NIS2-direktiivin täytäntöönpano Espanjassa: tilanne, velvoitteet ja haasteet

Informatec Digital » Resurssit » NIS2-direktiivin täytäntöönpano Espanjassa: tilanne, velvoitteet ja haasteet

Eurooppalainen NIS2-direktiivi on mullistanut kyberturvallisuusmaiseman Euroopassa ja erityisesti Espanjassa. Kyseessä ei ole vain yksi asetus lisää; se edustaa perustavanlaatuista muutosta siinä, miten yritykset ja julkishallinnot hallitsevat digitaalisia riskejä, raportoivat vaaratilanteista ja koordinoivat toimiaan viranomaisten kanssa.

Samaan aikaan Espanja edistyy tasaisesti, mutta selvästi myöhässä direktiivin saattamisessa osaksi kansallista lainsäädäntöä: virallinen määräaika oli lokakuu 2024, ja tuleva kyberturvallisuuden koordinointi- ja hallintolaki on edelleen parlamentaaristen menettelyjen kohteena. Tämä tilanne luo jokseenkin omituisen skenaarion: direktiivi on jo sitova Euroopan tasolla, mutta lopullista kansallista lainsäädäntöä ei ole vielä hyväksytty, minkä vuoksi monet organisaatiot ovat jääneet puristuksiin moraalisen ja strategisen velvollisuuden valmistautua ja arvioida tilannettaan sekä täysin sovellettavan lain puuttumisen välillä.

Mikä on NIS2-direktiivi ja miksi se muuttaa pelin sääntöjä?

Direktiivi (EU) 2022/2555, joka tunnetaan nimellä NIS2 , korvaa alkuperäisen verkko- ja tietoturvadirektiivin tavoitteenaan luoda korkea yhteinen kyberturvallisuuden taso verkkoille ja tietojärjestelmille kaikkialla Euroopan unionissa. Sen tarkoituksena on vahvistaa kyberturvallisuusriskiä , ​​joka voisi vaikuttaa keskeisiin palveluihin sekä yhteiskunnan ja talouden normaaliin toimintaan.

Toisin kuin edeltäjänsä, NIS2 laajentaa merkittävästi sen vaikutuspiiriin kuuluvien alojen ja toimijoiden määrää kattamalla perinteisten kriittisten infrastruktuurien (energia, liikenne, vesi, pankkitoiminta tai terveydenhuolto) lisäksi myös sellaisia ​​aloja kuin julkishallinto, digitaaliset infrastruktuurit, posti- ja kuriiripalvelut, jätehuolto, edistynyt valmistus tai elintarvikkeiden tuotanto ja jakelu.

Direktiivi luo yhdenmukaisen kehyksen kyberturvallisuuden vähimmäisvaatimuksille koko EU:lle, ja se sisältää toimenpiteitä riskienhallintaa, hallintoa, toimitusketjun suojaamista, liiketoiminnan jatkuvuutta ja poikkeamien varhaista ilmoittamista varten. Lisäksi se vahvistaa valvonta- ja seuraamusjärjestelmää ja lisää nimenomaisesti ylimmän johdon vastuuta.

Merkittävä kehitysaskel on myös selkeä sitoutuminen jäsenvaltioiden väliseen yhteistyöhön ja kansallisten tietoturvahäiriöihin reagoivien ryhmien (CSIRT) perustamiseen tai vahvistamiseen , jotka kykenevät koordinoimaan Euroopan tasolla vakavissa kriisitilanteissa. EU:n kyberturvallisuusvirasto ENISAlla on keskeinen rooli tässä ekosysteemissä, sillä se tukee kansallisten kyberturvallisuusstrategioiden kehittämistä ja edistää parhaita käytäntöjä.

Finanssiala on käytännössä rajattu NIS2:n soveltamisalan ulkopuolelle , koska DORA-säännökset ovat ensisijaisia ​​erityissäännöksinä. Silti DORAa ohjaava digitaalisen operatiivisen resilienssin logiikka on täysin yhdenmukainen NIS2-filosofian kanssa.

