Regelgeving inzake cyberbeveiliging: wetten, normen en verplichtingen

Alpha-gids » Games » Regelgeving inzake cyberbeveiliging: wetten, normen en verplichtingen

Regelgeving op het gebied van cyberbeveiliging is een fundamentele pijler geworden voor bedrijven, overheidsinstanties en burgers om met relatieve gemoedsrust te kunnen opereren in een steeds agressievere digitale omgeving. Ransomware-aanvallen, grootschalige datalekken, identiteitsdiefstal en sabotage van kritieke infrastructuur zijn geen toekomstscenario's meer, maar dagelijkse gebeurtenissen voor organisaties van elke omvang.

Gezien deze situatie kan de oplossing niet beperkt blijven tot het installeren van antivirussoftware en hopen op het beste: er is een robuust, samenhangend en voortdurend evoluerend regelgevingskader nodig om duidelijke verplichtingen vast te stellen, minimumnormen voor beveiliging te bepalen en internationale samenwerking te bevorderen. In de volgende paragrafen vindt u een uitgebreid overzicht van het Spaanse en Europese rechtskader, de belangrijkste technische normen (ISO, NIST, ENS), de verplichtingen voor bedrijven en opkomende trends in de regelgeving.

Wat is cyberbeveiliging en welke soorten bedreigingen worden door de wet gereguleerd?

Wanneer we het over cyberbeveiliging hebben, bedoelen we het beschermen van systemen, netwerken en gegevens tegen ongeautoriseerde toegang, gebruik, wijziging of vernietiging. De definitie die wordt gebruikt door het Amerikaanse National Initiative for Cybersecurity Careers and Studies (NICCS) beschrijft het als de activiteit, het proces of de mogelijkheid waarmee informatie- en communicatiesystemen, en de informatie die ze bevatten, worden beschermd tegen schade of misbruik.

In de praktijk vertaalt dit zich in een reeks technische, organisatorische, juridische en trainingsmaatregelen die gericht zijn op het beschermen van digitale informatie in een onderling verbonden netwerkomgeving. Cyberbeveiliging valt onder de noemer informatiebeveiliging, maar met een zeer duidelijke focus op de risico's die specifiek in de cyberspace ontstaan.

In deze context komen verwante concepten naar voren waarop de regelgeving zich ook richt, zoals cybercriminaliteit, cyberdreigingen en cyberspace zelf . Cybercriminaliteit omvat strafbare feiten die via internet worden gepleegd (online fraude, systeemaanvallen, ransomware-afpersing, enz.). Cyberdreigingen zijn de mogelijkheden of kansen om schade te veroorzaken met behulp van digitale middelen. En cyberspace wordt begrepen als die onderling verbonden realiteit die verder reikt dan het internet en netwerken, apparaten en systemen wereldwijd integreert.

De illegale activiteiten die onder deze noemer vallen, zijn zeer divers: van e-commercefraude of diefstal van inloggegevens tot het introduceren van malware in bedrijfssystemen, het verspreiden van nepnieuws om een ​​individu te schaden, merkinbreuk of opzettelijke aanvallen op kritieke infrastructuur. Daarom is cybersecurity verbonden met diverse rechtsgebieden, zoals strafrecht, burgerlijk recht, gegevensbescherming en het recht op eer en privacy.

De kern van de zaak ligt in de online dimensie van het gedrag en de impact ervan : wanneer een aanval in de digitale omgeving plaatsvindt, veranderen de snelheid van verspreiding, het geografische bereik en de moeilijkheid van toewijzing de spelregels volledig. Dit rechtvaardigt de snelle aanpassing van de wetgeving om situaties te dekken die in de fysieke wereld nog niet eens waren overwogen.

Het Europees regelgevingskader voor cyberbeveiliging

De Europese Unie heeft een alomvattend regelgevingskader ontwikkeld om cyberdreigingen aan te pakken , bestaande uit richtlijnen, verordeningen en specifieke strategieën. Het doel is tweeledig: ten eerste het verhogen van het minimale beveiligingsniveau in alle lidstaten; en ten tweede voorkomen dat de kwetsbaarheid van één land een toegangspoort wordt voor andere landen.

