Reglementarea securității cibernetice: legi, standarde și obligații

Ghid alfa » Juegos » Reglementarea securității cibernetice: legi, standarde și obligații

Reglementările privind securitatea cibernetică au devenit un pilon fundamental pentru ca întreprinderile, administrațiile publice și cetățenii să funcționeze cu o liniște sufletească relativă într-un mediu digital din ce în ce mai agresiv. Atacurile ransomware, încălcările masive de date, furtul de identitate și sabotajul infrastructurii critice nu mai sunt scenarii futuriste, ci mai degrabă evenimente cotidiene pentru organizații de toate dimensiunile.

Având în vedere această situație, soluția nu se poate limita la instalarea unui software antivirus și la speranța că totul va fi bine: este nevoie de un cadru de reglementare robust, coerent și în continuă evoluție pentru a defini obligații clare, a stabili standarde minime de securitate și a promova cooperarea internațională. În paragrafele următoare, veți găsi o prezentare generală cuprinzătoare a cadrului juridic spaniol și european, a celor mai importante standarde tehnice (ISO, NIST, ENS), a obligațiilor pentru companii și a tendințelor emergente în materie de reglementare.

Ce este securitatea cibernetică și ce tipuri de amenințări reglementează legea?

Când vorbim despre securitate cibernetică, vorbim despre protejarea sistemelor, rețelelor și datelor împotriva oricărui acces, utilizare, modificare sau distrugere neautorizată. Definiția utilizată de Inițiativa Națională pentru Cariere și Studii în Securitate Cibernetică din SUA (NICCS) o descrie ca fiind activitatea, procesul sau capacitatea prin care sistemele de informații și comunicații, precum și informațiile pe care le conțin, sunt apărate împotriva deteriorării sau exploatării.

În practică, aceasta se traduce printr-un set de măsuri tehnice, organizatorice, legale și de instruire care vizează protejarea informațiilor digitale într-un mediu de rețea interconectat. Securitatea cibernetică se încadrează sub umbrela securității informațiilor, dar cu un accent foarte clar pe riscurile care apar în mod specific în spațiul cibernetic.

În acest context, apar concepte conexe pe care se concentrează și reglementarea, cum ar fi criminalitatea cibernetică, amenințările cibernetice și spațiul cibernetic în sine . Criminalitatea cibernetică cuprinde comportamentele infracționale comise prin intermediul internetului (fraudă online, atacuri de sistem, extorcare prin ransomware etc.). Amenințările cibernetice sunt posibilitățile sau oportunitățile de a provoca daune folosind mijloace digitale. Iar spațiul cibernetic este înțeles ca acea realitate interconectată care se extinde dincolo de internet și integrează rețele, dispozitive și sisteme la nivel mondial.

Activitățile ilegale care se încadrează în această categorie sunt foarte variate: de la frauda în comerțul electronic sau furtul de acreditări până la introducerea de programe malware în sistemele unei companii, răspândirea de știri false pentru a dăuna unei persoane, uzurparea identității mărcii sau atacuri deliberate asupra infrastructurii critice. Prin urmare, securitatea cibernetică se conectează cu diverse ramuri ale dreptului, cum ar fi dreptul penal, dreptul civil, protecția datelor și dreptul la onoare și viață privată.

Cheia constă în dimensiunea online a comportamentului și în impactul său : atunci când un atac este comis în mediul digital, viteza de propagare, acoperirea geografică și dificultatea atribuirii schimbă complet regulile jocului. Acest lucru justifică adaptarea rapidă a legislației pentru a acoperi situații care nici măcar nu fuseseră luate în considerare în lumea fizică.

Cadrul european de reglementare pentru securitatea cibernetică

Uniunea Europeană a dezvoltat un cadru de reglementare cuprinzător pentru a aborda amenințările cibernetice , combinând directive, reglementări și strategii specifice. Obiectivul este dublu: în primul rând, creșterea nivelului minim de securitate în toate statele membre; și, în al doilea rând, prevenirea ca vulnerabilitatea unei țări să devină o poartă de acces pentru compromiterea altora.