NIS2-direktiivin täytäntöönpanon nykytila ​​Espanjassa

NIS2-direktiivi tuli voimaan 16. tammikuuta 2023 , ja sen täytäntöönpanon määräajaksi asetettiin 17. lokakuuta 2024. Vuotta määräajan jälkeen Espanja ei ollut vieläkään saanut virallista sisällyttämistä osaksi kansallista oikeusjärjestelmäänsä, mikä sijoittaa sen jälkeen jääneiden maiden ryhmään.

Tämän viivästyksen seurauksena Euroopan komissio aloitti rikkomusmenettelyt useita jäsenvaltioita vastaan. Komissio lähetti 7. toukokuuta 2025 perustellun lausunnon yhdeksälletoista maalle, mukaan lukien Espanjalle, ja vaati niitä ilmoittamaan direktiivin täysimääräisestä saattamisesta osaksi kansallista lainsäädäntöä kahden kuukauden kuluessa. Se varoitti, että se voi viedä asian EU:n tuomioistuimeen, jos tarvittavia toimenpiteitä ei toteuteta.

Espanjan tapauksessa merkittävä käännekohta tapahtui 14. tammikuuta 2025, kun ministerineuvosto hyväksyi kyberturvallisuuden koordinointia ja hallintaa koskevan lakiluonnoksen . Tämä laki toimii perusvälineenä NIS2:n saattamiselle osaksi kansallista lainsäädäntöä ja kansallisen kyberturvallisuuden hallintamallin uudelleenjärjestelylle.

Alustavan hyväksynnän jälkeen lakiluonnos asetettiin julkiseen kuulemiseen ja tarkasteluun 16. tammikuuta ja 10. helmikuuta 2025 välisenä aikana , ja kansalaiset, yritykset, yhdistykset ja muut organisaatiot saattoivat esittää kommentteja ja parannusehdotuksia. Myöhemmin ministeriöiden välinen tekninen työryhmä tarkisti tekstin ja yhdisti luonnoksen ottaen huomioon saadun palautteen, mukaan lukien asiantuntijayhteisöiltä, ​​kuten ISMS-foorumilta, saadun palautteen.

Poliittisesta vauhdista huolimatta laki on kuitenkin edelleen parlamentaarisessa käsittelyssä . On puhuttu sen toimittamisesta ministerineuvostolle hyväksyttäväksi lakiesityksenä marraskuun tienoilla ja mahdollisesta parlamentin hyväksynnästä seuraavan vuoden tammi- tai helmikuun loppuun mennessä, mutta todellisuudessa Espanjalla ei vieläkään ole vuoden 2025 loppuun mennessä täysin sovellettavaa kansallista lakia, joka saisi NIS2:n osaksi kansallista lainsäädäntöä.

Kyberturvallisuuden koordinointia ja hallintaa koskeva lakiesitys

Espanjan hallituksen hyväksymä lakiesitys on sisäministeriön, puolustusministeriön sekä digitaalisen muutoksen ja julkishallinnon ministeriöiden yhteinen aloite . Sen tarkoitus on kaksitahoinen: ensinnäkin saattaa NIS2-direktiivi osaksi kansallista lainsäädäntöä ja toiseksi järjestää kyberturvallisuuden koordinointi ja hallinta kansallisella tasolla vahvistamalla verkkojen ja tietojärjestelmien suojaa kyberuhilta, jotka voisivat vaikuttaa kriittiseen infrastruktuuriin ja olennaisiin palveluihin.

Tuleva laki koskee julkisia ja yksityisiä toimijoita, jotka toimivat esimerkiksi energia-, liikenne-, pankki- ja rahoitusmarkkinainfrastruktuuri-, terveydenhuolto-, vesihuolto-, digitaalinen infrastruktuuri-, teknologiapalvelut- ja muilla kriittisillä aloilla . Se sisältää nimenomaisesti verkkotunnusrekisterit , kuten Dominios.esin (jota hallinnoi Red.es), joille tulee uusia kyberturvallisuusvelvoitteita niiden strategisen roolin vuoksi digitaalisen ekosysteemin vakaudessa.

