Regulering af cybersikkerhed: love, standarder og forpligtelser

Alfa-guide » Juegos » Regulering af cybersikkerhed: love, standarder og forpligtelser

Cybersikkerhedsregler er blevet en grundlæggende søjle for virksomheder, offentlige forvaltninger og borgere, så de kan operere med relativ ro i sindet i et stadig mere aggressivt digitalt miljø. Ransomware-angreb, massive databrud, identitetstyveri og sabotage af kritisk infrastruktur er ikke længere futuristiske scenarier, men snarere hverdagsscenarier for organisationer af alle størrelser.

I denne situation kan løsningen ikke begrænses til at installere antivirussoftware og håbe på det bedste: der er behov for et robust, sammenhængende og konstant udviklende regelsæt for at definere klare forpligtelser, fastsætte minimumssikkerhedsstandarder og fremme internationalt samarbejde. I de følgende afsnit finder du en omfattende oversigt over den spanske og europæiske retlige ramme, de vigtigste tekniske standarder (ISO, NIST, ENS), virksomhedernes forpligtelser og nye regulatoriske tendenser.

Hvad er cybersikkerhed, og hvilke typer trusler regulerer loven?

Når vi taler om cybersikkerhed, taler vi om at beskytte systemer, netværk og data mod uautoriseret adgang, brug, ændring eller ødelæggelse. Definitionen, der anvendes af det amerikanske National Initiative for Cybersecurity Careers and Studies (NICCS), beskriver det som den aktivitet, proces eller funktion, hvorved informations- og kommunikationssystemer og de oplysninger, de indeholder, forsvares mod skade eller udnyttelse.

I praksis udmønter dette sig i et sæt tekniske, organisatoriske, juridiske og træningsmæssige foranstaltninger , der har til formål at beskytte digital information i et sammenkoblet netværksmiljø. Cybersikkerhed falder ind under informationssikkerhed, men med et meget klart fokus på de risici, der opstår specifikt i cyberspace.

I denne sammenhæng opstår relaterede koncepter, som regulering også fokuserer på, såsom cyberkriminalitet, cybertrusler og selve cyberspace . Cyberkriminalitet omfatter kriminel adfærd begået via internettet (onlinesvindel, systemangreb, ransomware-afpresning osv.). Cybertrusler er mulighederne eller mulighederne for at forårsage skade ved hjælp af digitale midler. Og cyberspace forstås som den sammenkoblede virkelighed, der strækker sig ud over internettet og integrerer netværk, enheder og systemer over hele verden.

De ulovlige aktiviteter, der falder ind under denne paraply, er meget varierede: fra e-handelssvindel eller tyveri af legitimationsoplysninger til introduktion af malware i en virksomheds systemer, spredning af falske nyheder, der skader en person, brandefterligning eller bevidste angreb på kritisk infrastruktur. Derfor er cybersikkerhed forbundet med forskellige grene af lovgivningen, såsom strafferet, civilret, databeskyttelse og retten til ære og privatliv.

Nøglen ligger i den online dimension af adfærden og dens indvirkning : Når et angreb begås i det digitale miljø, ændrer spredningshastigheden, den geografiske rækkevidde og vanskeligheden ved at tilskrive det fuldstændigt spillets regler. Dette retfærdiggør den hurtige tilpasning af lovgivningen til at dække situationer, der ikke engang var blevet overvejet i den fysiske verden.

Det europæiske regelsæt for cybersikkerhed

Den Europæiske Union har udviklet et omfattende regelsæt til at håndtere cybertrusler , der kombinerer direktiver, forordninger og specifikke strategier. Målet er dobbelt: for det første at hæve minimumsniveauet af sikkerhed i alle medlemsstater; og for det andet at forhindre ét lands sårbarhed i at blive en port til at kompromittere andre.

NIS- og NIS2-direktiverne: kernen i cybersikkerhed i EU

Det første store skridt i denne proces var direktiv 2016/1148, kendt som NIS-direktivet , som fastlagde foranstaltninger for at sikre et fælles sikkerhedsniveau for netværk og informationssystemer i hele EU. Denne forordning kræver, at medlemsstaterne vedtager nationale cybersikkerhedsstrategier, opretter computersikkerhedshændelseshåndteringsteams (CSIRT'er) og overvåger operatører af væsentlige tjenester og udbydere af digitale tjenester.

