Status NIS 2 w Hiszpanii
Czego wymaga dyrektywa, na jakim etapie jest hiszpańska transpozycja oraz jak w międzyczasie wpisują się CCN i INCIBE.
Przegląd
Dyrektywa NIS 2 to warstwa UE. Wiąże każde państwo członkowskie, w tym Hiszpanię, jednym progiem cyberbezpieczeństwa dla podmiotów kluczowych i ważnych. Hiszpania musi wprowadzić ten próg do hiszpańskiego prawa i prowadzić na jego podstawie reżim nadzoru.
Hiszpania nie dotrzymała terminu transpozycji z 17 października 2024 r. ustanowionego w art. 41 NIS 2. Rada Ministrów zatwierdziła Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad 14 stycznia 2025 r. W marcu 2026 r. rząd oświadczył, że tekst nadal jest procesowany przez ministerstwa jako Anteproyecto (rządowy projekt) i nie został opublikowany w Boletín Oficial del Estado.
Dopóki projekt nie stanie się prawem, nadal obowiązuje wcześniejszy Real Decreto-ley 12/2018 (transpozycja NIS 1). Zgodnie z nim nadzór jest podzielony: Ministerstwo Spraw Wewnętrznych (CNPIC) dla operatorów uznanych za krytycznych, właściwe ministerstwo dla pozostałych operatorów usług kluczowych, Sekretariat Stanu ds. Cyfryzacji dla dostawców usług cyfrowych oraz CCN dla sektora publicznego. INCIBE-CERT i CCN-CERT są zespołami reagowania na incydenty, a nie organami nadzoru. Komisja Europejska wysłała uzasadnioną opinię 7 maja 2025 r., a 8 lipca 2026 r. skierowała Hiszpanię do Trybunału Sprawiedliwości UE, wnosząc o karę ryczałtową i dzienne kary pieniężne do czasu, aż Hiszpania zgłosi pełną transpozycję.
Dyrektywa UE
Directive (EU) 2022/2555 (NIS 2)
Ogólnounijna dyrektywa o cyberbezpieczeństwie. Ustanawia obowiązki, które każde państwo członkowskie musi transponować, w tym testy wielkości i sektora dla podmiotów kluczowych i ważnych. Autorytatywna hiszpańska wersja jest opublikowana na EUR-Lex.
Wdrożenie UE
Commission Implementing Regulation (EU) 2024/2690
Środki techniczne i metodyczne dla dostawców infrastruktury cyfrowej. Bezpośrednio stosowane w Hiszpanii bez transpozycji krajowej.
Transpozycja hiszpańska (w toku)
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
Zatwierdzony przez Radę Ministrów 14 stycznia 2025 r. Projekt tworzy Centro Nacional de Ciberseguridad przy Secretaría General de Presidencia del Gobierno jako jedyny punkt kontaktowy z UE i organ ds. kryzysów cyberbezpieczeństwa. Nadzór miałyby sprawować trzy organy kontrolne: Biuro Koordynacji Cyberbezpieczeństwa Ministerstwa Spraw Wewnętrznych, Krajowe Centrum Kryptologiczne (obrona) oraz Sekretariat Stanu ds. Telekomunikacji i Infrastruktury Cyfrowej. W marcu 2026 r. tekst nadal był Anteproyecto (rządowym projektem) i nie został opublikowany w BOE; dopóki nie zostanie uchwalony, nadal obowiązuje wcześniejszy Real Decreto-ley 12/2018 (transpozycja NIS 1).
Ley de Coordinación y Gobernanza de la Ciberseguridad (projekt)
Projekt wprowadza obowiązki NIS 2 do hiszpańskiego prawa, definiuje podmioty kluczowe i ważne, ustanawia uprawnienia nadzorcze, obowiązki zgłaszania incydentów i sankcje. Dopóki ustawa nie zostanie opublikowana w BOE, dyrektywa wiąże państwo hiszpańskie, a nie hiszpańskie spółki; do spółek stosuje się dziś Real Decreto-ley 12/2018, jeśli zostały na jego podstawie wyznaczone.