Directivele NIS și NIS2: inima securității cibernetice în UE

Primul pas major în acest proces a fost Directiva 2016/1148, cunoscută sub numele de Directiva NIS , care a stabilit măsuri pentru a asigura un nivel comun de securitate pentru rețelele și sistemele informatice din întreaga UE. Acest regulament impune statelor membre să adopte strategii naționale de securitate cibernetică, să creeze echipe de răspuns la incidente de securitate informatică (CSIRT) și să monitorizeze operatorii de servicii esențiale și furnizorii de servicii digitale.

Directiva NIS reglementează în mod specific obligațiile operatorilor de servicii esențiale (cum ar fi energia, transporturile, asistența medicală și serviciile bancare) și ale anumitor furnizori de servicii digitale. Aceștia sunt obligați să adopte măsuri tehnice și organizatorice proporționale cu riscul, să asigure un nivel adecvat de securitate și să notifice prompt autoritatea competentă sau CSIRT-ul național cu privire la incidentele semnificative.

Cu toate acestea, creșterea criminalității cibernetice și accelerarea digitalizării în urma pandemiei au demonstrat necesitatea de a merge mai departe. Acest lucru a condus la adoptarea Directivei (UE) 2022/2555, cunoscută sub numele de NIS2 , care extinde sectoarele acoperite, consolidează cerințele de gestionare a riscurilor și scurtează semnificativ termenele de raportare a incidentelor (24 de ore pentru prima notificare).

NIS2 include noi obligații de securitate, stabilește regimuri de supraveghere mai stricte și sancțiuni economice relevante pentru entitățile esențiale și importante și subliniază în mod explicit responsabilitatea organelor de conducere, care trebuie să fie implicate în gestionarea securității cibernetice și pot fi sancționate în caz de neglijență gravă.

Regulamentul UE privind securitatea cibernetică și sistemul de certificare

Un alt pilon cheie este Regulamentul UE din 2019 privind securitatea cibernetică , care consolidează mandatul ENISA (Agenția Uniunii Europene pentru Securitate Cibernetică) și creează un cadru european de certificare a securității cibernetice pentru produsele, serviciile și procesele TIC.

Datorită acestui cadru, o companie poate certifica un produs sau serviciu de securitate cibernetică o singură dată , iar certificatul respectiv poate fi recunoscut în întreaga UE, simplificând comerțul intern și sporind încrederea pieței. Certificarea devine un sigiliu de calitate care facilitează demonstrarea conformității cu cerințele de securitate impuse de clienți și autoritățile de reglementare.

Comisia Europeană a rafinat acest cadru și a propus modificări specifice, cum ar fi cea aprobată în ianuarie 2025, pentru a permite scheme europene de certificare aplicabile serviciilor de securitate gestionate (răspuns la incidente, teste de penetrare, audituri de securitate, consultanță etc.). Scopul este de a consolida încrederea în serviciile esențiale pentru prevenirea, detectarea și redresarea în urma atacurilor cibernetice.

Un nou rol pentru ENISA

ENISA a evoluat de la un organism în principal tehnic și consultativ la unul cu un mandat permanent și consolidat . Funcțiile sale cheie includ pregătirea terenului pentru schemele de certificare, raportarea publică a certificatelor emise, sprijinirea cooperării operaționale dintre statele membre și acționarea ca punct de referință în incidentele transfrontaliere majore.

În plus, Comisia a propus ca ENISA să dezvolte o capacitate comună de gestionare a vulnerabilităților la nivelul UE , care să ofere servicii părților interesate și să opereze un punct unic de acces pentru raportarea incidentelor, așa cum este prevăzut în inițiative precum Digital Omnibus. Toate acestea vizează armonizarea gestionării vulnerabilităților și îmbunătățirea răspunsului coordonat la atacurile complexe.

