Regolamentazione della sicurezza informatica: leggi, standard e obblighi

Guida Alpha » Giochi » Regolamentazione della sicurezza informatica: leggi, standard e obblighi

Le normative sulla sicurezza informatica sono diventate un pilastro fondamentale per consentire ad aziende, pubbliche amministrazioni e cittadini di operare con relativa tranquillità in un ambiente digitale sempre più aggressivo. Attacchi ransomware, violazioni massicce di dati, furto di identità e sabotaggio di infrastrutture critiche non sono più scenari futuristici, ma eventi quotidiani per organizzazioni di ogni dimensione.

Data questa situazione, la soluzione non può limitarsi all'installazione di un software antivirus e alla speranza che tutto si risolva da solo: è necessario un quadro normativo solido, coerente e in continua evoluzione per definire obblighi chiari, stabilire standard minimi di sicurezza e promuovere la cooperazione internazionale. Nei paragrafi successivi, troverete una panoramica completa del quadro giuridico spagnolo ed europeo, dei principali standard tecnici (ISO, NIST, ENS), degli obblighi per le imprese e delle tendenze normative emergenti.

Cos'è la sicurezza informatica e quali tipi di minacce sono regolamentate dalla legge?

Quando parliamo di sicurezza informatica, ci riferiamo alla protezione di sistemi, reti e dati da qualsiasi accesso, utilizzo, modifica o distruzione non autorizzati. La definizione utilizzata dalla National Initiative for Cybersecurity Careers and Studies (NICCS) statunitense la descrive come l'attività, il processo o la capacità mediante cui i sistemi informativi e di comunicazione, e le informazioni in essi contenute, vengono difesi da danni o sfruttamento.

In pratica, ciò si traduce in un insieme di misure tecniche, organizzative, legali e formative volte a salvaguardare le informazioni digitali in un ambiente di rete interconnesso. La sicurezza informatica rientra nell'ambito della sicurezza delle informazioni, ma con una particolare attenzione ai rischi che si presentano nello specifico spazio cibernetico.

In questo contesto, emergono concetti correlati su cui si concentra anche la regolamentazione, come la criminalità informatica, le minacce informatiche e il cyberspazio stesso . La criminalità informatica comprende le condotte criminali commesse tramite internet (frodi online, attacchi ai sistemi, estorsioni tramite ransomware, ecc.). Le minacce informatiche sono le possibilità o le opportunità di causare danni utilizzando mezzi digitali. Il cyberspazio, infine, è inteso come quella realtà interconnessa che si estende oltre internet e integra reti, dispositivi e sistemi a livello globale.

Le attività illegali che rientrano in questa categoria sono estremamente varie: dalle frodi nell'e-commerce o dal furto di credenziali all'introduzione di malware nei sistemi aziendali, dalla diffusione di notizie false a danno di un individuo all'usurpazione di identità aziendale, fino agli attacchi deliberati alle infrastrutture critiche. Pertanto, la sicurezza informatica si collega a diverse branche del diritto, come il diritto penale, il diritto civile, la protezione dei dati e il diritto all'onore e alla privacy.

La chiave sta nella dimensione online del comportamento e nel suo impatto : quando un attacco viene commesso nell'ambiente digitale, la velocità di propagazione, la portata geografica e la difficoltà di attribuzione cambiano completamente le regole del gioco. Ciò giustifica il rapido adattamento della legislazione per coprire situazioni che non erano state nemmeno prese in considerazione nel mondo fisico.

Il quadro normativo europeo per la sicurezza informatica

L'Unione europea ha sviluppato un quadro normativo completo per affrontare le minacce informatiche , combinando direttive, regolamenti e strategie specifiche. L'obiettivo è duplice: in primo luogo, innalzare il livello minimo di sicurezza in tutti gli Stati membri; in secondo luogo, impedire che la vulnerabilità di un Paese diventi una porta d'accesso per compromettere la sicurezza di altri.

