Forskrift om nettsikkerhet: lover, standarder og forpliktelser

Alfaguide » Juegos » Forskrift om nettsikkerhet: lover, standarder og forpliktelser

Nettsikkerhetsforskrifter har blitt en grunnleggende pilar for at bedrifter, offentlige forvaltninger og innbyggere skal kunne operere med relativ trygghet i et stadig mer aggressivt digitalt miljø. Løsepengevirusangrep, massive datainnbrudd, identitetstyveri og sabotasje av kritisk infrastruktur er ikke lenger futuristiske scenarier, men snarere hverdagslige hendelser for organisasjoner i alle størrelser.

Gitt denne situasjonen kan ikke løsningen begrenses til å installere antivirusprogramvare og håpe på det beste: et robust, sammenhengende og stadig utviklende regelverk er nødvendig for å definere klare forpliktelser, etablere minimumssikkerhetsstandarder og fremme internasjonalt samarbeid. I de følgende avsnittene finner du en omfattende oversikt over det spanske og europeiske juridiske rammeverket, de viktigste tekniske standardene (ISO, NIST, ENS), forpliktelsene for selskaper og nye regulatoriske trender.

Hva er cybersikkerhet, og hvilke typer trusler regulerer loven?

Når vi snakker om cybersikkerhet, snakker vi om å beskytte systemer, nettverk og data mot uautorisert tilgang, bruk, modifisering eller ødeleggelse. Definisjonen som brukes av det amerikanske National Initiative for Cybersecurity Careers and Studies (NICCS) beskriver det som aktiviteten, prosessen eller evnen som informasjons- og kommunikasjonssystemer, og informasjonen de inneholder, forsvares mot skade eller utnyttelse.

I praksis betyr dette et sett med tekniske, organisatoriske, juridiske og opplæringstiltak som tar sikte på å beskytte digital informasjon i et sammenkoblet nettverksmiljø. Nettsikkerhet faller inn under paraplyen informasjonssikkerhet, men med et veldig klart fokus på risikoene som oppstår spesifikt i cyberspace.

I denne sammenhengen dukker det opp relaterte konsepter som regulering også fokuserer på, som nettkriminalitet, cybertrusler og selve cyberrommet . Nettkriminalitet omfatter kriminell handling begått via internett (nettsvindel, systemangrep, utpressing med løsepengevirus osv.). Cybertrusler er mulighetene eller mulighetene til å forårsake skade ved hjelp av digitale midler. Og cyberrommet forstås som den sammenkoblede virkeligheten som strekker seg utover internett og integrerer nettverk, enheter og systemer over hele verden.

De ulovlige aktivitetene som faller inn under denne paraplyen er svært varierte: fra e-handelssvindel eller tyveri av legitimasjon til innføring av skadelig programvare i et selskaps systemer, spredning av falske nyheter for å skade en person, merkevareetterligning eller bevisste angrep på kritisk infrastruktur. Derfor er cybersikkerhet knyttet til ulike rettsgrener som strafferett, sivilrett, databeskyttelse og retten til ære og personvern.

Nøkkelen ligger i den digitale dimensjonen av atferden og dens innvirkning : Når et angrep utføres i det digitale miljøet, endrer spredningshastigheten, den geografiske rekkevidden og vanskeligheten med å tilskrive angrepet spillereglene fullstendig. Dette rettferdiggjør den raske tilpasningen av lovgivningen for å dekke situasjoner som ikke engang hadde blitt vurdert i den fysiske verden.

Det europeiske regelverket for cybersikkerhet

EU har utviklet et omfattende regelverk for å håndtere cybertrusler , som kombinerer direktiver, forskrifter og spesifikke strategier. Målet er todelt: for det første å heve minimumsnivået av sikkerhet i alle medlemsland; og for det andre å forhindre at sårbarheten til ett land blir en inngangsport for å kompromittere andre.