GDPR, eIDAS, DORA și alte elemente cheie

Alături de NIS2 și Regulamentul privind securitatea cibernetică, alte reglementări europene au un impact direct asupra securității cibernetice. Regulamentul general privind protecția datelor (GDPR) impune adoptarea unor măsuri tehnice și organizatorice adecvate pentru a garanta confidențialitatea, integritatea și disponibilitatea datelor cu caracter personal, cu sancțiuni care pot ajunge până la 4% din cifra de afaceri globală.

Regulamentul eIDAS , la rândul său, stabilește cadrul pentru identificarea electronică și serviciile de încredere (semnături electronice, sigilii, mărci temporale, livrare electronică certificată, autentificarea site-urilor web). Prin stabilirea unor cerințe de securitate foarte stricte, acesta devine un element esențial pentru asigurarea încrederii în tranzacțiile digitale atât în ​​sectorul public, cât și în cel privat.

În sectorul financiar, Regulamentul DORA (Legea privind reziliența operațională digitală) adaugă un nivel suplimentar de obligații privind reziliența digitală, testele avansate de penetrare, gestionarea TIC-urilor critice de către terți și notificarea incidentelor, aliniindu-se spiritului NIS2, dar cu un accent foarte specific pe serviciile financiare.

Reglementarea securității cibernetice în Spania

Spania și-a adaptat legislația pentru a se alinia cerințelor europene, abordând în același timp propriile nevoi de protecție. Un punct de referință cheie este Codul Legii privind Securitatea Cibernetică publicat în Monitorul Oficial al Statului (BOE), care compilează principalele reglementări care afectează acest domeniu.

Decretul-lege regal 12/2018 și dezvoltările ulterioare

Decretul-lege regal 12/2018, privind securitatea rețelelor și sistemelor informatice , este regulamentul care transpune prima Directivă NIS în legislația spaniolă. Acesta definește cerințele de securitate și obligațiile de raportare a incidentelor pentru operatorii de servicii esențiale și anumiți furnizori de servicii digitale (piețe online, motoare de căutare și servicii de cloud computing care nu sunt microîntreprinderi sau întreprinderi mici).

Printre cele mai relevante obligații pentru furnizorii de servicii digitale de dimensiuni medii și mari se numără: comunicarea activității lor către autoritatea competentă (Ministerul Transformării Digitale) în primele trei luni, adoptarea unor măsuri tehnice și organizatorice adecvate pentru gestionarea riscurilor de securitate și notificarea incidentelor semnificative către CSIRT-ul corespunzător (unde este cazul, INCIBE-CERT).

Aceste măsuri trebuie să ia în considerare securitatea infrastructurii IT , gestionarea incidentelor, continuitatea activității, monitorizarea și auditul, precum și conformitatea cu standardele internaționale. Deși standardul nu oferă o listă exhaustivă a controalelor, acesta definește clar domeniile care trebuie acoperite pentru a realiza o gestionare rezonabilă și proporțională a riscurilor.

Dezvoltarea reglementărilor a venit prin Decretul Regal 43/2021 , care specifică obligații suplimentare pentru operatorii de rețele și servicii de comunicații electronice, consolidând securitatea și reziliența infrastructurilor de telecomunicații, unul dintre cele mai critice sectoare și expuse atacurilor cibernetice.

Protecția datelor, servicii de încredere și infrastructură critică

În ceea ce privește confidențialitatea, Legea organică spaniolă privind protecția datelor și garantarea drepturilor digitale (LOPDGDD) completează și extinde GDPR-ul în Spania, stabilind garanții și obligații suplimentare pentru utilizarea datelor cu caracter personal în mediile digitale. Această legislație impune organizațiilor să implementeze controale robuste de securitate cibernetică pentru a preveni încălcările și scurgerile de date.

