Statut de NIS 2 en Espagne
Ce qu'exige la directive, où en est la transposition espagnole, et comment CCN et INCIBE s'insèrent dans l'intervalle.
Vue d'ensemble
La directive NIS 2 est le niveau de l'UE. Elle lie chaque État membre, dont l'Espagne, par un socle de cybersécurité unique pour les entités essentielles et importantes. L'Espagne doit inscrire ce socle dans le droit espagnol et mettre en place un régime de contrôle à son titre.
L'Espagne a manqué le délai de transposition du 17 octobre 2024 fixé à l'article 41 de NIS 2. Le Conseil des ministres a approuvé un Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad le 14 janvier 2025. En mars 2026, le gouvernement a indiqué que le texte était encore en cours d'examen par les ministères en tant qu'Anteproyecto (un projet du gouvernement), et il n'a pas été publié au Boletín Oficial del Estado.
Jusqu'à ce que le projet devienne loi, le précédent Real Decreto-ley 12/2018 (la transposition de NIS 1) continue de s'appliquer. À ce titre, la supervision est répartie : le ministère de l'Intérieur (CNPIC) pour les opérateurs désignés comme critiques, le ministère compétent pour les autres opérateurs de services essentiels, le Secrétariat d'État à la numérisation pour les fournisseurs de services numériques, et le CCN pour le secteur public. INCIBE-CERT et CCN-CERT sont les équipes de réponse aux incidents, et non des autorités de supervision. La Commission a envoyé un avis motivé le 7 mai 2025 et, le 8 juillet 2026, a saisi la Cour de justice de l'UE contre l'Espagne, en demandant une somme forfaitaire et des astreintes journalières jusqu'à ce que l'Espagne notifie une transposition complète.
Directive de l'UE
Directive (UE) 2022/2555 (NIS 2)
La directive de l'UE sur la cybersécurité. Fixe les obligations que chaque État membre doit transposer, y compris les tests de taille et de secteur pour les entités essentielles et importantes. La version espagnole faisant foi est publiée sur EUR-Lex.
Mise en œuvre de l'UE
Règlement d'exécution (UE) 2024/2690 de la Commission
Mesures techniques et méthodologiques pour les fournisseurs d'infrastructure numérique. Directement applicable en Espagne sans transposition nationale.
Transposition espagnole (en cours)
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
Approuvé par le Conseil des ministres le 14 janvier 2025. Le projet crée un Centro Nacional de Ciberseguridad, rattaché à la Secretaría General de Presidencia del Gobierno, comme point de contact unique avec l'UE et autorité pour les crises de cybersécurité. La supervision relèverait de trois autorités de contrôle : le bureau de coordination de la cybersécurité du ministère de l'Intérieur, le Centre cryptologique national (Défense) et le Secrétariat d'État aux télécommunications et aux infrastructures numériques. En mars 2026, le texte était encore un Anteproyecto (un projet du gouvernement) et n'a pas été publié au BOE ; jusqu'à son adoption, le précédent Real Decreto-ley 12/2018 (transposition de NIS 1) continue de s'appliquer.
Ley de Coordinación y Gobernanza de la Ciberseguridad (projet)
Le projet inscrit les obligations de NIS 2 dans le droit espagnol, définit les entités essentielles et importantes, fixe les pouvoirs de contrôle, les obligations de signalement d'incident et les sanctions. Jusqu'à la publication de la loi au BOE, la directive lie l'État espagnol, et non les entreprises espagnoles ; ce qui s'applique aux entreprises aujourd'hui est le Real Decreto-ley 12/2018, pour celles désignées à ce titre.
