A NIS2 irányelv végrehajtása Spanyolországban: helyzet, kötelezettségek és kihívások

Informatec Digital » Források » A NIS2 irányelv végrehajtása Spanyolországban: helyzet, kötelezettségek és kihívások

Az európai NIS2 irányelv teljesen átalakította a kiberbiztonsági környezetet Európában, és különösen Spanyolországban. Ez nem csupán egy újabb szabályozás; alapvető változást jelent abban, ahogyan a vállalatok és a közigazgatások kezelik a digitális kockázatokat, jelentik az incidenseket és együttműködnek a hatóságokkal.

Spanyolország eközben stabil, de egyértelműen késedelmes haladást mutat az átültetésben: a hivatalos határidő 2024 októbere volt, és a mai napig a jövőbeli kiberbiztonsági koordinációs és irányítási törvény parlamenti eljárása folyik. Ez a helyzet némileg különös forgatókönyvet teremt: az irányelv már kötelező érvényű európai szinten, de a végleges nemzeti jogi keretet még nem hagyták jóvá, így sok szervezet csapdába esett a felkészülés és a helyzet felmérésének erkölcsi és stratégiai kötelezettsége, valamint a teljes mértékben alkalmazandó törvény hiánya között.

Mi a NIS2 irányelv, és miért változtatja meg a játékszabályokat?

Az (EU) 2022/2555 irányelv, más néven NIS2 , az eredeti NIS-irányelvet váltja fel azzal a céllal, hogy az Európai Unió egész területén magas szintű kiberbiztonságot teremtsen a hálózatok és információs rendszerek számára. Célja a kiberbiztonsági incidensekkel szembeni ellenálló képesség megerősítése , amelyek hatással lehetnek az alapvető szolgáltatásokat, valamint a társadalom és a gazdaság normális működését.

Elődjével ellentétben a NIS2 jelentősen bővíti az érintett ágazatok és szervezetek számát , nemcsak a hagyományos kritikus infrastruktúrákat (energia, közlekedés, víz, banki szolgáltatások vagy egészségügy) foglalja magában, hanem olyan területeket is, mint a közigazgatás, a digitális infrastruktúrák, a postai és futárszolgálatok, a hulladékgazdálkodás, a fejlett gyártás vagy az élelmiszer-termelés és -forgalmazás.

Az irányelv harmonizált keretet hoz létre a minimális kiberbiztonsági követelményekről az egész EU számára, intézkedéseket tartalmaz a kockázatkezelés, az irányítás, az ellátási lánc védelme, az üzletmenet-folytonosság és a korai incidensértesítés terén. Továbbá megerősíti a monitoring és a szankcionálási rendszert, és kifejezetten növeli a felső vezetés felelősségét.

Egy másik jelentős fejlemény a tagállamok közötti együttműködés iránti egyértelmű elkötelezettség , valamint a nemzeti számítógép-biztonsági incidensekre reagáló csoportok (CSIRT-ek) létrehozása vagy megerősítése , amelyek képesek európai szinten koordinálni a súlyos válsághelyzeteket. Az ENISA, az Európai Unió Kiberbiztonsági Ügynöksége, kulcsszerepet játszik ebben az ökoszisztémában, támogatja a nemzeti kiberbiztonsági stratégiák kidolgozását és előmozdítja a legjobb gyakorlatokat.

A pénzügyi szektor lényegében ki van zárva a NIS2 hatálya alól , mivel a DORA-rendelkezések elsőbbséget élveznek lex specialisként. Ennek ellenére a DORA-t mozgató digitális működési ellenálló képesség logikája teljes mértékben összhangban van a NIS2 filozófiájával.

A NIS2 átültetésének jelenlegi állapota Spanyolországban

A NIS2 irányelv 2023. január 16-án lépett hatályba , és 2024. október 17-ét tűzte ki átültetési határidejének. Egy évvel a határidő lejárta után Spanyolország még mindig nem fejezte be a hivatalos átültetést a belső jogrendszerébe, így a lemaradó országok csoportjába került.

