NIS 2 status in Spain
What the directive requires, where the Spanish transposition stands, and how CCN and INCIBE fit in the meantime.
Overview
The NIS 2 directive is the EU layer. It binds every member state, including Spain, with one cybersecurity floor for essential and important entities. Spain has to put that floor into Spanish law and run a supervision regime under it.
Spanje heeft de omzettingstermijn van 17 oktober 2024 uit artikel 41 van NIS 2 niet gehaald. De Raad van Ministers heeft op 14 januari 2025 een Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad goedgekeurd. In maart 2026 liet de regering weten dat de tekst bij de ministeries nog in behandeling was als Anteproyecto (een regeringsontwerp) en hij is niet gepubliceerd in het Boletín Oficial del Estado.
Zolang het ontwerp geen wet is, blijft het eerdere Real Decreto-ley 12/2018 (de omzetting van NIS 1) gelden. Daaronder is het toezicht verdeeld: het ministerie van Binnenlandse Zaken (CNPIC) voor operators die als kritiek zijn aangewezen, het betrokken ministerie voor andere aanbieders van essentiële diensten, het Staatssecretariaat voor Digitalisering voor aanbieders van digitale diensten en het CCN voor de publieke sector. INCIBE-CERT en CCN-CERT zijn de teams voor incidentafhandeling, geen toezichthouders. De Commissie stuurde op 7 mei 2025 een met redenen omkleed advies en heeft Spanje op 8 juli 2026 bij het Hof van Justitie van de EU gedaagd, met een verzoek om een forfaitaire som en dagelijkse dwangsommen totdat Spanje de volledige omzetting meldt.
EU directive
Directive (EU) 2022/2555 (NIS 2)
The EU-wide cybersecurity directive. Sets the obligations every member state must transpose, including the size and sector tests for essential and important entities. The authoritative Spanish version is published on EUR-Lex.
EU implementation
Commission Implementing Regulation (EU) 2024/2690
Technical and methodological measures for digital infrastructure providers. Directly applicable in Spain without national transposition.
Spanish transposition (in process)
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
Goedgekeurd door de Raad van Ministers op 14 januari 2025. Het ontwerp richt een Centro Nacional de Ciberseguridad op, ondergebracht bij het Secretaría General de Presidencia del Gobierno, als enig contactpunt met de EU en als autoriteit voor cyberbeveiligingscrises. Het toezicht zou bij drie controleautoriteiten liggen: het Coördinatiebureau Cyberbeveiliging van het ministerie van Binnenlandse Zaken, het Nationaal Cryptologisch Centrum (Defensie) en het Staatssecretariaat voor Telecommunicatie en Digitale Infrastructuur. In maart 2026 was de tekst nog een Anteproyecto (een regeringsontwerp) en hij is niet gepubliceerd in het BOE; totdat hij is aangenomen, blijft het eerdere Real Decreto-ley 12/2018 (omzetting van NIS 1) gelden.
Ley de Coordinación y Gobernanza de la Ciberseguridad (draft)
Het ontwerp brengt de NIS 2-verplichtingen in het Spaanse recht, definieert essentiële en belangrijke entiteiten en regelt toezichtbevoegdheden, meldplichten voor incidenten en sancties. Totdat de wet in het BOE is gepubliceerd, bindt de richtlijn de Spaanse staat, niet de Spaanse bedrijven; wat vandaag voor bedrijven geldt, is Real Decreto-ley 12/2018, voor wie daaronder is aangewezen.
Voorgesteld Centro Nacional de Ciberseguridad en controleautoriteiten
Het ontwerp richt een Centro Nacional de Ciberseguridad op, ondergebracht bij het Secretaría General de Presidencia del Gobierno, als enig contactpunt met de EU en als autoriteit voor cyberbeveiligingscrises. Het toezicht zou bij drie controleautoriteiten liggen: het Coördinatiebureau Cyberbeveiliging van het ministerie van Binnenlandse Zaken, het Nationaal Cryptologisch Centrum (Defensie) en het Staatssecretariaat voor Telecommunicatie en Digitale Infrastructuur. In de tussentijd verdeelt het NIS 1-besluit het toezicht: het ministerie van Binnenlandse Zaken (CNPIC) voor kritieke operators, het betrokken ministerie voor andere aanbieders van essentiële diensten, het Staatssecretariaat voor Digitalisering voor aanbieders van digitale diensten en het CCN voor de publieke sector. INCIBE-CERT en CCN-CERT zijn de teams voor incidentafhandeling, geen toezichthouders.
