Implementasi Arahan NIS2 di Spanyol: situasi, kewajiban dan tantangan

Informatec Digital » Sumber Daya » Implementasi Direktif NIS2 di Spanyol: situasi, kewajiban, dan tantangan

Direktif NIS2 Eropa telah sepenuhnya mengubah lanskap keamanan siber di Eropa, dan khususnya di Spanyol. Ini bukan sekadar peraturan lain; ini mewakili pergeseran mendasar dalam cara perusahaan dan administrasi publik mengelola risiko digital, melaporkan insiden, dan berkoordinasi dengan pihak berwenang.

Sementara itu, Spanyol membuat kemajuan yang stabil tetapi jelas tertunda dalam transisinya: tenggat waktu resminya adalah Oktober 2024, dan hingga hari ini, Undang-Undang Koordinasi dan Tata Kelola Keamanan Siber di masa mendatang masih dalam proses parlemen. Situasi ini menciptakan skenario yang agak aneh: Direktif tersebut sudah mengikat di tingkat Eropa, tetapi kerangka hukum nasional yang definitif belum disetujui, sehingga banyak organisasi terjebak antara kewajiban moral dan strategis untuk mempersiapkan dan menilai situasi mereka dan ketiadaan hukum yang sepenuhnya berlaku.

Apa itu Arahan NIS2 dan mengapa itu mengubah aturan main?

Direktif (EU) 2022/2555, yang dikenal sebagai NIS2 , menggantikan Direktif NIS asli dengan tujuan untuk menetapkan tingkat keamanan siber bersama yang tinggi untuk jaringan dan sistem informasi di seluruh Uni Eropa. Tujuannya adalah untuk memperkuat ketahanan terhadap insiden siber yang dapat memengaruhi layanan penting dan fungsi normal masyarakat dan ekonomi.

Berbeda dengan pendahulunya, NIS2 secara signifikan memperluas jumlah sektor dan entitas yang terpengaruh , tidak hanya mencakup infrastruktur kritis tradisional (energi, transportasi, air, perbankan, atau kesehatan), tetapi juga bidang-bidang seperti administrasi publik, infrastruktur digital, layanan pos dan kurir, pengelolaan limbah, manufaktur canggih, atau produksi dan distribusi pangan.

Direktif ini menetapkan kerangka kerja yang harmonis untuk persyaratan keamanan siber minimum bagi seluruh Uni Eropa, dengan langkah-langkah untuk manajemen risiko, tata kelola, perlindungan rantai pasokan, keberlangsungan bisnis, dan pemberitahuan insiden dini. Selain itu, direktif ini memperkuat rezim pemantauan dan sanksi serta secara eksplisit meningkatkan tanggung jawab manajemen senior.

Perkembangan penting lainnya adalah komitmen yang jelas terhadap kerja sama antar Negara Anggota dan pembentukan atau penguatan Tim Tanggap Insiden Keamanan Komputer (CSIRT) nasional , yang mampu berkoordinasi di tingkat Eropa dalam situasi krisis serius. ENISA, Badan Uni Eropa untuk Keamanan Siber, memainkan peran kunci dalam ekosistem ini, mendukung pengembangan strategi keamanan siber nasional dan mempromosikan praktik terbaik.

Sektor keuangan pada dasarnya dikecualikan dari cakupan NIS2 , karena peraturan DORA lebih diutamakan sebagai lex specialis. Meskipun demikian, logika ketahanan operasional digital yang mendorong DORA sepenuhnya konsisten dengan filosofi NIS2.

Status terkini transposisi NIS2 di Spanyol

Direktif NIS2 mulai berlaku pada 16 Januari 2023 , dan menetapkan 17 Oktober 2024 sebagai batas waktu transisinya. Satu tahun setelah batas waktu tersebut, Spanyol masih belum menyelesaikan penggabungan formal ke dalam sistem hukum internalnya, sehingga menempatkannya dalam kelompok negara-negara yang tertinggal.

