NIS2, ENS) i poboljšava imidž organizacije kod kupaca i investitora.

ISO/IEC 27032: Sajber sigurnost u sajberprostoru

Dok se ISO 27001 fokusira na cjelokupno upravljanje sigurnošću informacija, ISO/IEC 27032 se posebno fokusira na kibernetičku sigurnost shvaćenu kao zaštita kibernetičkog prostora u kojem korisnici, sistemi, mreže i povezanost , društvene mreže, mobilni uređaji i kritična infrastruktura međusobno djeluju.

Ovaj standard pruža smjernice za borbu protiv prijetnji kao što su napredni zlonamjerni softver, špijunski softver, phishing i socijalni inženjering , jačanje sigurnosti mreža i online usluga, podsticanje saradnje između vlada, preduzeća i korisnika, te uspostavljanje okvira za dijeljenje informacija o incidentima i ranjivostima.

Njegova implementacija je posebno korisna za organizacije koje se oslanjaju na cloud usluge, online platforme i kolaborativne ekosisteme, jer im pruža strukturiran pogled na prijetnje u međusobno povezanim okruženjima i prioritetne kontrole kojima se trebaju pozabaviti.

ISO/IEC 27701: Privatnost i zaštita podataka

ISO /IEC 27701 proširuje ISMS standarda ISO 27001 kako bi obuhvatio upravljanje privatnošću ličnih podataka. Definiše dodatne uloge, odgovornosti i kontrole za kontrolore i obrađivače podataka, i blisko je usklađen sa zahtjevima GDPR-a.

Implementacijom ovog standarda, organizacija može jasno pokazati da je integrirala privatnost u svoj model upravljanja , upravlja specifičnim rizicima vezanim za lične podatke i ima formalizirane procese za rješavanje prava subjekata podataka, upravljanje povredama podataka i ograničavanje međunarodnog prijenosa podataka.

ISO 22301: Kontinuitet poslovanja

Sajber sigurnost se ne mjeri samo sposobnošću da se izdrži napad, već i brzinom kojom se organizacija može oporaviti i nastaviti s radom . Tu na scenu stupa ISO 22301, usmjeren na upravljanje kontinuitetom poslovanja.

Ovaj standard zahtijeva procjene utjecaja na poslovanje (BIA), uspostavljanje strategija kontinuiteta, dokumentirane planove oporavka, redovno testiranje i održavanje mehanizama komunikacije i koordinacije tokom kriza. Incident u sajber sigurnosti bez plana kontinuiteta može paralizirati kompaniju sedmicama i generirati gubitke u milionima.

NIST Cybersecurity Framework

U Sjedinjenim Američkim Državama, NIST-ov Okvir za kibernetičku sigurnost postao je mjerilo koje su usvojile i evropske organizacije. Strukturiran je oko pet ključnih funkcija: identifikacija, zaštita, otkrivanje, odgovor i oporavak.

Ovaj pristup omogućava kompanijama da procijene svoju zrelost u svakoj funkciji , odrede prioritete investicija i dizajniraju uravnotežen program sajber sigurnosti. Posebno je koristan za dopunjavanje zahtjeva NIS2 ili ISO standarda, jer pruža zajednički jezik i vrlo jasan konceptualni okvir.

Nacionalna sigurnosna shema (ENS) i certifikati u Španiji

U španskom kontekstu, Nacionalna sigurnosna shema (ENS) djeluje kao lokalni i obavezni prijevod mnogih principa međunarodnih standarda , posebno za javni sektor. Organizacije koje pružaju usluge vladi često su dužne uskladiti se s ovom shemom, što ih u praksi prisiljava da usvoje modele slične ISO 27001 i 27002.

Uz Nacionalnu sigurnosnu shemu (ENS), sve je veća upotreba certifikata poput ISO 27001 i NIST okvira . Španija se nalazi među vodećim zemljama u Evropi po broju certificiranih organizacija, a ankete pokazuju da certificirane kompanije smanjuju ozbiljne incidente i poboljšavaju svoj kapacitet za odgovor na napade.

