Stato della NIS 2 in Spagna
Cosa richiede la direttiva, a che punto è il recepimento spagnolo e come CCN e INCIBE si inseriscono nel frattempo.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, inclusa la Spagna, con un unico livello minimo di cybersicurezza per i soggetti essenziali e importanti. La Spagna deve inserire quel livello minimo nel diritto spagnolo e gestire un regime di vigilanza in base a esso.
La Spagna ha mancato il termine di recepimento del 17 ottobre 2024 fissato all'articolo 41 della NIS 2. Il Consiglio dei Ministri ha approvato un Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad il 14 gennaio 2025. A marzo 2026 il governo ha dichiarato che il testo era ancora in esame presso i ministeri come Anteproyecto (un progetto di legge del governo) e non è stato pubblicato nel Boletín Oficial del Estado.
Finché il disegno di legge non diventa legge, continua ad applicarsi il precedente Real Decreto-ley 12/2018 (il recepimento della NIS 1). In base ad esso la vigilanza è suddivisa: il Ministero dell'Interno (CNPIC) per gli operatori designati come critici, il ministero competente per gli altri operatori di servizi essenziali, la Segreteria di Stato per la Digitalizzazione per i fornitori di servizi digitali e il CCN per il settore pubblico. INCIBE-CERT e CCN-CERT sono i team di risposta agli incidenti, non autorità di vigilanza. La Commissione europea ha inviato un parere motivato il 7 maggio 2025 e l'8 luglio 2026 ha deferito la Spagna alla Corte di giustizia dell'UE, chiedendo una somma forfettaria e penalità giornaliere finché la Spagna non notifichi il recepimento completo.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva sulla cybersicurezza a livello UE. Fissa gli obblighi che ogni Stato membro deve recepire, inclusi i test di dimensione e settore per i soggetti essenziali e importanti. La versione spagnola autentica è pubblicata su EUR-Lex.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Spagna senza recepimento nazionale.
Recepimento spagnolo (in corso)
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
Approvato dal Consiglio dei Ministri il 14 gennaio 2025. Il testo crea un Centro Nacional de Ciberseguridad, incardinato presso la Secretaría General de Presidencia del Gobierno, come punto di contatto unico con l'UE e autorità per le crisi di cybersicurezza. La vigilanza spetterebbe a tre autorità di controllo: l'Ufficio di coordinamento della cybersicurezza del Ministero dell'Interno, il Centro Crittologico Nazionale (Difesa) e la Segreteria di Stato per le Telecomunicazioni e le Infrastrutture digitali. A marzo 2026 il testo era ancora un Anteproyecto (un progetto di legge del governo) e non è stato pubblicato nel BOE; finché non sarà promulgato, continua ad applicarsi il precedente Real Decreto-ley 12/2018 (recepimento della NIS 1).
Ley de Coordinación y Gobernanza de la Ciberseguridad (bozza)
La bozza trasferisce gli obblighi della NIS 2 nel diritto spagnolo, definisce i soggetti essenziali e importanti, fissa i poteri di vigilanza, gli obblighi di segnalazione di incidenti e le sanzioni. Finché la legge non è pubblicata nel BOE, la direttiva vincola lo Stato spagnolo, non le imprese spagnole; alle imprese si applica oggi il Real Decreto-ley 12/2018, per quelle designate in base ad esso.
Proposto Centro Nacional de Ciberseguridad e autorità di controllo
La bozza crea un Centro Nacional de Ciberseguridad, incardinato presso la Secretaría General de Presidencia del Gobierno, come punto di contatto unico con l'UE e autorità per le crisi di cybersicurezza. La vigilanza spetterebbe a tre autorità di controllo: l'Ufficio di coordinamento della cybersicurezza del Ministero dell'Interno, il Centro Crittologico Nazionale (Difesa) e la Segreteria di Stato per le Telecomunicazioni e le Infrastrutture digitali. Nel frattempo il decreto della NIS 1 ripartisce la vigilanza tra il Ministero dell'Interno (CNPIC) per gli operatori critici, il ministero competente per gli altri operatori di servizi essenziali, la Segreteria di Stato per la Digitalizzazione per i fornitori di servizi digitali e il CCN per il settore pubblico. INCIBE-CERT e CCN-CERT sono i team di risposta agli incidenti, non autorità di vigilanza.