Yleisesti ottaen luonnos on linjassa NIS2-direktiivin päävelvoitteiden kanssa ja siinä esitetään neljä keskeistä toimintalinjaa: hallinnon ja ylimmän johdon vastuun vahvistaminen, yleiset turvallisuusriskien hallintatoimenpiteet, tietoturvavastaavan nimeäminen ja selkeät poikkeamien raportointivelvollisuudet.

Lisäksi Espanjan lakiin sisältyy merkittävä organisatorinen elementti: kansallisen kyberturvallisuuskeskuksen (CNC) perustaminen . Tämä elin toimii koordinoivana elimenä verkkojen ja tietojärjestelmien suojaamisessa, yhdenmukaistaa kriteerejä eri sääntelyviranomaisten (sisäministeriö, puolustusministeriö ja digitaalinen transformaatio) välillä, edistää tietoturvahäiriöihin reagointiryhmiä (CSIRT) ja helpottaa yhtenäisemmän vision luomista kansallisesta kyberturvallisuusekosysteemistä.

Julkisen kuulemisen aikana organisaatiot, kuten ISMS Forum, antoivat merkittäviä panoksia : tietoturvavastaavan roolin vahvistaminen, tämän tehtävän erottaminen yksityistä turvallisuutta koskevasta laista ja erityisten reagointimekanismien luominen silloin, kun sääntöjä rikkova taho on julkishallinto, jota sen luonteen vuoksi ei voida rangaista taloudellisesti. Ehdotusten joukossa on mahdollisuus julkisiin varoituksiin LOPDGDD:n (henkilötietojen suojaa ja digitaalisten oikeuksien takaamista koskeva orgaaninen laki) tietosuojaa koskevien säännösten mukaisesti.

NIS2:n vaikutuspiiriin kuuluvat sektorit ja toimijatyypit

NIS2 luokittelee direktiivin piiriin kuuluvat organisaatiot olennaisiksi tai tärkeiksi yksiköiksi ensisijaisesti toimialan ja koon perusteella (keskisuuret ja suuret yritykset, kriittisyyteen perustuvin poikkeuksin). Standardi koskee yleensä EU:ssa toimivia julkisia tai yksityisiä yksiköitä, ja pienempiä organisaatioita voidaan sisällyttää siihen, kun jäsenvaltiot määrittelevät ne olennaisiksi tai tärkeiksi niiden merkityksen vuoksi.

Kriittisimmät sektorit on lueteltu NIS2-direktiivin liitteessä I , kun taas muut kriittiset sektorit on lueteltu liitteessä II . Espanjassa sektorien määrän kasvu on jonkin verran pienempi kuin muissa maissa, koska vanhan NIS-direktiivin saattaminen osaksi kansallista lainsäädäntöä oli jo yhdenmukaista kriittisten infrastruktuurien suojelusta annetun lain 8/2011 kanssa, joka sisälsi 12 sektoria. Tästä huolimatta NIS2 sisältää uusia alueita, kuten posti- ja kuriiripalvelut, jätehuollon ja useita teollisuusluokkia , ja jakaa muita alueita esimerkiksi erottamalla toisistaan ​​juomaveden ja jäteveden.

Sektoreista ja esimerkkiyksiköistä erottuvat seuraavat:

• EnergíaSähköntoimitusyhtiöt, siirto- ja jakeluverkon haltijat, tuottajat, NEMO-operaattorit, sähkömarkkinaosapuolet, latauspisteiden operaattorit; kaasu-, öljy- ja vetyverkon haltijat ja haltijat.
• Kuljetuslentoyhtiöt, lentokenttäoperaattorit, lennonjohto, rautatieinfrastruktuurin haltijat, rautatieyhtiöt, meri- ja jokiliikennelaitokset, satamaoperaattorit, laivaliikennepalvelut, tieviranomaiset ja älykkäiden liikennejärjestelmien operaattorit.
• Pankki- ja rahoitusmarkkinoiden infrastruktuuriluottolaitokset ja kaupankäyntikeskusten hoitajat, keskusvastapuolet, sillä vivahteella, että DORA toimii erityisenä toimialakohtaisena standardina.
• Terveydenhuollon sektoriterveydenhuollon tarjoajat, EU:n vertailulaboratoriot, lääkkeiden tutkimus- ja kehitysyksiköt, perus- ja erikoislääkkeiden valmistajat sekä välttämättömien lääkinnällisten laitteiden valmistajat kansanterveydellisissä hätätilanteissa.
• Juomavesi ja jätevesiJuomaveden toimittajat ja jakelijat sekä yritykset, jotka vastaavat yhdyskunta-, kotitalous- tai teollisuusjätevesien keräämisestä, hävittämisestä ja käsittelystä.
• Digitaalinen infrastruktuuriInternet-vaihtopisteiden (IXP) tarjoajat, DNS-palvelut, ylätason verkkotunnusrekisterit, pilvipalvelujen tarjoajat, datakeskukset, sisällönjakeluverkot (CDN), luotetut palveluntarjoajat, julkisten sähköisten viestintäverkkojen tarjoajat ja julkiset sähköiset viestintäpalvelut.
• Yritysten välinen ICT-palveluiden hallinta: hallinnoitujen palvelujen tarjoajat ja hallinnoitujen tietoturvapalvelujen tarjoajat, joilla on suora vaikutus koko teknologian toimitusketjuun.
• julkishallinnotYleisen valtionhallinnon yksiköt ja tietyissä tapauksissa alueelliset ja paikalliset yksiköt, kun niiden palvelujen häiriöt voivat vaikuttaa merkittävästi kriittisiin yhteiskunnallisiin tai taloudellisiin toimintoihin.
• Posti- ja kuriiripalvelut: toimittajat, jotka suorittavat postilähetysten keräämistä, lajittelua, kuljetusta ja jakelua.
• Jätehuolto: yritykset, jotka ovat erikoistuneet jätteen keräämiseen, kuljetukseen, hyödyntämiseen ja hävittämiseen, mukaan lukien kaatopaikat.
• kemiallinen: yritykset, jotka valmistavat, tuottavat ja jakelevat kemiallisia aineita ja seoksia sekä tuottavat niistä esineitä.
• Ruoan tuotanto, jalostus ja jakelu: elintarvikeyritykset, jotka ovat erikoistuneet tukkukauppaan ja laajamittaiseen teolliseen tuotantoon ja jalostukseen.
• Edistynyt valmistusTerveystuotteiden ja in vitro -diagnostiikan valmistajat, tietokoneiden, elektronisten ja optisten tuotteiden, sähkölaitteiden, koneiden ja laitteiden, moottoriajoneuvojen ja muiden kuljetusvälineiden valmistus.
• Avaruusalaavaruuspalvelujen tarjoamista tukevan maanpäällisen infrastruktuurin operaattorit, lukuun ottamatta niitä, joiden omistus tai hallinta vastaa EU:ta tai kolmansia osapuolia sen avaruusohjelman puitteissa.

Kaikilla näillä aloilla suuret yksiköt luokitellaan yleensä olennaisiksi , kun taas keskisuuret yksiköt ovat yleensä tärkeitä, ellei toisin ole nimenomaisesti mainittu. Pienet ja mikroyritykset jäävät yleensä pois kokonsa vuoksi, mutta ne voidaan ottaa mukaan, jos niiden kriittisyys sitä edellyttää.

Hallinto ja ylimmän johdon vastuut

Yksi merkittävimmistä muutoksista NIS2:ssa ja Espanjan lakiluonnoksessa on kyberturvallisuuden hallinnan ja hallintoelinten suoran vastuun korostaminen . Lakiluonnoksen 14 artikla vahvistaa tätä ajatusta: kyberturvallisuus ei ole enää pelkästään tekninen asia, vaan pikemminkin korkean tason strateginen kysymys.

