Oh no! No description found. But not to worry. Read from Tasks below how to advance this topic.
The Law on Cybersecurity Coordination and Governance is a Spanish law transposing the NIS2 Directive, aimed at enhancing cybersecurity across critical sectors through improved coordination, risk management, and incident reporting.
Ley de Coordinación y Gobernanza de la Ciberseguridad (Law on Cybersecurity Coordination and Governance) is a Spanish law designed to strengthen the protection of networks and information systems against cyber threats. It aims to transpose the NIS2 Directive into Spanish law, establishing a National Cybersecurity Center to coordinate cybersecurity activities and serve as the primary point of contact with the EU.
The law affects both public and private entities with tax residence in Spain or operating within the country, particularly those in critical sectors such as energy, transport, finance, health, and digital infrastructure. It mandates risk assessments, implementation of security measures, incident reporting, and the designation of an information security officer.
Below you'll find all of the requirements of this framework. In Cyberday, we map all requirement to global tasks, making multi-compliance management easy. Do it once, and see the progress across all frameworks!
Las entidades esenciales e importantes deberán notificar a la autoridad de control sin demora indebida, a través de su CSIRT nacional de referencia, cualquier incidente significativo que se haya producido en su operativa o en la prestación de sus servicios, según se determine reglamentariamente, en base a su peligrosidad e impacto.
Cuando proceda, notificarán igualmente a los destinatarios de sus servicios que pudieran resultar afectados, en el menor plazo posible, los incidentes significativos susceptibles de causarles perjuicios de relevancia.
Estas notificaciones se realizarán a través del responsable de la seguridad de la información.
Las autoridades de control garantizarán que las entidades obligadas notifiquen, entre otros detalles, cualquier información que permita determinar las repercusiones transfronterizas del incidente.
Las entidades esenciales e importantes comunicarán a las personas físicas y jurídicas destinatarias de sus servicios, a la mayor brevedad, cualquier ciberamenaza significativa que les pueda afectar, así como las medidas o soluciones que pueden aplicar como respuesta.
Asimismo, actuarán de la misma manera con las ciberamenazas y ciberincidentes que les notifique la autoridad de control o su CSIRT nacional de referencia.
Las entidades afectadas presentarán, a la mayor brevedad posible, a la autoridad de control, a través de su CSIRT nacional de referencia, lo siguiente:
a) Sin demora indebida y, en cualquier caso, en el plazo de veinticuatro horas desde que se haya tenido constancia de que se ha producido un incidente significativo, una alerta temprana en la que se indicará, cuando proceda, si cabe sospechar que el incidente significativo responde a una acción ilícita o malintencionada o puede tener repercusiones transfronterizas.
b) En el plazo máximo de setenta y dos horas desde que se haya tenido constancia de que se ha producido el incidente significativo, una notificación del incidente en la que se actualizará, cuando proceda, la información contemplada en la letra a) y se expondrá una evaluación inicial del incidente significativo, incluyendo su peligrosidad e impacto, así como los indicadores de compromiso, cuando estén disponibles.
Para los prestadores de servicios de confianza, cuando el incidente afecte a la prestación de sus servicios, el plazo del párrafo anterior se reducirá a un máximo de veinticuatro horas.
Los informes referidos en este artículo serán remitidos a la autoridad de control de manera inmediata.
c) A instancias de su CSIRT nacional de referencia o, en su caso, de la autoridad de control, un informe intermedio con las actualizaciones que se hayan producido sobre la situación.
d) Un informe final, a más tardar un mes después de presentar la notificación del incidente contemplada en la letra b), en el que se recojan los siguientes elementos:
i. Una descripción detallada del incidente, incluyendo su peligrosidad e impacto.
ii. El tipo de amenaza o causa principal que probablemente haya desencadenado el incidente.
iii. Las medidas paliativas que se hayan aplicado o se estén aplicando.
iv. Cuando proceda, las repercusiones transfronterizas del incidente.
v. Indicadores de compromiso (IoCs), así como Tácticas, Técnicas y Procedimientos (TTPs) detectados en el incidente.
e) En caso de que el incidente siga en curso en el momento de la presentación del informe final contemplado, las entidades afectadas presentarán un informe de situación en ese momento y un informe final en el plazo de un mes a partir de que hayan gestionado el incidente.