A késedelem miatt az Európai Bizottság számos tagállam ellen kötelezettségszegési eljárást indított. 2025. május 7-én a Bizottság indokolással ellátott véleményt küldött tizenkilenc országnak, köztük Spanyolországnak, amelyben felszólította őket, hogy két hónapon belül értesítsék őket az irányelv teljes körű átültetéséről, azzal a figyelmeztetéssel, hogy az ügyet az Európai Unió Bíróságához utalhatja, ha nem teszik meg a szükséges intézkedéseket.

Spanyolország esetében a fő fordulópont 2025. január 14-én következett be, amikor a Minisztertanács jóváhagyta a kiberbiztonsági koordinációról és irányításról szóló törvénytervezetet . Ez a törvény alapvető eszközként szolgál majd a NIS2 nemzeti jogba való átültetéséhez és a nemzeti kiberbiztonsági irányítási modell átszervezéséhez.

A kezdeti jóváhagyást követően a törvénytervezetet nyilvános konzultációra és felülvizsgálatra bocsátották 2025. január 16. és február 10. között , lehetővé téve a polgárok, vállalkozások, egyesületek és más szervezetek számára, hogy észrevételeket és fejlesztési javaslatokat nyújtsanak be. Ezt követően a szöveget a Tárcaközi Műszaki Munkacsoport vizsgálta felül, amely a beérkezett visszajelzések, többek között az olyan szakértői közösségektől származó visszajelzések figyelembevételével egységes szerkezetbe foglalta a tervezetet.

Ennek ellenére, és a politikai lendület ellenére, a törvény továbbra is parlamenti folyamatban van . Szóba került, hogy november környékén törvényjavaslatként benyújtják a Minisztertanácsnak jóváhagyásra, és a parlamenti jóváhagyás a következő év januárjának vagy februárjának végén megtörténhet, de a valóság az, hogy 2025 végéig Spanyolországnak még mindig nincs teljes mértékben alkalmazandó nemzeti törvénye, amely átültetné a NIS2-t.

A kiberbiztonsági koordinációról és irányításról szóló törvénytervezet

A spanyol kormány által jóváhagyott törvénytervezet a Belügyminisztérium, a Védelmi Minisztérium, valamint a Digitális Transzformációért és Közigazgatásért felelős Minisztérium közös kezdeményezése . Célja kettős: egyrészt a NIS2 irányelv átültetése, másrészt a kiberbiztonság nemzeti szintű koordinációjának és irányításának megszervezése, megerősítve a hálózatok és információs rendszerek védelmét a kritikus infrastruktúrát és az alapvető szolgáltatásokat érintő kiberfenyegetésekkel szemben.

A jövőbeli törvény az olyan ágazatokban működő állami és magánszervezetekre vonatkozik majd, mint az energia, a közlekedés, a banki és pénzügyi piaci infrastruktúra, az egészségügy, a vízgazdálkodás, a digitális infrastruktúra, a technológiai szolgáltatások és más kritikus ágazatok . Kifejezetten magában foglalja a domainnév-nyilvántartókat , mint például a Dominios.es (amelyet a Red.es kezel), amelyek a digitális ökoszisztéma stabilitásában betöltött stratégiai szerepük miatt új kiberbiztonsági kötelezettségeket vállalnak.

Általánosságban elmondható, hogy a tervezet összhangban van a NIS2 irányelv főbb kötelezettségeivel , és négy fő területet határoz meg: az irányítás és a felső vezetés felelősségének megerősítése, általános biztonsági kockázatkezelési intézkedések, információbiztonsági tisztviselő kijelölése és egyértelmű incidensjelentési kötelezettségek.

Továbbá a spanyol törvény egy jelentős szervezeti elemet vezet be: a Nemzeti Kiberbiztonsági Központ (CNC) létrehozását . Ez a szerv koordináló szervként fog működni a hálózatok és információs rendszerek védelmében, harmonizálja a kritériumokat a különböző szabályozó hatóságok (belügyminisztérium, védelmi minisztérium és digitális transzformáció) között, előmozdítja a számítógépes biztonsági incidensekre reagáló csoportokat (CSIRT-eket), és elősegíti a nemzeti kiberbiztonsági ökoszisztéma egységesebb jövőképének kialakítását.

