Implementace směrnice NIS2 ve Španělsku: situace, povinnosti a výzvy

Informatec Digital » Zdroje » Implementace směrnice NIS2 ve Španělsku: situace, povinnosti a výzvy

Evropská směrnice NIS2 kompletně změnila prostředí kybernetické bezpečnosti v Evropě, a zejména ve Španělsku. Nejde jen o další nařízení; představuje zásadní posun v tom, jak společnosti a veřejná správa řídí digitální rizika, hlásí incidenty a koordinují své aktivity s úřady.

Španělsko mezitím dosahuje stabilního, ale zjevně opožděného pokroku v transpozici směrnice: oficiální lhůta byla říjen 2024 a dodnes prochází budoucí zákon o koordinaci a správě kybernetické bezpečnosti parlamentním řízením. Tato situace vytváří poněkud zvláštní scénář: směrnice je již na evropské úrovni závazná, ale definitivní národní právní rámec dosud nebyl schválen, což mnoho organizací nechává ladem mezi morální a strategickou povinností připravit a posoudit svou situaci a absencí plně použitelného zákona.

Co je směrnice NIS2 a proč mění pravidla hry?

Směrnice (EU) 2022/2555, známá jako NIS2 , nahrazuje původní směrnici NIS s cílem stanovit vysokou společnou úroveň kybernetické bezpečnosti pro sítě a informační systémy v celé Evropské unii. Jejím účelem je posílit odolnost vůči kybernetickým incidentům , které by mohly ovlivnit základní služby a normální fungování společnosti a hospodářství.

Na rozdíl od svého předchůdce NIS2 výrazně rozšiřuje počet dotčených odvětví a subjektů a zahrnuje nejen tradiční kritickou infrastrukturu (energetiku, dopravu, vodohospodářství, bankovnictví nebo zdravotnictví), ale i oblasti, jako je veřejná správa, digitální infrastruktura, poštovní a kurýrní služby, nakládání s odpady, pokročilá výroba nebo výroba a distribuce potravin.

Směrnice zavádí harmonizovaný rámec minimálních požadavků na kybernetickou bezpečnost pro celou EU, který zahrnuje opatření pro řízení rizik, správu a řízení, ochranu dodavatelského řetězce, kontinuitu podnikání a včasné oznamování incidentů. Dále posiluje režim monitorování a sankcí a výslovně zvyšuje odpovědnost vrcholového managementu.

Dalším významným vývojem je jasný závazek ke spolupráci mezi členskými státy a vytvoření nebo posílení národních týmů pro reakci na počítačové bezpečnostní incidenty (CSIRT) , které jsou schopny koordinovat činnost na evropské úrovni v závažných krizových situacích. ENISA, Agentura EU pro kybernetickou bezpečnost, hraje v tomto ekosystému klíčovou roli, podporuje rozvoj národních strategií kybernetické bezpečnosti a prosazuje osvědčené postupy.

Finanční sektor je v podstatě vyloučen z působnosti NIS2 , jelikož nařízení DORA mají přednost jako lex specialis. I tak je logika digitální provozní odolnosti, která je hybnou silou DORA, plně v souladu s filozofií NIS2.

Aktuální stav transpozice NIS2 ve Španělsku

Směrnice NIS2 vstoupila v platnost 16. ledna 2023 a jako lhůtu pro její provedení byl stanoven 17. říjen 2024. Rok po uplynutí této lhůty Španělsko stále nedokončilo formální začlenění do svého vnitrostátního právního systému, což ho řadí do skupiny zaostávajících zemí.

V důsledku tohoto zpoždění zahájila Evropská komise řízení o nesplnění povinnosti proti řadě členských států. Dne 7. května 2025 zaslala Komise odůvodněné stanovisko devatenácti zemím, včetně Španělska, v němž je požádala, aby do dvou měsíců oznámily úplné provedení směrnice, s varováním, že pokud nebudou přijata nezbytná opatření, může věc postoupit Soudnímu dvoru EU.

V případě Španělska nastal zásadní zlom 14. ledna 2025, kdy Rada ministrů schválila návrh zákona o koordinaci a správě kybernetické bezpečnosti . Tento zákon bude sloužit jako základní nástroj pro provedení NIS2 do vnitrostátního práva a reorganizaci národního modelu správy kybernetické bezpečnosti.