NIS- en NIS2-richtlijnen: de kern van cyberbeveiliging in de EU

De eerste belangrijke stap in dit proces was Richtlijn 2016/1148, beter bekend als de NIS-richtlijn , die maatregelen vaststelde om een ​​gemeenschappelijk beveiligingsniveau voor netwerken en informatiesystemen in de hele EU te waarborgen. Deze verordening verplicht de lidstaten om nationale cybersecuritystrategieën te ontwikkelen, teams voor de respons op computerbeveiligingsincidenten (CSIRT's) op te richten en toezicht te houden op exploitanten van essentiële diensten en aanbieders van digitale diensten.

De NIS-richtlijn regelt specifiek de verplichtingen van exploitanten van essentiële diensten (zoals energie, transport, gezondheidszorg en bankwezen) en bepaalde aanbieders van digitale diensten. Zij zijn verplicht om technische en organisatorische maatregelen te treffen die in verhouding staan ​​tot het risico, een adequaat beveiligingsniveau te waarborgen en de bevoegde autoriteit of het nationale CSIRT onmiddellijk op de hoogte te stellen van significante incidenten.

De toename van cybercriminaliteit en de versnelde digitalisering na de pandemie toonden echter aan dat er meer nodig was. Dit leidde tot de vaststelling van Richtlijn (EU) 2022/2555, bekend als NIS2 , die de sectoren waarop de richtlijn van toepassing is uitbreidt, de eisen voor risicobeheer versterkt en de termijnen voor incidentmeldingen aanzienlijk verkort (24 uur voor de eerste melding).

NIS2 introduceert nieuwe veiligheidsverplichtingen, stelt strengere toezichtsregimes en relevante economische sancties in voor essentiële en belangrijke entiteiten, en wijst expliciet op de verantwoordelijkheid van beheersorganen, die betrokken moeten zijn bij het beheer van cyberbeveiliging en die bij grove nalatigheid kunnen worden gesanctioneerd.

EU-verordening inzake cyberbeveiliging en certificeringssysteem

Een andere belangrijke pijler is de EU-cyberbeveiligingsverordening van 2019 , die het mandaat van ENISA (Europees Agentschap voor Cyberbeveiliging) versterkt en een Europees certificeringskader voor cyberbeveiliging creëert voor ICT-producten, -diensten en -processen.

Dankzij dit raamwerk kan een bedrijf een cybersecurityproduct of -dienst slechts één keer certificeren en wordt dat certificaat in de hele EU erkend. Dit vereenvoudigt de interne handel en vergroot het vertrouwen in de markt. Certificering fungeert als een kwaliteitskeurmerk dat het gemakkelijker maakt om aan te tonen dat aan de door klanten en toezichthouders gestelde beveiligingseisen wordt voldaan.

De Europese Commissie heeft dit kader verfijnd en specifieke wijzigingen voorgesteld, zoals de wijziging die in januari 2025 is goedgekeurd, om Europese certificeringsschema's mogelijk te maken die van toepassing zijn op beheerde beveiligingsdiensten (incidentrespons, penetratietesten, beveiligingsaudits, consultancy, enz.). Het doel is om het vertrouwen te versterken in diensten die cruciaal zijn voor het voorkomen, detecteren en herstellen van cyberaanvallen.

Een nieuwe rol voor ENISA

ENISA is geëvolueerd van een voornamelijk technisch en adviserend orgaan naar een orgaan met een permanent en versterkt mandaat . Tot de belangrijkste taken behoren het voorbereiden van de basis voor certificeringssystemen, het openbaar rapporteren over afgegeven certificaten, het ondersteunen van operationele samenwerking tussen lidstaten en het fungeren als aanspreekpunt bij grote grensoverschrijdende incidenten.

Bovendien heeft de Commissie voorgesteld dat ENISA een gemeenschappelijke, EU-brede capaciteit voor kwetsbaarheidsbeheer ontwikkelt , diensten levert aan belanghebbenden en een centraal meldpunt voor incidenten beheert, zoals voorzien in initiatieven zoals de Digitale Omnibus. Dit alles is erop gericht het beheer van kwetsbaarheden te harmoniseren en de gecoördineerde reactie op complexe aanvallen te verbeteren.