A nyilvános konzultációs szakaszban olyan szervezetek, mint az ISMS Forum, jelentős hozzájárulásokat tettek : megerősítették az információbiztonsági tisztviselő szerepét, elkülönítették ezt a pozíciót a magánbiztonsági törvénytől, és konkrét válaszmechanizmusokat hoztak létre arra az esetre, ha a szabálytalan szervezet egy közigazgatási szerv, amelyet természeténél fogva nem lehet anyagilag megbüntetni. A javaslatok között szerepel a nyilvános figyelmeztetések lehetősége, összhangban a LOPDGDD (a személyes adatok védelméről és a digitális jogok garanciájáról szóló organikus törvény) adatvédelemmel kapcsolatos rendelkezéseivel.

A NIS2 által érintett ágazatok és entitástípusok

A NIS2 az irányelv hatálya alá tartozó szervezeteket alapvető vagy fontos entitásként osztályozza , elsősorban a működési ágazatuk és méretük alapján (közepes és nagyvállalatok, a kritikusságon alapuló kivételekkel). A szabvány általában az EU-ban működő állami vagy magánjogi szervezetekre vonatkozik, azzal a lehetőséggel, hogy kisebb szervezeteket is bevonjanak, ha a tagállamok relevanciájuk miatt alapvetőnek vagy fontosnak azonosítják azokat.

A kiemelt fontosságú ágazatokat a NIS2 I. melléklete sorolja fel, míg az egyéb kritikus ágazatokat a II. melléklet tartalmazza . Spanyolországban az ágazatok számának növekedése valamivel kisebb, mint más országokban, mivel a régi NIS átültetése már összhangban volt a kritikus infrastruktúrák védelméről szóló 8/2011. évi törvénnyel, amely 12 ágazatot tartalmazott. Ennek ellenére a NIS2 új területeket is magában foglal, mint például a postai és futárszolgálatok, a hulladékgazdálkodás és számos gyártási kategória , másokat pedig szétválaszt, például különbséget tesz az ivóvíz és a szennyvíz között.

Az ágazatok és a szervezetek példái közül a következők emelkednek ki:

• teljesítményÁramszolgáltató vállalatok, szállító- és elosztóhálózat-üzemeltetők, termelők, NEMO-üzemeltetők, villamosenergia-piaci szereplők, töltőpont-üzemeltetők; gáz-, olaj- és hidrogénhálózat-üzemeltetők és -kezelők.
• Transportelégitársaságok, repülőtér-üzemeltetők, légiforgalmi irányítás, vasúti pályahálózat-működtetők, vasúttársaságok, tengeri és folyami közlekedési szervezetek, kikötőüzemeltetők, hajóforgalmi szolgálatok, közúti hatóságok és intelligens közlekedési rendszerek üzemeltetői.
• Banki és pénzügyi piaci infrastruktúra: hitelintézetek és kereskedési központok kezelői, központi szerződő felek, azzal az árnyalattal, hogy a DORA egy specifikus ágazati szabványként működik.
• Egészségügyi szektoregészségügyi szolgáltatók, uniós referencialaboratóriumok, gyógyszerekkel foglalkozó K+F szervezetek, alapvető és speciális gyógyszerkészítmények gyártói, valamint alapvető orvostechnikai eszközök gyártói közegészségügyi vészhelyzetekben.
• Ivóvíz és szennyvízIvóvíz-szolgáltatók és -forgalmazók, valamint a városi, háztartási vagy ipari szennyvíz gyűjtéséért, ártalmatlanításáért és kezeléséért felelős vállalatok.
• Digitális infrastruktúraInternetes adatcserepont-szolgáltatók (IXP), DNS-szolgáltatások, legfelső szintű domainregisztrátorok, felhőalapú számítástechnikai szolgáltatók, adatközpontok, tartalomszolgáltató hálózatok (CDN-ek), megbízható szolgáltatók, nyilvános elektronikus hírközlő hálózatok szolgáltatói és nyilvános elektronikus hírközlési szolgáltatások.
• Vállalatközi IKT szolgáltatásmenedzsment: felügyelt szolgáltatók és felügyelt biztonsági szolgáltatók, amelyek közvetlen hatással vannak a teljes technológiai ellátási láncra.
• Közigazgatásaz Általános Államigazgatás szervezetei, és bizonyos esetekben a regionális és helyi szervezetek, amennyiben szolgáltatásaik zavara jelentősen befolyásolhatja a kritikus társadalmi vagy gazdasági tevékenységeket.
• Postai és futárszolgálat: postai küldemények gyűjtését, válogatását, szállítását és elosztását végző beszállítók.
• Hulladékgazdálkodás: hulladékgyűjtéssel, -szállítással, -hasznosítással és -ártalmatlanítással, beleértve a hulladéklerakókat is, foglalkozó vállalatok.
• Kémiai: olyan vállalatok, amelyek vegyi anyagokat és keverékeket gyártanak, állítanak elő és forgalmaznak, valamint azokból árucikkeket állítanak elő.
• Élelmiszer előállítása, feldolgozása és forgalmazása: nagykereskedelmi forgalmazással, valamint nagyméretű ipari termeléssel és feldolgozással foglalkozó élelmiszeripari vállalatok.
• Fejlett gyártás: egészségügyi termékek és in vitro diagnosztika gyártói, számítógépek, elektronikus és optikai termékek, elektromos berendezések, gépek és berendezések, gépjárművek és egyéb szállítóeszközök gyártása.
• Űrszektor: a földi infrastruktúra üzemeltetői, amelyek támogatják az űrszolgáltatások nyújtását, kivéve azokat, amelyek tulajdonjoga vagy irányítása az EU-hoz vagy harmadik felekhez tartozik az űrprogramja keretében.