Las entidades comprendidas en el ámbito de aplicación de esta ley y, cuando proceda, otras entidades, podrán intercambiar entre sí y de forma voluntaria, información relevante sobre ciberseguridad, en particular la relativa a ciberamenazas, cuasiincidentes, vulnerabilidades, tácticas, técnicas y procedimientos, indicadores de compromiso, información específica del agente de riesgo, alertas de ciberseguridad y recomendaciones sobre configuraciones de las herramientas de seguridad para detectar ciberataques, siempre que dicho intercambio de información: a) Se haga con el objetivo de prevenir, detectar o responder a incidentes, recuperarse de ellos o reducir su repercusión. b) Refuerce el nivel de ciberseguridad al concienciar sobre las ciberamenazas, limitar o impedir la propagación, o respaldar un conjunto de capacidades de defensa, corrección y divulgación de las vulnerabilidades, técnicas de detección, contención y prevención de amenazas, estrategias de mitigación, o etapas de respuesta y recuperación, o al fomentar la investigación de ciberamenazas en colaboración con entidades públicas y privadas. Las entidades esenciales e importantes notificarán a las autoridades de control su participación en los mecanismos de intercambio de información sobre ciberseguridad en el momento de su incorporación o, en su caso, de su retirada.
Las entidades esenciales e importantes deberán demostrar el cumplimiento de las obligaciones a las que se refiere este artículo.
En el caso de las entidades esenciales, el cumplimiento se evidenciará mediante la obtención y mantenimiento de una certificación de conformidad acreditativa.
Las entidades importantes podrán optar entre la antedicha certificación o realizar una autoevaluación de la postura de seguridad.
Las entidades esenciales o importantes que se encuentren expresamente comprendidas en el ámbito de aplicación del Real Decreto 311/2022, de 3 de mayo, observarán lo dispuesto por este en materia de Certificación de la Conformidad con el Esquema Nacional de Seguridad.
El Centro Nacional de Ciberseguridad establecerá los procedimientos de certificación de acuerdo con los principios de necesidad, proporcionalidad y eficiencia.
Además, procurará que el procedimiento y los requisitos para la adquisición de esta certificación se diseñen de manera que esta acredite al mismo tiempo el cumplimiento del esquema nacional de seguridad y las normas técnicas internacionales en sus niveles concordantes.
Estas medidas se aplicarán a los activos o sistemas que se utilicen para la prestación de sus servicios u operaciones y deberán figurar en un documento suscrito por el responsable de seguridad de la información denominado declaración de aplicabilidad de sistemas.
Dicho documento deberá remitirse a la autoridad de control correspondiente dentro de los seis meses siguientes a la adquisición de la condición de entidad esencial o importante.
Las entidades esenciales o importantes comunicarán a las autoridades de control la designación del responsable de la seguridad de la información dentro del plazo de tres meses desde su designación.
Asimismo, comunicarán los sucesivos nombramientos y ceses en el plazo de un mes desde que aquellos se produzcan.
Las entidades esenciales garantizarán que el responsable de la seguridad de la información cumpla los siguientes requisitos:
a) Contar con personal con conocimientos especializados y experiencia en materia de ciberseguridad, desde los puntos de vista jurídico, organizativo y técnico, adecuados al desempeño de sus funciones.
b) Contar con los recursos necesarios para el desarrollo de sus funciones.
c) Ostentar una posición en la organización que facilite el desarrollo de sus funciones, participando de forma adecuada y en todas las cuestiones relativas a la seguridad, y manteniendo una comunicación real y efectiva con el consejo de administración.
d) Mantener la debida independencia respecto de los responsables de las redes y los sistemas de información.
Explore our comprehensive resources and improve your security with the themes of this framework.
Discover specific ways our platform streamlines your ISO 27001 compliance process, from automated controls to audit preparation.
Explore use caseTake our comprehensive assessment to identify gaps in your current implementation and get personalized recommendations.
Start assessmentDive deeper with our articles, case studies, and expert insights on framework implementation.
Read articleGet a concise overview of all requirements, controls, and implementation steps in our quick guide.
Get the guideSee how the overlap and differences with any other framework to optimize your compliance strategy.
Compare frameworkParticipate in expert-led sessions covering implementation strategies, common pitfalls, and best practices for compliance.
Register for webinarParticipate in expert-led sessions covering implementation strategies, common pitfalls, and best practices for compliance.
Register for webinarUnderstand the basics of cyber security frameworks with our comprehensive guide.
Read the articleWhen building an ISMS, it's important to understand the different levels of information hierarchy. Here's how Cyberday is structured.
Sets the overall compliance standard or regulation your organization needs to follow.
Break down the framework into specific obligations that must be met.
Concrete actions and activities your team carries out to satisfy each requirement.
Documented rules and practices that are created and maintained as a result of completing tasks.