Ylimmän johdon on hyväksyttävä ja valvottava kyberturvallisuusriskien hallintatoimenpiteiden toteuttamista varmistaen, että ne ovat oikeassa suhteessa organisaation kontekstiin ja tunnistettuihin riskeihin. Lisäksi hallintoelimet kantavat lopullisen vastuun kaikista noudattamatta jättämisistä, mikä liittyy tiukennettuun pakotejärjestelmään.

Toinen keskeinen seikka on johdon säännöllinen kyberturvallisuuskoulutus . Pelkkä delegointi ei riitä: johtajia on koulutettava ymmärtämään riskit, tekemään tietoon perustuvia päätöksiä ja tukemaan vahvan turvallisuuskulttuurin leviämistä koko organisaatiossa. He puolestaan ​​ovat vastuussa säännöllisten koulutusohjelmien edistämisestä muulle henkilöstölle.

NIS2-lain 20 artikla vahvistaa tätä näkemystä vaatimalla nimenomaisesti, että hallintoelinten on oltava tietoisia velvoitteistaan, hyväksyttävä toimenpiteet, varmistettava niiden täytäntöönpano ja kyettävä reagoimaan äärimmäisissä tilanteissa jopa henkilökohtaisin seurauksin (kuten tietyissä tapauksissa mahdollinen tehtävien erottaminen).

Tässä yhteydessä johdon ja tietoturvavastaavan (CISO tai vastaava) välinen suhde on ratkaisevan tärkeä: odotetaan sujuvaa ja jatkuvaa vuoropuhelua, joka perustuu objektiivisiin riski- ja vaatimustenmukaisuuskriteereihin.

NIS2:n edellyttämät riskienhallintatoimenpiteet

Espanjan lakiluonnoksen 15 artiklassa säädetään, että kyberturvallisuusriskien hallintatoimenpiteiden on perustuttava kansallisiin, eurooppalaisiin ja kansainvälisiin teknisiin standardeihin , joihin on sisällytetty vähintään NIS2-asetuksen 21 artiklassa vahvistetut ja täytäntöönpanoasetuksessa (EU) 2024/2690 kehitetyt vaatimukset.

Tärkeiden ja olennaisten toimijoiden toteuttamien toimenpiteiden joukossa erottuvat seuraavat:

• Turvallisuuspolitiikka ja riskianalyysi tietojärjestelmistä säännöllisin tarkastuksin.
• Tapahtumanhallinta, mukaan lukien selkeät havaitsemis-, reagointi- ja toipumismenettelyt.
• Liiketoiminnan jatkuvuus, varmuuskopiot, katastrofien jälkeinen palautus ja kriisinhallintatoiminnan kestävyyden varmistaminen.
• Toimitusketjun turvallisuus ja suhteista toimittajiin ja suoriin palveluntarjoajiin, mikä sisältää sopimusvaatimusten asettamisen sekä hyväksyntä- ja tarkastusmenettelyjä.
• haavoittuvuuden hallinta verkkojen ja tietojärjestelmien hankintaan, kehittämiseen ja ylläpitoon, mukaan lukien korjauspäivitykset ja -korjaukset.
• Kyberturvallisuustoimenpiteiden tehokkuuden arviointia koskevat käytännötauditointien, mittareiden ja säännöllisten arviointien avulla.
• Kyberhygienian peruskäytännöt ja -koulutus työntekijöiden profiileihin mukautettuna.
• Kryptografia ja salauskäytännöt tietojen luottamuksellisuuden ja eheyden takaamiseksi.
• Henkilöstöhallinnon turvallisuusPääsyoikeuksien hallinta- ja omaisuudenhallintakäytännöt.
• Monivaiheinen tai jatkuva todennus, puheviestinnän ja hätäviestinnän suojaaminen.

Espanjassa monet näistä toimenpiteistä sisältyivät jo kansalliseen turvallisuuskehykseen (ENS) , erityisesti julkishallintojen ja niiden toimittajien osalta. Itse asiassa valtion digitaalisen hallinnon virasto ja kansallinen kryptologiakeskus ovat esitelleet EU:lle ENS:n vahvan yhdenmukaisuuden NIS2:n kanssa korostaen sen potentiaalia eurooppalaisena vertailukohtana ja sen panosta kansallisen digitaalisen ekosysteemin sietokyvyn parantamiseen.