NIS- og NIS2-direktivene: kjernen i cybersikkerhet i EU

Det første store skrittet i denne prosessen var direktiv 2016/1148, kjent som NIS-direktivet , som etablerte tiltak for å sikre et felles sikkerhetsnivå for nettverk og informasjonssystemer i hele EU. Denne forordningen krever at medlemsstatene vedtar nasjonale strategier for cybersikkerhet, oppretter team for respons på datasikkerhetshendelser (CSIRT-er) og overvåker operatører av viktige tjenester og leverandører av digitale tjenester.

NIS-direktivet regulerer spesifikt forpliktelsene til operatører av viktige tjenester (som energi, transport, helsevesen og bankvirksomhet) og visse leverandører av digitale tjenester. De er pålagt å iverksette tekniske og organisatoriske tiltak som står i forhold til risikoen, sikre et tilstrekkelig sikkerhetsnivå og umiddelbart varsle den kompetente myndigheten eller den nasjonale CSIRT-en om betydelige hendelser.

Økningen i nettkriminalitet og den akselererende digitaliseringen etter pandemien viste imidlertid behovet for å gå lenger. Dette førte til vedtakelsen av direktiv (EU) 2022/2555, kjent som NIS2 , som utvider sektorene som dekkes, styrker kravene til risikostyring og forkorter fristene for rapportering av hendelser betydelig (24 timer for første varsel).

NIS2 innlemmer nye sikkerhetsforpliktelser, etablerer strengere tilsynsregimer og relevante økonomiske sanksjoner for essensielle og viktige enheter, og peker eksplisitt på ansvaret til ledelsesorganer, som må være involvert i styring av cybersikkerhet og kan sanksjoneres ved grov uaktsomhet.

EUs cybersikkerhetsforordning og sertifiseringssystem

En annen sentral søyle er EUs cybersikkerhetsforordning fra 2019 , som styrker mandatet til ENISA (EU-byrået for cybersikkerhet) og oppretter et europeisk rammeverk for cybersikkerhetssertifisering for IKT-produkter, -tjenester og -prosesser.

Takket være dette rammeverket kan et selskap sertifisere et cybersikkerhetsprodukt eller en tjeneste bare én gang og få sertifikatet anerkjent i hele EU, noe som forenkler intern handel og øker markedets tillit. Sertifisering blir et kvalitetsstempel som gjør det enklere å demonstrere samsvar med sikkerhetskrav som kreves av kunder og regulatorer.

Europakommisjonen har forbedret dette rammeverket og har foreslått spesifikke endringer, som den som ble godkjent i januar 2025, for å tillate europeiske sertifiseringsordninger som gjelder for administrerte sikkerhetstjenester (hendelsesrespons, penetrasjonstesting, sikkerhetsrevisjoner, rådgivning osv.). Målet er å styrke tilliten til tjenester som er kritiske for å forebygge, oppdage og gjenopprette etter cyberangrep.

En ny rolle for ENISA

ENISA har utviklet seg fra et primært teknisk og rådgivende organ til et med et permanent og styrket mandat . Hovedfunksjonene inkluderer å forberede grunnlaget for sertifiseringsordninger, offentlig rapportere om utstedte sertifikater, støtte operativt samarbeid mellom medlemslandene og fungere som et referansepunkt ved større grenseoverskridende hendelser.

Videre har Kommisjonen foreslått at ENISA utvikler en felles EU-dekkende sårbarhetshåndteringskapasitet , som tilbyr tjenester til interessenter og driver ett enkelt kontaktpunkt for hendelsesrapportering, slik det er planlagt i initiativer som Digital Omnibus. Alt dette tar sikte på å harmonisere sårbarhetshåndtering og forbedre den koordinerte responsen på komplekse angrep.

