Attuazione della direttiva NIS2 in Spagna: situazione, obblighi e sfide

Informatec Digital » Risorse » Attuazione della Direttiva NIS2 in Spagna: situazione, obblighi e sfide

La direttiva europea NIS2 ha completamente trasformato il panorama della sicurezza informatica in Europa, e in particolare in Spagna. Non si tratta di una semplice normativa, bensì di un cambiamento fondamentale nel modo in cui aziende e pubbliche amministrazioni gestiscono i rischi digitali, segnalano gli incidenti e si coordinano con le autorità.

Nel frattempo, la Spagna sta compiendo progressi costanti, ma chiaramente in ritardo, nel recepimento della direttiva: la scadenza ufficiale era ottobre 2024 e, a tutt'oggi, la futura legge sul coordinamento e la governance della cibersicurezza è ancora in fase di iter parlamentare. Questa situazione crea uno scenario alquanto peculiare: la direttiva è già vincolante a livello europeo, ma il quadro giuridico nazionale definitivo non è ancora stato approvato, lasciando molte organizzazioni intrappolate tra l'obbligo morale e strategico di prepararsi e valutare la propria situazione e l'assenza di una legge pienamente applicabile.

Che cos'è la direttiva NIS2 e perché cambia le regole del gioco?

La direttiva (UE) 2022/2555, nota come NIS2 , sostituisce la precedente direttiva NIS con l'obiettivo di stabilire un elevato livello comune di sicurezza informatica per le reti e i sistemi informativi in ​​tutta l'Unione europea. Il suo scopo è rafforzare la resilienza contro gli incidenti informatici che potrebbero compromettere i servizi essenziali e il normale funzionamento della società e dell'economia.

A differenza della sua predecessora, NIS2 amplia significativamente il numero di settori ed enti interessati , includendo non solo le infrastrutture critiche tradizionali (energia, trasporti, acqua, servizi bancari o sanitari), ma anche settori come la pubblica amministrazione, le infrastrutture digitali, i servizi postali e di corriere, la gestione dei rifiuti, la produzione manifatturiera avanzata o la produzione e distribuzione alimentare.

La direttiva stabilisce un quadro armonizzato di requisiti minimi di cybersicurezza per l'intera UE, con misure per la gestione del rischio, la governance, la protezione della catena di approvvigionamento, la continuità operativa e la notifica tempestiva degli incidenti. Inoltre, rafforza il regime di monitoraggio e sanzioni e aumenta esplicitamente la responsabilità dei dirigenti di alto livello.

Un altro sviluppo significativo è il chiaro impegno alla cooperazione tra gli Stati membri e la creazione o il rafforzamento di squadre nazionali di risposta agli incidenti di sicurezza informatica (CSIRT) , capaci di coordinarsi a livello europeo in situazioni di crisi gravi. L'ENISA, l'Agenzia dell'UE per la cibersicurezza, svolge un ruolo chiave in questo ecosistema, supportando lo sviluppo di strategie nazionali di cibersicurezza e promuovendo le migliori pratiche.

Il settore finanziario è sostanzialmente escluso dall'ambito di applicazione della NIS2 , poiché le normative DORA hanno la precedenza in quanto lex specialis. Ciononostante, la logica di resilienza operativa digitale che guida la DORA è pienamente coerente con la filosofia della NIS2.

Stato attuale del recepimento della NIS2 in Spagna

La direttiva NIS2 è entrata in vigore il 16 gennaio 2023 , fissando al 17 ottobre 2024 la scadenza per il suo recepimento. Un anno dopo tale data, la Spagna non aveva ancora completato l'incorporazione formale nel proprio ordinamento giuridico interno, collocandosi così nel gruppo dei paesi in ritardo.

A seguito di tale ritardo, la Commissione europea ha avviato procedimenti di infrazione contro numerosi Stati membri. Il 7 maggio 2025, la Commissione ha inviato un parere motivato a diciannove paesi, tra cui la Spagna, intimando loro di notificare il recepimento integrale della direttiva entro due mesi, avvertendo che, in caso di mancato rispetto delle misure necessarie, avrebbe potuto deferire la questione alla Corte di giustizia dell'UE.

Nel caso della Spagna, la svolta decisiva si è verificata il 14 gennaio 2025, con l'approvazione da parte del Consiglio dei Ministri del progetto di legge sul coordinamento e la governance della cybersicurezza . Questa legge servirà da strumento fondamentale per il recepimento della direttiva NIS2 nell'ordinamento nazionale e per la riorganizzazione del modello nazionale di governance della cybersicurezza.