AVG, eIDAS, DORA en andere belangrijke elementen

Naast NIS2 en de Verordening inzake cyberbeveiliging hebben andere Europese regelgevingen een directe impact op cyberbeveiliging. De Algemene Verordening Gegevensbescherming (AVG) vereist de invoering van passende technische en organisatorische maatregelen om de vertrouwelijkheid, integriteit en beschikbaarheid van persoonsgegevens te garanderen, met boetes die kunnen oplopen tot 4% van de wereldwijde omzet.

De eIDAS-verordening stelt op haar beurt het kader vast voor elektronische identificatie- en vertrouwensdiensten (elektronische handtekeningen, zegels, tijdstempels, gecertificeerde elektronische levering, websiteauthenticatie). Door zeer strenge veiligheidseisen te stellen, wordt het een essentieel element voor het waarborgen van vertrouwen in digitale transacties in zowel de publieke als de private sector.

In de financiële sector voegt de DORA-verordening (Digital Operational Resilience Act) een extra laag verplichtingen toe met betrekking tot digitale weerbaarheid, geavanceerde penetratietests, beheer van kritieke ICT-systemen van derden en incidentmeldingen. Dit sluit aan bij de geest van NIS2, maar met een zeer specifieke focus op financiële dienstverlening.

Cyberbeveiligingsregelgeving in Spanje

Spanje heeft zijn wetgeving aangepast aan de Europese eisen en tegelijkertijd aan zijn eigen beschermingsbehoeften. Een belangrijk referentiepunt is de Code inzake cyberbeveiliging, gepubliceerd in het Staatsblad (BOE), die de belangrijkste regelgeving op dit gebied samenbrengt.

Koninklijk Besluit-Wet 12/2018 en de daaropvolgende ontwikkelingen

Koninklijk Decreet-Wet 12/2018, betreffende de beveiliging van netwerken en informatiesystemen , is de regelgeving die de eerste NIS-richtlijn in Spaans recht omzet. Het definieert de beveiligingsvereisten en de meldingsplicht bij incidenten voor exploitanten van essentiële diensten en bepaalde aanbieders van digitale diensten (online marktplaatsen, zoekmachines en cloudcomputingdiensten die geen micro- of kleine ondernemingen zijn).

Tot de belangrijkste verplichtingen voor middelgrote en grote aanbieders van digitale diensten behoren: het melden van hun activiteiten aan de bevoegde autoriteit (Ministerie van Digitale Transformatie) binnen de eerste drie maanden, het treffen van passende technische en organisatorische maatregelen om beveiligingsrisico's te beheersen, en het melden van significante incidenten aan het betreffende CSIRT (indien van toepassing, INCIBE-CERT).

Deze maatregelen moeten rekening houden met de beveiliging van de IT-infrastructuur , incidentbeheer, bedrijfscontinuïteit, monitoring en auditing, en de naleving van internationale normen. Hoewel de norm geen uitputtende lijst van beheersmaatregelen bevat, definieert deze duidelijk de gebieden die moeten worden afgedekt om een ​​redelijk en proportioneel risicobeheer te bereiken.

De regelgeving is ontstaan ​​door Koninklijk Decreet 43/2021 , dat aanvullende verplichtingen oplegt aan exploitanten van elektronische communicatienetwerken en -diensten, waarmee de veiligheid en weerbaarheid van telecommunicatie-infrastructuren, een van de meest kritieke sectoren en een van de meest kwetsbare sectoren voor cyberaanvallen, wordt versterkt.

Gegevensbescherming, betrouwbare diensten en kritieke infrastructuur

Wat privacy betreft, vult de Spaanse organieke wet inzake gegevensbescherming en waarborging van digitale rechten (LOPDGDD) de AVG in Spanje aan en breidt deze uit. Deze wet stelt extra waarborgen en verplichtingen vast voor het gebruik van persoonsgegevens in digitale omgevingen. Organisaties zijn verplicht robuuste cybersecuritymaatregelen te implementeren om datalekken te voorkomen.