GDPR, eIDAS, DORA og andre viktige elementer

Ved siden av NIS2 og cybersikkerhetsforordningen har andre europeiske forskrifter en direkte innvirkning på cybersikkerhet. Personvernforordningen (GDPR) krever at det vedtas passende tekniske og organisatoriske tiltak for å garantere konfidensialitet, integritet og tilgjengelighet av personopplysninger, med bøter som kan nå opptil 4 % av den globale omsetningen.

eIDAS-forordningen etablerer på sin side rammeverket for elektronisk identifikasjon og tillitstjenester (elektroniske signaturer, segl, tidsstempler, sertifisert elektronisk levering, nettstedsautentisering). Ved å sette svært strenge sikkerhetskrav blir den et viktig element for å sikre tillit til digitale transaksjoner i både offentlig og privat sektor.

I finanssektoren legger DORA-forordningen (Digital Operational Resilience Act) til et ekstra lag med forpliktelser angående digital robusthet, avansert penetrasjonstesting, kritisk tredjeparts IKT-håndtering og hendelsesvarsling, i tråd med ånden i NIS2, men med et svært spesifikt fokus på finansielle tjenester.

Nettsikkerhetsregulering i Spania

Spania har tilpasset lovgivningen sin for å samsvare med europeiske krav, samtidig som de ivaretar sine egne beskyttelsesbehov. Et viktig referansepunkt er cybersikkerhetsloven som er publisert i den offisielle statstidende (BOE), som samler de viktigste forskriftene som påvirker dette området.

Kongelig lovdekret 12/2018 og senere utvikling

Kongelig lovdekret 12/2018 om sikkerhet i nettverk og informasjonssystemer er forskriften som implementerer det første NIS-direktivet i spansk lov. Den definerer sikkerhetskravene og forpliktelsene til hendelsesrapportering for operatører av viktige tjenester og visse leverandører av digitale tjenester (nettmarkedsplasser, søkemotorer og skytjenester som ikke er mikro- eller småbedrifter).

Blant de mest relevante forpliktelsene for mellomstore og store leverandører av digitale tjenester er: å kommunisere sin aktivitet til den kompetente myndigheten (Ministeriet for digital transformasjon) innen de første tre månedene, iverksette passende tekniske og organisatoriske tiltak for å håndtere sikkerhetsrisikoer, og varsle betydelige hendelser til den tilhørende CSIRT-en (der det er aktuelt, INCIBE-CERT).

Disse tiltakene må ta hensyn til IT-infrastruktursikkerhet , hendelseshåndtering, forretningskontinuitet, overvåking og revisjon, samt samsvar med internasjonale standarder. Selv om standarden ikke gir en uttømmende liste over kontroller, definerer den tydelig områdene som må dekkes for å oppnå rimelig og forholdsmessig risikostyring.

Den regulatoriske utviklingen har kommet fra kongelig dekret 43/2021 , som spesifiserer ytterligere forpliktelser for operatører av elektroniske kommunikasjonsnettverk og -tjenester, og styrker sikkerheten og robustheten til telekommunikasjonsinfrastrukturer, en av de mest kritiske sektorene og utsatt for cyberangrep.

Databeskyttelse, pålitelige tjenester og kritisk infrastruktur

Når det gjelder personvern, utfyller og utvider den spanske organiske loven om databeskyttelse og garanti for digitale rettigheter (LOPDGDD) GDPR i Spania, og etablerer ytterligere sikkerhetstiltak og forpliktelser for bruk av personopplysninger i digitale miljøer. Denne lovgivningen krever at organisasjoner implementerer robuste cybersikkerhetskontroller for å forhindre datainnbrudd og lekkasjer.

Innen elektronisk identifikasjon og tillitstjenester tilpasser lov 6/2020 spanske forskrifter til eIDAS-forordningen, og definerer forpliktelsene til tillitstjenesteleverandører (elektronisk signatur og segl, sertifisert levering, autentiseringssertifikater osv.) og etablerer et detaljert rammeverk for cybersikkerheten til disse kritiske tjenestene.