Akibat penundaan ini, Komisi Eropa membuka proses pelanggaran terhadap sejumlah Negara Anggota. Pada tanggal 7 Mei 2025, Komisi mengirimkan pendapat yang beralasan kepada sembilan belas negara, termasuk Spanyol, yang mengharuskan mereka untuk memberitahukan transposisi penuh Direktif tersebut dalam waktu dua bulan, dengan peringatan bahwa Komisi dapat merujuk masalah tersebut ke Mahkamah Keadilan Uni Eropa jika tindakan yang diperlukan tidak diambil.

Dalam kasus Spanyol, titik balik utama terjadi pada 14 Januari 2025, dengan disetujuinya Rancangan Undang-Undang tentang Koordinasi dan Tata Kelola Keamanan Siber oleh Dewan Menteri . Undang-undang ini akan berfungsi sebagai instrumen fundamental untuk mentransposisikan NIS2 ke dalam hukum domestik dan menata ulang model tata kelola keamanan siber nasional.

Setelah persetujuan awalnya, rancangan undang-undang tersebut dibuka untuk konsultasi dan peninjauan publik antara tanggal 16 Januari dan 10 Februari 2025 , yang memungkinkan warga negara, bisnis, asosiasi, dan organisasi lain untuk menyampaikan komentar dan saran untuk perbaikan. Selanjutnya, teks tersebut ditinjau oleh Kelompok Kerja Teknis Antar Kementerian, yang mengkonsolidasikan rancangan tersebut dengan mempertimbangkan umpan balik yang diterima, termasuk dari komunitas ahli seperti Forum ISMS.

Meskipun demikian, dan terlepas dari momentum politik, undang-undang tersebut masih dalam proses parlemen . Ada pembicaraan tentang pengajuannya ke Dewan Menteri untuk disetujui sebagai rancangan undang-undang sekitar bulan November dan kemungkinan persetujuan parlemen pada akhir Januari atau Februari tahun berikutnya, tetapi kenyataannya adalah bahwa, hingga akhir tahun 2025, Spanyol masih belum memiliki undang-undang nasional yang sepenuhnya berlaku yang mentransposisikan NIS2.

Rancangan Undang-Undang tentang Koordinasi dan Tata Kelola Keamanan Siber

Rancangan undang-undang yang disetujui oleh Pemerintah Spanyol merupakan inisiatif bersama dari Kementerian Dalam Negeri, Pertahanan, dan Transformasi Digital serta Administrasi Publik . Tujuannya ada dua: pertama, untuk mentransposisikan Direktif NIS2, dan kedua, untuk mengatur koordinasi dan tata kelola keamanan siber di tingkat nasional, memperkuat perlindungan jaringan dan sistem informasi terhadap ancaman siber yang dapat berdampak pada infrastruktur penting dan layanan esensial.

Undang-undang yang akan datang akan berlaku untuk entitas publik dan swasta yang beroperasi di sektor-sektor seperti energi, transportasi, perbankan dan infrastruktur pasar keuangan, perawatan kesehatan, pengelolaan air, infrastruktur digital, layanan teknologi, dan sektor-sektor penting lainnya . Undang-undang ini secara eksplisit mencakup pendaftar nama domain , seperti Dominios.es (dikelola oleh Red.es), yang akan memikul kewajiban keamanan siber baru karena peran strategis mereka dalam stabilitas ekosistem digital.

Secara umum, rancangan tersebut selaras dengan kewajiban utama Direktif NIS2 dan mengartikulasikan empat poros utama: penguatan tata kelola dan tanggung jawab manajemen senior, langkah-langkah manajemen risiko keamanan umum, penunjukan petugas keamanan informasi, dan kewajiban pelaporan insiden yang jelas.

Selain itu, undang-undang Spanyol memperkenalkan elemen organisasi yang signifikan: pembentukan Pusat Keamanan Siber Nasional (CNC) . Badan ini akan bertindak sebagai badan koordinasi untuk perlindungan jaringan dan sistem informasi, menyelaraskan kriteria di antara berbagai otoritas pengatur (Dalam Negeri, Pertahanan, dan Transformasi Digital), mempromosikan Tim Tanggap Insiden Keamanan Komputer (CSIRT), dan memfasilitasi visi yang lebih kohesif dari ekosistem keamanan siber nasional.