Op het gebied van elektronische identificatie en vertrouwensdiensten past Wet 6/2020 de Spaanse regelgeving aan de eIDAS-verordening aan. Deze wet definieert de verplichtingen van aanbieders van vertrouwensdiensten (elektronische handtekening en zegel, gecertificeerde levering, authenticatiecertificaten, enz.) en stelt een gedetailleerd kader vast voor de cyberbeveiliging van deze cruciale diensten.

Aan de andere kant legt Wet 8/2011 betreffende de bescherming van kritieke infrastructuur het juridische kader vast voor de bescherming van systemen en activa die essentieel zijn voor de samenleving, de economie en de nationale veiligheid. Hoewel de oorsprong ervan nauwer verbonden is met fysieke beveiliging, erkent de wet uitdrukkelijk dat veel van deze infrastructuren afhankelijk zijn van ICT-netwerken en -systemen, waardoor cyberbeveiliging een integraal onderdeel vormt van de algehele bescherming.

Daarbij komt nog de Algemene Telecommunicatiewet van 2022, die communicatieaanbieders verplicht om veiligheidsmaatregelen te treffen en relevante incidenten aan de autoriteiten te melden, evenals het Nationale Veiligheidsschema (ENS) , dat in 2025 wordt geactualiseerd en verplichte veiligheidsprincipes, -vereisten en -niveaus vaststelt voor overheidsinstanties en hun technologieleveranciers.

Nationaal veiligheidsstelsel en openbare administraties

Het Nationaal Beveiligingskader (ENS) is in de praktijk het cybersecuritykader voor de publieke sector in Spanje. Het definieert basisprincipes (preventie, detectie, respons, herstel, continue verbetering) en specificeert een reeks maatregelen die moeten worden toegepast afhankelijk van het beveiligingsniveau (laag, gemiddeld, hoog) dat aan elk informatiesysteem is gekoppeld.

Dit schema vereist dat overheden en de leveranciers waarmee ze samenwerken periodieke beveiligingsaudits en -controles ondergaan , actueel beleid handhaven, identiteiten en toegang correct beheren, waar nodig encryptie toepassen en activiteiten registreren en analyseren om incidenten te detecteren.

NIS2 in Spanje: de volgende golf van regelgeving

Spanje werkt momenteel aan het Koninklijk Besluit dat NIS2 zal omzetten in de Spaanse wetgeving en het aantal sectoren en entiteiten dat onderworpen is aan strenge cybersecurityverplichtingen aanzienlijk zal uitbreiden. Naast de sectoren die al onder de regeling vallen, zullen nieuwe gebieden worden opgenomen, zoals bepaalde fabrikanten, postdiensten, onderzoek, geavanceerde ICT-aanbieders en andere.

Een van de meest relevante verwachte veranderingen is een algemene verkorting van de termijnen voor het melden van ernstige incidenten aan de autoriteiten, die in veel gevallen worden teruggebracht tot 24 uur, en een versterking van de verantwoordelijkheden van het management en de sanctieregimes , afgestemd op Europese normen (boetes tot 10 miljoen euro of een percentage van de wereldwijde omzet).

Internationale technische normen en standaarden voor cyberbeveiliging

Naast wetgeving vertrouwen organisaties op technische standaarden en internationale kaders die specificeren welke controles, processen en beste praktijken moeten worden geïmplementeerd. Deze standaarden helpen niet alleen bij het waarborgen van naleving van de regelgeving, maar tonen ook de nodige zorgvuldigheid aan klanten, partners en autoriteiten.

ISO/IEC 27000-familie en ISO-informatiebeveiliging

De ISO/IEC 27000-reeks is de de facto standaard voor informatiebeveiligingsbeheer . De kern ervan wordt gevormd door ISO/IEC 27001, die de eisen definieert voor de implementatie van een informatiebeveiligingsbeheersysteem (ISMS) op basis van de cyclus van continue verbetering: risico's analyseren, beheersmaatregelen definiëren, implementeren, evalueren en verbeteren.

De norm is gebaseerd op ISO/IEC 27002, die uitgebreide richtlijnen biedt voor organisatorische, technische en fysieke beheersmaatregelen (beleid, toegangscontrole, encryptie, fysieke beveiliging, veilige bedrijfsvoering, incidentbeheer, enz.). Gerelateerde normen zijn onder andere ISO/IEC 27005 (risicobeheer), ISO/IEC 27032 (cyberbeveiliging in de strikte zin van het woord) en ISO/IEC 27701 (privacy).