În domeniul identificării electronice și al serviciilor de încredere, Legea 6/2020 adaptează reglementările spaniole la Regulamentul eIDAS, definind obligațiile furnizorilor de servicii de încredere (semnătură și sigiliu electronic, livrare certificată, certificate de autentificare etc.) și stabilind un cadru detaliat pentru securitatea cibernetică a acestor servicii critice.

Pe de altă parte, Legea 8/2011 privind protecția infrastructurilor critice stabilește cadrul juridic pentru protejarea sistemelor și activelor esențiale pentru societate, economie și securitate națională. Deși originile sale sunt mai strâns legate de protecția fizică, legea recunoaște în mod expres că multe dintre aceste infrastructuri depind de rețele și sisteme TIC, încorporând astfel securitatea cibernetică ca parte integrantă a protecției generale.

La toate acestea se adaugă Legea generală a telecomunicațiilor din 2022, care obligă operatorii de comunicații să adopte măsuri de securitate și să notifice autorităților incidentele relevante, precum și Schema națională de securitate (ENS) , actualizată în 2025, care stabilește principii, cerințe și niveluri de securitate obligatorii pentru administrațiile publice și furnizorii acestora de tehnologie.

Schema Națională de Securitate și Administrațiile Publice

Cadrul Național de Securitate (ENS) este, în practică, cadrul de securitate cibernetică pentru sectorul public din Spania. Acesta definește principiile de bază (prevenire, detectare, răspuns, recuperare, îmbunătățire continuă) și specifică un set de măsuri care trebuie aplicate în funcție de nivelurile de securitate (scăzut, mediu, ridicat) asociate fiecărui sistem informatic.

Această schemă impune administrațiilor și furnizorilor care lucrează cu acestea să se supună audituri și controale de securitate periodice , să mențină politici actualizate, să gestioneze corespunzător identitățile și accesul, să aplice criptarea acolo unde este cazul și să înregistreze și să analizeze activitatea pentru a detecta incidentele.

NIS2 în Spania: următorul val de reglementări

Spania lucrează deja la Decretul Regal care va transpune NIS2 și va extinde semnificativ numărul de sectoare și entități supuse unor obligații stricte de securitate cibernetică. Pe lângă sectoarele deja acoperite, vor fi incluse noi domenii, cum ar fi anumiți producători, serviciile poștale, cercetarea, furnizorii de TIC avansate și altele.

Printre cele mai relevante schimbări așteptate se numără o reducere generală a termenelor de notificare a incidentelor grave către autorități, care vor fi reduse la 24 de ore în multe cazuri, și o consolidare a responsabilităților manageriale și a regimurilor de sancțiuni , aliniate cu cifrele europene (amenzi de până la 10 milioane de euro sau un procent din cifra de afaceri globală).

Standarde și norme tehnice internaționale de securitate cibernetică

Dincolo de legislație, organizațiile se bazează pe standarde tehnice și cadre internaționale care specifică ce controale, procese și cele mai bune practici trebuie implementate. Aceste standarde nu numai că ajută la asigurarea conformității cu reglementările, dar demonstrează și diligența necesară față de clienți, parteneri și autorități.

Familia ISO/IEC 27000 și securitatea informațiilor ISO

Familia ISO/IEC 27000 este standardul de facto în managementul securității informațiilor . În centrul său se află ISO/IEC 27001, care definește cerințele pentru implementarea unui Sistem de Management al Securității Informațiilor (SMSI) bazat pe ciclul de îmbunătățire continuă: analiza riscurilor, definirea controalelor, implementarea acestora, revizuirea lor și îmbunătățirea lor.

Standardul se bazează pe ISO/IEC 27002, care oferă îndrumări cuprinzătoare privind controalele organizaționale, tehnice și fizice (politici, controlul accesului, criptare, securitate fizică, operațiuni securizate, gestionarea incidentelor etc.). Standardele conexe includ ISO/IEC 27005 (gestionarea riscurilor), ISO/IEC 27032 (securitate cibernetică în sens strict) și ISO/IEC 27701 (confidențialitate).