Selama fase konsultasi publik, organisasi seperti ISMS Forum memberikan kontribusi signifikan : memperkuat peran petugas keamanan informasi, memisahkan posisi ini dari Undang-Undang Keamanan Swasta, dan menetapkan mekanisme respons khusus ketika entitas yang tidak patuh adalah administrasi publik, yang, berdasarkan sifatnya, tidak dapat dikenakan sanksi finansial. Di antara usulan tersebut adalah kemungkinan peringatan publik, sejalan dengan ketentuan LOPDGDD (Undang-Undang Organik tentang Perlindungan Data Pribadi dan Jaminan Hak Digital) mengenai perlindungan data.

Sektor dan jenis entitas yang terkena dampak NIS2

NIS2 mengklasifikasikan organisasi yang tunduk pada Direktif sebagai entitas penting atau esensial , terutama berdasarkan sektor tempat mereka beroperasi dan ukurannya (perusahaan menengah dan besar, dengan pengecualian berdasarkan tingkat kekritisan). Standar ini umumnya berlaku untuk entitas publik atau swasta yang beroperasi di Uni Eropa, dengan kemungkinan memasukkan organisasi yang lebih kecil ketika Negara Anggota mengidentifikasinya sebagai penting atau esensial karena relevansinya.

Sektor-sektor dengan tingkat kekritisan tinggi tercantum dalam Lampiran I NIS2, sedangkan sektor-sektor kritis lainnya tercantum dalam Lampiran II . Di Spanyol, peningkatan jumlah sektor agak lebih kecil dibandingkan di negara lain, karena transisi NIS lama telah diselaraskan dengan Undang-Undang 8/2011 tentang Perlindungan Infrastruktur Kritis, yang mencakup 12 sektor. Meskipun demikian, NIS2 memasukkan bidang-bidang baru seperti layanan pos dan kurir, pengelolaan limbah, dan beberapa kategori manufaktur , serta memisahkan bidang-bidang lainnya, misalnya, membedakan antara air minum dan air limbah.

Di antara berbagai sektor dan contoh entitas , berikut ini beberapa yang menonjol:

• KekuasaanPerusahaan pemasok listrik, pengelola jaringan transportasi dan distribusi, produsen, operator NEMO, pelaku pasar listrik, operator titik pengisian daya; operator dan pengelola jaringan gas, minyak, dan hidrogen.
• Transportasi: maskapai penerbangan, operator bandara, kontrol lalu lintas udara, pengelola infrastruktur kereta api, perusahaan kereta api, entitas transportasi laut dan sungai, operator pelabuhan, layanan lalu lintas kapal, otoritas jalan raya, dan operator sistem transportasi cerdas.
• Infrastruktur perbankan dan pasar keuangan: lembaga kredit dan manajer pusat perdagangan, rekanan pusat, dengan nuansa bahwa DORA bertindak sebagai standar sektoral khusus.
• Sektor kesehatan: penyedia layanan kesehatan, laboratorium rujukan UE, entitas R&D untuk obat-obatan, produsen produk farmasi dasar dan khusus, dan produsen peralatan medis penting dalam keadaan darurat kesehatan masyarakat.
• Air minum dan air limbahPemasok dan distributor air minum, dan perusahaan yang bertanggung jawab atas pengumpulan, pembuangan, dan pengolahan air limbah perkotaan, domestik, atau industri.
• Infrastruktur digitalPenyedia titik pertukaran internet (IXP), layanan DNS, registri domain tingkat atas, penyedia layanan komputasi awan, pusat data, jaringan pengiriman konten (CDN), penyedia layanan tepercaya, penyedia jaringan komunikasi elektronik publik, dan layanan komunikasi elektronik publik.
• Manajemen layanan TIK bisnis-ke-bisnis: penyedia layanan terkelola dan penyedia layanan keamanan terkelola, dengan dampak langsung pada seluruh rantai pasokan teknologi.
• Administrasi publik: entitas Administrasi Negara Umum dan, dalam kasus tertentu, entitas regional dan lokal, ketika gangguan layanan mereka dapat berdampak signifikan pada aktivitas sosial atau ekonomi yang penting.
• Layanan pos dan kurir: pemasok yang melakukan pengumpulan, penyortiran, pengangkutan, dan pendistribusian kiriman pos.
• Penanganan limbah: perusahaan yang didedikasikan untuk pengumpulan, pengangkutan, pemulihan, dan pembuangan limbah, termasuk tempat pembuangan sampah.
• Bahan kimia: perusahaan yang memproduksi, mengolah, dan mendistribusikan zat dan campuran kimia, serta memproduksi barang dari zat dan campuran tersebut.
• Produksi, pengolahan dan distribusi makanan:perusahaan makanan yang didedikasikan untuk distribusi grosir dan produksi serta pemrosesan industri berskala besar.
• Manufaktur canggih: produsen produk kesehatan dan diagnostik in vitro, pembuatan produk komputer, elektronik dan optik, peralatan listrik, mesin dan peralatan, kendaraan bermotor dan peralatan transportasi lainnya.
• Sektor luar angkasa: operator infrastruktur terestrial yang mendukung penyediaan layanan ruang angkasa, kecuali yang kepemilikan atau pengelolaannya sesuai dengan UE atau pihak ketiga dalam kerangka program ruang angkasanya.