Po počátečním schválení byl návrh zákona zpřístupněn k veřejné konzultaci a posouzení v období od 16. ledna do 10. února 2025 , což umožnilo občanům, podnikům, sdružením a dalším organizacím předkládat připomínky a návrhy na vylepšení. Následně byl text přezkoumán Mezirezortní technickou pracovní skupinou, která návrh konsolidovala s ohledem na obdrženou zpětnou vazbu, včetně zpětné vazby od expertních komunit, jako je Fórum ISMS.

I přesto a navzdory politické dynamice zůstává zákon v parlamentním procesu . Hovoří se o jeho předložení Radě ministrů ke schválení jako návrh zákona kolem listopadu a o možném schválení parlamentem do konce ledna nebo února následujícího roku, ale realita je taková, že Španělsko až do konce roku 2025 stále nemá plně použitelný vnitrostátní zákon, který by transponoval NIS2.

Návrh zákona o koordinaci a správě kybernetické bezpečnosti

Návrh zákona schválený španělskou vládou je společnou iniciativou ministerstev vnitra, obrany a digitální transformace a veřejné správy . Jeho účel je dvojí: za prvé, transponovat směrnici NIS2 a za druhé, organizovat koordinaci a řízení kybernetické bezpečnosti na národní úrovni a posílit ochranu sítí a informačních systémů před kybernetickými hrozbami, které by mohly mít dopad na kritickou infrastrukturu a základní služby.

Budoucí zákon se bude vztahovat na veřejné i soukromé subjekty působící v odvětvích, jako je energetika, doprava, bankovní a finanční infrastruktura, zdravotnictví, vodohospodářství, digitální infrastruktura, technologické služby a další kritická odvětví . Výslovně zahrnuje registry doménových jmen , jako je Dominios.es (spravovaný společností Red.es), které převezmou nové závazky v oblasti kybernetické bezpečnosti vzhledem ke své strategické roli ve stabilitě digitálního ekosystému.

Návrh je obecně v souladu s hlavními povinnostmi směrnice NIS2 a formuluje čtyři klíčové osy: posílení správy a řízení a odpovědnosti vrcholového managementu, obecná opatření pro řízení bezpečnostních rizik, určení pracovníka pro informační bezpečnost a jasné povinnosti hlášení incidentů.

Španělský zákon dále zavádí významný organizační prvek: vytvoření Národního centra kybernetické bezpečnosti (CNC) . Tento orgán bude fungovat jako koordinační orgán pro ochranu sítí a informačních systémů, harmonizovat kritéria mezi různými regulačními orgány (vnitra, obrany a digitální transformace), podporovat týmy pro reakci na počítačové bezpečnostní incidenty (CSIRT) a usnadňovat soudržnější vizi národního ekosystému kybernetické bezpečnosti.

Během fáze veřejných konzultací významně přispěly organizace jako ISMS Forum : posílením role pracovníka informační bezpečnosti, oddělením této pozice od zákona o soukromé bezpečnosti a zavedením specifických mechanismů reakce v případě, že subjektem, který nedodržuje předpisy, je veřejná správa, kterou ze své podstaty nelze finančně postihovat. Mezi návrhy patří možnost veřejných varování v souladu s ustanoveními LOPDGDD (Organický zákon o ochraně osobních údajů a záruce digitálních práv) týkajícími se ochrany údajů.

Odvětví a typy subjektů dotčených NIS2

NIS2 klasifikuje organizace, na které se vztahuje směrnice, jako zásadní nebo důležité subjekty , a to především na základě odvětví, ve kterém působí, a jejich velikosti (střední a velké společnosti, s výjimkami založenými na kritické důležitosti). Norma se obecně vztahuje na veřejné nebo soukromé subjekty působící v EU s možností zahrnutí menších organizací, pokud je členské státy označí za zásadní nebo důležité vzhledem k jejich relevanci.