In seguito all'approvazione iniziale, il progetto di legge è stato reso disponibile per la consultazione e la revisione pubblica tra il 16 gennaio e il 10 febbraio 2025 , consentendo a cittadini, imprese, associazioni e altre organizzazioni di presentare commenti e suggerimenti per il suo miglioramento. Successivamente, il testo è stato esaminato dal Gruppo di lavoro tecnico interministeriale, che ha consolidato la bozza tenendo conto dei riscontri ricevuti, compresi quelli provenienti da comunità di esperti come l'ISMS Forum.

Ciononostante, e nonostante lo slancio politico, la legge rimane bloccata nell'iter parlamentare . Si è parlato di una sua presentazione al Consiglio dei Ministri per l'approvazione come disegno di legge intorno a novembre e di una possibile approvazione parlamentare entro la fine di gennaio o febbraio dell'anno successivo, ma la realtà è che, fino alla fine del 2025, la Spagna non disporrà ancora di una legge nazionale pienamente applicabile che recepisca il NIS2.

Progetto di legge sul coordinamento e la governance della sicurezza informatica

Il progetto di legge approvato dal governo spagnolo è un'iniziativa congiunta dei Ministeri dell'Interno, della Difesa e della Trasformazione Digitale e della Pubblica Amministrazione . Il suo scopo è duplice: in primo luogo, recepire la Direttiva NIS2 e, in secondo luogo, organizzare il coordinamento e la governance della cybersicurezza a livello nazionale, rafforzando la protezione delle reti e dei sistemi informativi dalle minacce informatiche che potrebbero avere un impatto sulle infrastrutture critiche e sui servizi essenziali.

La futura legge si applicherà agli enti pubblici e privati ​​operanti in settori quali energia, trasporti, infrastrutture bancarie e dei mercati finanziari, sanità, gestione delle risorse idriche, infrastrutture digitali, servizi tecnologici e altri settori critici . Essa include esplicitamente i registri dei nomi a dominio , come Dominios.es (gestito da Red.es), che assumeranno nuovi obblighi in materia di sicurezza informatica a causa del loro ruolo strategico nella stabilità dell'ecosistema digitale.

In termini generali, la bozza è in linea con i principali obblighi della direttiva NIS2 e articola quattro assi chiave: rafforzamento della governance e della responsabilità del management di alto livello, misure generali di gestione del rischio per la sicurezza, nomina di un responsabile della sicurezza delle informazioni e chiari obblighi di segnalazione degli incidenti.

Inoltre, la legge spagnola introduce un importante elemento organizzativo: la creazione del Centro Nazionale per la Cybersicurezza (CNC) . Questo organismo fungerà da organo di coordinamento per la protezione delle reti e dei sistemi informativi, armonizzando i criteri tra le diverse autorità di regolamentazione (Ministero dell'Interno, della Difesa e della Trasformazione Digitale), promuovendo i team di risposta agli incidenti di sicurezza informatica (CSIRT) e facilitando una visione più coesa dell'ecosistema nazionale della cybersicurezza.

Durante la fase di consultazione pubblica, organizzazioni come ISMS Forum hanno fornito contributi significativi : rafforzando il ruolo del responsabile della sicurezza informatica, separando tale figura dalla legge sulla sicurezza privata e istituendo meccanismi di risposta specifici quando l'ente non conforme è una pubblica amministrazione, che, per sua stessa natura, non può essere sanzionata finanziariamente. Tra le proposte vi è la possibilità di emettere avvisi pubblici, in linea con le disposizioni della LOPDGDD (Legge organica sulla protezione dei dati personali e la garanzia dei diritti digitali) in materia di protezione dei dati.

Settori e tipologie di entità interessate da NIS2

La norma NIS2 classifica le organizzazioni soggette alla Direttiva come entità essenziali o importanti , principalmente in base al settore in cui operano e alle loro dimensioni (medie e grandi imprese, con eccezioni basate sulla criticità). Lo standard si applica generalmente alle entità pubbliche o private che operano nell'UE, con la possibilità di includere organizzazioni più piccole quando gli Stati membri le identificano come essenziali o importanti in virtù della loro rilevanza.