Di semua sektor ini, entitas besar umumnya diklasifikasikan sebagai esensial , sedangkan entitas menengah cenderung penting, kecuali jika secara khusus ditetapkan sebaliknya. Usaha kecil dan mikro biasanya dikecualikan karena ukurannya, tetapi dapat dimasukkan jika kekritisannya membenarkannya.

Tata kelola dan tanggung jawab manajemen senior

Salah satu perubahan paling signifikan dalam NIS2 dan rancangan undang-undang Spanyol adalah penekanan pada tata kelola keamanan siber dan tanggung jawab langsung badan-badan pemerintahan . Pasal 14 rancangan undang-undang tersebut memperkuat gagasan ini: keamanan siber bukan lagi sekadar masalah teknis, melainkan masalah strategis tingkat atas.

Manajemen senior harus menyetujui dan mengawasi implementasi langkah-langkah manajemen risiko keamanan siber , memastikan langkah-langkah tersebut proporsional dengan konteks organisasi dan risiko yang teridentifikasi. Selanjutnya, badan pengelola akan memikul tanggung jawab utama atas setiap ketidakpatuhan, yang terkait dengan rezim sanksi yang lebih ketat.

Poin penting lainnya adalah pelatihan keamanan siber secara berkala untuk manajemen . Sekadar mendelegasikan saja tidak cukup: para pemimpin harus dilatih untuk memahami risiko, membuat keputusan yang tepat, dan mendukung penyebaran budaya keamanan yang kuat di seluruh organisasi. Pada gilirannya, mereka akan bertanggung jawab untuk mempromosikan program pelatihan berkala bagi seluruh staf.

Pasal 20 NIS2 memperkuat pandangan ini dengan secara tegas mengharuskan badan pengatur untuk menyadari kewajiban mereka, menyetujui tindakan yang diambil, memastikan penerapannya dan mampu menanggapi, dalam situasi ekstrem, bahkan dengan konsekuensi pribadi (seperti kemungkinan pemisahan fungsi dalam kasus tertentu).

Dalam konteks ini, hubungan antara manajemen dan petugas keamanan informasi (CISO atau yang setara) menjadi sangat penting: diharapkan adanya dialog yang lancar dan berkelanjutan berdasarkan kriteria risiko dan kepatuhan yang objektif.

Langkah-langkah manajemen risiko yang dipersyaratkan oleh NIS2

Pasal 15 rancangan undang-undang Spanyol menetapkan bahwa langkah-langkah manajemen risiko keamanan siber harus didasarkan pada standar teknis nasional, Eropa, dan internasional , yang mengintegrasikan, setidaknya, persyaratan yang ditetapkan dalam Pasal 21 NIS2 dan dikembangkan dalam Peraturan Pelaksanaan (EU) 2024/2690.

