Regulace kybernetické bezpečnosti: zákony, normy a povinnosti

Alfa průvodce » Juegos » Regulace kybernetické bezpečnosti: zákony, normy a povinnosti

Kybernetická bezpečnost se stala základním pilířem pro podniky, veřejnou správu a občany, aby mohli fungovat s relativním klidem ve stále agresivnějším digitálním prostředí. Útoky ransomwaru, masivní úniky dat, krádeže identity a sabotáže kritické infrastruktury již nejsou futuristickými scénáři, ale spíše každodenními jevy pro organizace všech velikostí.

Vzhledem k této situaci se řešení nemůže omezit na instalaci antivirového softwaru a naději v to nejlepší: je zapotřebí robustní, ucelený a neustále se vyvíjející regulační rámec, který definuje jasné povinnosti, zavede minimální bezpečnostní standardy a podpoří mezinárodní spolupráci. V následujících odstavcích naleznete komplexní přehled španělského a evropského právního rámce, nejdůležitějších technických norem (ISO, NIST, ENS), povinností společností a nově vznikajících regulačních trendů.

Co je kybernetická bezpečnost a jaké typy hrozeb zákon upravuje?

Když mluvíme o kybernetické bezpečnosti, mluvíme o ochraně systémů, sítí a dat před jakýmkoli neoprávněným přístupem, použitím, úpravou nebo zničením. Definice používaná americkou Národní iniciativou pro kariéru a studium kybernetické bezpečnosti (NICCS) ji popisuje jako činnost, proces nebo schopnost, kterou jsou informační a komunikační systémy a informace, které obsahují, chráněny před poškozením nebo zneužitím.

V praxi se to promítá do souboru technických, organizačních, právních a školicích opatření zaměřených na ochranu digitálních informací v propojeném síťovém prostředí. Kybernetická bezpečnost spadá pod informační bezpečnost, ale s jasným zaměřením na rizika, která vznikají konkrétně v kyberprostoru.

V této souvislosti se objevují související koncepty, na které se regulace také zaměřuje, jako je kyberkriminalita, kybernetické hrozby a samotný kyberprostor . Kyberkriminalita zahrnuje trestnou činnost páchanou prostřednictvím internetu (online podvody, systémové útoky, vydírání ransomwarem atd.). Kybernetické hrozby jsou možnosti nebo příležitosti k způsobení škody pomocí digitálních prostředků. Kyberprostor je chápán jako propojená realita, která přesahuje internet a integruje sítě, zařízení a systémy po celém světě.

Nezákonné aktivity, které spadají pod tuto kategorii, jsou velmi rozmanité: od podvodů v elektronickém obchodování nebo krádeže přihlašovacích údajů až po zavádění malwaru do systémů společnosti, šíření falešných zpráv s cílem poškodit jednotlivce, vydávání se za značku nebo úmyslné útoky na kritickou infrastrukturu. Kybernetická bezpečnost se proto propojuje s různými odvětvími práva, jako je trestní právo, občanské právo, ochrana osobních údajů a právo na čest a soukromí.

Klíč spočívá v online rozměru chování a jeho dopadu : když je útok spáchán v digitálním prostředí, rychlost šíření, geografický dosah a obtížnost atribuce zcela mění pravidla hry. To ospravedlňuje rychlé přizpůsobení legislativy tak, aby zahrnovala situace, které ve fyzickém světě nebyly ani zvažovány.

Evropský regulační rámec pro kybernetickou bezpečnost

Evropská unie vyvinula komplexní regulační rámec pro řešení kybernetických hrozeb , který kombinuje směrnice, nařízení a specifické strategie. Cíl je dvojí: zaprvé zvýšit minimální úroveň bezpečnosti ve všech členských státech a zadruhé zabránit tomu, aby se zranitelnost jedné země stala branou pro ohrožení ostatních.

Směrnice NIS a NIS2: srdce kybernetické bezpečnosti v EU

Prvním významným krokem v tomto procesu byla směrnice 2016/1148, známá jako směrnice o bezpečnosti informací a informací (NIS) , která stanovila opatření k zajištění společné úrovně bezpečnosti sítí a informačních systémů v celé EU. Toto nařízení vyžaduje, aby členské státy přijaly národní strategie kybernetické bezpečnosti, vytvořily týmy pro reakci na počítačové bezpečnostní incidenty (CSIRT) a monitorovaly provozovatele základních služeb a poskytovatele digitálních služeb.