På den annen side etablerer lov 8/2011 om beskyttelse av kritisk infrastruktur det juridiske rammeverket for å beskytte systemer og eiendeler som er avgjørende for samfunnet, økonomien og nasjonal sikkerhet. Selv om dens opprinnelse er nærmere knyttet til fysisk beskyttelse, anerkjenner loven uttrykkelig at mange av disse infrastrukturene er avhengige av IKT-nettverk og -systemer, og dermed integreres cybersikkerhet som en integrert del av den overordnede beskyttelsen.

I tillegg til alt dette kommer den generelle telekommunikasjonsloven av 2022, som forplikter kommunikasjonsoperatører til å iverksette sikkerhetstiltak og varsle myndighetene om relevante hendelser, samt den nasjonale sikkerhetsordningen (ENS) , oppdatert i 2025, som etablerer obligatoriske sikkerhetsprinsipper, krav og nivåer for offentlige forvaltninger og deres teknologileverandører.

Nasjonal sikkerhetsordning og offentlige forvaltninger

Det nasjonale sikkerhetsrammeverket (ENS) er i praksis rammeverket for cybersikkerhet for offentlig sektor i Spania. Det definerer grunnleggende prinsipper (forebygging, deteksjon, respons, gjenoppretting, kontinuerlig forbedring) og spesifiserer et sett med tiltak som må anvendes i henhold til sikkerhetsnivåene (lavt, middels, høyt) knyttet til hvert informasjonssystem.

Denne ordningen krever at administrasjoner og leverandørene som samarbeider med dem gjennomgår periodiske sikkerhetsrevisjoner og -kontroller , opprettholder oppdaterte retningslinjer, administrerer identiteter og tilgang på riktig måte, bruker kryptering der det er hensiktsmessig, og registrerer og analyserer aktivitet for å oppdage hendelser.

NIS2 i Spania: den neste regulatoriske bølgen

Spania jobber allerede med det kongelige dekretet som vil implementere NIS2 og betydelig utvide antallet sektorer og enheter som er underlagt strenge cybersikkerhetsforpliktelser. I tillegg til sektorer som allerede er dekket, vil nye områder bli innlemmet, som visse produsenter, posttjenester, forskning, avanserte IKT-leverandører og andre.

Blant de mest relevante endringene som forventes er en generell reduksjon i tidsfristene for å varsle myndighetene om alvorlige hendelser, som i mange tilfeller vil bli redusert til 24 timer, og en styrking av ledelsesansvar og sanksjonsregimer , i samsvar med europeiske tall (bøter på opptil 10 millioner euro eller en prosentandel av den globale omsetningen).

Internasjonale tekniske standarder og normer for cybersikkerhet

Utover lovgivning er organisasjoner avhengige av tekniske standarder og internasjonale rammeverk som spesifiserer hvilke kontroller, prosesser og beste praksis som skal implementeres. Disse standardene bidrar ikke bare til å sikre samsvar med regelverket, men demonstrerer også aktsomhet overfor kunder, partnere og myndigheter.

ISO/IEC 27000-familien og ISO-informasjonssikkerhet

ISO/IEC 27000-familien er de facto-standarden innen informasjonssikkerhetsstyring . Kjernen er ISO/IEC 27001, som definerer kravene for implementering av et informasjonssikkerhetsstyringssystem (ISMS) basert på den kontinuerlige forbedringssyklusen: analyser risikoer, definer kontroller, implementer dem, gjennomgå dem og forbedre dem.

Standarden er basert på ISO/IEC 27002, som gir omfattende veiledning om organisatoriske, tekniske og fysiske kontroller (policyer, tilgangskontroll, kryptering, fysisk sikkerhet, sikker drift, hendelseshåndtering osv.). Relaterte standarder inkluderer ISO/IEC 27005 (risikostyring), ISO/IEC 27032 (nettsikkerhet i streng forstand) og ISO/IEC 27701 (personvern).

