Wdrożenie dyrektywy NIS2 w Hiszpanii: sytuacja, obowiązki i wyzwania

Informatec Digital » Zasoby » Wdrożenie dyrektywy NIS2 w Hiszpanii: sytuacja, obowiązki i wyzwania

Europejska dyrektywa NIS2 całkowicie odmieniła krajobraz cyberbezpieczeństwa w Europie, a zwłaszcza w Hiszpanii. To nie tylko kolejne rozporządzenie; to fundamentalna zmiana w sposobie, w jaki firmy i administracja publiczna zarządzają ryzykiem cyfrowym, zgłaszają incydenty i koordynują działania z organami ścigania.

Tymczasem Hiszpania czyni stałe, choć wyraźnie opóźnione postępy w transpozycji: oficjalny termin upłynął w październiku 2024 r., a przyszła ustawa o koordynacji i zarządzaniu cyberbezpieczeństwem do dziś przechodzi przez procedury parlamentarne. Sytuacja ta tworzy dość osobliwą sytuację: dyrektywa jest już wiążąca na szczeblu europejskim, ale ostateczne krajowe ramy prawne nie zostały jeszcze zatwierdzone, co stawia wiele organizacji w sytuacji rozdartej między moralnym i strategicznym obowiązkiem przygotowania się i oceny swojej sytuacji a brakiem w pełni obowiązującego prawa.

Czym jest dyrektywa NIS2 i dlaczego zmienia zasady gry?

Dyrektywa (UE) 2022/2555, znana jako NIS2 , zastępuje pierwotną dyrektywę NIS w celu ustanowienia wysokiego wspólnego poziomu cyberbezpieczeństwa sieci i systemów informatycznych w całej Unii Europejskiej. Jej celem jest wzmocnienie odporności na cyberincydenty , które mogłyby wpłynąć na podstawowe usługi oraz normalne funkcjonowanie społeczeństwa i gospodarki.

W przeciwieństwie do swojego poprzednika, NIS2 znacząco rozszerza liczbę objętych sektorów i podmiotów , obejmując nie tylko tradycyjne infrastruktury krytyczne (energetykę, transport, gospodarkę wodną, ​​bankowość czy ochronę zdrowia), ale także obszary takie jak administracja publiczna, infrastruktura cyfrowa, usługi pocztowe i kurierskie, gospodarka odpadami, zaawansowana produkcja czy produkcja i dystrybucja żywności.

Dyrektywa ustanawia zharmonizowane ramy minimalnych wymogów w zakresie cyberbezpieczeństwa dla całej UE, obejmujące środki dotyczące zarządzania ryzykiem, nadzoru, ochrony łańcucha dostaw, ciągłości działania i wczesnego powiadamiania o incydentach. Ponadto wzmacnia system monitorowania i sankcji oraz wyraźnie zwiększa odpowiedzialność kadry kierowniczej wyższego szczebla.

Kolejnym istotnym osiągnięciem jest wyraźne zaangażowanie we współpracę między państwami członkowskimi oraz utworzenie lub wzmocnienie krajowych zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) , zdolnych do koordynacji działań na poziomie europejskim w poważnych sytuacjach kryzysowych. ENISA, Agencja Unii Europejskiej ds. Cyberbezpieczeństwa, odgrywa kluczową rolę w tym ekosystemie, wspierając rozwój krajowych strategii cyberbezpieczeństwa i promując najlepsze praktyki.

Sektor finansowy jest zasadniczo wyłączony z zakresu NIS2 , ponieważ przepisy DORA mają pierwszeństwo jako lex specialis. Mimo to logika cyfrowej odporności operacyjnej, która napędza DORA, jest w pełni zgodna z filozofią NIS2.

Aktualny stan transpozycji NIS2 w Hiszpanii

Dyrektywa NIS2 weszła w życie 16 stycznia 2023 r ., a termin jej transpozycji ustalono na 17 października 2024 r. Rok po tym terminie Hiszpania nadal nie zakończyła formalnej implementacji do swojego krajowego systemu prawnego, co plasuje ją w grupie krajów opóźnionych.