Article 41 deadline missed
Artikel 41 van NIS 2 stelde de omzettingstermijn op 17 oktober 2024. Spanje heeft die termijn niet gehaald. De Commissie stuurde op 7 mei 2025 een met redenen omkleed advies en heeft Spanje op 8 juli 2026 bij het Hof van Justitie van de EU gedaagd, met een verzoek om een forfaitaire som en dagelijkse dwangsommen totdat Spanje de volledige omzetting meldt.
Local law applies inside Spain
Entiteiten die in Spanje zijn gevestigd, volgen de Spaanse omzetting zodra die is aangenomen. Een Duitse Geschäftsführer met een Spaanse dochter leest voor die dochter de uiteindelijke Ley de Coordinación y Gobernanza de la Ciberseguridad, niet de Duitse BSIG. In de tussentijd geldt Real Decreto-ley 12/2018 voor bedrijven die daaronder zijn aangewezen; de richtlijn bindt de Spaanse staat, niet de dochter.
Spain cannot go below the EU floor
De richtlijn is een instrument van minimumharmonisatie. De vertraagde Spaanse omzetting verlaagt de ondergrens niet: zodra de Spaanse wet is aangenomen, moet zij ten minste de verplichtingen voor essentiële en belangrijke entiteiten, de meldtermijnen voor incidenten en de verantwoordelijkheid van het leidinggevend orgaan uit de richtlijn bevatten. Tot dan bindt de richtlijn de Spaanse staat, niet de Spaanse bedrijven: volgens de rechtspraak van het Hof van Justitie van de EU kan een richtlijn op zichzelf geen verplichtingen aan een bedrijf opleggen.
INCIBE and INCIBE-CERT
Het Instituto Nacional de Ciberseguridad, ondergebracht bij het ministerie van Digitale Transformatie. INCIBE-CERT is het referentiecentrum voor incidentafhandeling voor burgers en privaatrechtelijke entiteiten. Voor incidenten bij kritieke operators wordt INCIBE-CERT gezamenlijk beheerd door INCIBE en het CNPIC van het ministerie van Binnenlandse Zaken.
CCN and CCN-CERT
Het Centro Criptológico Nacional, onderdeel van het Centro Nacional de Inteligencia (CNI). CCN-CERT, opgericht in 2006, is het CERT van de overheid voor de publieke sector. Het CCN wordt geregeld in Wet 11/2002 en Real Decreto 421/2004; Real Decreto 311/2022 regelt het Esquema Nacional de Seguridad (ENS).
ENISA
Het cyberbeveiligingsagentschap van de EU. Publiceert richtsnoeren, beheert de Europese kwetsbaarhedendatabase en ondersteunt grensoverschrijdende coördinatie. Geen toezichthouder op Spaanse entiteiten. Onder het NIS 1-besluit zijn het ministerie van Binnenlandse Zaken (CNPIC), de sectorministeries, het Staatssecretariaat voor Digitalisering en het CCN de toezichthouders; de ontwerpwet zou het toezicht bij drie controleautoriteiten leggen, met het Centro Nacional de Ciberseguridad als enig contactpunt met de EU.
If Germany has BSIG, Spain has a similar law in force.
De Duitse NIS 2-omzettingswet geldt sinds 6 december 2025. Spanje heeft nog geen aangenomen wet: het Anteproyecto kreeg op 14 januari 2025 de goedkeuring van de Raad van Ministers, maar in het BOE is niets gepubliceerd. Spaanse dochters kunnen zich niet beroepen op een vastgestelde nationale wet; wat vandaag voor hen geldt, is het eerdere Real Decreto-ley 12/2018, voor wie daaronder is aangewezen, terwijl de richtlijn laat zien wat de Spaanse wet moet bevatten.