Centro Nacional de Ciberseguridad proposé et autorités de contrôle
Le projet crée un Centro Nacional de Ciberseguridad, rattaché à la Secretaría General de Presidencia del Gobierno, comme point de contact unique avec l'UE et autorité pour les crises de cybersécurité. La supervision relèverait de trois autorités de contrôle : le bureau de coordination de la cybersécurité du ministère de l'Intérieur, le Centre cryptologique national (Défense) et le Secrétariat d'État aux télécommunications et aux infrastructures numériques. Dans l'intervalle, le décret NIS 1 répartit la supervision entre le ministère de l'Intérieur (CNPIC) pour les opérateurs critiques, le ministère compétent pour les autres opérateurs de services essentiels, le Secrétariat d'État à la numérisation pour les fournisseurs de services numériques et le CCN pour le secteur public. INCIBE-CERT et CCN-CERT sont les équipes de réponse aux incidents, et non des autorités de supervision.
Délai de l'article 41 manqué
L'article 41 de NIS 2 a fixé le délai de transposition au 17 octobre 2024. L'Espagne n'a pas respecté ce délai. La Commission a envoyé un avis motivé le 7 mai 2025 et, le 8 juillet 2026, a saisi la Cour de justice de l'UE contre l'Espagne, en demandant une somme forfaitaire et des astreintes journalières jusqu'à ce que l'Espagne notifie une transposition complète.
Le droit local s'applique à l'intérieur de l'Espagne
Les entités établies en Espagne suivent la transposition espagnole une fois celle-ci adoptée. Un Geschäftsführer allemand dirigeant une filiale espagnole lira l'éventuelle Ley de Coordinación y Gobernanza de la Ciberseguridad pour cette filiale, et non le BSIG allemand. Dans la période intermédiaire, le Real Decreto-ley 12/2018 s'applique aux entreprises désignées à ce titre ; la directive lie l'État espagnol, et non la filiale.
L'Espagne ne peut pas descendre sous le socle de l'UE
La directive est un instrument d'harmonisation minimale. Le fait que la transposition espagnole soit retardée n'abaisse pas le socle : une fois adoptée, la loi espagnole devra porter au moins les obligations des entités essentielles et importantes, les délais de signalement d'incident et la responsabilité de l'organe de direction prévus par la directive. D'ici là, la directive lie l'État espagnol, et non les entreprises espagnoles : la jurisprudence de l'UE est claire, une directive ne peut pas, à elle seule, imposer d'obligations à une entreprise.
INCIBE et INCIBE-CERT
L'Instituto Nacional de Ciberseguridad, rattaché au ministère de la Transformation numérique. INCIBE-CERT est le centre de réponse aux incidents de référence pour les citoyens et les entités de droit privé. Pour les incidents affectant les opérateurs critiques, INCIBE-CERT est exploité conjointement par l'INCIBE et le CNPIC du ministère de l'Intérieur.
CCN et CCN-CERT
Le Centro Criptológico Nacional, rattaché au Centro Nacional de Inteligencia (CNI). CCN-CERT, créé en 2006, est le CERT gouvernemental pour le secteur public. Le CCN est régi par la Ley 11/2002 et le Real Decreto 421/2004 ; le Real Decreto 311/2022 réglemente l'Esquema Nacional de Seguridad (ENS).
ENISA
L'agence de cybersécurité de l'UE. Publie des orientations, gère la base de données européenne sur les vulnérabilités et soutient la coordination transfrontalière. N'est pas une autorité de contrôle pour les entités espagnoles. Au titre du décret NIS 1, les autorités de contrôle sont le ministère de l'Intérieur (CNPIC), les ministères sectoriels, le Secrétariat d'État à la numérisation et le CCN ; le projet de loi confierait la supervision à trois autorités de contrôle, avec le Centro Nacional de Ciberseguridad comme point de contact unique avec l'UE.
Si l'Allemagne a le BSIG, l'Espagne a une loi similaire en vigueur.
La loi allemande de transposition de NIS 2 s'applique depuis le 6 décembre 2025. L'Espagne n'a pas encore de loi adoptée : l'Anteproyecto a franchi le Conseil des ministres le 14 janvier 2025, mais rien n'a été publié au BOE. Les filiales espagnoles ne peuvent pas se prévaloir d'une loi nationale finalisée ; ce qui s'applique à elles aujourd'hui est le précédent Real Decreto-ley 12/2018, pour celles désignées à ce titre, tandis que la directive montre ce que la loi espagnole devra contenir.