Směrnice NIS konkrétně upravuje povinnosti provozovatelů základních služeb (jako je energetika, doprava, zdravotnictví a bankovnictví) a některých poskytovatelů digitálních služeb. Ti jsou povinni přijmout technická a organizační opatření úměrná riziku, zajistit odpovídající úroveň bezpečnosti a neprodleně informovat příslušný orgán nebo národní tým CSIRT o závažných incidentech.

Nárůst kyberkriminality a zrychlení digitalizace po pandemii však ukázaly potřebu jít ještě dál. To vedlo k přijetí směrnice (EU) 2022/2555, známé jako NIS2 , která rozšiřuje pokrytá odvětví, posiluje požadavky na řízení rizik a výrazně zkracuje lhůty pro hlášení incidentů (24 hodin pro první oznámení).

NIS2 zahrnuje nové bezpečnostní povinnosti, zavádí přísnější režimy dohledu a příslušné ekonomické sankce pro zásadní a důležité subjekty a výslovně poukazuje na odpovědnost řídících orgánů, které se musí podílet na řízení kybernetické bezpečnosti a mohou být v případě hrubé nedbalosti sankcionovány.

Nařízení EU o kybernetické bezpečnosti a systém certifikace

Dalším klíčovým pilířem je nařízení EU o kybernetické bezpečnosti z roku 2019 , které posiluje mandát ENISA (Agentury Evropské unie pro kybernetickou bezpečnost) a vytváří evropský rámec pro certifikaci kybernetické bezpečnosti pro produkty, služby a procesy informačních a komunikačních technologií (IKT).

Díky tomuto rámci může společnost certifikovat produkt nebo službu kybernetické bezpečnosti pouze jednou a tento certifikát bude uznáván v celé EU, což zjednodušuje vnitřní obchod a zvyšuje důvěru trhu. Certifikace se stává pečetí kvality, která usnadňuje prokazování souladu s bezpečnostními požadavky požadovanými zákazníky a regulačními orgány.

Evropská komise tento rámec zdokonaluje a navrhla konkrétní úpravy, jako například úpravu schválenou v lednu 2025, které umožní evropské certifikační systémy použitelné pro spravované bezpečnostní služby (reakce na incidenty, penetrační testování, bezpečnostní audity, poradenství atd.). Cílem je posílit důvěru ve služby, které jsou klíčové pro prevenci, odhalování a zotavení se z kybernetických útoků.

Nová role pro ENISA

Agentura ENISA se vyvinula z primárně technického a poradního orgánu na orgán s trvalým a posíleným mandátem . Mezi její klíčové funkce patří příprava základů pro certifikační systémy, veřejné podávání zpráv o vydaných certifikátech, podpora operativní spolupráce mezi členskými státy a působení jako referenční bod v případě závažných přeshraničních incidentů.

Komise dále navrhla, aby agentura ENISA vyvinula společnou celoevropskou kapacitu pro řízení zranitelností , která by poskytovala služby zúčastněným stranám a provozovala jednotný kontaktní bod pro hlášení incidentů, jak je plánováno v iniciativách, jako je Digital Omnibus. Cílem všech těchto opatření je harmonizovat řízení zranitelností a zlepšit koordinovanou reakci na komplexní útoky.

GDPR, eIDAS, DORA a další klíčové prvky

Kromě NIS2 a nařízení o kybernetické bezpečnosti mají na kybernetickou bezpečnost přímý dopad i další evropská nařízení. Obecné nařízení o ochraně osobních údajů (GDPR) vyžaduje přijetí vhodných technických a organizačních opatření k zajištění důvěrnosti, integrity a dostupnosti osobních údajů, přičemž sankce mohou dosáhnout až 4 % celosvětového obratu.

Nařízení eIDAS zase stanoví rámec pro elektronickou identifikaci a důvěryhodné služby (elektronické podpisy, pečeti, časová razítka, certifikované elektronické doručování, ověřování webových stránek). Stanovením velmi přísných bezpečnostních požadavků se stává základním prvkem pro zajištění důvěry v digitální transakce ve veřejném i soukromém sektoru.

Ve finančním sektoru přidává nařízení DORA (Digital Operational Resilience Act) další vrstvu povinností týkajících se digitální odolnosti, pokročilého penetračního testování, kritické správy IKT třetích stran a oznamování incidentů, což je v souladu s duchem NIS2, ale s velmi specifickým zaměřením na finanční služby.