Proponowane Centro Nacional de Ciberseguridad i organy kontrolne
Projekt tworzy Centro Nacional de Ciberseguridad przy Secretaría General de Presidencia del Gobierno jako jedyny punkt kontaktowy z UE i organ ds. kryzysów cyberbezpieczeństwa. Nadzór miałyby sprawować trzy organy kontrolne: Biuro Koordynacji Cyberbezpieczeństwa Ministerstwa Spraw Wewnętrznych, Krajowe Centrum Kryptologiczne (obrona) oraz Sekretariat Stanu ds. Telekomunikacji i Infrastruktury Cyfrowej. W okresie przejściowym dekret NIS 1 dzieli nadzór między Ministerstwo Spraw Wewnętrznych (CNPIC) dla operatorów krytycznych, właściwe ministerstwo dla pozostałych operatorów usług kluczowych, Sekretariat Stanu ds. Cyfryzacji dla dostawców usług cyfrowych oraz CCN dla sektora publicznego. INCIBE-CERT i CCN-CERT są zespołami reagowania na incydenty, a nie organami nadzoru.
Termin z Artykułu 41 niedotrzymany
Art. 41 NIS 2 ustanowił termin transpozycji na 17 października 2024 r. Hiszpania nie dotrzymała tego terminu. Komisja wysłała uzasadnioną opinię 7 maja 2025 r., a 8 lipca 2026 r. skierowała Hiszpanię do Trybunału Sprawiedliwości UE, wnosząc o karę ryczałtową i dzienne kary pieniężne do czasu, aż Hiszpania zgłosi pełną transpozycję.
Wewnątrz Hiszpanii obowiązuje prawo lokalne
Podmioty z siedzibą w Hiszpanii podlegają hiszpańskiej transpozycji po jej uchwaleniu. Niemiecki Geschäftsführer prowadzący hiszpańską spółkę zależną będzie dla tej spółki czytał ostateczną Ley de Coordinación y Gobernanza de la Ciberseguridad, a nie niemiecki BSIG. W okresie przejściowym Real Decreto-ley 12/2018 obowiązuje spółki wyznaczone na jego podstawie; dyrektywa wiąże państwo hiszpańskie, a nie spółkę zależną.
Hiszpania nie może zejść poniżej progu UE
Dyrektywa jest instrumentem minimalnej harmonizacji. Opóźnienie hiszpańskiej transpozycji nie obniża progu: po uchwaleniu hiszpańska ustawa musi zawierać co najmniej obowiązki podmiotów kluczowych i ważnych z dyrektywy, terminy zgłaszania incydentów i odpowiedzialność organu zarządzającego. Do tego czasu dyrektywa wiąże państwo hiszpańskie, a nie hiszpańskie spółki: z orzecznictwa UE jasno wynika, że dyrektywa sama w sobie nie może nakładać obowiązków na spółkę.
INCIBE i INCIBE-CERT
Instituto Nacional de Ciberseguridad, podległy Ministerstwu Transformacji Cyfrowej. INCIBE-CERT jest referencyjnym centrum reagowania na incydenty dla obywateli i podmiotów prawa prywatnego. W przypadku incydentów dotyczących operatorów krytycznych INCIBE-CERT jest prowadzony wspólnie przez INCIBE i CNPIC Ministerstwa Spraw Wewnętrznych.
CCN i CCN-CERT
Centro Criptológico Nacional, podległy Centro Nacional de Inteligencia (CNI). CCN-CERT, utworzony w 2006 roku, jest rządowym CERT dla sektora publicznego. CCN jest uregulowany w Ley 11/2002 i Real Decreto 421/2004; Real Decreto 311/2022 reguluje Esquema Nacional de Seguridad (ENS).
ENISA
Unijna agencja ds. cyberbezpieczeństwa. Publikuje wytyczne, zarządza europejską bazą danych podatności i wspiera koordynację transgraniczną. Nie jest nadzorcą dla hiszpańskich podmiotów. Na mocy dekretu NIS 1 nadzorcami są Ministerstwo Spraw Wewnętrznych (CNPIC), ministerstwa sektorowe, Sekretariat Stanu ds. Cyfryzacji i CCN; projekt ustawy powierzyłby nadzór trzem organom kontrolnym, z Centro Nacional de Ciberseguridad jako jedynym punktem kontaktowym z UE.