Obaveze u oblasti kibernetičke sigurnosti i najbolje prakse za kompanije

Pored slova zakona, svaka organizacija koja rukuje osjetljivim informacijama ili pruža digitalne usluge mora prepoznati sajber sigurnost kao stratešku odgovornost . Čak i kada kompanija ne spada u strogi opseg NIS2 ili Kraljevske uredbe-zakona 12/2018, vlasti preporučuju implementaciju robusnog sigurnosnog plana.

Analiza rizika i početna revizija

Prvi razuman korak je provođenje analize rizika koja identificira kritičnu imovinu (podatke, sisteme, procese), tehničke i organizacijske ranjivosti, najvjerovatnije prijetnje (ransomware, phishing, DDoS, interna curenja) i potencijalni utjecaj svakog scenarija.

Paralelno s tim, revizija kibernetičke sigurnosti omogućava procjenu trenutnog nivoa zrelosti: postojećih politika, tehničkih konfiguracija, nivoa ažuriranja, obuke osoblja, ovisnosti o trećim stranama itd. Ovaj sveobuhvatni pregled omogućava razvoj realističnog akcionog plana, dajući prioritet mjerama s najvećim povratom ulaganja u smanjenje rizika.

Definicija internih politika i procedura

Nakon što se rizik shvati, vrijeme je da se odluke prevedu u jasne interne politike i operativne procedure . To uključuje definiranje koje su aplikacije dozvoljene, kako se upravlja korisničkim računima, koji se zahtjevi za lozinkom primjenjuju, kako se koriste lični uređaji (BYOD), šta se radi s vanjskim medijima za pohranu podataka, kako se izrađuju i testiraju sigurnosne kopije i tako dalje.

Također je bitno uspostaviti procedure za upravljanje incidentima (ko šta radi, kada obavijestiti, kome eskalirati), pravila za korištenje korporativnih komunikacijskih medija (e-pošta, alati za saradnju), pravila za fizički pristup objektima i sigurnosne kriterije koje treba zahtijevati od pružatelja usluga u oblaku ili hostingu.

Automatizacija i tehnološki alati

Same politike su besmislene bez tehnoloških alata koji olakšavaju njihovu implementaciju . Ključne komponente uključuju sisteme za detekciju i prevenciju upada (IDS/IPS), rješenja za upravljanje identitetom i pristupom (IAM), platforme za korelaciju sigurnosnih informacija i događaja (SIEM) i rješenja za šifriranje podataka za podatke u mirovanju i u tranzitu.

Automatizacija je također ključna u upravljanju životnim ciklusom digitalnih certifikata , čiji loše upravljani isteci uzrokuju više incidenata nego što se čini: prekide usluge, neuspjehe autentifikacije ili čak sigurnosne propuste ako se kompromitovani certifikati ne opozovu na vrijeme.

Upravljanje digitalnim certifikatima i potpisivanje koda

Digitalni certifikati servera i korisnika (DV, OV, EV) su neophodni za osiguranje autentičnosti web stranice, povjerljivosti komunikacije i integriteta razmijenjenih podataka. Organizacije bi trebale osigurati da odaberu odgovarajući tip certifikata, centraliziraju njegovo upravljanje, primaju upozorenja o isteku i automatiziraju obnavljanja kad god je to moguće.

Paralelno s tim, za kompanije koje razvijaju softver ili distribuiraju aplikacije, digitalno potpisivanje koda je fundamentalna kontrola: garantuje da kod nije mijenjan od njegovog objavljivanja i sprečava korisnike da instaliraju izvršne datoteke izmijenjene zlonamjernim softverom. Certifikati za potpisivanje koda, posebno oni sa proširenom validacijom (EV), u skladu su sa standardima povjerenja koje zahtijevaju operativni sistemi i pretraživači.