Regulace kybernetické bezpečnosti ve Španělsku

Španělsko přizpůsobuje svou legislativu evropským požadavkům a zároveň řeší své vlastní potřeby v oblasti ochrany. Klíčovým referenčním bodem je zákoník o kybernetické bezpečnosti zveřejněný v Úředním věstníku státu (BOE), který shromažďuje hlavní předpisy týkající se této oblasti.

Královský dekret-zákon 12/2018 a následný vývoj

Královský dekret s mocí č. 12/2018 o bezpečnosti sítí a informačních systémů je nařízení, které provádí první směrnici o bezpečnosti sítí a informací do španělského práva. Definuje bezpečnostní požadavky a povinnosti hlášení incidentů pro provozovatele základních služeb a některé poskytovatele digitálních služeb (online tržiště, vyhledávače a cloudové výpočetní služby, které nejsou mikropodniky ani malými podniky).

Mezi nejdůležitější povinnosti středních a velkých poskytovatelů digitálních služeb patří: informování příslušného orgánu (Ministerstva digitální transformace) o jejich činnosti během prvních tří měsíců, přijetí vhodných technických a organizačních opatření k řízení bezpečnostních rizik a oznamování závažných incidentů příslušnému CSIRT (případně INCIBE-CERT).

Tato opatření musí zohledňovat bezpečnost IT infrastruktury , řízení incidentů, kontinuitu provozu, monitorování a audit, jakož i dodržování mezinárodních standardů. Ačkoli norma neposkytuje vyčerpávající seznam kontrol, jasně definuje oblasti, které musí být pokryty, aby bylo dosaženo rozumného a proporcionálního řízení rizik.

Tento regulační vývoj vzešel z královského dekretu 43/2021 , který stanoví další povinnosti pro provozovatele sítí a služeb elektronických komunikací a posiluje bezpečnost a odolnost telekomunikačních infrastruktur, které jsou jedním z nejkritičtějších odvětví a jsou vystaveny kybernetickým útokům.

Ochrana dat, důvěryhodné služby a kritická infrastruktura

Pokud jde o soukromí, španělský organický zákon o ochraně osobních údajů a záruce digitálních práv (LOPDGDD) doplňuje a rozšiřuje GDPR ve Španělsku a zavádí další záruky a povinnosti pro používání osobních údajů v digitálním prostředí. Tato legislativa vyžaduje, aby organizace zavedly robustní kontroly kybernetické bezpečnosti, aby se zabránilo narušení bezpečnosti a únikům dat.

V oblasti elektronické identifikace a důvěryhodných služeb zákon č. 6/2020 přizpůsobuje španělské předpisy nařízení eIDAS, definuje povinnosti poskytovatelů důvěryhodných služeb (elektronický podpis a pečeť, ověřené doručení, ověřovací certifikáty atd.) a stanoví podrobný rámec pro kybernetickou bezpečnost těchto kritických služeb.

Na druhou stranu zákon č. 8/2011 o ochraně kritické infrastruktury stanoví právní rámec pro ochranu systémů a aktiv nezbytných pro společnost, hospodářství a národní bezpečnost. Ačkoli jeho původ je úžeji spjat s fyzickou ochranou, zákon výslovně uznává, že mnoho z těchto infrastruktur závisí na sítích a systémech informačních a komunikačních technologií (IKT), a proto kybernetickou bezpečnost začleňuje jako nedílnou součást celkové ochrany.

K tomu všemu se přidává obecný zákon o telekomunikacích z roku 2022, který zavazuje komunikační operátory přijímat bezpečnostní opatření a hlásit příslušné incidenty úřadům, a také Národní bezpečnostní systém (ENS) aktualizovaný v roce 2025, který stanoví povinné bezpečnostní zásady, požadavky a úrovně pro veřejné správy a jejich poskytovatele technologií.

Systém národní bezpečnosti a veřejná správa

Národní bezpečnostní rámec (ENS) je v praxi rámcem kybernetické bezpečnosti pro veřejný sektor ve Španělsku. Definuje základní principy (prevence, detekce, reakce, obnova, neustálé zlepšování) a specifikuje soubor opatření, která musí být uplatňována v souladu s úrovněmi zabezpečení (nízká, střední, vysoká) spojenými s každým informačním systémem.

Tento systém vyžaduje, aby správní orgány a dodavatelé, kteří s nimi spolupracují, podstupovali pravidelné bezpečnostní audity a kontroly , udržovali aktualizované zásady, řádně spravovali identity a přístup, v případě potřeby používali šifrování a zaznamenávali a analyzovali aktivitu za účelem odhalování incidentů.