NIS-direktivet regulerer specifikt forpligtelserne for operatører af essentielle tjenester (såsom energi, transport, sundhedspleje og bankvirksomhed) og visse udbydere af digitale tjenester. De skal vedtage tekniske og organisatoriske foranstaltninger, der står i forhold til risikoen, sikre et tilstrækkeligt sikkerhedsniveau og straks underrette den kompetente myndighed eller den nationale CSIRT om væsentlige hændelser.

Stigningen i cyberkriminalitet og den accelererende digitalisering efter pandemien viste imidlertid behovet for at gå længere. Dette førte til vedtagelsen af ​​direktiv (EU) 2022/2555, kendt som NIS2 , som udvider de dækkede sektorer, styrker kravene til risikostyring og forkorter fristerne for indberetning af hændelser betydeligt (24 timer for den første anmeldelse).

NIS2 inkorporerer nye sikkerhedsforpligtelser, etablerer strengere tilsynsordninger og relevante økonomiske sanktioner for væsentlige og vigtige enheder og peger eksplicit på ledelsesorganernes ansvar, som skal være involveret i cybersikkerhedsstyring og kan sanktioneres i tilfælde af grov uagtsomhed.

EU's cybersikkerhedsforordning og certificeringssystem

En anden central søjle er EU's cybersikkerhedsforordning fra 2019 , som styrker ENISA's (Den Europæiske Unions Agentur for Cybersikkerhed) mandat og skaber en europæisk ramme for cybersikkerhedscertificering af IKT-produkter, -tjenester og -processer.

Takket være denne ramme kan en virksomhed certificere et cybersikkerhedsprodukt eller en cybersikkerhedstjeneste kun én gang og få certifikatet anerkendt i hele EU, hvilket forenkler den interne handel og øger markedets tillid. Certificering bliver et kvalitetsstempel, der gør det lettere at påvise overholdelse af sikkerhedskrav, der stilles af kunder og tilsynsmyndigheder.

Europa-Kommissionen har finpudset denne ramme og har foreslået specifikke ændringer, såsom den, der blev godkendt i januar 2025, for at tillade europæiske certificeringsordninger at finde anvendelse på administrerede sikkerhedstjenester (hændelsesrespons, penetrationstest, sikkerhedsrevisioner, rådgivning osv.). Målet er at styrke tilliden til tjenester, der er afgørende for at forebygge, opdage og genoprette efter cyberangreb.

En ny rolle for ENISA

ENISA har udviklet sig fra et primært teknisk og rådgivende organ til et med et permanent og styrket mandat . Dets nøglefunktioner omfatter at forberede grundlaget for certificeringsordninger, offentliggøre rapportering om udstedte certifikater, støtte operationelt samarbejde mellem medlemsstaterne og fungere som referencepunkt i større grænseoverskridende hændelser.

Derudover har Kommissionen foreslået, at ENISA udvikler en fælles EU-dækkende sårbarhedsstyringskapacitet , der leverer tjenester til interessenter og driver et enkelt kontaktpunkt for hændelsesrapportering, som det er planlagt i initiativer som Digital Omnibus. Alt dette har til formål at harmonisere sårbarhedsstyringen og forbedre den koordinerede reaktion på komplekse angreb.

GDPR, eIDAS, DORA og andre nøgleelementer

Udover NIS2 og cybersikkerhedsforordningen har andre europæiske regler en direkte indvirkning på cybersikkerhed. Den generelle forordning om databeskyttelse (GDPR) kræver vedtagelse af passende tekniske og organisatoriske foranstaltninger for at garantere fortroligheden, integriteten og tilgængeligheden af ​​personoplysninger, med sanktioner, der kan nå op til 4 % af den globale omsætning.

eIDAS-forordningen fastlægger rammerne for elektronisk identifikation og tillidstjenester (elektroniske signaturer, segl, tidsstempler, certificeret elektronisk levering, webstedsgodkendelse). Ved at fastsætte meget strenge sikkerhedskrav bliver den et væsentligt element for at sikre tillid til digitale transaktioner i både den offentlige og den private sektor.

I den finansielle sektor tilføjer DORA-forordningen (Digital Operational Resilience Act) et yderligere lag af forpligtelser vedrørende digital robusthed, avanceret penetrationstestning, kritisk tredjeparts-IKT-styring og hændelsesmeddelelse, hvilket er i overensstemmelse med ånden i NIS2, men med et meget specifikt fokus på finansielle tjenesteydelser.