În multe sectoare, certificarea ISO 27001 a devenit aproape o cerință de intrare, deoarece reduce semnificativ probabilitatea incidentelor grave , facilitează auditurile de conformitate (GDPR, NIS2, ENS) și îmbunătățește imaginea organizației în fața clienților și investitorilor.

ISO/IEC 27032: Securitate cibernetică în spațiul cibernetic

În timp ce ISO 27001 se concentrează pe managementul general al securității informațiilor, ISO/IEC 27032 se concentrează în mod specific pe securitatea cibernetică, înțeleasă ca protecția spațiului cibernetic în care interacționează utilizatorii, sistemele, rețelele și conectivitatea , rețelele sociale, dispozitivele mobile și infrastructurile critice.

Acest standard oferă îndrumări pentru combaterea amenințărilor precum programele malware avansate, spyware-ul, phishing-ul și ingineria socială , consolidarea securității rețelelor și a serviciilor online, încurajarea colaborării dintre guverne, companii și utilizatori și stabilirea unor cadre pentru partajarea informațiilor despre incidente și vulnerabilități.

Implementarea sa este utilă în special pentru organizațiile care se bazează pe servicii cloud, platforme online și ecosisteme colaborative, deoarece le oferă o imagine structurată asupra amenințărilor din mediile interconectate și a controalelor prioritare pe care trebuie să le abordeze.

ISO/IEC 27701: Confidențialitate și protecția datelor

ISO /IEC 27701 extinde ISMS-ul standardului ISO 27001 pentru a acoperi gestionarea confidențialității datelor cu caracter personal. Acesta definește roluri, responsabilități și controale suplimentare atât pentru operatorii de date, cât și pentru persoanele împuternicite de operatori și este strâns aliniat cu cerințele GDPR.

Prin implementarea acestui standard, o organizație poate demonstra în mod clar că a integrat confidențialitatea în modelul său de guvernanță , gestionează riscurile specifice legate de datele cu caracter personal și a formalizat procese pentru a aborda drepturile persoanelor vizate, a gestiona încălcările și a limita transferurile internaționale de date.

ISO 22301: Continuitatea afacerii

Securitatea cibernetică nu se măsoară doar prin capacitatea de a rezista unui atac, ci și prin viteza cu care o organizație se poate recupera și își poate continua activitatea . Aici intervine standardul ISO 22301, axat pe managementul continuității afacerii.

Acest standard impune evaluări ale impactului asupra afacerii (BIA), stabilirea unor strategii de continuitate, planuri de redresare documentate, teste regulate și menținerea unor mecanisme de comunicare și coordonare în timpul crizelor. Un incident de securitate cibernetică fără un plan de continuitate poate paraliza o companie timp de săptămâni și poate genera pierderi de ordinul milioanelor.

Cadrul NIS pentru securitate cibernetică

În Statele Unite, Cadrul de Securitate Cibernetică NIST a devenit un punct de referință, adoptat și de organizațiile europene. Acesta este structurat în jurul a cinci funcții cheie: identificare, protecție, detectare, răspuns și recuperare.

Această abordare permite companiilor să își evalueze maturitatea în fiecare funcție , să prioritizeze investițiile și să conceapă un program echilibrat de securitate cibernetică. Este utilă în special pentru completarea cerințelor standardelor NIS2 sau ISO, deoarece oferă un limbaj comun și un cadru conceptual foarte clar.

Schema Națională de Securitate (ENS) și certificări în Spania

În contextul spaniol, Schema Națională de Securitate (ENS) acționează ca o traducere locală și obligatorie a multor principii ale standardelor internaționale , în special pentru sectorul public. Organizațiile care furnizează servicii guvernului sunt adesea obligate să se alinieze la această schemă, ceea ce, în practică, le împinge să adopte modele similare cu ISO 27001 și 27002.