In veel sectoren is een ISO 27001-certificering bijna een vereiste geworden, omdat het de kans op ernstige incidenten aanzienlijk verkleint , nalevingsaudits (AVG, NIS2, ENS) vergemakkelijkt en het imago van de organisatie bij klanten en investeerders verbetert.

ISO/IEC 27032: Cyberbeveiliging in cyberspace

Terwijl ISO 27001 zich richt op het algemene beheer van informatiebeveiliging, richt ISO/IEC 27032 zich specifiek op cyberbeveiliging, begrepen als de bescherming van de cyberspace waar gebruikers, systemen, netwerken en connectiviteit , sociale netwerken, mobiele apparaten en kritieke infrastructuren met elkaar in interactie staan.

Deze standaard biedt richtlijnen voor het bestrijden van bedreigingen zoals geavanceerde malware, spyware, phishing en social engineering , het versterken van de beveiliging van netwerken en online diensten, het bevorderen van samenwerking tussen overheden, bedrijven en gebruikers, en het opzetten van kaders voor het delen van informatie over incidenten en kwetsbaarheden.

De implementatie ervan is met name nuttig voor organisaties die afhankelijk zijn van cloudservices, online platforms en samenwerkingsomgevingen, omdat het hen een gestructureerd overzicht biedt van bedreigingen in onderling verbonden omgevingen en de prioritaire beheersmaatregelen die ze moeten nemen.

ISO/IEC 27701: Privacy en gegevensbescherming

ISO /IEC 27701 breidt het ISMS van ISO 27001 uit met betrekking tot het beheer van de privacy van persoonsgegevens. Het definieert aanvullende rollen, verantwoordelijkheden en controles voor zowel gegevensverwerkers als -beheerders en sluit nauw aan bij de eisen van de AVG.

Door deze standaard te implementeren, kan een organisatie duidelijk aantonen dat zij privacy heeft geïntegreerd in haar bestuursmodel , specifieke risico's met betrekking tot persoonsgegevens beheert en formele processen heeft om de rechten van betrokkenen te waarborgen, datalekken te beheren en internationale gegevensoverdracht te beperken.

ISO 22301: Bedrijfscontinuïteit

Cyberbeveiliging wordt niet alleen gemeten aan het vermogen om een ​​aanval te weerstaan, maar ook aan de snelheid waarmee een organisatie kan herstellen en haar activiteiten kan voortzetten . Dit is waar ISO 22301, gericht op bedrijfscontinuïteitsbeheer, een rol speelt.

Deze norm vereist impactanalyses op de bedrijfsvoering (Business Impact Assessments, BIA's), het opstellen van continuïteitsstrategieën, gedocumenteerde herstelplannen, regelmatige tests en het in stand houden van communicatie- en coördinatiemechanismen tijdens crises. Een cyberbeveiligingsincident zonder continuïteitsplan kan een bedrijf wekenlang lamleggen en miljoenenverliezen veroorzaken.

NIST-kader voor cyberbeveiliging

In de Verenigde Staten is het NIST Cybersecurity Framework een maatstaf geworden die ook door Europese organisaties is overgenomen. Het is gestructureerd rond vijf kernfuncties: identificeren, beschermen, detecteren, reageren en herstellen.

Deze aanpak stelt bedrijven in staat hun volwassenheidsniveau in elke functie te beoordelen , investeringen te prioriteren en een evenwichtig cybersecurityprogramma te ontwerpen. Het is met name nuttig als aanvulling op de eisen van NIS2- of ISO-normen, omdat het een gemeenschappelijke taal en een zeer helder conceptueel kader biedt.

Nationaal veiligheidssysteem (ENS) en certificeringen in Spanje

In de Spaanse context fungeert het Nationale Veiligheidsschema (ENS) als een lokale en verplichte vertaling van veel principes van internationale normen , met name voor de publieke sector. Organisaties die diensten aan de overheid leveren, moeten zich vaak aan dit schema conformeren, wat hen in de praktijk ertoe aanzet modellen te gebruiken die vergelijkbaar zijn met ISO 27001 en 27002.