Mindezen ágazatokban a nagyvállalatokat általában alapvetőnek minősítik , míg a közepes méretű szervezetek fontosnak, kivéve, ha kifejezetten másként jelölik meg. A kis- és mikrovállalkozások méretük miatt általában kimaradnak, de bekerülhetnek, ha kritikus fontosságuk indokolja.

Irányítási és felsővezetési felelősségek

A NIS2 és a spanyol jogszabálytervezet egyik legjelentősebb változása a kiberbiztonsági irányításra és az irányító testületek közvetlen felelősségére helyezett hangsúly . A jogszabálytervezet 14. cikke megerősíti ezt az elképzelést: a kiberbiztonság már nem pusztán technikai kérdés, hanem magas szintű stratégiai kérdés.

A felső vezetésnek jóvá kell hagynia és felügyelnie kell a kiberbiztonsági kockázatkezelési intézkedések végrehajtását , biztosítva, hogy azok arányosak legyenek a szervezet kontextusával és az azonosított kockázatokkal. Továbbá az irányító testületek viselik a végső felelősséget minden meg nem felelésért, ami a fokozott szankciórendszerhez kapcsolódik.

Egy másik kulcsfontosságú pont a vezetőség rendszeres kiberbiztonsági képzése . A delegálás önmagában nem elég: a vezetőket ki kell képezni arra, hogy megértsék a kockázatokat, megalapozott döntéseket hozzanak, és támogassák az erős biztonsági kultúra terjedését a szervezet egészében. Cserébe ők lesznek felelősek a rendszeres képzési programok népszerűsítéséért a többi alkalmazott számára.

A NIS2 20. cikke megerősíti ezt a nézetet azáltal, hogy kifejezetten előírja az irányító testületek számára, hogy tisztában legyenek kötelezettségeikkel, jóváhagyják az intézkedéseket, biztosítsák azok végrehajtását, és szélsőséges helyzetekben képesek legyenek reagálni, akár személyes következményekkel is (például bizonyos esetekben a funkciók esetleges szétválasztásával).

Ebben az összefüggésben a vezetőség és az információbiztonsági tisztviselő (CISO vagy azzal egyenértékű) közötti kapcsolat kritikus fontosságúvá válik: objektív kockázati és megfelelőségi kritériumokon alapuló, folyamatos párbeszéd várható.

A NIS2 által előírt kockázatkezelési intézkedések

A spanyol törvénytervezet 15. cikke kimondja, hogy a kiberbiztonsági kockázatkezelési intézkedéseknek nemzeti, európai és nemzetközi műszaki szabványokon kell alapulniuk , amelyeknek legalább a NIS2 21. cikkében foglalt és az (EU) 2024/2690 végrehajtási rendeletben kidolgozott követelményeket kell tartalmazniuk.