Împreună cu Schema Națională de Securitate (ENS), adoptarea unor certificări precum ISO 27001 și NIST a fost în creștere. Spania se numără printre primele țări din Europa în ceea ce privește numărul de organizații certificate, iar sondajele arată că firmele certificate reduc incidentele grave și își îmbunătățesc capacitatea de răspuns la atacuri.

Obligații și cele mai bune practici în domeniul securității cibernetice pentru companii

Dincolo de litera legii, orice organizație care gestionează informații sensibile sau furnizează servicii digitale trebuie să recunoască securitatea cibernetică ca o responsabilitate strategică . Chiar și atunci când o companie nu se încadrează strict în domeniul de aplicare al NIS2 sau al Decretului Regal-Lege 12/2018, autoritățile recomandă implementarea unui plan robust de securitate.

Analiza riscurilor și auditul inițial

Primul pas sensibil este efectuarea unei analize de risc care identifică activele critice (date, sisteme, procese), vulnerabilitățile tehnice și organizaționale, cele mai probabile amenințări (ransomware, phishing, DDoS, scurgeri interne) și impactul potențial al fiecărui scenariu.

În paralel, un audit de securitate cibernetică permite o evaluare a nivelului actual de maturitate: politicile existente, configurațiile tehnice, nivelurile de aplicare a patch-urilor, instruirea personalului, dependența de terți etc. Această imagine de ansamblu cuprinzătoare permite dezvoltarea unui plan de acțiune realist, prioritizând măsurile cu cel mai mare randament al investiției în reducerea riscurilor.

Definirea politicilor și procedurilor interne

Odată ce riscul este înțeles, este timpul să se transpună deciziile în politici interne și proceduri operaționale clare . Aceasta include definirea aplicațiilor permise, a modului în care sunt gestionate conturile de utilizator, a cerințelor privind parolele care se aplică, a modului în care sunt utilizate dispozitivele personale (BYOD), a ceea ce se face cu suporturile de stocare externe, a modului în care sunt efectuate și testate copiile de rezervă și așa mai departe.

De asemenea, este esențial să se stabilească proceduri de gestionare a incidentelor (cine face ce, când trebuie notificat, cui trebuie escaladat), reguli pentru utilizarea mediilor de comunicare corporative (e-mail, instrumente de colaborare), reguli pentru accesul fizic la instalații și criterii de securitate care să fie solicitate furnizorilor de servicii cloud sau de găzduire.

Automatizare și instrumente tehnologice

Politicile în sine nu au sens fără instrumentele tehnologice care facilitează implementarea lor . Componentele cheie includ sisteme de detectare și prevenire a intruziunilor (IDS/IPS), soluții de gestionare a identității și accesului (IAM), platforme de corelare a informațiilor de securitate și a evenimentelor (SIEM) și soluții de criptare a datelor pentru datele aflate în repaus și în tranzit.

Automatizarea este, de asemenea, vitală în gestionarea ciclului de viață al certificatelor digitale , ale căror expirari gestionate necorespunzător cauzează mai multe incidente decât pare: întreruperi ale serviciilor, erori de autentificare sau chiar breșe de securitate dacă certificatele compromise nu sunt revocate la timp.

Gestionarea certificatelor digitale și semnarea codului

Certificatele digitale de server și utilizator (DV, OV, EV) sunt esențiale pentru asigurarea autenticității site-ului web, confidențialității comunicațiilor și integrității datelor schimbate. Organizațiile ar trebui să se asigure că aleg tipul de certificat adecvat, centralizează gestionarea acestuia, primesc alerte de expirare și automatizează reînnoirile ori de câte ori este posibil.