Naast het Nationaal Veiligheidsstelsel (ENS) neemt ook het gebruik van certificeringen zoals ISO 27001 en NIST-raamwerken toe. Spanje behoort tot de landen in Europa met het hoogste aantal gecertificeerde organisaties, en onderzoeken tonen aan dat gecertificeerde bedrijven het aantal ernstige incidenten verminderen en hun reactievermogen op aanvallen verbeteren.

Cybersecurityverplichtingen en beste praktijken voor bedrijven

Naast de letter van de wet moet elke organisatie die gevoelige informatie verwerkt of digitale diensten levert, cybersecurity als een strategische verantwoordelijkheid beschouwen . Zelfs wanneer een bedrijf niet strikt onder de NIS2 of Koninklijk Decreet-Wet 12/2018 valt, adviseren de autoriteiten om een ​​robuust beveiligingsplan te implementeren.

Risicoanalyse en eerste audit

De eerste verstandige stap is het uitvoeren van een risicoanalyse die kritieke activa (data, systemen, processen), technische en organisatorische kwetsbaarheden, meest waarschijnlijke bedreigingen (ransomware, phishing, DDoS, interne datalekken) en de potentiële impact van elk scenario in kaart brengt.

Parallel daaraan biedt een cybersecurity-audit een beoordeling van het huidige volwassenheidsniveau: bestaand beleid, technische configuraties, patchniveaus, personeelstraining, afhankelijkheid van derden, enzovoort. Dit uitgebreide overzicht maakt de ontwikkeling van een realistisch actieplan mogelijk, waarbij prioriteit wordt gegeven aan maatregelen met het grootste rendement op investering in risicoreductie.

Definitie van interne beleidsregels en procedures

Zodra het risico duidelijk is, is het tijd om de beslissingen te vertalen naar heldere interne beleidsregels en operationele procedures . Dit omvat onder andere het definiëren van welke applicaties zijn toegestaan, hoe gebruikersaccounts worden beheerd, welke wachtwoordvereisten gelden, hoe persoonlijke apparaten (BYOD) worden gebruikt, wat er met externe opslagmedia gebeurt, hoe back-ups worden uitgevoerd en getest, enzovoort.

Het is ook essentieel om procedures voor incidentbeheer vast te stellen (wie doet wat, wanneer moet er melding worden gemaakt, naar wie moet er worden geëscaleerd), regels voor het gebruik van bedrijfscommunicatiemiddelen (e-mail, samenwerkingstools), regels voor fysieke toegang tot faciliteiten en beveiligingscriteria die moeten worden vereist van cloud- of hostingproviders.

Automatisering en technologische hulpmiddelen

Beleid alleen is zinloos zonder de technologische hulpmiddelen die de implementatie ervan mogelijk maken . Belangrijke componenten zijn onder meer inbraakdetectie- en preventiesystemen (IDS/IPS), oplossingen voor identiteits- en toegangsbeheer (IAM), platforms voor correlatie van beveiligingsinformatie en -gebeurtenissen (SIEM) en oplossingen voor gegevensversleuteling voor data in rust en tijdens transport.

Automatisering is ook essentieel voor het beheer van de levenscyclus van digitale certificaten . Slecht beheerd verval van deze certificaten veroorzaakt meer problemen dan je zou denken: serviceonderbrekingen, authenticatiefouten of zelfs beveiligingslekken als gecompromitteerde certificaten niet tijdig worden ingetrokken.

Digitaal certificaatbeheer en codeondertekening

Digitale server- en gebruikerscertificaten (DV, OV, EV) zijn essentieel voor het waarborgen van de authenticiteit van websites, de vertrouwelijkheid van communicatie en de integriteit van uitgewisselde gegevens. Organisaties moeten ervoor zorgen dat ze het juiste certificaattype kiezen, het beheer ervan centraliseren, meldingen ontvangen wanneer certificaten verlopen en, waar mogelijk, verlengingen automatiseren.

Voor bedrijven die software ontwikkelen of applicaties distribueren, is digitale codeondertekening een fundamentele beveiligingsmaatregel: het garandeert dat de code sinds de release niet is gemanipuleerd en voorkomt dat gebruikers uitvoerbare bestanden installeren die met malware zijn aangepast. Codeondertekeningscertificaten, met name die met uitgebreide validatie (EV), voldoen aan de vertrouwensnormen die vereist zijn door besturingssystemen en browsers.