Cybersikkerhedsregulering i Spanien

Spanien har tilpasset sin lovgivning for at imødekomme europæiske krav, samtidig med at det har imødekommet sine egne beskyttelsesbehov. Et vigtigt referencepunkt er cybersikkerhedsloven, der er offentliggjort i den officielle statstidende (BOE), som samler de vigtigste regler, der påvirker dette område.

Kongelig lovdekret 12/2018 og efterfølgende udvikling

Kongeligt lovdekret nr. 12/2018 om sikkerhed i netværk og informationssystemer er den forordning, der gennemfører det første NIS-direktiv i spansk lov. Det definerer sikkerhedskravene og forpligtelserne til indberetning af hændelser for operatører af væsentlige tjenester og visse digitale tjenesteudbydere (online markedspladser, søgemaskiner og cloud computing-tjenester, der ikke er mikro- eller småvirksomheder).

Blandt de mest relevante forpligtelser for mellemstore og store digitale tjenesteudbydere er: at meddele deres aktivitet til den kompetente myndighed (Ministeriet for Digital Transformation) inden for de første tre måneder, at vedtage passende tekniske og organisatoriske foranstaltninger til at styre sikkerhedsrisici og at anmelde væsentlige hændelser til den tilsvarende CSIRT (hvor det er relevant, INCIBE-CERT).

Disse foranstaltninger skal tage højde for IT-infrastruktursikkerhed , hændelsesstyring, forretningskontinuitet, overvågning og revision samt overholdelse af internationale standarder. Selvom standarden ikke indeholder en udtømmende liste over kontroller, definerer den klart de områder, der skal dækkes for at opnå rimelig og forholdsmæssig risikostyring.

Den regulatoriske udvikling stammer fra kongeligt dekret 43/2021 , som specificerer yderligere forpligtelser for operatører af elektroniske kommunikationsnetværk og -tjenester, der styrker sikkerheden og modstandsdygtigheden af ​​telekommunikationsinfrastrukturer, en af ​​de mest kritiske sektorer og udsat for cyberangreb.

Databeskyttelse, betroede tjenester og kritisk infrastruktur

Med hensyn til privatlivets fred supplerer og udvider den spanske organiske lov om databeskyttelse og garanti for digitale rettigheder (LOPDGDD) GDPR i Spanien og etablerer yderligere sikkerhedsforanstaltninger og forpligtelser for brugen af ​​personoplysninger i digitale miljøer. Denne lovgivning kræver, at organisationer implementerer robuste cybersikkerhedskontroller for at forhindre databrud og lækager.

Inden for elektronisk identifikation og tillidstjenester tilpasser lov 6/2020 de spanske regler til eIDAS-forordningen, definerer forpligtelserne for tillidstjenesteudbydere (elektronisk signatur og segl, certificeret levering, autentificeringscertifikater osv.) og etablerer en detaljeret ramme for cybersikkerheden for disse kritiske tjenester.

På den anden side etablerer lov 8/2011 om beskyttelse af kritisk infrastruktur den juridiske ramme for beskyttelse af systemer og aktiver, der er afgørende for samfundet, økonomien og den nationale sikkerhed. Selvom dens oprindelse er tættere knyttet til fysisk beskyttelse, anerkender loven udtrykkeligt, at mange af disse infrastrukturer er afhængige af IKT-netværk og -systemer, og inkorporerer dermed cybersikkerhed som en integreret del af den overordnede beskyttelse.

Derudover kommer den generelle telekommunikationslov fra 2022, som forpligter kommunikationsoperatører til at indføre sikkerhedsforanstaltninger og anmelde relevante hændelser til myndighederne, samt den nationale sikkerhedsordning (ENS) , der blev opdateret i 2025, og som fastsætter obligatoriske sikkerhedsprincipper, krav og niveauer for offentlige forvaltninger og deres teknologiudbydere.

National sikkerhedsordning og offentlige forvaltninger

Den nationale sikkerhedsramme (ENS) er i praksis cybersikkerhedsrammen for den offentlige sektor i Spanien. Den definerer grundlæggende principper (forebyggelse, detektion, reaktion, genopretning, løbende forbedring) og specificerer et sæt foranstaltninger, der skal anvendes i henhold til de sikkerhedsniveauer (lav, mellem, høj), der er knyttet til hvert informationssystem.

Denne ordning kræver, at administrationer og de leverandører, der arbejder med dem, gennemgår periodiske sikkerhedsrevisioner og -kontroller , opretholder opdaterede politikker, administrerer identiteter og adgang korrekt, anvender kryptering, hvor det er relevant, og registrerer og analyserer aktivitet for at opdage hændelser.