Sektory s vysokou kritickou závažností jsou uvedeny v příloze I směrnice NIS2, zatímco ostatní kritické sektory jsou uvedeny v příloze II . Ve Španělsku je nárůst počtu sektorů poněkud menší než v jiných zemích, protože transpozice starého NIS již byla v souladu se zákonem č. 8/2011 o ochraně kritické infrastruktury, který zahrnoval 12 sektorů. NIS2 přesto zahrnuje nové oblasti, jako jsou poštovní a kurýrní služby, nakládání s odpady a několik kategorií výroby , a další rozděluje, například rozlišuje mezi pitnou vodou a odpadními vodami.

Mezi sektory a příklady subjektů vynikají následující:

• EnergieDodavatelé elektřiny, správci přepravních a distribučních sítí, výrobci, provozovatelé NEMO, účastníci trhu s elektřinou, provozovatelé nabíjecích stanic; provozovatelé a správci sítí pro plyn, ropu a vodík.
• Doprava: letecké společnosti, provozovatelé letišť, řízení letového provozu, správci železniční infrastruktury, železniční společnosti, subjekty námořní a říční dopravy, provozovatelé přístavů, služby lodní dopravy, orgány správy silnic a provozovatelé inteligentních dopravních systémů.
• Infrastruktura bankovnictví a finančního trhu: úvěrové instituce a správci obchodních center, centrální protistrany, s tou nuancí, že DORA funguje jako specifický odvětvový standard.
• Zdravotní sektorposkytovatelé zdravotní péče, referenční laboratoře EU, subjekty výzkumu a vývoje léčiv, výrobci základních a specializovaných farmaceutických produktů a výrobci základních zdravotnických prostředků v případě mimořádných událostí v oblasti veřejného zdraví.
• Pitná voda a odpadní vodaDodavatelé a distributoři pitné vody a společnosti odpovědné za sběr, likvidaci a čištění městských, domovních nebo průmyslových odpadních vod.
• Digitální infrastrukturaPoskytovatelé internetových ústředen (IXP), služby DNS, registry domén nejvyšší úrovně, poskytovatelé cloudových služeb, datová centra, sítě pro doručování obsahu (CDN), poskytovatelé důvěryhodných služeb, poskytovatelé veřejných elektronických komunikačních sítí a veřejné elektronické komunikační služby.
• Správa ICT služeb mezi podniky (B2B)poskytovatelé spravovaných služeb a poskytovatelé spravovaných bezpečnostních služeb s přímým dopadem na celý dodavatelský řetězec technologií.
• Veřejné správysubjekty státní správy a v určitých případech regionální a místní subjekty, pokud by narušení jejich služeb mohlo mít významný dopad na kritické sociální nebo ekonomické činnosti.
• Poštovní a kurýrní služby: dodavatelé, kteří provádějí sběr, třídění, přepravu a distribuci poštovních zásilek.
• Nakládání s odpady: společnosti zabývající se sběrem, přepravou, využitím a likvidací odpadu, včetně skládek.
• Chemické: společnosti, které vyrábějí, produkují a distribuují chemické látky a směsi, jakož i předměty z nich.
• Výroba, zpracování a distribuce potravin: potravinářské společnosti zabývající se velkoobchodní distribucí a velkoprůmyslovou výrobou a zpracováním.
• Pokročilá výrobavýrobci zdravotnických produktů a in vitro diagnostiky, výroba počítačových, elektronických a optických výrobků, elektrických zařízení, strojů a zařízení, motorových vozidel a dalších dopravních prostředků.
• Vesmírný sektorprovozovatelé pozemní infrastruktury, kteří podporují poskytování vesmírných služeb, s výjimkou těch, jejichž vlastnictví nebo správa odpovídá EU nebo třetím stranám v rámci jejího vesmírného programu.

Ve všech těchto odvětvích jsou velké subjekty obecně klasifikovány jako zásadní , zatímco střední subjekty bývají důležité, pokud nejsou výslovně uvedeny jinak. Malé podniky a mikropodniky jsou obvykle vyloučeny kvůli své velikosti, ale mohou být zahrnuty, pokud to jejich důležitost odůvodňuje.

Řízení a odpovědnosti vrcholového managementu

Jedním z nejvýznamnějších posunů v NIS2 a španělském návrhu legislativy je důraz na správu a řízení kybernetické bezpečnosti a přímou odpovědnost řídících orgánů . Článek 14 návrhu legislativy tuto myšlenku posiluje: kybernetická bezpečnost již není čistě technickou záležitostí, ale spíše strategickou otázkou nejvyšší úrovně.