I settori ad alta criticità sono elencati nell'Allegato I del NIS2, mentre gli altri settori critici sono elencati nell'Allegato II . In Spagna, l'aumento del numero di settori è leggermente inferiore rispetto ad altri Paesi, poiché il recepimento del vecchio NIS era già allineato alla Legge 8/2011 sulla protezione delle infrastrutture critiche, che includeva 12 settori. Ciononostante, il NIS2 incorpora nuove aree come i servizi postali e di corriere, la gestione dei rifiuti e diverse categorie manifatturiere , e ne suddivide altre, ad esempio distinguendo tra acqua potabile e acque reflue.

Tra i settori e gli esempi di enti , spiccano i seguenti:

• EnergiaAziende fornitrici di energia elettrica, gestori di reti di trasporto e distribuzione, produttori, operatori NEMO, partecipanti al mercato dell'elettricità, gestori di punti di ricarica; gestori e gestori di reti di gas, petrolio e idrogeno.
• Trasporto: compagnie aeree, gestori aeroportuali, controllo del traffico aereo, gestori delle infrastrutture ferroviarie, compagnie ferroviarie, enti di trasporto marittimo e fluviale, gestori portuali, servizi di traffico navale, autorità stradali e gestori di sistemi di trasporto intelligenti.
• Infrastrutture bancarie e del mercato finanziario: istituti di credito e gestori di centri di negoziazione, controparti centrali, con la sfumatura che DORA agisce come uno standard settoriale specifico.
• Settore sanitario: fornitori di assistenza sanitaria, laboratori di riferimento dell'UE, enti di ricerca e sviluppo per medicinali, produttori di prodotti farmaceutici di base e specialistici e produttori di dispositivi medici essenziali nelle emergenze di sanità pubblica.
• Acqua potabile e acque reflueFornitori e distributori di acqua potabile e aziende responsabili della raccolta, dello smaltimento e del trattamento delle acque reflue urbane, domestiche o industriali.
• Infrastruttura digitaleFornitori di punti di scambio Internet (IXP), servizi DNS, registri di domini di primo livello, fornitori di servizi di cloud computing, data center, reti di distribuzione di contenuti (CDN), fornitori di servizi attendibili, fornitori di reti pubbliche di comunicazione elettronica e servizi pubblici di comunicazione elettronica.
• Gestione dei servizi ICT business-to-business: fornitori di servizi gestiti e fornitori di servizi di sicurezza gestiti, con un impatto diretto sull'intera catena di fornitura tecnologica.
• Amministrazioni pubbliche: enti dell'Amministrazione generale dello Stato e, in alcuni casi, enti regionali e locali, quando l'interruzione dei loro servizi può avere un impatto significativo su attività sociali o economiche critiche.
• Servizi postali e di corriere: fornitori che svolgono attività di raccolta, smistamento, trasporto e distribuzione delle spedizioni postali.
• Gestion de residuos: aziende dedicate alla raccolta, al trasporto, al recupero e allo smaltimento dei rifiuti, comprese le discariche.
• chimico: aziende che fabbricano, producono e distribuiscono sostanze e miscele chimiche, nonché producono articoli da esse.
• Produzione, trasformazione e distribuzione di alimenti: aziende alimentari dedicate alla distribuzione all'ingrosso e alla produzione e trasformazione industriale su larga scala.
• Produzione avanzata: produttori di prodotti sanitari e di diagnostica in vitro, fabbricazione di computer, prodotti elettronici e ottici, apparecchiature elettriche, macchinari e attrezzature, veicoli a motore e altri mezzi di trasporto.
• Settore spaziale: operatori di infrastrutture terrestri che supportano la fornitura di servizi spaziali, ad eccezione di quelli la cui proprietà o gestione spetta all'UE o a terzi nell'ambito del suo programma spaziale.

In tutti questi settori, le grandi entità sono generalmente classificate come essenziali , mentre le entità di medie dimensioni tendono ad essere importanti, a meno che non siano specificamente designate diversamente. Le piccole e microimprese sono solitamente escluse a causa delle loro dimensioni, ma possono essere incluse se la loro importanza critica lo giustifica.

Responsabilità di governance e di alta dirigenza

Uno dei cambiamenti più significativi introdotti dalla NIS2 e dalla bozza di legge spagnola è l'enfasi sulla governance della cybersicurezza e sulla responsabilità diretta degli organi di governo . L'articolo 14 della bozza di legge rafforza questo concetto: la cybersicurezza non è più una questione puramente tecnica, bensì una questione strategica di altissimo livello.