Di antara langkah-langkah yang harus diterapkan oleh entitas penting dan esensial , berikut ini yang paling menonjol:

• Kebijakan keamanan dan analisis risiko sistem informasi, dengan tinjauan berkala.
• Manajemen Insiden, termasuk prosedur deteksi, respons, dan pemulihan yang jelas.
• Kontinuitas bisnis, pencadangan, pemulihan bencana, dan manajemen krisismemastikan ketahanan operasional.
• Keamanan rantai pasokan dan hubungan dengan pemasok dan penyedia layanan langsung, yang melibatkan penerapan persyaratan kontraktual dan kontrol persetujuan dan audit.
• manajemen kerentanan dalam perolehan, pengembangan, dan pemeliharaan jaringan dan sistem informasi, termasuk perbaikan dan pembaruan.
• Kebijakan untuk mengevaluasi efektivitas langkah-langkah keamanan sibermelalui audit, metrik, dan tinjauan berkala.
• Praktik dan pelatihan kebersihan siber dasar karyawan, disesuaikan dengan profil yang berbeda-beda.
• Kebijakan kriptografi dan enkripsi untuk menjamin kerahasiaan dan integritas informasi.
• Keamanan Sumber Daya ManusiaKebijakan kontrol akses dan manajemen aset.
• Otentikasi multi-faktor atau berkelanjutan, perlindungan komunikasi suara dan komunikasi darurat.

Di Spanyol, banyak dari langkah-langkah ini telah dimasukkan dalam Kerangka Keamanan Nasional (ENS) , khususnya untuk administrasi publik dan pemasoknya. Bahkan, Badan Negara untuk Administrasi Digital dan Pusat Kriptologi Nasional telah mempresentasikan kepada Uni Eropa keselarasan yang kuat antara ENS dengan NIS2, menyoroti potensinya sebagai tolok ukur Eropa dan kontribusinya terhadap ketahanan ekosistem digital nasional.

Namun, NIS2 meningkatkan standar untuk berbagai organisasi yang jauh lebih luas, termasuk UKM yang terpengaruh oleh ukuran atau tingkat kekritisannya . Bagi organisasi yang sudah mapan, banyak dari persyaratan ini selaras dengan praktik yang ada; bagi ribuan perusahaan yang tidak memiliki latar belakang keamanan siber, persyaratan ini mewakili lompatan signifikan dalam kematangan, sumber daya, dan organisasi internal.

Chief Information Security Officer (CISO) dan fungsinya

Pasal 16 rancangan undang-undang tersebut menetapkan bahwa semua entitas penting dan esensial harus menunjuk seorang petugas keamanan informasi . Peran ini, yang terinspirasi oleh pengalaman Spanyol sebelumnya dengan NIS (National Information Security) yang asli, menjadi titik pusat untuk mengoordinasikan segala sesuatu yang berkaitan dengan perlindungan sistem dan data.

Fungsi utamanya meliputi:

• Menentukan dan menerapkan strategi keamanan siber organisasi, selaras dengan risiko, bisnis, dan kewajiban peraturan.
• Mengevaluasi, mengurangi, dan meninjau risiko secara terus-menerus, mempertahankan pandangan terkini atas eksposur entitas.
• Mengelola bukti, kebijakan, dan catatan yang diperlukan untuk menunjukkan kepatuhan kewajiban yang timbul dari NIS2 dan peraturan nasional.
• Mempromosikan budaya keamanan siber berkoordinasi dengan manajemen senior, melatih dan meningkatkan kesadaran di antara semua staf.
• Memastikan kepatuhan terhadap kewajiban pelaporan insiden, mengoordinasikan laporan kepada otoritas yang berwenang.

Spanyol adalah salah satu negara pertama yang secara eksplisit memperkenalkan peran Chief Information Security Officer (CISO) dalam transisi dari NIS sebelumnya. Namun, pengalaman menunjukkan bahwa sejumlah besar operator kunci tidak pernah secara formal menunjuk peran ini dan, bahkan jika ada, tidak dikenai sanksi. NIS2, dikombinasikan dengan hukum Spanyol di masa mendatang dan rezim sanksi yang lebih ketat, berupaya untuk memperbaiki kelonggaran ini dan memberikan CISO posisi yang lebih kuat dan diakui.