Termine dell'articolo 41 mancato
L'articolo 41 della NIS 2 ha fissato il termine di recepimento al 17 ottobre 2024. La Spagna non ha rispettato quel termine. La Commissione europea ha inviato alla Spagna un parere motivato il 7 maggio 2025 e l'8 luglio 2026 ha deferito la Spagna alla Corte di giustizia dell'UE, chiedendo una somma forfettaria e penalità giornaliere finché la Spagna non notifichi il recepimento completo.
Il diritto locale si applica all'interno della Spagna
Le entità stabilite in Spagna seguono il recepimento spagnolo una volta promulgato. Un Geschäftsführer tedesco che gestisce una controllata spagnola leggerà l'eventuale Ley de Coordinación y Gobernanza de la Ciberseguridad per quella controllata, non il BSIG tedesco. Nel periodo intermedio il Real Decreto-ley 12/2018 si applica alle imprese designate in base ad esso; la direttiva vincola lo Stato spagnolo, non la controllata.
La Spagna non può scendere al di sotto del livello minimo UE
La direttiva è uno strumento di armonizzazione minima. Il fatto che il recepimento spagnolo sia ritardato non abbassa il livello minimo: una volta promulgata, la legge spagnola dovrà contenere almeno gli obblighi della direttiva per i soggetti essenziali e importanti, i termini di segnalazione degli incidenti e la responsabilità dell'organo di gestione. Fino ad allora la direttiva vincola lo Stato spagnolo, non le imprese spagnole: la giurisprudenza UE è chiara nel dire che una direttiva non può da sola imporre obblighi a un'impresa.
INCIBE e INCIBE-CERT
L'Instituto Nacional de Ciberseguridad, incardinato presso il Ministero della Trasformazione Digitale. INCIBE-CERT è il centro di riferimento per la risposta agli incidenti per i cittadini e le entità di diritto privato. Per gli incidenti che riguardano gli operatori critici, INCIBE-CERT è gestito congiuntamente da INCIBE e dal CNPIC del Ministero dell'Interno.
CCN e CCN-CERT
Il Centro Criptológico Nacional, incardinato presso il Centro Nacional de Inteligencia (CNI). CCN-CERT, istituito nel 2006, è il CERT governativo per il settore pubblico. Il CCN è disciplinato dalla Ley 11/2002 e dal Real Decreto 421/2004; il Real Decreto 311/2022 regolamenta l'Esquema Nacional de Seguridad (ENS).
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica orientamenti, gestisce il database europeo delle vulnerabilità e sostiene il coordinamento transfrontaliero. Non è un'autorità di vigilanza per le entità spagnole. Ai sensi del decreto della NIS 1 le autorità di vigilanza sono il Ministero dell'Interno (CNPIC), i ministeri di settore, la Segreteria di Stato per la Digitalizzazione e il CCN; il progetto di legge affiderebbe la vigilanza a tre autorità di controllo, con il Centro Nacional de Ciberseguridad come punto di contatto unico con l'UE.
Se la Germania ha il BSIG, la Spagna ha una legge analoga in vigore.
La legge tedesca di recepimento della NIS 2 si applica dal 6 dicembre 2025. La Spagna non ha ancora una legge promulgata: l'Anteproyecto ha superato il Consiglio dei Ministri il 14 gennaio 2025, ma nulla è stato pubblicato nel BOE. Le controllate spagnole non possono fare riferimento a una legge nazionale definitiva; oggi si applica loro il precedente Real Decreto-ley 12/2018, per quelle designate in base ad esso, mentre la direttiva mostra che cosa dovrà contenere la legge spagnola.