Il n'y a pas de loi espagnole en vigueur, donc rien à faire pour l'instant.
La directive est en vigueur depuis janvier 2023. Les États membres devaient appliquer leurs règles nationales à compter du 18 octobre 2024. Tant que l'Espagne n'a pas adopté sa loi, la directive lie l'État espagnol, et non les entreprises espagnoles : la jurisprudence de l'UE est claire, une directive ne peut pas, à elle seule, imposer d'obligations à une entreprise. Ce qui s'applique aujourd'hui aux entreprises est le décret NIS 1 (Real Decreto-ley 12/2018), pour celles désignées à ce titre. Le délai du 17 avril 2025 pour que les États membres soient en mesure de recenser les entités essentielles et importantes lie l'Espagne indépendamment du projet de loi. Préparer dès maintenant les vérifications de champ d'application, les processus de signalement d'incident et l'approbation par l'organe de direction reste judicieux, car le projet suit de près la directive.
Notre régulateur sectoriel nous dira quoi faire.
Certains secteurs ont un régulateur clair (la finance avec la Banco de España pour les établissements de crédit et DORA comme lex specialis, l'énergie avec le ministère de la Transition écologique). Beaucoup n'ont pas encore de ligne de visibilité unique car le projet de loi n'a pas fini de définir l'architecture de supervision. Une fois la loi adoptée, ses obligations s'appliqueront indépendamment de l'organe national qui finira par les faire appliquer.
La plupart des exploitants espagnols du marché intermédiaire que nous voyons traitent NIS 2 comme un problème qu'ils peuvent reporter jusqu'à ce que le Boletín publie la loi finale. C'est un pari coûteux. Le délai du 17 octobre 2024 de la directive est déjà passé, la Commission a envoyé un avis motivé le 7 mai 2025 et a saisi la Cour de justice de l'UE contre l'Espagne le 8 juillet 2026, et les obligations de fond (approbation par l'organe de direction des mesures de risque, alerte précoce à 24 h, notification à 72 h, clauses relatives à la chaîne d'approvisionnement) ne changent pas entre le projet et tout texte final plausible.
La démarche pratique est la même que partout ailleurs dans l'UE : confirmer le champ d'application au titre de la directive, préparer l'enregistrement une fois que la loi espagnole désignera l'organisme et le portail d'enregistrement, mettre en place les quatre obligations continues (tenue à jour de l'enregistrement, signalement d'incident, gestion des risques de la chaîne d'approvisionnement, supervision par l'organe de direction), et documenter le minimum. Les orientations existantes du CCN et de l'INCIBE ainsi que les canaux de signalement du Real Decreto-ley 12/2018 restent utilisables tant que la nouvelle loi est en attente.
- Directive (UE) 2022/2555 (NIS 2), article 41 délai de transposition. EUR-Lex.
- Règlement d'exécution (UE) 2024/2690 de la Commission.
- Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, approuvé par le Conseil des ministres le 14 janvier 2025. Departamento de Seguridad Nacional (dsn.gob.es).
- Commission européenne, avis motivé à l'Espagne pour défaut de notification de la transposition complète de NIS 2, 7 mai 2025 ; saisine de la Cour de justice de l'UE contre l'Espagne, 8 juillet 2026 (IP/26/1499).
- Real Decreto-ley 12/2018, transposition de NIS 1, Boletín Oficial del Estado.
- CCN-CERT (créé en 2006) : Centro Criptológico Nacional, régi par la Ley 11/2002 et le Real Decreto 421/2004 ; Real Decreto 311/2022 sur l'Esquema Nacional de Seguridad.
- INCIBE-CERT: Instituto Nacional de Ciberseguridad, Ministerio para la Transformación Digital.
En pratique
Ce que la loi nationale change, et ce qu'elle ne change pas
La loi nationale détermine notamment où vous vous enregistrez et à qui vous notifiez les incidents. Les mesures elles-mêmes partent de la même liste minimale dans chaque État membre (art. 21 NIS 2). Le parcours guidé vous les fait suivre étape par étape :
Le parcours lui-même est en allemand et en anglais.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