E-mailbeveiliging en personeelstraining

E-mail blijft de favoriete aanvalsvector: phishingcampagnes en via e-mail verspreide malware liggen aan de basis van de overgrote meerderheid van de incidenten . Om dit risico te verkleinen, is het noodzakelijk om protocollen zoals SPF, DKIM en DMARC te implementeren, encryptie en digitale handtekeningen te gebruiken in gevoelige e-mails, en geavanceerde filteroplossingen en beveiligde browserextensies in te zetten.

Technologie alleen is echter onvoldoende zonder voortdurende training en bewustwording . De ervaring leert dat meer dan 80% van de incidenten een menselijke component heeft: ongeautoriseerde klikken, gedeelde inloggegevens, zwakke wachtwoorden, onzorgvuldig gebruik van persoonlijke apparaten, enzovoort. Het integreren van cybersecurity in de bedrijfscultuur is net zo belangrijk als het installeren van een goede firewall.

De rol van internationale organisaties bij de regulering van cyberbeveiliging.

Cyberbeveiliging is per definitie een grensoverschrijdend probleem, en daarom spelen organisaties zoals de VN, de NAVO, de G7 en de G20 een belangrijke rol in de ontwikkeling van principes, aanbevelingen en samenwerkingskaders die rechtstreeks van invloed zijn op de Spaanse en Europese wetgeving.

De Raad van Europa heeft het Verdrag van Boedapest inzake cybercriminaliteit gepromoot , dat nog steeds het belangrijkste internationale verdrag is voor de vervolging van cybercriminaliteit. Spanje heeft zijn Wetboek van Strafrecht en procedures voor justitiële samenwerking afgestemd op dit verdrag, waardoor het onderzoek naar en de vervolging van grensoverschrijdende misdrijven wordt vergemakkelijkt.

Parallel daaraan hebben fora zoals de G7 en G20 politieke toezeggingen gedaan over de bescherming van kritieke infrastructuur, de bestrijding van cybercriminaliteit, internetgovernance en gegevensbescherming . Deze richtlijnen beïnvloeden de opstelling van nationale cybersecuritystrategieën en wetswijzigingen die de weerbaarheid van het financiële systeem, de energiesector en e-government versterken.

De NAVO heeft cyberspace op haar beurt opgenomen als een ander operationeel domein van collectieve verdediging . De deelname van Spanje aan oefeningen zoals Locked Shields en Cyber ​​Coalition draagt ​​bij aan de verbetering van de cyberverdedigingscapaciteiten, de aanpassing van de nationale wetgeving en de versterking van de samenwerking met bondgenoten in geval van grootschalige cyberaanvallen.

Tot slot bevordert de VN, via de Internationale Telecommunicatie Unie (ITU) en andere organen, wereldwijde standaarden, technische aanbevelingen en trainingsprogramma's die landen helpen bij het ontwikkelen van samenhangende regelgevingskaders, het beschermen van mensenrechten in cyberspace en een betere coördinatie tegen gemeenschappelijke cyberdreigingen.

Dit gehele internationale kader zet grote druk op Spanje en de overige EU-lidstaten om hun wettelijke kaders actueel te houden en af ​​te stemmen op de wereldwijde normen , zowel wat betreft preventie als reactie op incidenten.

Over het algemeen is de regelgeving op het gebied van cyberbeveiliging uitgegroeid tot een soort beschermend schild dat zich in hetzelfde razend tempo ontwikkelt als de dreigingen: Europese richtlijnen zoals NIS2, regelgeving zoals GDPR, DORA of eIDAS, nationale wetten, openbare veiligheidsregelingen, ISO-normen en NIST-raamwerken vormen samen een puzzel die organisaties dwingt om digitaal risicomanagement zeer serieus te nemen, hun beveiligingsprogramma's te professionaliseren en ervan uit te gaan dat cyberweerbaarheid niet langer een extraatje is, maar een essentiële voorwaarde om te kunnen blijven concurreren en met zekerheid te opereren in de huidige economie.