Ke depan, diperkirakan akan terjadi peningkatan besar pada jumlah entitas yang berkewajiban : dari sekitar 400 operator penting saat ini menjadi sekitar 5.000 hingga 50.000 entitas penting dan esensial. Hal ini akan menimbulkan permintaan yang signifikan untuk para profesional keamanan siber, baik internal maupun eksternal, terutama untuk UKM yang sebelumnya belum pernah memiliki peran ini.

Kewajiban pelaporan insiden dan manajemen kerentanan

Direktif NIS2 menempatkan kepentingan utama pada pemberitahuan dini insiden keamanan yang berdampak signifikan . Pasal 18 rancangan undang-undang Spanyol menguraikan kewajiban ini, selaras dengan jangka waktu dan isi yang ditetapkan oleh Direktif tersebut.

Apabila suatu entitas mengalami insiden yang dapat menyebabkan gangguan serius terhadap penyediaan layanannya atau kerugian besar bagi dirinya sendiri atau pihak ketiga, entitas tersebut harus mematuhi skema pelaporan berikut:

• Pemberitahuan awal: dalam waktu maksimal 24 jam setelah insiden terdeteksi, memberikan informasi dasar yang tersedia.
• laporan sementara: dalam waktu maksimal 72 jam sejak terdeteksi, dengan penilaian awal terhadap dampak dan tingkat keparahannya.
• Laporan akhir: dalam jangka waktu maksimal satu bulan sejak pemberitahuan pertama, termasuk uraian rinci tentang insiden, dampaknya, tingkat keparahannya, dan tindakan yang diambil.

Selain itu, NIS2 memperkuat manajemen kerentanan dan komunikasi : ini bukan hanya tentang melaporkan insiden yang telah selesai, tetapi juga tentang berbagi informasi relevan tentang kerentanan yang mungkin memiliki dampak sistemik, memfasilitasi koordinasi respons di tingkat nasional dan Eropa.

Di Spanyol, ekosistem respons bergantung pada tiga CSIRT (Critical Security Information Response Team) utama : CCN-CERT (untuk administrasi publik, perusahaan strategis, dan sistem rahasia), INCIBE-CERT (sektor swasta dan warga negara), dan MCCE (sektor pertahanan). Ketiganya dilengkapi oleh jaringan csirt.es, yang menyatukan puluhan tim khusus dan terhubung dengan jaringan internasional seperti FIRST, serta Jaringan SOC Nasional.

Entitas penting dan esensial wajib melaporkan insiden mereka kepada CSIRT (Cybersecurity Information Response Team) yang berwenang , sesuai dengan peraturan sektor dan pedoman Pusat Keamanan Siber Nasional di masa mendatang, yang akan bertindak sebagai elemen koordinasi dan penghubung dengan ENISA dan negara-negara anggota lainnya.

Rezim sanksi dan tekanan Eropa

Direktif NIS2 menetapkan rezim hukuman yang jauh lebih ketat daripada Direktif NIS sebelumnya . Untuk entitas esensial, pelanggaran paling serius dapat mengakibatkan denda hingga €10 juta atau 2% dari omset global grup, sedangkan untuk entitas besar, hukuman dapat mencapai hingga €7 juta atau 1,4% dari omset global.

Saat ini, belum ada sanksi berdasarkan NIS2 yang terlihat di Spanyol , sebagian karena undang-undang transisi belum berlaku dan otoritas pengawas belum secara resmi ditunjuk. Di Negara Anggota lainnya, transisi masih baru, sehingga masih terlalu dini untuk mengharapkan sanksi yang meluas.

Meskipun demikian, para ahli sepakat bahwa ketika negara-negara seperti Prancis atau Jerman mulai menerapkan sanksi , Spanyol tidak boleh ketinggalan jika ingin mempertahankan harmonisasi dan kredibilitas di tingkat Eropa. Tekanan Komisi, melalui prosedur pelanggaran dan opini yang beralasan, bertujuan untuk mencapai hal ini.