W wyniku tego opóźnienia Komisja Europejska wszczęła postępowania w sprawie uchybienia zobowiązaniom państwa członkowskiego przeciwko licznym państwom członkowskim. 7 maja 2025 r. Komisja wysłała uzasadnioną opinię do dziewiętnastu państw, w tym Hiszpanii, zobowiązując je do powiadomienia o pełnej transpozycji dyrektywy w ciągu dwóch miesięcy, ostrzegając, że może skierować sprawę do Trybunału Sprawiedliwości UE, jeśli niezbędne środki nie zostaną podjęte.

W przypadku Hiszpanii przełom nastąpił 14 stycznia 2025 r. wraz z zatwierdzeniem przez Radę Ministrów projektu ustawy o koordynacji i zarządzaniu cyberbezpieczeństwem . Ustawa ta będzie stanowić fundamentalny instrument transpozycji NIS2 do prawa krajowego i reorganizacji krajowego modelu zarządzania cyberbezpieczeństwem.

Po wstępnym zatwierdzeniu, projekt ustawy został udostępniony do konsultacji publicznych i przeglądu w dniach od 16 stycznia do 10 lutego 2025 r. , umożliwiając obywatelom, przedsiębiorstwom, stowarzyszeniom i innym organizacjom zgłaszanie uwag i sugestii dotyczących ulepszeń. Następnie tekst został przeanalizowany przez Międzyresortową Techniczną Grupę Roboczą, która skonsolidowała projekt, uwzględniając otrzymane opinie, w tym opinie środowisk eksperckich, takich jak Forum ISMS.

Mimo to, pomimo politycznego rozpędu, ustawa pozostaje w fazie parlamentarnej . Mówiono o jej przedłożeniu Radzie Ministrów do zatwierdzenia w formie projektu ustawy około listopada i o możliwym zatwierdzeniu przez parlament pod koniec stycznia lub lutego następnego roku. Jednak rzeczywistość jest taka, że ​​do końca 2025 roku Hiszpania nadal nie ma w pełni obowiązującego prawa krajowego transponującego dyrektywę NIS2.

Projekt ustawy o koordynacji i zarządzaniu cyberbezpieczeństwem

Projekt ustawy zatwierdzony przez rząd Hiszpanii jest wspólną inicjatywą ministerstw spraw wewnętrznych, obrony oraz transformacji cyfrowej i administracji publicznej . Jego cel jest dwojaki: po pierwsze, transpozycja dyrektywy NIS2, a po drugie, organizacja koordynacji i zarządzania cyberbezpieczeństwem na poziomie krajowym, wzmacniając ochronę sieci i systemów informatycznych przed cyberzagrożeniami, które mogłyby wpłynąć na infrastrukturę krytyczną i usługi podstawowe.

Przyszłe prawo będzie miało zastosowanie do podmiotów publicznych i prywatnych działających w sektorach takich jak energetyka, transport, bankowość i infrastruktura rynku finansowego, opieka zdrowotna, gospodarka wodna, infrastruktura cyfrowa, usługi technologiczne i inne sektory krytyczne . Wyraźnie obejmuje ono rejestry nazw domen , takie jak Dominios.es (zarządzany przez Red.es), które przejmą nowe obowiązki w zakresie cyberbezpieczeństwa ze względu na ich strategiczną rolę w stabilności ekosystemu cyfrowego.

Ogólnie rzecz biorąc, projekt jest zgodny z głównymi obowiązkami określonymi w dyrektywie NIS2 i określa cztery główne obszary: wzmocnienie zarządzania i odpowiedzialności kadry kierowniczej wyższego szczebla, ogólne środki zarządzania ryzykiem bezpieczeństwa, wyznaczenie inspektora bezpieczeństwa informacji oraz jasne obowiązki w zakresie zgłaszania incydentów.

Ponadto hiszpańska ustawa wprowadza istotny element organizacyjny: utworzenie Narodowego Centrum Cyberbezpieczeństwa (CNC) . Organ ten będzie pełnić funkcję organu koordynującego ochronę sieci i systemów informatycznych, harmonizując kryteria między różnymi organami regulacyjnymi (spraw wewnętrznych, obrony i transformacji cyfrowej), promując Zespoły Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT) oraz ułatwiając stworzenie bardziej spójnej wizji krajowego ekosystemu cyberbezpieczeństwa.