Az alapvető és fontos szervezetek által végrehajtandó intézkedések közül a következők emelkednek ki:

• Biztonsági politikák és kockázatelemzés az információs rendszerekről, időszakos felülvizsgálatokkal.
• Incidenskezelés, beleértve az egyértelmű felderítési, reagálási és helyreállítási eljárásokat.
• Üzletmenet-folytonosság, biztonsági mentések, katasztrófa utáni helyreállítás és válságkezelésa működési rugalmasság biztosítása.
• Az ellátási lánc biztonsága valamint a beszállítókkal és a közvetlen szolgáltatókkal fenntartott kapcsolatokról, ami szerződéses követelmények előírását, valamint jóváhagyási és auditellenőrzéseket foglal magában.
• sebezhetőség kezelése hálózatok és információs rendszerek beszerzésében, fejlesztésében és karbantartásában, beleértve a javításokat és frissítéseket is.
• A kiberbiztonsági intézkedések hatékonyságának értékelésére vonatkozó szabályzatokauditok, mérőszámok és időszakos felülvizsgálatok révén.
• Alapvető kiberhigiéniai gyakorlatok és képzés alkalmazottakból, a különböző profilokhoz igazítva.
• Kriptográfia és titkosítási szabályzatok hogy garantálja az információk titkosságát és integritását.
• Emberi erőforrás biztonságHozzáférés-vezérlési és eszközkezelési szabályzatok.
• Többtényezős vagy folyamatos hitelesítés, a hangkommunikáció és a vészhelyzeti kommunikáció védelme.

Spanyolországban ezek közül az intézkedések közül sok már szerepelt a Nemzetbiztonsági Keretrendszerben (ENS) , különösen a közigazgatások és beszállítóik esetében. Valójában az Állami Digitális Közigazgatási Ügynökség és a Nemzeti Kriptográfiai Központ bemutatta az EU-nak az ENS és a NIS2 közötti szoros összehangolást, kiemelve annak európai referenciaértékként való potenciálját és hozzájárulását a nemzeti digitális ökoszisztéma ellenálló képességéhez.

A NIS2 azonban sokkal szélesebb szervezeti kör számára emeli a lécet, beleértve a méretük vagy kritikusságuk által érintett kkv-kat is . Az érett szervezetek számára ezek a követelmények összhangban vannak a meglévő gyakorlatokkal; a kiberbiztonsági háttérrel nem rendelkező több ezer vállalat számára pedig jelentős ugrást jelentenek az érettség, az erőforrások és a belső szervezettség terén.

Az információbiztonsági vezető (CISO) és feladatai

A törvénytervezet 16. cikke kimondja, hogy minden alapvető és fontos szervezetnek ki kell neveznie egy információbiztonsági tisztviselőt . Ez a szerepkör, amelyet Spanyolország korábbi, az eredeti NIS-szel kapcsolatos tapasztalatai ihlettek, központi szerepet tölt be a rendszerek és adatok védelmével kapcsolatos összes tevékenység koordinálásában.

Fő funkciói a következők:

• A szervezet kiberbiztonsági stratégiájának meghatározása és megvalósítása, összhangban a kockázatokkal, az üzleti és szabályozási kötelezettségekkel.
• A kockázatok értékelése, enyhítése és folyamatos felülvizsgálata, naprakész képet adva a szervezet kitettségéről.
• A megfelelőség igazolásához szükséges bizonyítékok, szabályzatok és nyilvántartások kezelése a NIS2-ből és a nemzeti szabályozásokból eredő kötelezettségek.
• Kiberbiztonsági kultúra előmozdítása a felső vezetéssel együttműködve képzés és figyelemfelkeltés minden alkalmazott körében.
• Az incidensjelentési kötelezettségek betartásának biztosítása, a jelentések illetékes hatóságoknak történő koordinálása.

Spanyolország volt az elsők között, amely kifejezetten bevezette az információbiztonsági vezető (CISO) szerepét a korábbi NIS átültetése során. A tapasztalatok azonban azt mutatták, hogy jelentős számú kulcsfontosságú szereplőt soha nem neveztek ki hivatalosan erre a szerepkörre, és még így sem büntették meg őket. A NIS2, a jövőbeli spanyol törvénnyel és a szigorúbb szankciórendszerrel együtt, ezt a lazaságot kívánja orvosolni, és a CISO-nak erősebb és elismertebb pozíciót biztosítani.