Direttive NIS e NIS2: il cuore della sicurezza informatica nell'UE

Il primo passo fondamentale in questo processo è stata la Direttiva 2016/1148, nota come Direttiva NIS , che ha stabilito misure per garantire un livello di sicurezza comune per le reti e i sistemi informativi in ​​tutta l'UE. Tale regolamento impone agli Stati membri di adottare strategie nazionali di cybersicurezza, creare squadre di intervento per la sicurezza informatica (CSIRT) e monitorare gli operatori dei servizi essenziali e i fornitori di servizi digitali.

La direttiva NIS disciplina in modo specifico gli obblighi degli operatori di servizi essenziali (come energia, trasporti, sanità e servizi bancari) e di alcuni fornitori di servizi digitali. Essi sono tenuti ad adottare misure tecniche e organizzative proporzionate al rischio, a garantire un livello di sicurezza adeguato e a notificare tempestivamente all'autorità competente o al CSIRT nazionale gli incidenti significativi.

Tuttavia, l'aumento della criminalità informatica e l'accelerazione della digitalizzazione a seguito della pandemia hanno dimostrato la necessità di fare di più. Ciò ha portato all'adozione della Direttiva (UE) 2022/2555, nota come NIS2 , che amplia i settori coperti, rafforza i requisiti di gestione del rischio e riduce significativamente i termini per la segnalazione degli incidenti (24 ore per la prima notifica).

La direttiva NIS2 introduce nuovi obblighi in materia di sicurezza, stabilisce regimi di vigilanza più rigorosi e sanzioni economiche pertinenti per le entità essenziali e importanti, e sottolinea esplicitamente la responsabilità degli organi di gestione, che devono essere coinvolti nella gestione della sicurezza informatica e possono essere sanzionati in caso di grave negligenza.

Regolamento UE sulla sicurezza informatica e sistema di certificazione

Un altro pilastro fondamentale è il Regolamento UE sulla cibersicurezza del 2019 , che rafforza il mandato dell'ENISA (Agenzia dell'Unione europea per la cibersicurezza) e crea un quadro europeo di certificazione della cibersicurezza per prodotti, servizi e processi ICT.

Grazie a questo quadro normativo, un'azienda può certificare un prodotto o servizio di cybersicurezza una sola volta e ottenere il riconoscimento di tale certificato in tutta l'UE, semplificando gli scambi interni e aumentando la fiducia del mercato. La certificazione diventa un marchio di qualità che facilita la dimostrazione della conformità ai requisiti di sicurezza richiesti da clienti e autorità di regolamentazione.

La Commissione europea ha perfezionato questo quadro normativo e ha proposto modifiche specifiche, come quella approvata nel gennaio 2025, per consentire l' applicazione di schemi di certificazione europei ai servizi di sicurezza gestiti (risposta agli incidenti, penetration testing, audit di sicurezza, consulenza, ecc.). L'obiettivo è rafforzare la fiducia nei servizi fondamentali per prevenire, rilevare e riprendersi dagli attacchi informatici.

Un nuovo ruolo per l'ENISA

L'ENISA si è evoluta da organismo prevalentemente tecnico e consultivo a ente con un mandato permanente e rafforzato . Le sue funzioni principali includono la preparazione delle basi per i sistemi di certificazione, la pubblicazione di rapporti sui certificati rilasciati, il supporto alla cooperazione operativa tra gli Stati membri e il ruolo di punto di riferimento in caso di incidenti transfrontalieri di rilievo.

Inoltre, la Commissione ha proposto che l'ENISA sviluppi una capacità comune di gestione delle vulnerabilità a livello europeo , fornendo servizi alle parti interessate e gestendo un punto di accesso unico per la segnalazione degli incidenti, come previsto da iniziative quali il Digital Omnibus. Tutto ciò mira ad armonizzare la gestione delle vulnerabilità e a migliorare la risposta coordinata agli attacchi complessi.