NIS2 i Spanien: den næste reguleringsbølge

Spanien arbejder allerede på det kongelige dekret, der vil gennemføre NIS2 og betydeligt udvide antallet af sektorer og enheder, der er underlagt strenge cybersikkerhedsforpligtelser. Ud over de sektorer, der allerede er dækket, vil nye områder blive indarbejdet, såsom visse producenter, posttjenester, forskning, avancerede IKT-udbydere og andre.

Blandt de mest relevante forventede ændringer er en generel reduktion af tidsfristerne for anmeldelse af alvorlige hændelser til myndighederne, som i mange tilfælde vil blive reduceret til 24 timer, og en styrkelse af ledelsesansvar og sanktionsordninger , der er i overensstemmelse med europæiske tal (bøder på op til 10 millioner euro eller en procentdel af den globale omsætning).

Internationale tekniske standarder og normer for cybersikkerhed

Ud over lovgivningen er organisationer afhængige af tekniske standarder og internationale rammer , der specificerer, hvilke kontroller, processer og bedste praksisser der skal implementeres. Disse standarder hjælper ikke kun med at sikre overholdelse af lovgivningen, men demonstrerer også due diligence over for kunder, partnere og myndigheder.

ISO/IEC 27000-familien og ISO-informationssikkerhed

ISO/IEC 27000-familien er de facto-standarden inden for informationssikkerhedsstyring . Kernen er ISO/IEC 27001, som definerer kravene til implementering af et informationssikkerhedsstyringssystem (ISMS) baseret på den løbende forbedringscyklus: analyser risici, definer kontroller, implementer dem, gennemgå dem og forbedr dem.

Standarden er baseret på ISO/IEC 27002, som giver omfattende vejledning om organisatoriske, tekniske og fysiske kontroller (politikker, adgangskontrol, kryptering, fysisk sikkerhed, sikker drift, hændelseshåndtering osv.). Relaterede standarder omfatter ISO/IEC 27005 (risikostyring), ISO/IEC 27032 (cybersikkerhed i streng forstand) og ISO/IEC 27701 (privatliv).

I mange sektorer er ISO 27001-certificering blevet nærmest et adgangskrav, da det reducerer sandsynligheden for alvorlige hændelser betydeligt , letter compliance-revisioner (GDPR, NIS2, ENS) og forbedrer organisationens image hos kunder og investorer.

ISO/IEC 27032: Cybersikkerhed i cyberspace

Mens ISO 27001 fokuserer på den overordnede styring af informationssikkerhed, fokuserer ISO/IEC 27032 specifikt på cybersikkerhed forstået som beskyttelse af cyberspace, hvor brugere, systemer, netværk og konnektivitet , sociale netværk, mobile enheder og kritisk infrastruktur interagerer.

Denne standard indeholder retningslinjer for bekæmpelse af trusler som avanceret malware, spyware, phishing og social engineering , styrkelse af sikkerheden i netværk og onlinetjenester, fremme af samarbejde mellem regeringer, virksomheder og brugere samt etablering af rammer for deling af information om hændelser og sårbarheder.

Implementeringen er især nyttig for organisationer, der er afhængige af cloudtjenester, onlineplatforme og samarbejdsbaserede økosystemer, da det giver dem et struktureret overblik over trusler i sammenkoblede miljøer og de prioriterede kontroller, de skal håndtere.

ISO/IEC 27701: Privatliv og databeskyttelse

ISO /IEC 27701 udvider ISMS'et i ISO 27001 til at dække håndtering af persondatabeskyttelse. Den definerer yderligere roller, ansvarsområder og kontroller for både dataansvarlige og databehandlere og er nøje afstemt med kravene i GDPR.

Ved at implementere denne standard kan en organisation tydeligt demonstrere, at den har integreret privatliv i sin styringsmodel , håndterer specifikke risici relateret til personoplysninger og har formaliseret processer til at håndtere de registreredes rettigheder, håndtere brud på datasikkerheden og begrænse internationale dataoverførsler.

ISO 22301: Forretningskontinuitet

Cybersikkerhed måles ikke kun ud fra evnen til at modstå et angreb, men også ud fra den hastighed, hvormed en organisation kan genoprette driften og fortsætte driften . Det er her, ISO 22301, der fokuserer på styring af forretningskontinuitet, kommer i spil.