Előretekintve a kötelezett szervezetek számának hatalmas növekedése várható : a jelenlegi körülbelül 400 alapvető szolgáltatóról a becslések szerint 5.000-50 000 alapvető és fontos szervezetre. Ez jelentős keresletet jelent majd a kiberbiztonsági szakemberek iránt, mind a belső, mind a kiszervezett területeken, különösen azoknál a kkv-knál, amelyek korábban soha nem töltöttek be ezt a szerepet.

Incidensjelentési és sebezhetőségkezelési kötelezettségek

A NIS2 irányelv kiemelkedő fontosságot tulajdonít a jelentős hatású biztonsági incidensek korai értesítésének . A spanyol jogszabálytervezet 18. cikke részletesebben is kifejti ezt a kötelezettséget, összhangban az irányelvben meghatározott határidőkkel és tartalommal.

Amikor egy szervezetet olyan esemény ér, amely súlyos zavarokat okozhat a szolgáltatásai nyújtásában, vagy jelentős kárt okozhat magának vagy harmadik feleknek, a következő jelentési rendszert kell betartania:

• Első értesítés: az incidens észlelését követő legfeljebb 24 órán belül, a rendelkezésre álló alapvető információk megadásával.
• Időközi jelentés: a felderítéstől számított legfeljebb 72 órán belül, a hatás és a súlyosság kezdeti értékelésével.
• Zárójelentésaz első értesítéstől számított legfeljebb egy hónapon belül, beleértve az incidens részletes leírását, annak hatását, súlyosságát és a megtett intézkedéseket.

Továbbá a NIS2 erősíti a sebezhetőség-kezelést és a kommunikációt : nemcsak a befejezett incidensek jelentéséről szól, hanem a rendszerszintű hatású sebezhetőségekkel kapcsolatos releváns információk megosztásáról is, elősegítve a nemzeti és európai szintű válaszok koordinációját.

Spanyolországban a reagálási ökoszisztéma három fő referencia-CSIRT -re támaszkodik : a CCN-CERT-re (közigazgatás, stratégiai vállalatok és minősített rendszerek), az INCIBE-CERT-re (magánszektor és állampolgárok), valamint az MCCE-re (védelmi szektor). Ezeket egészíti ki a csirt.es hálózat, amely több tucat speciális csapatot tömörít, és kapcsolatban áll olyan nemzetközi hálózatokkal, mint a FIRST, valamint a nemzeti SOC hálózat.

A létfontosságú és fontos szervezeteknek jelenteniük kell az incidenseiket az illetékes CSIRT-eknek , az ágazati szabályozásoknak és a jövőbeli Nemzeti Kiberbiztonsági Központ irányelveinek megfelelően, amely koordinációs elemként és kapcsolattartóként fog működni az ENISA-val és a többi tagállammal.

Szankciórendszer és európai nyomás

A NIS2 irányelv lényegesen szigorúbb szankciórendszert vezet be, mint a korábbi NIS irányelv . Az alapvető fontosságú szervezetek esetében a legsúlyosabb jogsértések akár 10 millió eurós vagy a csoport globális forgalmának 2%-át kitevő bírságot is kiszabhatnak, míg a nagyobb szervezetek esetében a büntetések elérhetik a 7 millió eurót vagy a globális forgalom 1,4%-át.

Spanyolországban jelenleg nem láttak a NIS2-n alapuló szankciókat , részben azért, mert az átültető törvény még nem lépett hatályba, és a felügyeleti hatóságot sem nevezték ki hivatalosan. Más tagállamokban az átültetés a közelmúltban történt, így még túl korai széles körű szankciókra számítani.

A szakértők ennek ellenére egyetértenek abban, hogy amikor olyan országok, mint Franciaország vagy Németország, szankciókat kezdenek alkalmazni , Spanyolország nem engedheti meg magának, hogy lemaradjon, ha fenn akarja tartani az európai szintű harmonizációt és hitelességet. A Bizottság – kötelezettségszegési eljárások és indokolt vélemények révén – nyomást gyakorol erre.