Selain sanksi finansial, NIS2 secara eksplisit memperkenalkan, untuk pertama kalinya, tanggung jawab manajemen senior dalam keamanan siber . Kesenjangan antara manajemen dan CISO bukan lagi pilihan: badan pengelola harus terlibat, diberi informasi, dan membuat keputusan yang diperlukan.

Tantangan terbesar, menurut para spesialis seperti yang ada di ISMS Forum, terletak pada jaringan UKM yang, tanpa sepenuhnya menyadarinya, akan terikat oleh NIS2 . Banyak yang kekurangan sumber daya, proses, atau budaya keamanan siber yang memadai, dan akan "terdesak" baik oleh hukum maupun oleh tuntutan klien besar mereka dalam rantai pasokan, yang harus menuntut jaminan kontraktual untuk mematuhi Arahan tersebut.

Mendukung inisiatif, studi, dan peran ENS

Seiring dengan kemajuan legislatif, Spanyol mempromosikan inisiatif teknis dan pengetahuan untuk memfasilitasi adaptasi sektor bisnis terhadap NIS2. ISMS Forum, misalnya, sedang mengerjakan Studi Dampak NIS2 pada Perusahaan Spanyol, di bawah Kursi Luar Biasa Keamanan Siber dan Perlindungan Data di UCM.

Proyek ini memiliki tujuan ganda: untuk membangun sensus tidak resmi perusahaan yang terdampak NIS2 dan untuk mengukur tingkat kematangan keamanan siber mereka. Pada fase pertama, sensus akan disusun menggunakan basis data komprehensif (registrasi komersial, DIRCE/INE, basis data khusus sektor, dll.), dengan hasil yang diharapkan sekitar November 2025. Pada fase kedua, kuesioner singkat akan dikirimkan kepada sampel perusahaan yang representatif (dengan target 1.000 tanggapan) untuk menilai tingkat kesiapan mereka, dengan hasil yang diharapkan pada Mei 2026.

Analisis ini akan mencakup segmentasi berdasarkan sektor, ukuran, distribusi geografis, dan jenis entitas (esensial atau penting) , dengan menyajikan kesimpulan dalam laporan eksekutif agregat, tanpa data individual, yang bermanfaat bagi perusahaan maupun otoritas.

Pada saat yang sama, organisasi seperti ISMS Forum dan berbagai lembaga pemerintah mengadakan acara sosialisasi di seluruh negeri , dengan fokus khusus pada UKM. Tujuannya adalah untuk "menyebarluaskan informasi," menjelaskan secara jelas apa yang dimaksud dengan NIS2, mengapa memiliki CISO (internal atau eksternal) sangat penting, bagaimana menetapkan kebijakan keamanan siber dasar, dan bagaimana mempersiapkan diri untuk undang-undang di masa mendatang dan peraturan tambahannya.

Dari segi regulasi, Kerangka Keamanan Nasional (ENS) telah dipresentasikan di Eropa sebagai salah satu kekuatan terbesar Spanyol . Badan Negara untuk Administrasi Digital dan Pusat Kriptologi Nasional (CCN) telah berbagi pengalaman yang telah terakumulasi dari ENS, profil kepatuhannya, dan integrasinya dengan skema sertifikasi Eropa dari Peraturan (EU) 2019/881 (Undang-Undang Keamanan Siber) dengan Grup Kerja Sama NIS2. Penerimaan positif terhadap presentasi ini memperkuat citra Spanyol sebagai aktor proaktif yang berkomitmen pada keamanan siber yang kuat, koheren, dan harmonis.

Dalam konteks ini, adaptasi Spanyol terhadap NIS2 menghadapi tekanan tenggat waktu, ketangguhan teknis instrumen seperti Skema Keamanan Nasional (ENS), dan tantangan besar untuk memasukkan ribuan entitas baru ke dalam budaya keamanan siber yang canggih. Organisasi yang proaktif, melakukan penilaian situasional, dan mulai menyelaraskan praktik mereka dengan Direktif sekarang akan berada pada posisi yang lebih baik untuk meminimalkan risiko, menghindari sanksi di masa mendatang, dan menunjukkan pendekatan proaktif dan matang terhadap ancaman siber.