În paralel, pentru companiile care dezvoltă software sau distribuie aplicații, semnarea digitală a codului este un control fundamental: garantează că acesta nu a fost modificat de la lansare și împiedică utilizatorii să instaleze executabile modificate cu programe malware. Certificatele de semnare a codului, în special cele cu validare extinsă (EV), respectă standardele de încredere impuse de sistemele de operare și browsere.

Securitatea e-mailului și instruirea personalului

E-mailul rămâne vectorul preferat al atacatorilor: campaniile de phishing și programele malware distribuite prin e-mail se află în spatele marii majorități a incidentelor . Pentru a reduce acest risc, este necesar să se implementeze protocoale precum SPF, DKIM și DMARC, să se utilizeze criptarea și semnăturile digitale în e-mailurile sensibile, să se implementeze soluții avansate de filtrare și să se utilizeze extensii de browser securizate.

Cu toate acestea, tehnologia singură este insuficientă fără instruire și conștientizare continuă . Experiența arată că peste 80% dintre incidente au o componentă umană: clicuri neautorizate, acreditări partajate, parole slabe, utilizarea neglijentă a dispozitivelor personale și așa mai departe. Integrarea securității cibernetice în cultura companiei este la fel de importantă ca instalarea unui firewall bun.

Rolul organizațiilor internaționale în reglementarea securității cibernetice

Securitatea cibernetică este, prin definiție, o problemă transfrontalieră și de aceea organizații precum ONU, NATO, G7 sau G20 și-au asumat un rol relevant în dezvoltarea principiilor, recomandărilor și cadrelor de cooperare care influențează direct legislația spaniolă și europeană.

Consiliul Europei a promovat Convenția de la Budapesta privind criminalitatea cibernetică , care rămâne tratatul internațional de referință pentru urmărirea penală a infracțiunilor cibernetice. Spania și-a aliniat Codul penal și procedurile de cooperare judiciară la această convenție, facilitând investigarea și urmărirea penală a infracțiunilor care transced granițele.

În paralel, forumuri precum G7 și G20 au emis angajamente politice privind protecția infrastructurilor critice, lupta împotriva criminalității cibernetice, guvernanța internetului și protecția datelor . Aceste orientări influențează elaborarea strategiilor naționale de securitate cibernetică și a reformelor legislative care consolidează reziliența sistemului financiar, a sectorului energetic și a guvernării electronice.

NATO, la rândul său, a integrat spațiul cibernetic ca un alt domeniu operațional al apărării colective . Participarea Spaniei la exerciții precum Locked Shields și Cyber ​​Coalition contribuie la îmbunătățirea capacităților de apărare cibernetică, la ajustarea legislației naționale și la consolidarea cooperării cu aliații în cazul unor atacuri cibernetice de mare amploare.

În cele din urmă, ONU, prin intermediul Uniunii Internaționale a Telecomunicațiilor (UIT) și al altor organisme, promovează standarde globale, recomandări tehnice și programe de formare care ajută țările să dezvolte cadre de reglementare coerente, să protejeze drepturile omului în spațiul cibernetic și să se coordoneze mai bine împotriva amenințărilor cibernetice comune.

Întregul cadru internațional pune o presiune puternică asupra Spaniei și a restului statelor UE pentru a-și menține cadrele juridice actualizate și aliniate la standardele globale , atât în ​​prevenirea, cât și ca răspuns la incidente.

Per ansamblu, reglementarea securității cibernetice a devenit un fel de scut de reglementare care evoluează în același ritm frenetic ca și amenințările: directive europene precum NIS2, reglementări precum GDPR, DORA sau eIDAS, legile naționale, schemele de securitate publică, standardele ISO și cadrele NIST se îmbină precum piesele unui puzzle care obligă organizațiile să ia foarte în serios managementul riscurilor digitale, să își profesionalizeze programele de securitate și să își asume că reziliența cibernetică nu mai este un plus, ci o condiție esențială pentru a continua să concureze și să funcționeze cu garanții în economia actuală.