Non c'è alcuna legge spagnola in vigore, quindi non c'è ancora nulla da fare.
La direttiva è in vigore da gennaio 2023. Gli Stati membri dovevano applicare le proprie norme nazionali dal 18 ottobre 2024. Finché la Spagna non promulga la propria legge, la direttiva vincola lo Stato spagnolo, non le imprese spagnole: la giurisprudenza UE è chiara nel dire che una direttiva non può da sola imporre obblighi a un'impresa. Alle imprese si applica oggi il decreto della NIS 1 (Real Decreto-ley 12/2018), per quelle designate in base ad esso. Il termine del 17 aprile 2025 entro cui gli Stati membri devono essere in grado di individuare i soggetti essenziali e importanti è vincolante per la Spagna indipendentemente dal disegno di legge. Preparare ora le verifiche dell'ambito, i processi di segnalazione di incidenti e l'approvazione dell'organo di gestione resta ragionevole, perché la bozza segue da vicino la direttiva.
La nostra autorità di regolamentazione settoriale ci dirà cosa fare.
Alcuni settori hanno un'autorità di regolamentazione chiara (finanza con la Banco de España per gli enti creditizi e il DORA come lex specialis, energia con il Ministero per la Transizione ecologica). Molti non hanno ancora una linea di riferimento unica perché la bozza di legge non ha finito di definire l'architettura di vigilanza. Una volta promulgata la legge, i suoi obblighi si applicano indipendentemente da quale organismo nazionale finirà per applicarli.
La maggior parte degli operatori spagnoli di fascia media che vediamo tratta la NIS 2 come un problema rinviabile fino a quando il Boletín pubblicherà la legge definitiva. È una scommessa costosa. Il termine del 17 ottobre 2024 della direttiva è già passato, la Commissione ha inviato un parere motivato il 7 maggio 2025 e ha deferito la Spagna alla Corte di giustizia dell'UE l'8 luglio 2026, e gli obblighi sostanziali (approvazione delle misure di rischio da parte dell'organo di gestione, preallarme di 24h, notifica di 72h, clausole della catena di approvvigionamento) non cambiano tra la bozza e qualsiasi testo definitivo plausibile.
La mossa pratica è la stessa che ovunque nell'UE: confermare l'ambito ai sensi della direttiva, prepararsi alla registrazione una volta che la legge spagnola indicherà l'organismo e il portale di registrazione, impostare i quattro obblighi continui (mantenimento della registrazione, segnalazione di incidenti, gestione del rischio della catena di approvvigionamento, sorveglianza dell'organo di gestione) e documentare il minimo. Gli orientamenti esistenti di CCN e INCIBE più i canali di segnalazione del Real Decreto-ley 12/2018 restano utilizzabili in attesa della nuova legge.
- Direttiva (UE) 2022/2555 (NIS 2), articolo 41 termine di recepimento. EUR-Lex.
- Regolamento di esecuzione (UE) 2024/2690 della Commissione.
- Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, approvato dal Consiglio dei Ministri il 14 gennaio 2025. Departamento de Seguridad Nacional (dsn.gob.es).
- Commissione europea, parere motivato alla Spagna per la mancata notifica del recepimento completo della NIS 2, 7 maggio 2025; deferimento della Spagna alla Corte di giustizia dell'UE, 8 luglio 2026 (IP/26/1499).
- Real Decreto-ley 12/2018, recepimento della NIS 1, Boletín Oficial del Estado.
- CCN-CERT (istituito nel 2006): Centro Criptológico Nacional, disciplinato dalla Ley 11/2002 e dal Real Decreto 421/2004; Real Decreto 311/2022 sull'Esquema Nacional de Seguridad.
- INCIBE-CERT: Instituto Nacional de Ciberseguridad, Ministerio para la Transformación Digital.
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