Vrcholové vedení musí schvalovat a dohlížet na implementaci opatření pro řízení kybernetických rizik a zajistit, aby byla přiměřená kontextu organizace a identifikovaným rizikům. Řídící orgány navíc ponesou konečnou odpovědnost za jakékoli nedodržení, což souvisí s režimem zpřísněných sankcí.

Dalším klíčovým bodem je pravidelné školení managementu v oblasti kybernetické bezpečnosti . Pouhé delegování nestačí: vedoucí pracovníci musí být proškoleni, aby rozuměli rizikům, činili informovaná rozhodnutí a podporovali šíření silné bezpečnostní kultury v celé organizaci. Na oplátku budou zodpovědní za podporu pravidelných školicích programů pro ostatní zaměstnance.

Článek 20 NIS2 tento názor posiluje tím, že výslovně vyžaduje, aby si správní orgány byly vědomy svých povinností, schvalovaly opatření, zajišťovaly jejich provádění a byly schopny reagovat v extrémních situacích, a to i s osobními důsledky (jako je možné oddělení funkcí v určitých případech).

V této souvislosti se vztah mezi managementem a pracovníkem informační bezpečnosti (CISO nebo ekvivalent) stává klíčovým: očekává se plynulý a neustálý dialog založený na objektivních kritériích rizika a shody s předpisy.

Opatření k řízení rizik vyžadovaná NIS2

Článek 15 španělského návrhu zákona stanoví, že opatření pro řízení kybernetických bezpečnostních rizik musí být založena na národních, evropských a mezinárodních technických normách a musí minimálně integrovat požadavky stanovené v článku 21 NIS2 a rozpracované v prováděcím nařízení (EU) 2024/2690.

Mezi opatřeními, která musí zavést nezbytné a důležité subjekty , vynikají následující:

• Bezpečnostní politika a analýza rizik informačních systémů s pravidelnými revizemi.
• Řízení incidentů, včetně jasných postupů detekce, reakce a obnovy.
• Zajištění kontinuity podnikání, zálohování, obnova po havárii a krizové řízenízajištění provozní odolnosti.
• Zabezpečení dodavatelského řetězce a vztahů s dodavateli a přímými poskytovateli služeb, což zahrnuje uložení smluvních požadavků a schvalovací a auditní kontroly.
• řízení zranitelnosti při pořizování, vývoji a údržbě sítí a informačních systémů, včetně záplat a aktualizací.
• Zásady pro hodnocení účinnosti opatření v oblasti kybernetické bezpečnostiprostřednictvím auditů, metrik a pravidelných kontrol.
• Základní postupy a školení v oblasti kybernetické hygieny zaměstnanců, přizpůsobených různým profilům.
• Zásady kryptografie a šifrování aby byla zaručena důvěrnost a integrita informací.
• Zabezpečení lidských zdrojůZásady pro řízení přístupu a správu aktiv.
• Vícefaktorové nebo průběžné ověřování, ochrana hlasové komunikace a tísňové komunikace.

Ve Španělsku byla řada z těchto opatření již zahrnuta do Národního bezpečnostního rámce (ENS) , zejména pro veřejnou správu a její dodavatele. Státní agentura pro digitální správu a Národní kryptologické centrum dokonce představily EU silnou shodu ENS s NIS2 a zdůraznily jeho potenciál jako evropského benchmarku a jeho přínos k odolnosti národního digitálního ekosystému.

NIS2 však zvyšuje laťku pro mnohem širší škálu organizací, včetně malých a středních podniků ovlivněných velikostí nebo kritickou situací . Pro rozvinuté organizace je mnoho z těchto požadavků v souladu se stávajícími postupy; pro tisíce společností bez kybernetického zázemí představují významný skok v oblasti vyspělosti, zdrojů a interní organizace.

Hlavní pracovník pro informační bezpečnost (CISO) a jeho funkce

Článek 16 návrhu zákona stanoví, že všechny zásadní a důležité subjekty musí jmenovat úředníka pro informační bezpečnost . Tato role, inspirovaná předchozími zkušenostmi Španělska s původní NIS, se stává ústředním bodem pro koordinaci všeho, co souvisí s ochranou systémů a dat.