L'alta dirigenza deve approvare e supervisionare l'implementazione delle misure di gestione del rischio informatico , assicurandosi che siano proporzionate al contesto dell'organizzazione e ai rischi identificati. Inoltre, gli organi di governo avranno la responsabilità ultima per qualsiasi inadempienza, il che si collega al regime di sanzioni rafforzate.

Un altro punto chiave è la formazione continua sulla sicurezza informatica per il management . Delegare non basta: i leader devono essere formati per comprendere i rischi, prendere decisioni consapevoli e promuovere la diffusione di una solida cultura della sicurezza in tutta l'organizzazione. A loro volta, saranno responsabili della promozione di programmi di formazione periodici per il resto del personale.

L'articolo 20 del NIS2 rafforza questa visione richiedendo espressamente agli organi di governo di essere consapevoli dei propri obblighi, approvare le misure, garantirne l'attuazione ed essere in grado di rispondere, in situazioni estreme, anche con conseguenze personali (come la possibile separazione delle funzioni in determinati casi).

In questo contesto, il rapporto tra il management e il responsabile della sicurezza informatica (CISO o figura equivalente) diventa cruciale: è previsto un dialogo fluido e costante, basato su criteri oggettivi di rischio e conformità.

Misure di gestione del rischio richieste da NIS2

L'articolo 15 del progetto di legge spagnolo stabilisce che le misure di gestione del rischio informatico devono basarsi su standard tecnici nazionali, europei e internazionali , integrando, come minimo, i requisiti di cui all'articolo 21 della NIS2 e sviluppati nel regolamento di esecuzione (UE) 2024/2690.

Tra le misure che gli enti essenziali e importanti devono attuare , spiccano le seguenti:

• Politiche di sicurezza e analisi dei rischi dei sistemi informativi, con revisioni periodiche.
• Gestione degli incidenti, comprese chiare procedure di rilevamento, risposta e ripristino.
• Continuità aziendale, backup, ripristino di emergenza e gestione delle crisigarantire la resilienza operativa.
• Sicurezza della catena di fornitura e dei rapporti con i fornitori e i prestatori di servizi diretti, che comporta l'imposizione di requisiti contrattuali e controlli di approvazione e di audit.
• gestione delle vulnerabilità nell'acquisizione, sviluppo e manutenzione di reti e sistemi informativi, comprese patch e aggiornamenti.
• Politiche per la valutazione dell'efficacia delle misure di sicurezza informaticaattraverso audit, metriche e revisioni periodiche.
• Pratiche e formazione di base sull'igiene informatica dei dipendenti, adattati ai diversi profili.
• Crittografia e politiche di crittografia per garantire la riservatezza e l'integrità delle informazioni.
• Sicurezza delle risorse umanePolitiche di controllo degli accessi e di gestione delle risorse.
• Autenticazione multifattoriale o continua, protezione delle comunicazioni vocali e delle comunicazioni di emergenza.

In Spagna, molte di queste misure erano già incluse nel Quadro di Sicurezza Nazionale (ENS) , soprattutto per le pubbliche amministrazioni e i loro fornitori. Infatti, l'Agenzia statale per l'amministrazione digitale e il Centro nazionale di crittografia hanno presentato all'UE il forte allineamento dell'ENS con NIS2, evidenziandone il potenziale come punto di riferimento europeo e il suo contributo alla resilienza dell'ecosistema digitale nazionale.

Tuttavia, NIS2 alza l'asticella per una gamma molto più ampia di organizzazioni, comprese le PMI colpite dalle dimensioni o dalla criticità . Per le organizzazioni più mature, molti di questi requisiti sono in linea con le pratiche esistenti; per migliaia di aziende senza esperienza in materia di sicurezza informatica, rappresentano un significativo salto di qualità in termini di maturità, risorse e organizzazione interna.

Il Chief Information Security Officer (CISO) e le sue funzioni

L'articolo 16 del progetto di legge stabilisce che tutti gli enti essenziali e importanti debbano nominare un responsabile della sicurezza informatica . Questo ruolo, ispirato alla precedente esperienza spagnola con il NIS originale, diventa il punto di riferimento centrale per il coordinamento di tutto ciò che riguarda la protezione dei sistemi e dei dati.