NIS2 kuitenkin nostaa rimaa paljon laajemmalle organisaatiojoukolle, mukaan lukien pk-yritykset, joihin koko tai kriittisyys vaikuttaa . Kypsemmille organisaatioille monet näistä vaatimuksista ovat linjassa olemassa olevien käytäntöjen kanssa; tuhansille yrityksille, joilla ei ole kyberturvallisuustaustaa, ne edustavat merkittävää harppausta kypsyydessä, resursseissa ja sisäisessä organisaatiossa.

Tietoturvajohtaja (CISO) ja hänen tehtävänsä

Lakiesityksen 16 artiklassa säädetään, että kaikkien olennaisten ja tärkeiden tahojen on nimitettävä tietoturvavastaava . Tästä roolista, joka on saanut inspiraationsa Espanjan aiemmista kokemuksista alkuperäisen verkko- ja tietoturvajärjestelmän kanssa, tulee keskeinen taho kaiken järjestelmien ja tietojen suojaamiseen liittyvän koordinoinnissa.

Sen päätoimintoihin kuuluvat:

• Määrittele ja toteuta organisaation kyberturvallisuusstrategia, linjassa riskien, liiketoiminnan ja sääntelyyn liittyvien velvoitteiden kanssa.
• Arvioi, lievennä ja tarkastele riskejä jatkuvasti, ylläpitämällä ajantasaista kuvaa yhteisön altistumisesta.
• Hallinnoi vaatimustenmukaisuuden osoittamiseksi tarvittavia todisteita, käytäntöjä ja asiakirjoja NIS2-direktiivistä ja kansallisista määräyksistä johtuvista velvoitteista.
• Edistä kyberturvallisuuskulttuuria yhteistyössä ylemmän johdon kanssa koulutusta ja tietoisuuden lisäämistä koko henkilöstön keskuudessa.
• Varmista vaaratilanteiden raportointivelvoitteiden noudattaminen, koordinoimalla raportteja toimivaltaisille viranomaisille.

Espanja oli yksi ensimmäisistä maista, jotka ottivat nimenomaisesti käyttöön tietoturvapäällikön (CISO) roolin entisen NIS-lain saattamisen osaksi kansallista lainsäädäntöä. Kokemus kuitenkin osoitti, että merkittävä osa keskeisistä toimijoista ei koskaan virallisesti nimitetty tähän tehtävään, eikä heitä silti rangaistu. NIS2 yhdessä tulevan Espanjan lain ja tiukemman seuraamusjärjestelmän kanssa pyrkii korjaamaan tätä löyhyyttä ja antamaan CISOlle vankemman ja tunnustetumman aseman.

Tulevaisuudessa velvollisten toimijoiden määrän odotetaan kasvavan valtavasti : nykyisten noin 400 keskeisen toimijan tilanteesta arviolta 5 000–50 000 keskeiseen ja tärkeään toimijaan. Tämä tarkoittaa merkittävää kysyntää kyberturvallisuusalan ammattilaisille, sekä yrityksen sisäisille että ulkoistetuille, erityisesti pk-yrityksille, joilla ei ole aiemmin ollut tätä roolia.

Häiriöraportointi- ja haavoittuvuuksien hallintavelvoitteet

NIS2-direktiivissä asetetaan ensiarvoisen tärkeäksi merkittävän vaikutuksen omaavien tietoturvaloukkausten varhaisen ilmoittamisen . Espanjan lakiluonnoksen 18 artikla tarkentaa tätä velvoitetta ja on linjassa direktiivin vahvistettujen aikataulujen ja sisällön kanssa.