Denne standard kræver forretningsmæssige konsekvensanalyser (BIA'er), etablering af kontinuitetsstrategier, dokumenterede genopretningsplaner, regelmæssig testning og vedligeholdelse af kommunikations- og koordineringsmekanismer under kriser. En cybersikkerhedshændelse uden en kontinuitetsplan kan lamme en virksomhed i ugevis og generere tab i millionklassen.

NIST Cybersecurity Framework

I USA er NIST Cybersecurity Framework blevet et benchmark, der også er blevet vedtaget af europæiske organisationer. Det er struktureret omkring fem nøglefunktioner: identificere, beskytte, opdage, reagere og genoprette.

Denne tilgang giver virksomheder mulighed for at vurdere deres modenhed i hver funktion , prioritere investeringer og designe et afbalanceret cybersikkerhedsprogram. Den er især nyttig til at supplere kravene i NIS2- eller ISO-standarder, da den giver et fælles sprog og en meget klar konceptuel ramme.

National sikkerhedsordning (ENS) og certificeringer i Spanien

I spansk kontekst fungerer den nationale sikkerhedsordning (ENS) som en lokal og obligatorisk oversættelse af mange principper i internationale standarder , især for den offentlige sektor. Organisationer, der leverer tjenester til regeringen, er ofte forpligtet til at tilpasse sig denne ordning, hvilket i praksis tvinger dem til at anvende modeller svarende til ISO 27001 og 27002.

Sammen med den nationale sikkerhedsordning (ENS) er der sket en stigning i antallet af certificeringer som ISO 27001 og NIST-rammerne . Spanien er blandt de førende lande i Europa med hensyn til antallet af certificerede organisationer, og undersøgelser viser, at certificerede virksomheder reducerer alvorlige hændelser og forbedrer deres reaktionskapacitet på angreb.

Cybersikkerhedsforpligtelser og bedste praksis for virksomheder

Ud over lovens bogstav skal enhver organisation, der håndterer følsomme oplysninger eller leverer digitale tjenester, anerkende cybersikkerhed som et strategisk ansvar . Selv når en virksomhed falder uden for det strenge anvendelsesområde for NIS2 eller kongeligt lovdekret nr. 12/2018, anbefaler myndighederne at implementere en robust sikkerhedsplan.

Risikoanalyse og indledende revision

Det første fornuftige skridt er at udføre en risikoanalyse, der identificerer kritiske aktiver (data, systemer, processer), tekniske og organisatoriske sårbarheder, mest sandsynlige trusler (ransomware, phishing, DDoS, interne lækager) og den potentielle indvirkning af hvert scenarie.

Parallelt hermed giver en cybersikkerhedsrevision mulighed for en vurdering af det nuværende modenhedsniveau: eksisterende politikker, tekniske konfigurationer, patchniveauer, personaleuddannelse, afhængighed af tredjeparter osv. Dette omfattende overblik muliggør udviklingen af ​​en realistisk handlingsplan, der prioriterer foranstaltninger med det største investeringsafkast i risikoreduktion.

Definition af interne politikker og procedurer

Når risikoen er forstået, er det tid til at omsætte beslutningerne til klare interne politikker og driftsprocedurer . Dette omfatter at definere, hvilke applikationer der er tilladt, hvordan brugerkonti administreres, hvilke adgangskodekrav der gælder, hvordan personlige enheder (BYOD) bruges, hvad der gøres med eksterne lagringsmedier, hvordan sikkerhedskopier udføres og testes og så videre.

Det er også vigtigt at etablere procedurer for hændelseshåndtering (hvem gør hvad, hvornår skal der underrettes, og til hvem skal der eskaleres), regler for brugen af ​​virksomhedens kommunikationsmedier (e-mail, samarbejdsværktøjer), regler for fysisk adgang til faciliteter og sikkerhedskriterier, der skal kræves af cloud- eller hostingudbydere.

Automatisering og teknologiske værktøjer

Politikker alene er meningsløse uden de teknologiske værktøjer, der letter deres implementering . Nøglekomponenter omfatter systemer til detektion og forebyggelse af indtrængen (IDS/IPS), løsninger til identitets- og adgangsstyring (IAM), platforme til sikkerhedsinformation og hændelseskorrelation (SIEM) og datakrypteringsløsninger til data i ro og under transit.

Automatisering er også afgørende for at styre livscyklussen for digitale certifikater , hvis dårligt administrerede udløb forårsager flere hændelser, end det ser ud til: serviceafbrydelser, godkendelsesfejl eller endda sikkerhedsbrud, hvis kompromitterede certifikater ikke tilbagekaldes i tide.