Le sue funzioni principali includono:

• Definire e implementare la strategia di sicurezza informatica dell'organizzazione, allineato con i rischi, gli obblighi aziendali e normativi.
• Valutare, mitigare e rivedere continuamente i rischi, mantenendo una visione aggiornata dell'esposizione dell'entità.
• Gestire le prove, le politiche e i registri necessari per dimostrare la conformità degli obblighi derivanti dalla normativa NIS2 e nazionale.
• Promuovere una cultura della sicurezza informatica in coordinamento con l'alta dirigenza, formazione e sensibilizzazione di tutto il personale.
• Garantire il rispetto degli obblighi di segnalazione degli incidenti, coordinando le segnalazioni alle autorità competenti.

La Spagna è stata uno dei primi Paesi a introdurre esplicitamente la figura del Responsabile della Sicurezza Informatica (CISO) nel recepimento del precedente NIS. Tuttavia, l'esperienza ha dimostrato che un numero significativo di operatori chiave non ha mai formalizzato tale ruolo e, nonostante ciò, non è stato sanzionato. Il NIS2, unitamente alla futura legislazione spagnola e a un regime sanzionatorio più rigoroso, mira a correggere questa lacuna e a conferire al CISO un ruolo più solido e riconosciuto.

Guardando al futuro, si prevede un massiccio aumento degli enti obbligati : dagli attuali 400 operatori essenziali circa, si arriverà a un numero stimato tra 5.000 e 50.000 enti essenziali e importanti. Ciò comporterà una domanda significativa di professionisti della sicurezza informatica, sia interni che esterni, soprattutto per le PMI che in precedenza non avevano mai avuto questa figura professionale.

Obblighi di segnalazione degli incidenti e di gestione delle vulnerabilità

La direttiva NIS2 attribuisce la massima importanza alla notifica tempestiva degli incidenti di sicurezza di impatto significativo . L'articolo 18 del progetto di legge spagnolo approfondisce tale obbligo, allineandosi alle tempistiche e ai contenuti stabiliti dalla direttiva.

Quando un'entità subisce un incidente che potrebbe causare gravi interruzioni nell'erogazione dei suoi servizi o danni considerevoli a sé stessa o a terzi, deve attenersi al seguente schema di segnalazione:

• Notifica iniziale: entro un massimo di 24 ore dal rilevamento dell'incidente, fornendo le informazioni di base disponibili.
• Rapporto intermedio: entro un massimo di 72 ore dal rilevamento, con una valutazione iniziale dell'impatto e della gravità.
• Rapporto finale: entro un termine massimo di un mese dalla prima notifica, compresa una descrizione dettagliata dell'incidente, del suo impatto, della sua gravità e delle misure adottate.

Inoltre, NIS2 rafforza la gestione e la comunicazione delle vulnerabilità : non si tratta solo di segnalare gli incidenti conclusi, ma anche di condividere informazioni rilevanti sulle vulnerabilità che possono avere un impatto sistemico, facilitando il coordinamento delle risposte a livello nazionale ed europeo.

In Spagna, l'ecosistema di risposta si basa su tre principali CSIRT di riferimento : il CCN-CERT (per la pubblica amministrazione, le aziende strategiche e i sistemi classificati), l'INCIBE-CERT (settore privato e cittadini) e il MCCE (settore della difesa). A questi si affianca la rete csirt.es, che riunisce decine di team specializzati e si collega a reti internazionali come FIRST, nonché alla Rete SOC nazionale.

Gli enti essenziali e importanti devono segnalare i propri incidenti ai CSIRT competenti , in conformità con le normative di settore e le linee guida del futuro Centro nazionale per la sicurezza informatica, che fungerà da elemento di coordinamento e collegamento con l'ENISA e gli altri Stati membri.

Regime sanzionatorio e pressione europea

La direttiva NIS2 stabilisce un regime sanzionatorio significativamente più severo rispetto alla precedente direttiva NIS . Per le entità essenziali, le infrazioni più gravi possono comportare sanzioni pecuniarie fino a 10 milioni di euro o al 2% del fatturato globale del gruppo, mentre per le entità maggiori le sanzioni possono raggiungere i 7 milioni di euro o l'1,4% del fatturato globale.

Attualmente, in Spagna non sono ancora state adottate sanzioni basate sulla norma NIS2 , in parte perché la legge di recepimento non è ancora in vigore e l'autorità di controllo non è stata formalmente designata. Negli altri Stati membri, il recepimento è recente, quindi è ancora troppo presto per aspettarsi sanzioni diffuse.