Mezi jeho hlavní funkce patří:

• Definovat a implementovat strategii kybernetické bezpečnosti organizace, v souladu s riziky, obchodními a regulačními povinnostmi.
• Vyhodnocovat, zmírňovat a průběžně kontrolovat rizika, udržování aktuálního přehledu o expozici subjektu.
• Spravovat důkazy, zásady a záznamy nezbytné k prokázání souladu povinností vyplývajících z NIS2 a vnitrostátních předpisů.
• Podporujte kulturu kybernetické bezpečnosti v koordinaci s vrcholovým managementem, školení a zvyšování povědomí všech zaměstnanců.
• Zajistit dodržování povinností hlášení incidentů, koordinace zpráv pro příslušné orgány.

Španělsko bylo jednou z prvních zemí, které při transpozici bývalého zákona o NIS explicitně zavedly roli vedoucího informační bezpečnosti (CISO) . Zkušenosti však ukázaly, že značný počet klíčových provozovatelů tuto roli nikdy formálně nejmenoval a ani tak nebyl penalizován. NIS2 v kombinaci s budoucím španělským právem a přísnějším sankčním režimem se snaží tuto laxnost napravit a dát CISO silnější a uznávanější postavení.

Do budoucna se očekává masivní nárůst počtu povinných subjektů : z přibližně 400 současných nezbytných subjektů na odhadovaných 5 000 až 50 000 nezbytných a důležitých subjektů. To bude znamenat značnou poptávku po odbornících v oblasti kybernetické bezpečnosti, a to jak interních, tak externích, zejména pro malé a střední podniky, které tuto roli dříve nikdy nezastávaly.

Povinnosti hlášení incidentů a řízení zranitelností

Směrnice NIS2 klade prvořadý důraz na včasné oznamování bezpečnostních incidentů s významným dopadem . Článek 18 španělského návrhu právních předpisů tuto povinnost podrobněji rozvádí a je v souladu s lhůtami a obsahem stanovenými směrnicí.

Pokud subjekt utrpí incident, který by mohl způsobit vážné narušení poskytování jeho služeb nebo značné škody jemu samotnému či třetím stranám, musí dodržovat následující systém hlášení:

• První oznámenído 24 hodin od zjištění incidentu s poskytnutím základních dostupných informací.
• Průběžná zprávado maximálně 72 hodin od zjištění, s počátečním posouzením dopadu a závažnosti.
• Konečná zprávado maximálně jednoho měsíce od prvního oznámení, včetně podrobného popisu incidentu, jeho dopadu, závažnosti a přijatých opatření.

NIS2 dále posiluje řízení zranitelností a komunikaci : nejde jen o hlášení ukončených incidentů, ale také o sdílení relevantních informací o zranitelnostech , které mohou mít systémový dopad, což usnadňuje koordinaci reakcí na národní i evropské úrovni.

Ve Španělsku se ekosystém reakce opírá o tři hlavní referenční týmy CSIRT : CCN-CERT (pro veřejnou správu, strategické společnosti a utajované systémy), INCIBE-CERT (pro soukromý sektor a občany) a MCCE (pro sektor obrany). Tyto týmy doplňuje síť csirt.es, která sdružuje desítky specializovaných týmů a propojuje se s mezinárodními sítěmi, jako je FIRST, a také s národní sítí SOC.

Zásadní a důležité subjekty musí hlásit své incidenty příslušným týmům CSIRT v souladu s odvětvovými předpisy a pokyny budoucího Národního centra kybernetické bezpečnosti, které bude působit jako koordinační prvek a styčný prvek s agenturou ENISA a zbytkem členských států.

Sankční režim a evropský tlak

Směrnice NIS2 zavádí výrazně přísnější sankční režim než předchozí směrnice NIS . U klíčových subjektů mohou nejzávažnější porušení vést k pokutám až do výše 10 milionů EUR neboli 2 % celosvětového obratu skupiny, zatímco u velkých subjektů mohou pokuty dosáhnout až 7 milionů EUR neboli 1,4 % celosvětového obratu.

V současné době ve Španělsku nebyly uvaleny žádné sankce na základě NIS2 , částečně proto, že transpoziční zákon dosud nevstoupil v platnost a dozorčí orgán nebyl formálně určen. V ostatních členských státech je transpozice provedena nedávno, takže je stále příliš brzy na očekávání rozsáhlých sankcí.