I mange sektorer har det å ha ISO 27001-sertifisering blitt nærmest et inngangskrav, ettersom det reduserer sannsynligheten for alvorlige hendelser betydelig , forenkler samsvarsrevisjoner (GDPR, NIS2, ENS) og forbedrer organisasjonens image hos kunder og investorer.

ISO/IEC 27032: Nettsikkerhet i cyberspace

Mens ISO 27001 fokuserer på den overordnede styringen av informasjonssikkerhet, fokuserer ISO/IEC 27032 spesifikt på cybersikkerhet forstått som beskyttelse av cyberspace der brukere, systemer, nettverk og tilkobling , sosiale nettverk, mobile enheter og kritisk infrastruktur samhandler.

Denne standarden gir retningslinjer for å bekjempe trusler som avansert skadelig programvare, spionprogrammer, phishing og sosial manipulering , styrke sikkerheten til nettverk og nettjenester, fremme samarbeid mellom myndigheter, bedrifter og brukere, og etablere rammeverk for deling av informasjon om hendelser og sårbarheter.

Implementeringen er spesielt nyttig for organisasjoner som er avhengige av skytjenester, nettplattformer og samarbeidende økosystemer, ettersom det gir dem en strukturert oversikt over trusler i sammenkoblede miljøer og prioriteringskontrollene de må håndtere.

ISO/IEC 27701: Personvern og databeskyttelse

ISO /IEC 27701 utvider ISMS-systemet i ISO 27001 til å dekke håndtering av personvern. Den definerer ytterligere roller, ansvar og kontroller for både behandlingsansvarlige og databehandlere, og er nøye i tråd med kravene i GDPR.

Ved å implementere denne standarden kan en organisasjon tydelig demonstrere at den har integrert personvern i sin styringsmodell , håndterer spesifikke risikoer knyttet til personopplysninger og har formalisert prosesser for å håndtere den registrertes rettigheter, håndtere brudd og begrense internasjonale dataoverføringer.

ISO 22301: Forretningskontinuitet

Nettsikkerhet måles ikke bare etter evnen til å motstå et angrep, men også etter hvor raskt en organisasjon kan gjenopprette seg og fortsette driften . Det er her ISO 22301, med fokus på styring av forretningskontinuitet, kommer inn i bildet.

Denne standarden krever konsekvensutredninger for virksomheten (BIA-er), etablering av kontinuitetsstrategier, dokumenterte gjenopprettingsplaner, regelmessig testing og vedlikehold av kommunikasjons- og koordineringsmekanismer under kriser. En cybersikkerhetshendelse uten en kontinuitetsplan kan lamme et selskap i flere uker og generere tap i millionklassen.

NIST Cybersecurity Framework

I USA har NIST Cybersecurity Framework blitt en målestokk som også har blitt tatt i bruk av europeiske organisasjoner. Den er strukturert rundt fem nøkkelfunksjoner: identifisere, beskytte, oppdage, reagere og gjenopprette.

Denne tilnærmingen lar selskaper vurdere modenheten sin i hver funksjon , prioritere investeringer og utforme et balansert cybersikkerhetsprogram. Den er spesielt nyttig for å utfylle kravene i NIS2- eller ISO-standarder, ettersom den gir et felles språk og et veldig tydelig konseptuelt rammeverk.

Nasjonal sikkerhetsordning (ENS) og sertifiseringer i Spania

I spansk kontekst fungerer den nasjonale sikkerhetsordningen (ENS) som en lokal og obligatorisk oversettelse av mange prinsipper i internasjonale standarder , spesielt for offentlig sektor. Organisasjoner som tilbyr tjenester til myndighetene er ofte pålagt å tilpasse seg denne ordningen, noe som i praksis presser dem til å ta i bruk modeller som ligner på ISO 27001 og 27002.