GDPR, eIDAS, DORA e altri elementi chiave

Oltre alla norma NIS2 e al Regolamento sulla sicurezza informatica, altre normative europee hanno un impatto diretto sulla sicurezza informatica. Il Regolamento generale sulla protezione dei dati (GDPR) impone l'adozione di misure tecniche e organizzative adeguate per garantire la riservatezza, l'integrità e la disponibilità dei dati personali, con sanzioni che possono arrivare fino al 4% del fatturato globale.

Il regolamento eIDAS , dal canto suo, definisce il quadro normativo per l'identificazione elettronica e i servizi fiduciari (firme elettroniche, sigilli, timestamp, consegna elettronica certificata, autenticazione dei siti web). Stabilendo requisiti di sicurezza molto rigorosi, diventa un elemento essenziale per garantire la fiducia nelle transazioni digitali sia nel settore pubblico che in quello privato.

Nel settore finanziario, il regolamento DORA (Digital Operational Resilience Act) aggiunge un ulteriore livello di obblighi in materia di resilienza digitale, test di penetrazione avanzati, gestione delle infrastrutture ICT critiche di terze parti e notifica degli incidenti, in linea con lo spirito della NIS2 ma con un'attenzione molto specifica ai servizi finanziari.

Regolamentazione della sicurezza informatica in Spagna

La Spagna ha adeguato la propria legislazione per allinearla ai requisiti europei, rispondendo al contempo alle proprie esigenze di protezione. Un punto di riferimento fondamentale è il Codice di diritto informatico, pubblicato nella Gazzetta Ufficiale dello Stato (BOE), che raccoglie le principali normative in materia.

Regio decreto legge 12/2018 e successivi sviluppi

Il Regio Decreto Legge 12/2018, sulla sicurezza delle reti e dei sistemi informativi , è il regolamento che recepisce la prima Direttiva NIS nell'ordinamento giuridico spagnolo. Definisce i requisiti di sicurezza e gli obblighi di segnalazione degli incidenti per gli operatori di servizi essenziali e per alcuni fornitori di servizi digitali (mercati online, motori di ricerca e servizi di cloud computing che non siano micro o piccole imprese).

Tra gli obblighi più rilevanti per i fornitori di servizi digitali di medie e grandi dimensioni figurano: la comunicazione della propria attività all'autorità competente (Ministero della Trasformazione Digitale) entro i primi tre mesi, l'adozione di misure tecniche e organizzative adeguate per la gestione dei rischi per la sicurezza e la notifica degli incidenti significativi al CSIRT competente (ove applicabile, INCIBE-CERT).

Queste misure devono tenere conto della sicurezza dell'infrastruttura IT , della gestione degli incidenti, della continuità operativa, del monitoraggio e dell'audit, nonché della conformità agli standard internazionali. Sebbene lo standard non fornisca un elenco esaustivo dei controlli, definisce chiaramente le aree che devono essere coperte per raggiungere una gestione del rischio ragionevole e proporzionata.

Lo sviluppo normativo deriva dal Regio Decreto 43/2021 , che specifica ulteriori obblighi per gli operatori di reti e servizi di telecomunicazione elettronica, rafforzando la sicurezza e la resilienza delle infrastrutture di telecomunicazione, uno dei settori più critici ed esposti agli attacchi informatici.

Protezione dei dati, servizi affidabili e infrastrutture critiche

In materia di privacy, la Legge organica spagnola sulla protezione dei dati e la garanzia dei diritti digitali (LOPDGDD) integra e amplia il GDPR in Spagna, stabilendo ulteriori garanzie e obblighi per l'utilizzo dei dati personali negli ambienti digitali. Questa normativa impone alle organizzazioni di implementare solidi controlli di sicurezza informatica per prevenire violazioni e fughe di dati.