W fazie konsultacji publicznych organizacje takie jak ISMS Forum wniosły znaczący wkład : wzmocniły rolę inspektora bezpieczeństwa informacji, oddzieliły tę funkcję od ustawy o bezpieczeństwie prywatnym oraz ustanowiły konkretne mechanizmy reagowania w przypadku, gdy podmiotem nieprzestrzegającym przepisów jest administracja publiczna, która ze swej natury nie może być karana finansowo. Wśród propozycji znalazła się możliwość wydawania ostrzeżeń publicznych, zgodnie z przepisami LOPDGDD (ustawy organicznej o ochronie danych osobowych i gwarancji praw cyfrowych) dotyczącymi ochrony danych.

Sektory i rodzaje podmiotów objętych NIS2

NIS2 klasyfikuje organizacje podlegające dyrektywie jako podmioty o kluczowym znaczeniu , przede wszystkim na podstawie sektora, w którym działają, oraz ich wielkości (średnie i duże przedsiębiorstwa, z wyjątkami opartymi na krytyczności). Norma ma zasadniczo zastosowanie do podmiotów publicznych lub prywatnych działających w UE, z możliwością uwzględnienia mniejszych organizacji, jeśli państwa członkowskie uznają je za kluczowe lub ważne ze względu na ich znaczenie.

Sektory o wysokim znaczeniu krytycznym wymieniono w załączniku I do NIS2, natomiast pozostałe sektory krytyczne wymieniono w załączniku II . W Hiszpanii wzrost liczby sektorów jest nieco mniejszy niż w innych krajach, ponieważ transpozycja starego NIS została już dostosowana do ustawy 8/2011 o ochronie infrastruktury krytycznej, która obejmowała 12 sektorów. Mimo to NIS2 uwzględnia nowe obszary, takie jak usługi pocztowe i kurierskie, gospodarka odpadami oraz kilka kategorii produkcyjnych , a inne oddziela, na przykład rozróżniając wodę pitną i ścieki.

Wśród sektorów i przykładów podmiotów wyróżniają się następujące:

• EnergiaPrzedsiębiorstwa zajmujące się dostawą energii elektrycznej, zarządcy sieci transportowych i dystrybucyjnych, wytwórcy, operatorzy NEMO, uczestnicy rynku energii elektrycznej, operatorzy punktów ładowania; operatorzy i zarządcy sieci gazowych, naftowych i wodorowych.
• Promem: linie lotnicze, operatorzy lotnisk, kontrola ruchu lotniczego, zarządcy infrastruktury kolejowej, przedsiębiorstwa kolejowe, podmioty zajmujące się transportem morskim i rzecznym, operatorzy portów, służby ruchu statków, zarządcy dróg oraz operatorzy inteligentnych systemów transportowych.
• Infrastruktura bankowa i rynku finansowego:instytucje kredytowe i zarządcy centrów handlowych, centralni kontrahenci, z tym że DORA działa jako konkretny standard sektorowy.
• Sektor opieki zdrowotnej: świadczeniodawcy usług opieki zdrowotnej, laboratoria referencyjne UE, jednostki badawczo-rozwojowe zajmujące się lekami, producenci podstawowych i specjalistycznych produktów farmaceutycznych oraz producenci niezbędnych urządzeń medycznych w sytuacjach zagrożenia zdrowia publicznego.
• Woda pitna i ściekiDostawcy i dystrybutorzy wody pitnej oraz firmy zajmujące się zbieraniem, usuwaniem i oczyszczaniem ścieków komunalnych, bytowych i przemysłowych.
• Infrastruktura cyfrowaDostawcy punktów wymiany ruchu internetowego (IXP), usługi DNS, rejestry domen najwyższego poziomu, dostawcy usług przetwarzania w chmurze, centra danych, sieci dostarczania treści (CDN), zaufani dostawcy usług, dostawcy publicznych sieci komunikacji elektronicznej i publiczne usługi komunikacji elektronicznej.
• Zarządzanie usługami ICT typu business-to-business:dostawcy usług zarządzanych i dostawcy usług bezpieczeństwa zarządzanego, mający bezpośredni wpływ na cały łańcuch dostaw technologii.
• Administracje publiczne:podmioty Generalnej Administracji Państwowej, a w określonych przypadkach podmioty regionalne i lokalne, gdy zakłócenie ich usług może mieć istotny wpływ na ważne działania społeczne lub gospodarcze.
• Usługi pocztowe i kurierskie:dostawcy zajmujący się odbiorem, sortowaniem, transportem i dystrybucją przesyłek pocztowych.
• Gospodarowanie odpadami:firmy zajmujące się zbieraniem, transportem, odzyskiem i unieszkodliwianiem odpadów, w tym składowaniem na wysypiskach.
• Chemiczny:przedsiębiorstwa zajmujące się produkcją, wytwarzaniem i dystrybucją substancji chemicznych i mieszanin, a także wytwarzaniem z nich wyrobów.
• Produkcja, przetwarzanie i dystrybucja żywności:firmy spożywcze zajmujące się hurtową dystrybucją oraz produkcją i przetwórstwem przemysłowym na dużą skalę.
• Zaawansowana produkcja:producenci wyrobów medycznych i diagnostyki in vitro, produkcja komputerów, wyrobów elektronicznych i optycznych, sprzętu elektrycznego, maszyn i urządzeń, pojazdów mechanicznych i innego sprzętu transportowego.
• Sektor kosmiczny: operatorzy infrastruktury naziemnej wspierający świadczenie usług kosmicznych, z wyjątkiem tych, których właścicielem lub zarządcą jest UE lub strony trzecie w ramach jej programu kosmicznego.