Sigurnost e-pošte i obuka osoblja

E-pošta ostaje preferirani vektor za napadače: phishing kampanje i zlonamjerni softver distribuiran putem e-pošte uzrok su velike većine incidenata . Da bi se smanjio ovaj rizik, potrebno je implementirati protokole kao što su SPF, DKIM i DMARC, koristiti enkripciju i digitalne potpise u osjetljivim e-porukama, te implementirati napredna rješenja za filtriranje i koristiti sigurna proširenja preglednika.

Međutim, sama tehnologija nije dovoljna bez kontinuirane obuke i podizanja svijesti . Iskustvo pokazuje da preko 80% incidenata ima ljudsku komponentu: neovlašteni klikovi, dijeljeni pristupni podaci, slabe lozinke, nepažljivo korištenje ličnih uređaja i tako dalje. Integracija sajber sigurnosti u kulturu kompanije jednako je važna kao i instaliranje dobrog zaštitnog zida (firewall-a).

Uloga međunarodnih organizacija u regulisanju sajber sigurnosti

Kibernetička sigurnost je, po definiciji, prekogranični problem i zato su organizacije poput UN-a, NATO-a, G7 ili G20 preuzele relevantnu ulogu u razvoju principa, preporuka i okvira saradnje koji direktno utiču na špansko i evropsko zakonodavstvo.

Vijeće Evrope promoviralo je Budimpeštansku konvenciju o kibernetičkom kriminalu , koja ostaje referentni međunarodni ugovor za krivično gonjenje kibernetičkih kriminala. Španija je uskladila svoj Krivični zakonik i procedure pravosudne saradnje s ovom konvencijom, olakšavajući istragu i krivično gonjenje zločina koji prelaze granice.

Paralelno s tim, forumi poput G7 i G20 izdali su političke obaveze o zaštiti kritične infrastrukture, borbi protiv kibernetičkog kriminala, upravljanju internetom i zaštiti podataka . Ove smjernice utiču na izradu nacionalnih strategija kibernetičke sigurnosti i pravnih reformi koje jačaju otpornost finansijskog sistema, energetskog sektora i e-uprave.

NATO je, sa svoje strane, uključio sajber prostor kao još jednu operativnu domenu kolektivne odbrane . Učešće Španije u vježbama kao što su Locked Shields i Cyber ​​​​Coalition doprinosi poboljšanju sposobnosti sajber odbrane, prilagođavanju nacionalnog zakonodavstva i jačanju saradnje sa saveznicima u slučaju velikih sajber napada.

Konačno, UN, putem Međunarodne telekomunikacijske unije (ITU) i drugih tijela, promovira globalne standarde, tehničke preporuke i programe obuke koji pomažu zemljama da razviju koherentne regulatorne okvire, zaštite ljudska prava u kibernetičkom prostoru i bolje koordiniraju protiv uobičajenih kibernetičkih prijetnji.

Cijeli ovaj međunarodni okvir vrši snažan pritisak na Španiju i ostale države EU da svoje pravne okvire ažuriraju i usklađuju s globalnim standardima , kako u prevenciji tako i u odgovoru na incidente.

Sveukupno, regulacija kibernetičke sigurnosti postala je svojevrsni regulatorni štit koji se razvija istim frenetičnim tempom kao i prijetnje: evropske direktive poput NIS2, propisi poput GDPR-a, DORA-e ili eIDAS-a, nacionalni zakoni, sheme javne sigurnosti, ISO standardi i NIST okviri uklapaju se poput dijelova slagalice koja prisiljava organizacije da vrlo ozbiljno shvate upravljanje digitalnim rizicima, da profesionaliziraju svoje sigurnosne programe i da pretpostave da kibernetička otpornost više nije dodatni, već bitan uslov za nastavak konkurencije i poslovanja s garancijama u današnjoj ekonomiji.