Digital certifikatstyring og kodesignering

Digitale server- og brugercertifikater (DV, OV, EV) er afgørende for at sikre websteders ægthed, kommunikationsfortrolighed og integriteten af ​​udvekslede data. Organisationer bør sikre, at de vælger den passende certifikattype, centraliserer administrationen, modtager udløbsadvarsler og automatiserer fornyelser, når det er muligt.

Parallelt hermed er digital kodesignering en grundlæggende kontrol for virksomheder, der udvikler software eller distribuerer applikationer: det garanterer, at koden ikke er blevet manipuleret med siden udgivelsen, og forhindrer brugere i at installere eksekverbare filer, der er ændret med malware. Kodesigneringscertifikater, især dem med udvidet validering (EV), overholder de tillidsstandarder, der kræves af operativsystemer og browsere.

E-mailsikkerhed og personaleuddannelse

E-mail er fortsat den foretrukne vektor for angribere: phishing-kampagner og malware distribueret via e-mail står bag langt de fleste hændelser . For at reducere denne risiko er det nødvendigt at implementere protokoller som SPF, DKIM og DMARC, bruge kryptering og digitale signaturer i følsomme e-mails samt implementere avancerede filtreringsløsninger og bruge sikre browserudvidelser.

Teknologi alene er dog ikke tilstrækkelig uden løbende træning og opmærksomhed . Erfaring viser, at over 80 % af hændelser har en menneskelig komponent: uautoriserede klik, delte loginoplysninger, svage adgangskoder, uforsigtig brug af personlige enheder osv. Integrering af cybersikkerhed i virksomhedskulturen er lige så vigtigt som at installere en god firewall.

Internationale organisationers rolle i reguleringen af ​​cybersikkerhed

Cybersikkerhed er per definition et grænseoverskridende problem, og derfor har organisationer som FN, NATO, G7 eller G20 påtaget sig en relevant rolle i udviklingen af ​​principper, anbefalinger og samarbejdsrammer, der direkte påvirker spansk og europæisk lovgivning.

Europarådet fremmede Budapestkonventionen om cyberkriminalitet , som fortsat er den internationale referencetraktat for retsforfølgning af cyberkriminalitet. Spanien har tilpasset sin straffelov og sine retlige samarbejdsprocedurer til denne konvention, hvilket letter efterforskningen og retsforfølgningen af ​​grænseoverskridende forbrydelser.

Parallelt har fora som G7 og G20 udstedt politiske forpligtelser om beskyttelse af kritisk infrastruktur, bekæmpelse af cyberkriminalitet, internetforvaltning og databeskyttelse . Disse retningslinjer påvirker udarbejdelsen af ​​nationale cybersikkerhedsstrategier og lovreformer, der styrker det finansielle systems, energisektorens og e-forvaltningens modstandsdygtighed.

NATO har på sin side indarbejdet cyberspace som et andet operationelt område for kollektivt forsvar . Spaniens deltagelse i øvelser som Locked Shields og Cyber ​​Coalition bidrager til at forbedre cyberforsvarskapaciteter, tilpasse national lovgivning og styrke samarbejdet med allierede i tilfælde af omfattende cyberangreb.

Endelig fremmer FN, gennem Den Internationale Telekommunikationsunion (ITU) og andre organer, globale standarder, tekniske anbefalinger og træningsprogrammer , der hjælper lande med at udvikle sammenhængende reguleringsrammer, beskytte menneskerettighederne i cyberspace og bedre koordinere mod fælles cybertrusler.

Hele denne internationale ramme lægger et stærkt pres på Spanien og resten af ​​EU-landene for at holde deres juridiske rammer opdaterede og i overensstemmelse med globale standarder , både inden for forebyggelse og reaktion på hændelser.

Samlet set er regulering af cybersikkerhed blevet en slags regulatorisk skjold, der udvikler sig i samme hektiske tempo som truslerne: Europæiske direktiver som NIS2, reguleringer som GDPR, DORA eller eIDAS, nationale love, offentlige sikkerhedsordninger, ISO-standarder og NIST-rammer passer sammen som brikker i et puslespil, der tvinger organisationer til at tage digital risikostyring meget alvorligt, til at professionalisere deres sikkerhedsprogrammer og antage, at cyberrobusthed ikke længere er en ekstra, men en essentiel betingelse for fortsat at konkurrere og operere med garantier i dagens økonomi.