Kun yhteisö kärsii tapahtumasta, joka voi aiheuttaa vakavia häiriöitä sen palvelujen tarjoamiseen tai huomattavaa vahinkoa itselleen tai kolmansille osapuolille, sen on noudatettava seuraavaa raportointijärjestelmää:

• Alkuperäinen ilmoitus: viimeistään 24 tunnin kuluessa tapahtuman havaitsemisesta ja toimitettava käytettävissä olevat perustiedot.
• Osavuosikatsaus: viimeistään 72 tunnin kuluessa havaitsemisesta, ja alustava arvio vaikutuksesta ja vakavuudesta.
• Loppuraportti: enintään kuukauden kuluessa ensimmäisestä ilmoituksesta, mukaan lukien yksityiskohtainen kuvaus tapahtumasta, sen vaikutuksesta, vakavuudesta ja toteutetuista toimenpiteistä.

Lisäksi NIS2 vahvistaa haavoittuvuuksien hallintaa ja viestintää : kyse ei ole pelkästään päättyneiden tapausten raportoinnista, vaan myös asiaankuuluvan tiedon jakamisesta haavoittuvuuksista , joilla voi olla systeeminen vaikutus, mikä helpottaa toimien koordinointia kansallisella ja Euroopan tasolla.

Espanjassa reagointiekosysteemi nojaa kolmeen merkittävään CSIRT-referenssiryhmään : CCN-CERTiin (julkishallinto, strategiset yritykset ja luokitellut järjestelmät), INCIBE-CERTiin (yksityinen sektori ja kansalaiset) ja MCCE:hen (puolustusala). Näitä täydentää csirt.es-verkosto, joka kokoaa yhteen kymmeniä erikoistuneita tiimejä ja on yhteydessä kansainvälisiin verkostoihin, kuten FIRSTiin, sekä kansalliseen SOC-verkostoon.

Olennaisten ja tärkeiden toimijoiden on ilmoitettava tapauksistaan ​​toimivaltaisille CSIRT-ryhmille alakohtaisten määräysten ja tulevan kansallisen kyberturvallisuuskeskuksen ohjeiden mukaisesti. Keskus toimii koordinoivana elementtinä ja yhteyshenkilönä ENISAn ja muiden jäsenvaltioiden kanssa.

Pakotejärjestelmä ja eurooppalainen painostus

NIS2-direktiivissä on huomattavasti tiukempi seuraamusjärjestelmä kuin edellisessä verkko- ja tietoturvadirektiivissä . Olennaisten toimijoiden osalta vakavimmat rikkomukset voivat johtaa sakkoihin, jotka ovat jopa 10 miljoonaa euroa tai 2 prosenttia konsernin maailmanlaajuisesta liikevaihdosta, kun taas suurten toimijoiden osalta sakot voivat olla jopa 7 miljoonaa euroa tai 1,4 prosenttia maailmanlaajuisesta liikevaihdosta.

Tällä hetkellä Espanjassa ei ole vielä nähty NIS2-direktiiviin perustuvia seuraamuksia , osittain siksi, että täytäntöönpanolaki ei ole vielä voimassa eikä valvontaviranomaista ole virallisesti nimetty. Muissa jäsenvaltioissa täytäntöönpano on vasta hiljattain tapahtunut, joten on vielä liian aikaista odottaa laajamittaisia ​​seuraamuksia.

Asiantuntijat ovat kuitenkin yhtä mieltä siitä, että kun Ranskan tai Saksan kaltaiset maat alkavat soveltaa pakotteita , Espanja ei voi jäädä jälkeen, jos se haluaa säilyttää yhdenmukaisuuden ja uskottavuuden Euroopan tasolla. Komission painostus rikkomusmenettelyjen ja perusteltujen lausuntojen kautta pyrkii juuri tähän.

Taloudellisten seuraamusten lisäksi NIS2 tuo ensimmäistä kertaa nimenomaisesti esiin ylimmän johdon vastuun kyberturvallisuudessa . Johdon ja tietoturvajohtajan välinen irtauma ei ole enää vaihtoehto: hallintoelimen on oltava mukana, saatava tietoa ja tehtävä tarvittavat päätökset.