We wszystkich tych sektorach duże podmioty są zazwyczaj klasyfikowane jako niezbędne , podczas gdy podmioty średniej wielkości są zazwyczaj klasyfikowane jako ważne, chyba że wyraźnie wskazano inaczej. Małe i mikroprzedsiębiorstwa są zazwyczaj wykluczane ze względu na wielkość, ale mogą zostać włączone, jeśli ich znaczenie to uzasadnia.

Obowiązki w zakresie zarządzania i kierownictwa wyższego szczebla

Jedną z najważniejszych zmian w NIS2 i hiszpańskim projekcie ustawy jest nacisk na zarządzanie cyberbezpieczeństwem i bezpośrednią odpowiedzialność organów zarządzających . Artykuł 14 projektu ustawy wzmacnia tę ideę: cyberbezpieczeństwo nie jest już kwestią czysto techniczną, lecz kwestią strategiczną najwyższego szczebla.

Kadra kierownicza wyższego szczebla musi zatwierdzać i nadzorować wdrażanie środków zarządzania ryzykiem cyberbezpieczeństwa , zapewniając ich proporcjonalność do kontekstu organizacji i zidentyfikowanych zagrożeń. Ponadto organy zarządzające ponoszą ostateczną odpowiedzialność za wszelkie przypadki nieprzestrzegania zasad, co wiąże się z zaostrzonym systemem sankcji.

Kolejnym kluczowym punktem są regularne szkolenia z zakresu cyberbezpieczeństwa dla kadry zarządzającej . Samo delegowanie nie wystarczy: liderzy muszą być przeszkoleni w zakresie rozumienia ryzyka, podejmowania świadomych decyzji i wspierania upowszechniania silnej kultury bezpieczeństwa w całej organizacji. W zamian będą oni odpowiedzialni za promowanie regularnych szkoleń dla pozostałych pracowników.

Artykuł 20 NIS2 wzmacnia ten pogląd, wyraźnie wymagając od organów zarządzających, aby były świadome swoich obowiązków, zatwierdzały środki, zapewniały ich wdrożenie i były w stanie zareagować, w sytuacjach ekstremalnych, nawet ponosząc konsekwencje osobiste (takie jak możliwe rozdzielenie funkcji w pewnych przypadkach).

W tym kontekście relacja między kierownictwem a inspektorem bezpieczeństwa informacji (CISO lub równoważnym) staje się krytyczna: oczekuje się płynnego, stałego dialogu opartego na obiektywnych kryteriach ryzyka i zgodności.

Środki zarządzania ryzykiem wymagane przez NIS2

Artykuł 15 hiszpańskiego projektu ustawy stanowi, że środki zarządzania ryzykiem cyberbezpieczeństwa muszą opierać się na krajowych, europejskich i międzynarodowych normach technicznych , uwzględniając co najmniej wymogi określone w artykule 21 NIS2 i opracowane w rozporządzeniu wykonawczym (UE) 2024/2690.