NIS2 ve Španělsku: další regulační vlna

Španělsko již pracuje na královském dekretu, který transponuje NIS2 a výrazně rozšíří počet odvětví a subjektů podléhajících přísným povinnostem v oblasti kybernetické bezpečnosti. Kromě již zahrnutých odvětví budou zahrnuty nové oblasti, jako jsou někteří výrobci, poštovní služby, výzkum, poskytovatelé pokročilých informačních a komunikačních technologií a další.

Mezi nejvýznamnější očekávané změny patří obecné zkrácení lhůt pro oznamování závažných incidentů orgánům, které se v mnoha případech zkrátí na 24 hodin, a posílení odpovědnosti za řízení a sankčních režimů v souladu s evropskými čísly (pokuty až do výše 10 milionů eur nebo procento z celosvětového obratu).

Mezinárodní technické standardy a normy kybernetické bezpečnosti

Kromě legislativy se organizace spoléhají na technické normy a mezinárodní rámce , které specifikují, jaké kontroly, procesy a osvědčené postupy je třeba zavést. Tyto normy nejen pomáhají zajistit dodržování předpisů, ale také prokazují náležitou péči klientům, partnerům a úřadům.

Rodina norem ISO/IEC 27000 a bezpečnost informací ISO

Rodina norem ISO/IEC 27000 je de facto standardem v oblasti managementu informační bezpečnosti . Jejím jádrem je norma ISO/IEC 27001, která definuje požadavky na implementaci systému managementu informační bezpečnosti (ISMS) založeného na cyklu neustálého zlepšování: analýza rizik, definování kontrol, jejich implementace, jejich přezkoumání a jejich vylepšování.

Tato norma je založena na normě ISO/IEC 27002, která poskytuje komplexní pokyny k organizačním, technickým a fyzickým kontrolám (zásady, řízení přístupu, šifrování, fyzické zabezpečení, bezpečný provoz, řízení incidentů atd.). Související normy zahrnují ISO/IEC 27005 (řízení rizik), ISO/IEC 27032 (kybernetická bezpečnost v užším slova smyslu) a ISO/IEC 27701 (ochrana soukromí).

V mnoha odvětvích se certifikace ISO 27001 stala téměř vstupní podmínkou, protože výrazně snižuje pravděpodobnost závažných incidentů , usnadňuje audity shody s předpisy (GDPR, NIS2, ENS) a zlepšuje image organizace u zákazníků a investorů.

ISO/IEC 27032: Kybernetická bezpečnost v kyberprostoru

Zatímco norma ISO 27001 se zaměřuje na celkové řízení informační bezpečnosti, norma ISO/IEC 27032 se zaměřuje konkrétně na kybernetickou bezpečnost chápanou jako ochrana kyberprostoru, kde interagují uživatelé, systémy, sítě a konektivita , sociální sítě, mobilní zařízení a kritická infrastruktura.

Tato norma poskytuje pokyny pro boj s hrozbami, jako je pokročilý malware, spyware, phishing a sociální inženýrství , posiluje bezpečnost sítí a online služeb, podporuje spolupráci mezi vládami, podniky a uživateli a zavádí rámce pro sdílení informací o incidentech a zranitelnostech.

Jeho implementace je obzvláště užitečná pro organizace, které se spoléhají na cloudové služby, online platformy a kolaborativní ekosystémy, protože jim poskytuje strukturovaný pohled na hrozby v propojených prostředích a prioritní kontrolní mechanismy, kterými se musí zabývat.

ISO/IEC 27701: Ochrana soukromí a osobních údajů

Norma ISO /IEC 27701 rozšiřuje systém ISMS normy ISO 27001 o správu osobních údajů. Definuje další role, odpovědnosti a kontroly pro správce i zpracovatele údajů a je úzce sladěna s požadavky GDPR.

Implementací této normy může organizace jasně prokázat, že integrovala ochranu soukromí do svého modelu správy a řízení , řídí specifická rizika související s osobními údaji a má formalizované procesy pro řešení práv subjektů údajů, řízení narušení bezpečnosti a omezení mezinárodních přenosů dat.

ISO 22301: Zajištění kontinuity podnikání

Kybernetická bezpečnost se neměří pouze schopností odolat útoku, ale také rychlostí, s jakou se organizace dokáže zotavit a pokračovat v provozu . A zde přichází na řadu norma ISO 22301, zaměřená na řízení kontinuity podnikání.