Sammen med den nasjonale sikkerhetsordningen (ENS) har innføringen av sertifiseringer som ISO 27001 og NIST-rammeverk økt. Spania er blant de beste landene i Europa når det gjelder antall sertifiserte organisasjoner, og undersøkelser viser at sertifiserte selskaper reduserer alvorlige hendelser og forbedrer sin responskapasitet på angrep.

Forpliktelser innen nettsikkerhet og beste praksis for bedrifter

Utover lovens bokstav må enhver organisasjon som håndterer sensitiv informasjon eller tilbyr digitale tjenester anerkjenne cybersikkerhet som et strategisk ansvar . Selv når et selskap faller utenfor det strenge virkeområdet til NIS2 eller kongelig lovdekret 12/2018, anbefaler myndighetene å implementere en robust sikkerhetsplan.

Risikoanalyse og innledende revisjon

Det første fornuftige steget er å gjennomføre en risikoanalyse som identifiserer kritiske eiendeler (data, systemer, prosesser), tekniske og organisatoriske sårbarheter, mest sannsynlige trusler (ransomware, phishing, DDoS, interne lekkasjer) og den potensielle effekten av hvert scenario.

Parallelt gir en cybersikkerhetsrevisjon mulighet for en vurdering av gjeldende modenhetsnivå: eksisterende retningslinjer, tekniske konfigurasjoner, oppdateringsnivåer, opplæring av ansatte, avhengighet av tredjeparter osv. Denne omfattende oversikten muliggjør utvikling av en realistisk handlingsplan, som prioriterer tiltak med størst avkastning på investeringen i risikoreduksjon.

Definisjon av interne retningslinjer og prosedyrer

Når risikoen er forstått, er det på tide å oversette beslutningene til klare interne retningslinjer og driftsprosedyrer . Dette inkluderer å definere hvilke applikasjoner som er tillatt, hvordan brukerkontoer administreres, hvilke passordkrav som gjelder, hvordan personlige enheter (BYOD) brukes, hva som gjøres med eksterne lagringsmedier, hvordan sikkerhetskopier utføres og testes, og så videre.

Det er også viktig å etablere prosedyrer for hendelseshåndtering (hvem gjør hva, når skal varsles, til hvem skal eskaleres), regler for bruk av bedriftens kommunikasjonsmedier (e-post, samarbeidsverktøy), regler for fysisk tilgang til fasiliteter og sikkerhetskriterier som skal kreves av leverandører av sky- eller hostingtjenester.

Automatisering og teknologiske verktøy

Retningslinjer alene er meningsløse uten de teknologiske verktøyene som forenkler implementeringen av dem . Nøkkelkomponenter inkluderer systemer for inntrengingsdeteksjon og -forebygging (IDS/IPS), løsninger for identitets- og tilgangsadministrasjon (IAM), plattformer for sikkerhetsinformasjon og hendelseskorrelasjon (SIEM) og datakrypteringsløsninger for data som er lagret og under overføring.

Automatisering er også viktig for å administrere livssyklusen til digitale sertifikater , hvis dårlig administrerte utløpsdatoer forårsaker flere hendelser enn det ser ut til: tjenesteavbrudd, autentiseringsfeil eller til og med sikkerhetsbrudd hvis kompromitterte sertifikater ikke tilbakekalles i tide.

Digital sertifikathåndtering og kodesignering

Digitale sertifikater for servere og brukere (DV, OV, EV) er avgjørende for å sikre nettstedsautentisitet, konfidensialiteten til kommunikasjon og integriteten til utvekslede data. Organisasjoner bør sørge for at de velger riktig sertifikattype, sentraliserer administrasjonen, mottar utløpsvarsler og automatiserer fornyelser når det er mulig.