Asiantuntijoiden, kuten ISMS Forumin, mukaan suurin haaste on pk-yritysten verkostossa, jotka tiedostamattaan joutuvat noudattamaan NIS2-direktiiviä . Monilta yrityksiltä puuttuu riittävät resurssit, prosessit tai kyberturvallisuuskulttuuri, ja niitä "työntävät" sekä laki että toimitusketjun suurten asiakkaiden vaatimukset, joiden on vaadittava sopimustakuita direktiivin noudattamiseksi.

Tue aloitteita, tutkimuksia ja ENS:n roolia

Lainsäädännön edistymisen ohella Espanja edistää teknisiä ja tietämykseen liittyviä aloitteita , joilla helpotetaan yrityssektorin sopeutumista NIS2-standardiin. Esimerkiksi ISMS Forum työstää UCM:n kyberturvallisuuden ja tietosuojan ylimääräisen puheenjohtajan johdolla tutkimusta NIS2:n vaikutuksista espanjalaisiin yrityksiin.

Tällä projektilla on kaksi tavoitetta: koota epävirallinen väestölaskenta NIS2:n vaikutuspiirissä olevista yrityksistä ja mitata niiden kyberturvallisuuden kypsyystasoa. Ensimmäisessä vaiheessa väestölaskenta kootaan kattavien tietokantojen (kaupparekisteri, DIRCE/INE, toimialakohtaiset tietokannat jne.) avulla, ja tuloksia odotetaan noin marraskuussa 2025. Toisessa vaiheessa lähetetään lyhyt kyselylomake edustavalle otokselle yrityksiä (tavoitteena 1 000 vastausta) niiden valmistautumistason arvioimiseksi, ja tuloksia odotetaan toukokuuhun 2026 mennessä.

Analyysi sisältää segmentoinnin sektorin, koon, maantieteellisen jakauman ja yhteisön tyypin (välttämätön tai tärkeä) mukaan , ja johtopäätökset esitetään koostetussa johdon raportissa ilman yksittäisiä tietoja, joka palvelee sekä yrityksiä että viranomaisia.

Samaan aikaan organisaatiot, kuten ISMS Forum ja useat julkiset virastot, järjestävät tiedotustapahtumia eri puolilla maata keskittyen erityisesti pk-yrityksiin. Tavoitteena on "evankelioida" ja selittää selkeästi, mitä NIS2 tarkoittaa, miksi tietoturvajohtajan (sisäisen tai ulkoisen) olemassaolo on välttämätöntä, miten määritellään kyberturvallisuuden peruspolitiikat ja miten valmistautua tulevaan lakiin ja sen täydentäviin määräyksiin.

Pelkästään sääntelyn kannalta kansallista turvallisuuskehystä (ENS) on Euroopassa esitetty yhtenä Espanjan suurimmista vahvuuksista . Digitaalisen hallinnon valtionvirasto ja kansallinen kryptologiakeskus (CCN) ovat jakaneet NIS2-yhteistyöryhmän kanssa ENS:n kertyneen kokemuksen, sen vaatimustenmukaisuusprofiilit ja sen integroinnin asetuksen (EU) 2019/881 (kyberturvallisuuslaki) mukaisiin eurooppalaisiin sertifiointijärjestelmiin. Esityksen myönteinen vastaanotto vahvistaa Espanjan imagoa ennakoivana toimijana, joka on sitoutunut vankkaan, yhtenäiseen ja yhdenmukaiseen kyberturvallisuuteen.

Tässä yhteydessä Espanjan NIS2-direktiiviin sopeutuminen on aikataulujen paineen, kansallisen turvallisuusjärjestelmän (ENS) kaltaisten instrumenttien teknisen kestävyyden ja tuhansien uusien toimijoiden integroinnin edistyneeseen kyberturvallisuuskulttuuriin valtavan haasteen läpi navigointia. Organisaatiot, jotka menevät eteenpäin, tekevät tilannearviointeja ja alkavat mukauttaa käytäntöjään direktiivin mukaisiksi nyt, ovat paremmassa asemassa minimoimaan riskejä, välttämään tulevia rangaistuksia ja osoittamaan ennakoivaa ja kypsää lähestymistapaa kyberuhkiin.