Tato norma vyžaduje posouzení dopadů na podnikání (BIA), zavedení strategií pro zajištění kontinuity, zdokumentované plány obnovy, pravidelné testování a udržování komunikačních a koordinačních mechanismů během krizí. Kybernetický incident bez plánu pro zajištění kontinuity může společnost paralyzovat na týdny a způsobit ztráty v řádu milionů.

Rámec kybernetické bezpečnosti NIST

Ve Spojených státech se rámec kybernetické bezpečnosti NIST stal měřítkem, které přijaly i evropské organizace. Je strukturován kolem pěti klíčových funkcí: identifikace, ochrana, detekce, reakce a obnova.

Tento přístup umožňuje společnostem posoudit jejich vyspělost v každé funkci , stanovit priority investic a navrhnout vyvážený program kybernetické bezpečnosti. Je obzvláště užitečný pro doplnění požadavků norem NIS2 nebo ISO, protože poskytuje společný jazyk a velmi jasný koncepční rámec.

Národní bezpečnostní systém (ENS) a certifikace ve Španělsku

Ve španělském kontextu funguje Národní bezpečnostní systém (ENS) jako místní a povinný překlad mnoha principů mezinárodních norem , zejména pro veřejný sektor. Organizace, které poskytují služby vládě, jsou často povinny se s tímto systémem sladit, což je v praxi nutí přijímat modely podobné normám ISO 27001 a 27002.

Spolu s Národním bezpečnostním systémem (ENS) roste i zavádění certifikací, jako jsou normy ISO 27001 a rámce NIST . Španělsko se řadí mezi přední země v Evropě, pokud jde o počet certifikovaných organizací, a průzkumy ukazují, že certifikované společnosti snižují počet závažných incidentů a zlepšují svou schopnost reakce na útoky.

Povinnosti v oblasti kybernetické bezpečnosti a osvědčené postupy pro společnosti

Nad rámec litery zákona musí každá organizace, která nakládá s citlivými informacemi nebo poskytuje digitální služby, uznat kybernetickou bezpečnost jako strategickou odpovědnost . I když společnost nespadá do striktní působnosti NIS2 nebo královského dekretu-zákona 12/2018, úřady doporučují zavést robustní bezpečnostní plán.

Analýza rizik a počáteční audit

Prvním rozumným krokem je provedení analýzy rizik, která identifikuje kritická aktiva (data, systémy, procesy), technické a organizační zranitelnosti, nejpravděpodobnější hrozby (ransomware, phishing, DDoS, interní úniky) a potenciální dopad každého scénáře.

Souběžně s tím audit kybernetické bezpečnosti umožňuje posouzení aktuální úrovně vyspělosti: stávajících politik, technických konfigurací, úrovně záplat, školení zaměstnanců, závislosti na třetích stranách atd. Tento komplexní přehled umožňuje vypracovat realistický akční plán, který upřednostňuje opatření s největší návratností investic do snižování rizik.

Definice interních politik a postupů

Jakmile je riziko pochopeno, je čas převést rozhodnutí do jasných interních zásad a provozních postupů . To zahrnuje definování povolených aplikací, způsobu správy uživatelských účtů, požadavků na hesla, způsobu používání osobních zařízení (BYOD), postupu při používání externích úložných médií, provádění a testování záloh atd.

Je také nezbytné zavést postupy pro řízení incidentů (kdo co dělá, kdy informovat, komu eskalovat), pravidla pro používání firemních komunikačních médií (e-mail, nástroje pro spolupráci), pravidla pro fyzický přístup k zařízením a bezpečnostní kritéria, která je třeba vyžadovat od poskytovatelů cloudových nebo hostingových služeb.

Automatizace a technologické nástroje

Samotné zásady jsou bez technologických nástrojů, které usnadňují jejich implementaci, bezvýznamné . Mezi klíčové komponenty patří systémy detekce a prevence narušení (IDS/IPS), řešení pro správu identit a přístupu (IAM), platformy pro korelaci bezpečnostních informací a událostí (SIEM) a řešení pro šifrování dat v klidu i při přenosu.

Automatizace je také zásadní pro správu životního cyklu digitálních certifikátů , jejichž špatně spravované expirace způsobují více incidentů, než se zdá: přerušení služeb, selhání ověřování nebo dokonce narušení bezpečnosti, pokud nejsou ohrožené certifikáty včas zrušeny.