Nell'ambito dell'identificazione elettronica e dei servizi fiduciari, la Legge 6/2020 adegua la normativa spagnola al Regolamento eIDAS, definendo gli obblighi dei fornitori di servizi fiduciari (firma e sigillo elettronici, consegna certificata, certificati di autenticazione, ecc.) e stabilendo un quadro dettagliato per la sicurezza informatica di questi servizi critici.

D'altro canto, la Legge 8/2011 sulla protezione delle infrastrutture critiche stabilisce il quadro giuridico per la tutela dei sistemi e dei beni essenziali per la società, l'economia e la sicurezza nazionale. Sebbene le sue origini siano più strettamente legate alla protezione fisica, la legge riconosce espressamente che molte di queste infrastrutture dipendono da reti e sistemi ICT, integrando quindi la sicurezza informatica come parte integrante della protezione complessiva.

A tutto ciò si aggiungono la Legge generale sulle telecomunicazioni del 2022, che obbliga gli operatori di telecomunicazioni ad adottare misure di sicurezza e a notificare alle autorità gli incidenti rilevanti, nonché il Sistema di sicurezza nazionale (ENS) , aggiornato nel 2025, che stabilisce principi, requisiti e livelli di sicurezza obbligatori per le pubbliche amministrazioni e i loro fornitori di tecnologia.

Schema di sicurezza nazionale e pubbliche amministrazioni

Il Quadro Nazionale di Sicurezza (ENS) rappresenta, in pratica, il quadro di riferimento per la sicurezza informatica del settore pubblico in Spagna. Esso definisce i principi fondamentali (prevenzione, individuazione, risposta, ripristino, miglioramento continuo) e specifica una serie di misure che devono essere applicate in base ai livelli di sicurezza (basso, medio, alto) associati a ciascun sistema informativo.

Questo sistema richiede alle amministrazioni e ai fornitori che collaborano con esse di sottoporsi a verifiche e controlli di sicurezza periodici , di mantenere politiche aggiornate, di gestire correttamente le identità e gli accessi, di applicare la crittografia ove opportuno e di registrare e analizzare le attività al fine di individuare eventuali incidenti.

NIS2 in Spagna: la prossima ondata normativa

La Spagna sta già lavorando al Regio Decreto che recepirà il NIS2 e amplierà significativamente il numero di settori ed enti soggetti a rigorosi obblighi in materia di sicurezza informatica. Oltre ai settori già coperti, saranno inclusi nuovi ambiti, come alcuni produttori, i servizi postali, la ricerca, i fornitori di tecnologie dell'informazione e della comunicazione avanzate e altri ancora.

Tra i cambiamenti più rilevanti previsti vi è una riduzione generale dei termini per la notifica di incidenti gravi alle autorità, che in molti casi saranno ridotti a 24 ore, e un rafforzamento delle responsabilità gestionali e dei regimi sanzionatori , allineati ai parametri europei (multe fino a 10 milioni di euro o una percentuale del fatturato globale).

Norme e standard tecnici internazionali sulla sicurezza informatica

Oltre alla legislazione, le organizzazioni si affidano a standard tecnici e quadri normativi internazionali che specificano quali controlli, processi e migliori prassi implementare. Questi standard non solo contribuiscono a garantire la conformità normativa, ma dimostrano anche la dovuta diligenza nei confronti di clienti, partner e autorità.

Famiglia ISO/IEC 27000 e sicurezza delle informazioni ISO

La famiglia di norme ISO/IEC 27000 è lo standard di fatto nella gestione della sicurezza delle informazioni . Al suo centro si trova la norma ISO/IEC 27001, che definisce i requisiti per l'implementazione di un Sistema di Gestione della Sicurezza delle Informazioni (SGSI) basato sul ciclo di miglioramento continuo: analizzare i rischi, definire i controlli, implementarli, rivederli e migliorarli.