Parallelt med dette er digital kodesignering en grunnleggende kontroll for selskaper som utvikler programvare eller distribuerer applikasjoner: den garanterer at koden ikke har blitt tuklet med siden utgivelsen, og forhindrer brukere i å installere kjørbare filer som er endret med skadelig programvare. Kodesigneringssertifikater, spesielt de med utvidet validering (EV), overholder tillitsstandardene som kreves av operativsystemer og nettlesere.

E-postsikkerhet og opplæring av ansatte

E-post er fortsatt den foretrukne vektoren for angripere: phishing-kampanjer og skadelig programvare distribuert via e-post står bak de aller fleste hendelsene . For å redusere denne risikoen er det nødvendig å implementere protokoller som SPF, DKIM og DMARC, bruke kryptering og digitale signaturer i sensitive e-poster, og distribuere avanserte filtreringsløsninger og bruke sikre nettleserutvidelser.

Teknologi alene er imidlertid ikke tilstrekkelig uten kontinuerlig opplæring og bevissthet . Erfaring viser at over 80 % av hendelsene har en menneskelig komponent: uautoriserte klikk, delte påloggingsinformasjoner, svake passord, uforsiktig bruk av personlige enheter og så videre. Å integrere cybersikkerhet i bedriftskulturen er like viktig som å installere en god brannmur.

Internasjonale organisasjoners rolle i reguleringen av cybersikkerhet

Nettsikkerhet er per definisjon et grenseoverskridende problem, og det er derfor organisasjoner som FN, NATO, G7 eller G20 har påtatt seg en relevant rolle i utviklingen av prinsipper, anbefalinger og samarbeidsrammer som direkte påvirker spansk og europeisk lovgivning.

Europarådet fremmet Budapest-konvensjonen om nettkriminalitet , som fortsatt er den internasjonale referanseavtalen for rettsforfølgelse av nettkriminalitet. Spania har tilpasset sin straffelov og prosedyrer for rettslig samarbeid med denne konvensjonen, noe som letter etterforskning og rettsforfølgelse av forbrytelser som krysser landegrenser.

Parallelt har fora som G7 og G20 gitt politiske forpliktelser om beskyttelse av kritisk infrastruktur, kampen mot nettkriminalitet, internettstyring og databeskyttelse . Disse retningslinjene påvirker utarbeidelsen av nasjonale strategier for nettsikkerhet og juridiske reformer som styrker motstandskraften til finanssystemet, energisektoren og e-forvaltning.

NATO har på sin side innlemmet cyberspace som et annet operativt domene for kollektivt forsvar . Spanias deltakelse i øvelser som Locked Shields og Cyber ​​Coalition bidrar til å forbedre cyberforsvarskapasiteten, justere nasjonal lovgivning og styrke samarbeidet med allierte i tilfelle storskala cyberangrep.

Til slutt fremmer FN, gjennom Den internasjonale telekommunikasjonsunionen (ITU) og andre organer, globale standarder, tekniske anbefalinger og opplæringsprogrammer som hjelper land med å utvikle sammenhengende regelverk, beskytte menneskerettigheter i cyberrommet og bedre koordinere mot vanlige cybertrusler.

Hele dette internasjonale rammeverket legger sterkt press på Spania og resten av EU-landene for å holde sine juridiske rammeverk oppdatert og i samsvar med globale standarder , både i forebygging og respons på hendelser.

Samlet sett har regulering av cybersikkerhet blitt et slags regulatorisk skjold som utvikler seg i samme frenetiske tempo som truslene: Europeiske direktiver som NIS2, forskrifter som GDPR, DORA eller eIDAS, nasjonale lover, offentlige sikkerhetsordninger, ISO-standarder og NIST-rammeverk passer sammen som brikker i et puslespill som tvinger organisasjoner til å ta digital risikostyring svært alvorlig, profesjonalisere sikkerhetsprogrammene sine og anta at cyberrobusthet ikke lenger er en ekstra, men en essensiell betingelse for å fortsette å konkurrere og operere med garantier i dagens økonomi.