Správa digitálních certifikátů a podepisování kódu

Digitální certifikáty serveru a uživatele (DV, OV, EV) jsou nezbytné pro zajištění autenticity webových stránek, důvěrnosti komunikace a integrity vyměňovaných dat. Organizace by měly zajistit výběr vhodného typu certifikátu, centralizovat jeho správu, dostávat upozornění na vypršení platnosti a automatizovat obnovování, kdykoli je to možné.

Současně pro společnosti, které vyvíjejí software nebo distribuují aplikace, je digitální podepisování kódu základní kontrolou: zaručuje, že kód nebyl od jeho vydání pozměněn, a brání uživatelům v instalaci spustitelných souborů pozměněných malwarem. Certifikáty pro podepisování kódu, zejména ty s rozšířeným ověřováním (EV), splňují standardy důvěryhodnosti požadované operačními systémy a prohlížeči.

Zabezpečení e-mailů a školení zaměstnanců

E-mail zůstává preferovaným vektorem útočníků: za drtivou většinou incidentů stojí phishingové kampaně a malware distribuovaný e-mailem . Pro snížení tohoto rizika je nutné implementovat protokoly jako SPF, DKIM a DMARC, používat šifrování a digitální podpisy v citlivých e-mailech, nasazovat pokročilá filtrovací řešení a používat bezpečná rozšíření prohlížeče.

Technologie sama o sobě však nestačí bez průběžného školení a zvyšování povědomí . Zkušenosti ukazují, že více než 80 % incidentů má lidskou složku: neoprávněná kliknutí, sdílené přihlašovací údaje, slabá hesla, neopatrné používání osobních zařízení atd. Integrace kybernetické bezpečnosti do firemní kultury je stejně důležitá jako instalace dobrého firewallu.

Role mezinárodních organizací v regulaci kybernetické bezpečnosti

Kybernetická bezpečnost je ze své podstaty přeshraničním problémem, a proto organizace jako OSN, NATO, G7 nebo G20 převzaly důležitou roli při tvorbě zásad, doporučení a rámců spolupráce, které přímo ovlivňují španělskou a evropskou legislativu.

Rada Evropy podpořila Budapešťskou úmluvu o kyberkriminalitě , která zůstává referenční mezinárodní smlouvou pro stíhání kyberkriminality. Španělsko sladilo svůj trestní zákoník a postupy justiční spolupráce s touto úmluvou, čímž usnadnilo vyšetřování a stíhání trestných činů s přesahujícím hranice.

Souběžně s tím fóra jako G7 a G20 vydala politické závazky týkající se ochrany kritické infrastruktury, boje proti kyberkriminalitě, správy internetu a ochrany údajů . Tyto pokyny ovlivňují tvorbu národních strategií kybernetické bezpečnosti a právních reforem, které posilují odolnost finančního systému, energetického sektoru a elektronické veřejné správy.

NATO zase začlenilo kyberprostor jako další operační oblast kolektivní obrany . Účast Španělska na cvičeních, jako jsou Locked Shields a Cyber ​​​​Coalition, přispívá ke zlepšení schopností kybernetické obrany, úpravě národní legislativy a posílení spolupráce se spojenci v případě rozsáhlých kybernetických útoků.

A konečně, OSN prostřednictvím Mezinárodní telekomunikační unie (ITU) a dalších orgánů prosazuje globální standardy, technická doporučení a školicí programy , které pomáhají zemím rozvíjet soudržné regulační rámce, chránit lidská práva v kyberprostoru a lépe koordinovat boj proti běžným kybernetickým hrozbám.

Celý tento mezinárodní rámec vyvíjí silný tlak na Španělsko a zbytek států EU , aby své právní rámce aktualizovaly a sladily s globálními standardy , a to jak v oblasti prevence, tak i reakce na incidenty.

Celkově se regulace kybernetické bezpečnosti stala jakýmsi regulačním štítem, který se vyvíjí stejným frenetickým tempem jako hrozby: evropské směrnice, jako je NIS2, nařízení jako GDPR, DORA nebo eIDAS, národní zákony, systémy veřejné bezpečnosti, normy ISO a rámce NIST do sebe zapadají jako dílky skládačky, která nutí organizace brát digitální řízení rizik velmi vážně, profesionalizovat své bezpečnostní programy a předpokládat, že kybernetická odolnost již není jen doplňkem, ale nezbytnou podmínkou pro to, aby v dnešní ekonomice mohly nadále konkurovat a fungovat se zárukami.