Odborníci se však shodují, že když země jako Francie nebo Německo začnou uplatňovat sankce , Španělsko si nemůže dovolit zaostávat, pokud chce na evropské úrovni zachovat harmonizaci a důvěryhodnost. Tlak Komise, vyvíjený prostřednictvím řízení o nesplnění povinnosti a odůvodněných stanovisek, se snaží tohoto cíle dosáhnout.

Kromě finančních sankcí NIS2 poprvé výslovně zavádí odpovědnost vrcholového managementu v oblasti kybernetické bezpečnosti . Oddělení mezi managementem a CISO již není možné: řídící orgán musí být zapojen, informován a musí činit nezbytná rozhodnutí.

Největší výzva podle specialistů, jako jsou ti z ISMS Forum, spočívá v síti malých a středních podniků, které, aniž by si toho byly plně vědomy, budou vázány směrnicí NIS2 . Mnohým z nich chybí dostatečné zdroje, procesy ani kultura kybernetické bezpečnosti a budou „tlačeny“ jak zákonem, tak požadavky svých velkých klientů v dodavatelském řetězci, kteří budou muset požadovat smluvní záruky pro dodržování směrnice.

Podporovat iniciativy, studie a roli ENS

Souběžně s legislativním pokrokem Španělsko podporuje technické a znalostní iniciativy s cílem usnadnit adaptaci podnikatelského sektoru na NIS2. Například Fórum ISMS pracuje na studii dopadu NIS2 na španělské společnosti v rámci mimořádné katedry kybernetické bezpečnosti a ochrany údajů na UCM.

Tento projekt má dvojí cíl: vytvořit neoficiální sčítání společností dotčených NIS2 a změřit jejich úroveň kybernetické vyspělosti. V první fázi bude sčítání provedeno s využitím komplexních databází (obchodní rejstřík, DIRCE/INE, odvětvové databáze atd.) s očekávanými výsledky kolem listopadu 2025. Ve druhé fázi bude reprezentativnímu vzorku společností (s cílem 1 000 odpovědí) zaslán krátký dotazník s cílem posoudit jejich úroveň připravenosti s očekávanými výsledky do května 2026.

Analýza bude zahrnovat segmentaci podle odvětví, velikosti, geografického rozložení a typu subjektu (zásadní nebo důležitý) a závěry budou prezentovány v souhrnné manažerské zprávě bez individuálních údajů, která bude sloužit jak společnostem, tak i úřadům.

Zároveň organizace jako ISMS Forum a různé veřejné agentury pořádají po celé zemi osvětové akce se zvláštním zaměřením na malé a střední podniky. Cílem je „evangelizovat“, jasně vysvětlit, co NIS2 obnáší, proč je nezbytné mít CISO (interního nebo externího), jak definovat základní zásady kybernetické bezpečnosti a jak se připravit na budoucí zákon a jeho doplňující předpisy.

Z čistě regulačního hlediska byl Národní bezpečnostní rámec (ENS) v Evropě prezentován jako jedna z největších silných stránek Španělska . Státní agentura pro digitální správu a Národní kryptologické centrum (CCN) se sdílely se skupinou pro spolupráci NIS2 o nashromážděné zkušenosti ENS, jeho profily souladu s předpisy a jeho integraci s evropskými certifikačními systémy podle nařízení (EU) 2019/881 (zákon o kybernetické bezpečnosti). Pozitivní přijetí této prezentace posiluje image Španělska jako proaktivního aktéra zavázaného k robustní, soudržné a harmonizované kybernetické bezpečnosti.

V této souvislosti se adaptace Španělska na NIS2 potýká s tlakem termínů, technickou robustností nástrojů, jako je Národní bezpečnostní systém (ENS), a obrovskou výzvou začlenění tisíců nových subjektů do pokročilé kultury kybernetické bezpečnosti. Organizace, které se dostanou dopředu, provedou situační posouzení a začnou slaďovat své postupy se směrnicí nyní, budou mít lepší pozici k minimalizaci rizik, vyhnutí se budoucím sankcím a prokáží proaktivní a zralý přístup ke kybernetickým hrozbám.