Lo standard si basa sulla norma ISO/IEC 27002, che fornisce linee guida complete sui controlli organizzativi, tecnici e fisici (politiche, controllo degli accessi, crittografia, sicurezza fisica, operazioni sicure, gestione degli incidenti, ecc.). Gli standard correlati includono ISO/IEC 27005 (gestione del rischio), ISO/IEC 27032 (sicurezza informatica in senso stretto) e ISO/IEC 27701 (privacy).

In molti settori, la certificazione ISO 27001 è diventata quasi un requisito d'ingresso, poiché riduce significativamente la probabilità di incidenti gravi , facilita gli audit di conformità (GDPR, NIS2, ENS) e migliora l'immagine dell'organizzazione presso clienti e investitori.

ISO/IEC 27032: Sicurezza informatica nel cyberspazio

Mentre la norma ISO 27001 si concentra sulla gestione generale della sicurezza delle informazioni, la norma ISO/IEC 27032 si concentra specificamente sulla sicurezza informatica, intesa come protezione del cyberspazio, dove interagiscono utenti, sistemi, reti e connettività , social network, dispositivi mobili e infrastrutture critiche.

Questo standard fornisce linee guida per contrastare minacce quali malware avanzati, spyware, phishing e ingegneria sociale , rafforzare la sicurezza delle reti e dei servizi online, promuovere la collaborazione tra governi, imprese e utenti e stabilire strutture per la condivisione di informazioni su incidenti e vulnerabilità.

La sua implementazione è particolarmente utile per le organizzazioni che si affidano a servizi cloud, piattaforme online ed ecosistemi collaborativi, in quanto fornisce loro una visione strutturata delle minacce negli ambienti interconnessi e dei controlli prioritari da implementare.

ISO/IEC 27701: Privacy e protezione dei dati

La norma ISO /IEC 27701 estende il sistema di gestione della sicurezza delle informazioni (ISMS) della norma ISO 27001 per includere la gestione della privacy dei dati personali. Definisce ruoli, responsabilità e controlli aggiuntivi sia per i titolari che per i responsabili del trattamento dei dati ed è strettamente allineata ai requisiti del GDPR.

Implementando questo standard, un'organizzazione può dimostrare chiaramente di aver integrato la privacy nel proprio modello di governance , di gestire i rischi specifici relativi ai dati personali e di aver formalizzato i processi per tutelare i diritti degli interessati, gestire le violazioni e limitare i trasferimenti internazionali di dati.

ISO 22301: Continuità aziendale

La sicurezza informatica non si misura solo in base alla capacità di resistere a un attacco, ma anche in base alla velocità con cui un'organizzazione riesce a riprendersi e a continuare a operare . È qui che entra in gioco la norma ISO 22301, incentrata sulla gestione della continuità operativa.

Questo standard richiede valutazioni dell'impatto aziendale (BIA), la definizione di strategie di continuità operativa, piani di ripristino documentati, test regolari e il mantenimento di meccanismi di comunicazione e coordinamento durante le crisi. Un incidente di sicurezza informatica senza un piano di continuità operativa può paralizzare un'azienda per settimane e generare perdite per milioni.

Quadro di sicurezza informatica del NIST

Negli Stati Uniti, il framework di cybersicurezza NIST è diventato un punto di riferimento, adottato anche da organizzazioni europee. È strutturato attorno a cinque funzioni chiave: identificare, proteggere, rilevare, rispondere e ripristinare.

Questo approccio consente alle aziende di valutare il proprio livello di maturità in ciascuna funzione , dare priorità agli investimenti e progettare un programma di cybersecurity equilibrato. È particolarmente utile per integrare i requisiti degli standard NIS2 o ISO, in quanto fornisce un linguaggio comune e un quadro concettuale molto chiaro.

Schema di sicurezza nazionale (ENS) e certificazioni in Spagna

Nel contesto spagnolo, il Sistema di Sicurezza Nazionale (SSN) funge da traduzione locale e obbligatoria di molti principi degli standard internazionali , soprattutto per il settore pubblico. Le organizzazioni che forniscono servizi al governo sono spesso tenute ad allinearsi a questo sistema, il che in pratica le spinge ad adottare modelli simili alle norme ISO 27001 e 27002.