Spośród środków, jakie muszą wdrożyć podmioty istotne i ważne, należy wyróżnić następujące:

• Polityki bezpieczeństwa i analiza ryzyka systemów informatycznych, wraz z okresowymi przeglądami.
• Zarządzanie incydentami, w tym jasne procedury wykrywania, reagowania i odzyskiwania.
• Ciągłość działania, tworzenie kopii zapasowych, odzyskiwanie po awarii i zarządzanie kryzysowezapewnienie odporności operacyjnej.
• Bezpieczeństwo łańcucha dostaw oraz relacji z dostawcami i bezpośrednimi usługodawcami, co wiąże się z narzucaniem wymogów umownych oraz kontrolą zatwierdzeń i audytów.
• zarządzanie podatnościami w zakresie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym poprawek i aktualizacji.
• Polityki oceny skuteczności środków cyberbezpieczeństwapoprzez audyty, pomiary i okresowe przeglądy.
• Podstawowe praktyki i szkolenia z zakresu cyberhigieny pracowników, dostosowanych do różnych profili.
• Kryptografia i zasady szyfrowania aby zagwarantować poufność i integralność informacji.
• Bezpieczeństwo zasobów ludzkichZasady kontroli dostępu i zarządzania zasobami.
• Uwierzytelnianie wieloskładnikowe lub ciągłe, ochrona łączności głosowej i łączności alarmowej.

W Hiszpanii wiele z tych środków zostało już uwzględnionych w Narodowych Ramach Bezpieczeństwa (ENS) , zwłaszcza w odniesieniu do administracji publicznej i jej dostawców. W istocie, Państwowa Agencja Administracji Cyfrowej i Narodowe Centrum Kryptologiczne przedstawiły UE silne powiązanie ENS z NIS2, podkreślając jego potencjał jako europejskiego punktu odniesienia i wkład w odporność krajowego ekosystemu cyfrowego.

Jednak NIS2 podnosi poprzeczkę dla znacznie szerszego grona organizacji, w tym MŚP, których wielkość lub krytyczność ma znaczenie . W przypadku dojrzałych organizacji wiele z tych wymagań jest zgodnych z istniejącymi praktykami; dla tysięcy firm bez doświadczenia w cyberbezpieczeństwie stanowią one znaczący krok naprzód w zakresie dojrzałości, zasobów i organizacji wewnętrznej.

Dyrektor ds. Bezpieczeństwa Informacji (CISO) i jego funkcje

Artykuł 16 projektu ustawy stanowi, że wszystkie istotne i ważne podmioty muszą wyznaczyć inspektora bezpieczeństwa informacji . Rola ta, inspirowana wcześniejszymi doświadczeniami Hiszpanii z pierwotnym systemem NIS, staje się centralnym punktem koordynacji wszystkich działań związanych z ochroną systemów i danych.

Jego główne funkcje obejmują:

• Zdefiniuj i wdróż strategię cyberbezpieczeństwa organizacji, dostosowane do ryzyka, obowiązków biznesowych i regulacyjnych.
• Oceniaj, ograniczaj i stale przeglądaj ryzyko, utrzymując aktualny obraz narażenia podmiotu.
• Zarządzaj dowodami, zasadami i dokumentami niezbędnymi do wykazania zgodności obowiązków wynikających z NIS2 i przepisów krajowych.
• Promowanie kultury cyberbezpieczeństwa we współpracy z kadrą kierowniczą wyższego szczebla, szkolenie i podnoszenie świadomości wszystkich pracowników.
• Zapewnienie zgodności z obowiązkami zgłaszania incydentów, koordynując sprawozdania składane właściwym organom.

Hiszpania była jednym z pierwszych krajów, które wyraźnie wprowadziły funkcję Głównego Dyrektora ds. Bezpieczeństwa Informacji (CISO) w ramach transpozycji poprzedniego NIS. Doświadczenie pokazało jednak, że znaczna liczba kluczowych operatorów nigdy formalnie nie powołała tej funkcji i mimo to nie została ukarana. NIS2, w połączeniu z przyszłym prawem hiszpańskim i bardziej rygorystycznym systemem sankcji, ma na celu skorygowanie tej pobłażliwości i zapewnienie CISO silniejszej i bardziej rozpoznawalnej pozycji.