Ciononostante, gli esperti concordano sul fatto che, quando paesi come la Francia o la Germania iniziano ad applicare sanzioni , la Spagna non può permettersi di rimanere indietro se vuole mantenere l'armonizzazione e la credibilità a livello europeo. La pressione esercitata dalla Commissione, attraverso procedure di infrazione e pareri motivati, è finalizzata a raggiungere questo obiettivo.

Oltre alle sanzioni finanziarie, la norma NIS2 introduce esplicitamente, per la prima volta, la responsabilità del management di alto livello in materia di sicurezza informatica . La disconnessione tra management e CISO non è più ammissibile: l'organo di governo deve essere coinvolto, informato e prendere le decisioni necessarie.

La sfida più grande, secondo specialisti come quelli dell'ISMS Forum, risiede nella rete di PMI che, senza esserne pienamente consapevoli, saranno vincolate dalla NIS2 . Molte non dispongono di risorse, processi o cultura della sicurezza informatica sufficienti e saranno "spinte" sia dalla legge sia dalle richieste dei loro grandi clienti nella catena di fornitura, i quali dovranno esigere garanzie contrattuali per conformarsi alla Direttiva.

Sostenere iniziative, studi e il ruolo dell'ENS

Parallelamente ai progressi legislativi, la Spagna sta promuovendo iniziative tecniche e di condivisione delle conoscenze per agevolare l'adattamento del settore imprenditoriale al NIS2. L'ISMS Forum, ad esempio, sta lavorando a uno studio sull'impatto del NIS2 sulle imprese spagnole, nell'ambito della Cattedra straordinaria di sicurezza informatica e protezione dei dati presso l'UCM.

Questo progetto ha un duplice obiettivo: realizzare un censimento non ufficiale delle aziende interessate dalla normativa NIS2 e misurarne il livello di maturità in materia di sicurezza informatica. Nella prima fase, il censimento verrà compilato utilizzando database completi (registro delle imprese, DIRCE/INE, database settoriali, ecc.), con risultati previsti intorno a novembre 2025. Nella seconda fase, un breve questionario verrà inviato a un campione rappresentativo di aziende (con l'obiettivo di raccogliere 1.000 risposte) per valutarne il livello di preparazione, con risultati previsti entro maggio 2026.

L'analisi comprenderà segmentazioni per settore, dimensione, distribuzione geografica e tipologia di ente (essenziale o importante) , presentando le conclusioni in un rapporto esecutivo aggregato, senza dati individuali, utile sia alle imprese che alle autorità.

Allo stesso tempo, organizzazioni come ISMS Forum e diverse agenzie pubbliche stanno conducendo eventi di sensibilizzazione in tutto il paese , con particolare attenzione alle PMI. L'obiettivo è quello di "diffondere la conoscenza", spiegando chiaramente cosa comporta la normativa NIS2, perché è essenziale avere un CISO (interno o esterno), come definire le politiche di base in materia di sicurezza informatica e come prepararsi alla futura legge e ai relativi regolamenti integrativi.

In termini strettamente normativi, il Quadro Nazionale di Sicurezza (ENS) è stato presentato in Europa come uno dei maggiori punti di forza della Spagna . L'Agenzia Statale per l'Amministrazione Digitale e il Centro Nazionale di Crittografia (CCN) hanno condiviso con il Gruppo di Cooperazione NIS2 l'esperienza maturata con l'ENS, i suoi profili di conformità e la sua integrazione con gli schemi di certificazione europei del Regolamento (UE) 2019/881 (Legge sulla Cibersicurezza). L'accoglienza positiva di questa presentazione rafforza l'immagine della Spagna come attore proattivo impegnato in una cibersicurezza solida, coerente e armonizzata.

In questo contesto, l'adattamento della Spagna alla Direttiva NIS2 si trova a dover gestire la pressione delle scadenze, la robustezza tecnica di strumenti come il Sistema di Sicurezza Nazionale (ENS) e l'enorme sfida di integrare migliaia di nuove entità in una cultura avanzata della sicurezza informatica. Le organizzazioni che si muovono per tempo, effettuano valutazioni della situazione e iniziano ad allineare le proprie pratiche alla Direttiva fin da ora, saranno in una posizione migliore per minimizzare i rischi, evitare sanzioni future e dimostrare un approccio proattivo e maturo alle minacce informatiche.