Parallelamente al Sistema di Sicurezza Nazionale (ENS), è cresciuta l'adozione di certificazioni come ISO 27001 e i framework NIST . La Spagna si colloca tra i primi paesi europei per numero di organizzazioni certificate e le indagini dimostrano che le aziende certificate riducono gli incidenti gravi e migliorano la loro capacità di risposta agli attacchi.

Obblighi e best practice in materia di sicurezza informatica per le aziende

Al di là della lettera della legge, qualsiasi organizzazione che gestisca informazioni sensibili o fornisca servizi digitali deve riconoscere la sicurezza informatica come una responsabilità strategica . Anche quando un'azienda non rientra nello stretto ambito di applicazione della NIS2 o del Regio Decreto Legge 12/2018, le autorità raccomandano di implementare un solido piano di sicurezza.

Analisi del rischio e audit iniziale

Il primo passo sensato è condurre un'analisi dei rischi che identifichi le risorse critiche (dati, sistemi, processi), le vulnerabilità tecniche e organizzative, le minacce più probabili (ransomware, phishing, attacchi DDoS, fughe di dati interne) e il potenziale impatto di ciascuno scenario.

Parallelamente, un audit di sicurezza informatica consente di valutare il livello di maturità attuale: politiche esistenti, configurazioni tecniche, livelli di applicazione delle patch, formazione del personale, dipendenza da terze parti, ecc. Questa panoramica completa permette di sviluppare un piano d'azione realistico, dando priorità alle misure con il maggiore ritorno sull'investimento in termini di riduzione del rischio.

Definizione delle politiche e delle procedure interne

Una volta compreso il rischio, è il momento di tradurre le decisioni in chiare politiche interne e procedure operative . Ciò include la definizione delle applicazioni consentite, delle modalità di gestione degli account utente, dei requisiti per le password, dell'utilizzo dei dispositivi personali (BYOD), della gestione dei supporti di archiviazione esterni, delle modalità di esecuzione e verifica dei backup e così via.

È inoltre essenziale stabilire procedure di gestione degli incidenti (chi fa cosa, quando notificare, a chi inoltrare la segnalazione), regole per l'utilizzo dei mezzi di comunicazione aziendali (e-mail, strumenti collaborativi), regole per l'accesso fisico alle strutture e criteri di sicurezza da richiedere ai fornitori di servizi cloud o di hosting.

Automazione e strumenti tecnologici

Le politiche da sole sono prive di significato senza gli strumenti tecnologici che ne facilitano l'implementazione . I componenti chiave includono sistemi di rilevamento e prevenzione delle intrusioni (IDS/IPS), soluzioni di gestione delle identità e degli accessi (IAM), piattaforme di correlazione di eventi e informazioni di sicurezza (SIEM) e soluzioni di crittografia dei dati per i dati a riposo e in transito.

L'automazione è fondamentale anche nella gestione del ciclo di vita dei certificati digitali , le cui scadenze gestite in modo inadeguato causano più problemi di quanto si possa immaginare: interruzioni del servizio, errori di autenticazione o persino violazioni della sicurezza se i certificati compromessi non vengono revocati in tempo.

Gestione dei certificati digitali e firma del codice

I certificati digitali server e utente (DV, OV, EV) sono essenziali per garantire l'autenticità del sito web, la riservatezza delle comunicazioni e l'integrità dei dati scambiati. Le organizzazioni dovrebbero assicurarsi di scegliere il tipo di certificato appropriato, centralizzarne la gestione, ricevere avvisi di scadenza e automatizzare i rinnovi ove possibile.