W przyszłości spodziewany jest ogromny wzrost liczby podmiotów zobowiązanych : z około 400 obecnych operatorów kluczowych do szacowanych 5.000–50 000 podmiotów kluczowych i ważnych. Będzie to oznaczać znaczne zapotrzebowanie na specjalistów ds. cyberbezpieczeństwa, zarówno wewnętrznych, jak i zewnętrznych, zwłaszcza dla MŚP, które nigdy wcześniej nie pełniły tej roli.

Obowiązki dotyczące zgłaszania incydentów i zarządzania lukami w zabezpieczeniach

Dyrektywa NIS2 kładzie ogromny nacisk na wczesne powiadamianie o incydentach bezpieczeństwa o znaczących skutkach . Artykuł 18 hiszpańskiego projektu ustawy rozwija ten obowiązek, dostosowując go do harmonogramów i treści określonych w dyrektywie.

Jeżeli podmiot padnie ofiarą incydentu, który może spowodować poważne zakłócenia w świadczeniu usług lub znaczne szkody dla niego samego lub osób trzecich, musi zastosować się do następującego schematu raportowania:

• Pierwsze powiadomienie:maksymalnie w ciągu 24 godzin od wykrycia incydentu, podając podstawowe dostępne informacje.
• Raport tymczasowy: w ciągu maksymalnie 72 godzin od wykrycia, ze wstępną oceną wpływu i powagi zdarzenia.
• Raport końcowy: w terminie maksymalnie jednego miesiąca od pierwszego powiadomienia, zawierającego szczegółowy opis incydentu, jego wpływu, powagi i podjętych środków.

Ponadto NIS2 wzmacnia zarządzanie lukami w zabezpieczeniach i komunikację : nie chodzi tylko o zgłaszanie zakończonych incydentów, ale także o dzielenie się istotnymi informacjami na temat luk , które mogą mieć wpływ systemowy, ułatwiając koordynację reakcji na szczeblu krajowym i europejskim.

W Hiszpanii ekosystem reagowania kryzysowego opiera się na trzech głównych referencyjnych zespołach CSIRT : CCN-CERT (dla administracji publicznej, firm strategicznych i systemów niejawnych), INCIBE-CERT (dla sektora prywatnego i obywateli) oraz MCCE (dla sektora obronnego). Uzupełnieniem jest sieć csirt.es, która zrzesza dziesiątki wyspecjalizowanych zespołów i współpracuje z sieciami międzynarodowymi, takimi jak FIRST, a także z Krajową Siecią SOC.

Podmioty kluczowe i ważne muszą zgłaszać swoje incydenty właściwym zespołom CSIRT , zgodnie z przepisami sektorowymi i wytycznymi przyszłego Krajowego Centrum Cyberbezpieczeństwa, które będzie pełnić rolę elementu koordynującego i łącznikowego z ENISA i pozostałymi państwami członkowskimi.

System sankcji i presja europejska

Dyrektywa NIS2 ustanawia znacznie surowszy system kar niż poprzednia dyrektywa NIS . W przypadku podmiotów kluczowych najpoważniejsze naruszenia mogą skutkować grzywnami w wysokości do 10 mln euro lub 2% globalnego obrotu grupy, natomiast w przypadku podmiotów dużych kary mogą sięgać do 7 mln euro lub 1,4% globalnego obrotu.

Obecnie w Hiszpanii nie wprowadzono jeszcze żadnych sankcji na podstawie NIS2 , częściowo dlatego, że ustawa transpozycyjna nie weszła jeszcze w życie, a organ nadzoru nie został formalnie wyznaczony. W innych państwach członkowskich transpozycja nastąpiła niedawno, więc jest jeszcze za wcześnie, aby spodziewać się powszechnych sankcji.

Mimo to eksperci są zgodni, że kiedy kraje takie jak Francja czy Niemcy zaczynają stosować sankcje , Hiszpania nie może sobie pozwolić na pozostawanie w tyle, jeśli chce utrzymać harmonizację i wiarygodność na szczeblu europejskim. Presja Komisji, poprzez postępowania w sprawie uchybienia zobowiązaniom państwa członkowskiego i uzasadnione opinie, ma na celu osiągnięcie tego celu.

