Европейская комиссия объявила в среду, 8 июля 2026 года, что подала иск против Испании, Ирландии, Франции и Нидерландов в Суд Европейского союза (TJUE) за несоблюдение законодательства в сфере кибербезопасности. Причиной стала неспособность этих стран своевременно транспонировать в национальное право директиву ЕС о безопасности сетей и информационных систем, срок исполнения которой истёк ещё 17 октября 2024 года.
Директива направлена на усиление кибербезопасности во всём Евросоюзе и вводит более строгие требования для организаций, работающих в критически важных секторах — здравоохранении, энергетике, транспорте и государственном управлении. Как пояснили в Еврокомиссии, «полное применение директивы необходимо для повышения устойчивости ЕС и возможностей реагирования в случае инцидентов».
Несмотря на то, что Брюссель направил странам-нарушителям официальные предупреждения ещё в ноябре 2024 года, а затем мотивированные заключения в мае 2025 года, Испания и другие ответчики так и не уведомили о полной транспозиции нормативного акта. Теперь, после передачи дела в суд, ЕС намерен добиваться финансовых санкций: речь идёт как о единовременной выплате, так и о ежедневных штрафах, которые будут начисляться до момента полного выполнения требований.
Действия Еврокомиссии происходят на фоне заметного роста кибератак, направленных как на правительственные структуры, так и на частные компании по всему миру. Директива, которую Испания ещё не внедрила, обязывает государства-члены укрепить собственные кибервозможности, внедрить меры по управлению рисками и ввести обязательства по уведомлению об инцидентах для организаций из 18 критических секторов.