There is no Spanish law in force, so nothing to do yet.
De richtlijn is sinds januari 2023 van kracht. De lidstaten moesten hun nationale voorschriften vanaf 18 oktober 2024 toepassen. Totdat Spanje zijn wet aanneemt, bindt de richtlijn de Spaanse staat, niet de Spaanse bedrijven: volgens de rechtspraak van het Hof van Justitie van de EU kan een richtlijn op zichzelf geen verplichtingen aan een bedrijf opleggen. Wat vandaag voor bedrijven geldt, is het NIS 1-besluit (Real Decreto-ley 12/2018), voor wie daaronder is aangewezen. De termijn van 17 april 2025 waarbinnen lidstaten essentiële en belangrijke entiteiten moeten kunnen identificeren, bindt Spanje ongeacht het wetsontwerp. Het blijft verstandig om nu reikwijdtecontroles, meldprocessen voor incidenten en de goedkeuring door het leidinggevend orgaan voor te bereiden, omdat het ontwerp de richtlijn nauw volgt.
Our sector regulator will tell us what to do.
Sommige sectoren hebben een duidelijke toezichthouder (financiën met de Banco de España voor kredietinstellingen en DORA als lex specialis, energie met het ministerie voor de Ecologische Transitie). Veel andere hebben die nog niet, omdat de ontwerpwet de toezichtarchitectuur nog niet definitief regelt. Zodra de wet is aangenomen, gelden de verplichtingen ervan ongeacht welke nationale instantie ze uiteindelijk handhaaft.
De meeste Spaanse middenbedrijven die wij zien, behandelen NIS 2 als een kwestie die kan wachten tot het Boletín de definitieve wet publiceert. Dat is een dure gok. De termijn van 17 oktober 2024 is verstreken, de Commissie stuurde op 7 mei 2025 een met redenen omkleed advies en heeft Spanje op 8 juli 2026 bij het Hof van Justitie van de EU gedaagd, en de inhoudelijke verplichtingen (goedkeuring van risicomaatregelen door het leidinggevend orgaan, vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, clausules voor de toeleveringsketen) veranderen nauwelijks tussen het ontwerp en een aannemelijke eindtekst.
De praktische stap is dezelfde als overal in de EU: stel vast of u onder de richtlijn valt, bereid de registratie voor zodra de Spaanse wet de bevoegde instantie en het portaal aanwijst, zet de vier doorlopende verplichtingen op (registratiegegevens bijhouden, incidenten melden, risicobeheer in de toeleveringsketen, toezicht door het leidinggevend orgaan) en documenteer het minimum. Bestaande richtsnoeren van CCN en INCIBE en de meldkanalen van Real Decreto-ley 12/2018 blijven bruikbaar zolang de nieuwe wet nog niet van kracht is.
- Directive (EU) 2022/2555 (NIS 2), Article 41 transposition deadline. EUR-Lex.
- Commission Implementing Regulation (EU) 2024/2690.
- Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, approved by the Council of Ministers on 14 January 2025. Departamento de Seguridad Nacional (dsn.gob.es).
- Europese Commissie, met redenen omkleed advies aan Spanje wegens het niet melden van de volledige omzetting van NIS 2, 7 mei 2025; verwijzing van Spanje naar het Hof van Justitie van de EU, 8 juli 2026 (IP/26/1499).
- Real Decreto-ley 12/2018, NIS 1 transposition, Boletín Oficial del Estado.
- CCN-CERT (opgericht in 2006): Centro Criptológico Nacional, geregeld in Ley 11/2002 en Real Decreto 421/2004; Real Decreto 311/2022 over het Esquema Nacional de Seguridad.
- INCIBE-CERT: Instituto Nacional de Ciberseguridad, Ministerio para la Transformación Digital.
In de praktijk
Wat de nationale wet verandert, en wat niet
De nationale wet bepaalt onder meer waar u zich registreert en aan wie u incidenten meldt. De maatregelen zelf gaan in elke lidstaat uit van dezelfde minimumlijst (art. 21 NIS 2). De begeleide doorloop neemt u er stap voor stap doorheen:
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