Parallelamente, per le aziende che sviluppano software o distribuiscono applicazioni, la firma digitale del codice è un controllo fondamentale: garantisce che il codice non sia stato manomesso dalla sua pubblicazione e impedisce agli utenti di installare file eseguibili alterati con malware. I certificati di firma del codice, in particolare quelli con convalida estesa (EV), sono conformi agli standard di affidabilità richiesti dai sistemi operativi e dai browser.

Sicurezza della posta elettronica e formazione del personale

La posta elettronica rimane il vettore preferito dagli aggressori: le campagne di phishing e i malware distribuiti via email sono alla base della stragrande maggioranza degli incidenti . Per ridurre questo rischio, è necessario implementare protocolli come SPF, DKIM e DMARC, utilizzare la crittografia e le firme digitali nelle email sensibili, nonché adottare soluzioni di filtraggio avanzate ed estensioni sicure per il browser.

Tuttavia, la tecnologia da sola non basta senza una formazione e una sensibilizzazione continue . L'esperienza dimostra che oltre l'80% degli incidenti ha una componente umana: clic non autorizzati, credenziali condivise, password deboli, uso imprudente di dispositivi personali e così via. Integrare la sicurezza informatica nella cultura aziendale è importante quanto installare un buon firewall.

Il ruolo delle organizzazioni internazionali nella regolamentazione della sicurezza informatica

La sicurezza informatica è, per definizione, un problema transfrontaliero, ed è per questo che organizzazioni come le Nazioni Unite, la NATO, il G7 o il G20 hanno assunto un ruolo rilevante nello sviluppo di principi, raccomandazioni e quadri di cooperazione che influenzano direttamente la legislazione spagnola ed europea.

Il Consiglio d'Europa ha promosso la Convenzione di Budapest sulla criminalità informatica , che rimane il trattato internazionale di riferimento per il perseguimento dei reati informatici. La Spagna ha allineato il proprio codice penale e le procedure di cooperazione giudiziaria a tale convenzione, facilitando le indagini e il perseguimento dei reati transfrontalieri.

Parallelamente, forum come il G7 e il G20 hanno assunto impegni politici in materia di protezione delle infrastrutture critiche, lotta alla criminalità informatica, governance di Internet e protezione dei dati . Queste linee guida influenzano l'elaborazione di strategie nazionali di cybersicurezza e riforme legislative che rafforzano la resilienza del sistema finanziario, del settore energetico e dell'e-government.

La NATO, dal canto suo, ha integrato il cyberspazio come ulteriore dominio operativo di difesa collettiva . La partecipazione della Spagna a esercitazioni come Locked Shields e Cyber ​​Coalition contribuisce a migliorare le capacità di difesa cibernetica, ad adeguare la legislazione nazionale e a rafforzare la cooperazione con gli alleati in caso di attacchi informatici su larga scala.

Infine, le Nazioni Unite, attraverso l'Unione Internazionale delle Telecomunicazioni (ITU) e altri organismi, promuovono standard globali, raccomandazioni tecniche e programmi di formazione che aiutano i paesi a sviluppare quadri normativi coerenti, a proteggere i diritti umani nel cyberspazio e a coordinarsi meglio contro le minacce informatiche comuni.

Questo quadro internazionale nel suo complesso esercita una forte pressione sulla Spagna e sugli altri Stati membri dell'UE affinché mantengano i propri quadri giuridici aggiornati e allineati agli standard globali , sia in materia di prevenzione che di risposta agli incidenti.

Nel complesso, la regolamentazione della sicurezza informatica è diventata una sorta di scudo normativo che si evolve allo stesso ritmo frenetico delle minacce: direttive europee come NIS2, regolamenti come GDPR, DORA o eIDAS, leggi nazionali, schemi di sicurezza pubblica, standard ISO e framework NIST si incastrano come pezzi di un puzzle che costringe le organizzazioni a prendere molto sul serio la gestione del rischio digitale, a professionalizzare i propri programmi di sicurezza e a presumere che la resilienza informatica non sia più un optional, ma una condizione essenziale per continuare a competere e operare con garanzie nell'economia odierna.