A pénzügyi büntetések mellett a NIS2 első alkalommal vezeti be kifejezetten a felső vezetés kiberbiztonsági felelősségét . A vezetőség és a CISO közötti elkülönülés már nem lehetséges: az irányító testületnek be kell vonnia, tájékoztatnia kell, és meg kell hoznia a szükséges döntéseket.

Az olyan szakértők szerint, mint az ISMS Fórum munkatársai, a legnagyobb kihívás a kkv-k hálózatában rejlik, amelyeket – anélkül, hogy teljes mértékben tudatában lennének ennek – a NIS2 köt . Sokan nem rendelkeznek elegendő erőforrással, folyamattal vagy kiberbiztonsági kultúrával, és mind a törvény, mind az ellátási láncban lévő nagy ügyfeleik igényei „nyomják” őket, akiknek szerződéses garanciákat kell majd követelniük az irányelv betartására.

Támogassa a kezdeményezéseket, tanulmányokat és az ENS szerepét

A jogalkotási előrelépések mellett Spanyolország technikai és tudásalapú kezdeményezéseket is támogat , hogy megkönnyítse az üzleti szektor NIS2-höz való alkalmazkodását. Az ISMS Fórum például a NIS2 spanyol vállalatokra gyakorolt ​​hatásának vizsgálatán dolgozik az UCM kiberbiztonsági és adatvédelmi rendkívüli elnökének vezetésével.

A projekt kettős célt tűzött ki: egyrészt a NIS2 által érintett vállalatok nem hivatalos összeírását , másrészt a kiberbiztonsági érettségi szintjük mérését. Az első fázisban a összeírást átfogó adatbázisok (cégjegyzék, DIRCE/INE, ágazatspecifikus adatbázisok stb.) felhasználásával végzik, az eredmények várhatóan 2025 novembere körül lesznek elérhetők. A második fázisban egy rövid kérdőívet küldenek a vállalatok reprezentatív mintájának (1.000 válaszra törekedve) a felkészültségük szintjének felmérésére, az eredmények várhatóan 2026 májusára készülnek el.

Az elemzés magában foglalja majd ágazat, méret, földrajzi eloszlás és a szervezet típusa (lényeges vagy fontos) szerinti szegmentálást , a következtetéseket pedig egy összesített vezetői jelentésben, egyedi adatok nélkül mutatja be, amely mind a vállalatok, mind a hatóságok számára hasznos.

Ezzel egy időben olyan szervezetek, mint az ISMS Forum és különféle közintézmények országszerte tájékoztató rendezvényeket szerveznek , különös tekintettel a kkv-kra. A cél az „evangelizáció”, azaz a NIS2 egyértelmű elmagyarázása, hogy miért elengedhetetlen a (belső vagy külső) CISO megléte, hogyan kell meghatározni az alapvető kiberbiztonsági politikákat, és hogyan kell felkészülni a jövőbeli törvényre és annak kiegészítő szabályozásaira.

Szigorúan szabályozási szempontból a Nemzetbiztonsági Keretrendszert (ENS) Európában Spanyolország egyik legnagyobb erősségeként mutatták be . Az Állami Digitális Közigazgatási Ügynökség és a Nemzeti Kriptográfiai Központ (CCN) megosztotta az ENS felhalmozott tapasztalatait, megfelelőségi profiljait és az (EU) 2019/881 rendelet (kiberbiztonsági törvény) európai tanúsítási rendszereivel való integrációját a NIS2 Együttműködési Csoporttal. A prezentáció pozitív fogadtatása megerősíti Spanyolország imázsát, mint proaktív szereplő, amely elkötelezett a robusztus, koherens és harmonizált kiberbiztonság iránt.

Ebben az összefüggésben Spanyolország NIS2-höz való alkalmazkodása a határidők nyomásának, az olyan eszközök műszaki robusztusságának, mint a Nemzetbiztonsági Rendszer (ENS), és a több ezer új szervezet fejlett kiberbiztonsági kultúrába való integrálásának hatalmas kihívásával való eligazodást jelenti. Azok a szervezetek, amelyek most előrelépnek, helyzetfelméréseket végeznek, és elkezdik összehangolni gyakorlataikat az irányelvvel, jobb helyzetben lesznek a kockázatok minimalizálására, a jövőbeni büntetések elkerülésére, valamint a kiberfenyegetésekkel szembeni proaktív és érett megközelítés bemutatására.