Oprócz kar finansowych, NIS2 po raz pierwszy wyraźnie wprowadza odpowiedzialność kadry kierowniczej wyższego szczebla za cyberbezpieczeństwo . Brak porozumienia między kierownictwem a CISO nie jest już opcją: organ zarządzający musi być zaangażowany, poinformowany i podejmować niezbędne decyzje.

Największe wyzwanie, zdaniem specjalistów, takich jak ci z ISMS Forum, leży w sieci MŚP, które, nie do końca zdając sobie z tego sprawę, będą zobowiązane do przestrzegania NIS2 . Wiele z nich nie posiada wystarczających zasobów, procesów ani kultury cyberbezpieczeństwa i będzie „popychanych” zarówno przez prawo, jak i przez wymagania dużych klientów w łańcuchu dostaw, którzy będą musieli domagać się gwarancji umownych, aby spełnić wymogi dyrektywy.

Wspieranie inicjatyw, badań i roli ENS

Oprócz postępów legislacyjnych, Hiszpania promuje inicjatywy techniczne i merytoryczne , aby ułatwić dostosowanie sektora biznesowego do NIS2. Na przykład Forum ISMS pracuje nad badaniem wpływu NIS2 na hiszpańskie firmy, pod przewodnictwem Nadzwyczajnego Przewodniczącego ds. Cyberbezpieczeństwa i Ochrony Danych w UCM.

Projekt ma podwójny cel: stworzenie nieoficjalnego spisu firm dotkniętych epidemią NIS2 oraz zmierzenie poziomu ich dojrzałości cyberbezpieczeństwa. W pierwszej fazie spis zostanie sporządzony z wykorzystaniem kompleksowych baz danych (rejestru handlowego, DIRCE/INE, baz danych sektorowych itp.), a wyniki będą dostępne około listopada 2025 r. W drugiej fazie, do reprezentatywnej próby firm (docelowo 1.000 odpowiedzi) zostanie przesłana krótka ankieta w celu oceny poziomu ich przygotowania. Wyniki będą dostępne do maja 2026 r.

Analiza obejmie segmentację według sektora, wielkości, rozmieszczenia geograficznego i rodzaju podmiotu (niezbędny lub ważny) , a wnioski zostaną przedstawione w zbiorczym raporcie dla kierownictwa, bez danych indywidualnych, który będzie służył zarówno firmom, jak i organom.

Jednocześnie organizacje takie jak ISMS Forum i różne agencje publiczne organizują w całym kraju wydarzenia informacyjne , ze szczególnym uwzględnieniem MŚP. Celem jest „ewangelizacja”, czyli jasne wyjaśnienie, na czym polega NIS2, dlaczego posiadanie CISO (wewnętrznego lub zewnętrznego) jest niezbędne, jak zdefiniować podstawowe zasady cyberbezpieczeństwa oraz jak przygotować się na przyszłe prawo i jego regulacje uzupełniające.

W ujęciu ściśle regulacyjnym, Narodowe Ramy Bezpieczeństwa (ENS) zostały przedstawione w Europie jako jeden z największych atutów Hiszpanii . Państwowa Agencja Administracji Cyfrowej i Narodowe Centrum Kryptologiczne (CCN) podzieliły się z Grupą Współpracy NIS2 zgromadzonym doświadczeniem ENS, jego profilami zgodności oraz integracją z europejskimi systemami certyfikacji określonymi w rozporządzeniu (UE) 2019/881 (Ustawa o cyberbezpieczeństwie). Pozytywne przyjęcie tej prezentacji wzmacnia wizerunek Hiszpanii jako proaktywnego podmiotu zaangażowanego w solidne, spójne i zharmonizowane cyberbezpieczeństwo.

W tym kontekście, adaptacja Hiszpanii do NIS2 wymaga radzenia sobie z presją terminów, techniczną solidnością instrumentów takich jak Narodowy System Bezpieczeństwa (ENS) oraz ogromnym wyzwaniem, jakim jest włączenie tysięcy nowych podmiotów do zaawansowanej kultury cyberbezpieczeństwa. Organizacje, które wyprzedzą konkurencję, przeprowadzą oceny sytuacyjne i zaczną dostosowywać swoje praktyki do dyrektywy już teraz, będą lepiej przygotowane do minimalizowania ryzyka, unikania przyszłych kar oraz wykazywania się proaktywnym i dojrzałym podejściem do cyberzagrożeń.