Skoro Niemcy mają BSIG, Hiszpania ma podobne prawo w mocy.
Niemiecka ustawa o NIS 2 obowiązuje od 6 grudnia 2025 r. Hiszpania nie ma jeszcze uchwalonej ustawy: Anteproyecto przeszedł Radę Ministrów 14 stycznia 2025 r., ale w BOE nic nie opublikowano. Hiszpańskie spółki zależne nie mogą powołać się na sfinalizowane prawo krajowe; obowiązuje je dziś wcześniejszy Real Decreto-ley 12/2018, jeśli zostały na jego podstawie wyznaczone, a dyrektywa pokazuje, co hiszpańska ustawa będzie musiała zawierać.
Nie ma hiszpańskiego prawa w mocy, więc na razie nie ma nic do zrobienia.
Dyrektywa obowiązuje od stycznia 2023 r. Państwa członkowskie musiały stosować swoje przepisy krajowe od 18 października 2024 r. Dopóki Hiszpania nie uchwali swojej ustawy, dyrektywa wiąże państwo hiszpańskie, a nie hiszpańskie spółki: z orzecznictwa UE jasno wynika, że dyrektywa sama w sobie nie może nakładać obowiązków na spółkę. Do spółek stosuje się dziś dekret NIS 1 (Real Decreto-ley 12/2018), jeśli zostały na jego podstawie wyznaczone. Termin 17 kwietnia 2025 r. dla państw członkowskich na zdolność identyfikacji podmiotów kluczowych i ważnych jest wiążący dla Hiszpanii niezależnie od projektu ustawy. Przygotowanie już teraz sprawdzenia zakresu, procesów zgłaszania incydentów i zatwierdzenia przez organ zarządzający nadal ma sens, ponieważ projekt ściśle podąża za dyrektywą.
Nasz regulator sektorowy powie nam, co robić.
Niektóre sektory mają wyraźnego regulatora (finanse z Banco de España dla instytucji kredytowych i DORA jako lex specialis, energetyka z Ministerstwem Transformacji Ekologicznej). Wiele nie ma jeszcze jednej linii widzenia, ponieważ projekt ustawy nie zakończył definiowania architektury nadzoru. Po uchwaleniu ustawy jej obowiązki mają zastosowanie niezależnie od tego, który organ krajowy ostatecznie będzie je egzekwował.
Większość hiszpańskich operatorów średniego rynku, których widzimy, traktuje NIS 2 jako problem, który mogą odłożyć, dopóki Boletín nie opublikuje ostatecznej ustawy. To kosztowny zakład. Termin dyrektywy z 17 października 2024 r. już minął, Komisja wysłała uzasadnioną opinię 7 maja 2025 r. i skierowała Hiszpanię do Trybunału Sprawiedliwości UE 8 lipca 2026 r., a merytoryczne obowiązki (zatwierdzenie środków ryzyka przez organ zarządzający, 24h wczesne ostrzeżenie, 72h zgłoszenie, klauzule łańcucha dostaw) nie zmieniają się między projektem a jakimkolwiek prawdopodobnym tekstem ostatecznym.
Praktyczny ruch jest taki sam jak wszędzie w UE: potwierdź zakres na podstawie dyrektywy, przygotuj się do rejestracji, gdy hiszpańska ustawa wskaże organ rejestrujący i portal, ustaw cztery ciągłe obowiązki (utrzymanie rejestracji, zgłaszanie incydentów, zarządzanie ryzykiem łańcucha dostaw, nadzór organu zarządzającego) i udokumentuj minimum. Istniejące wytyczne CCN i INCIBE plus kanały zgłoszeniowe Real Decreto-ley 12/2018 pozostają użyteczne, dopóki nowa ustawa jest w toku.
- Directive (EU) 2022/2555 (NIS 2), Article 41 transposition deadline. EUR-Lex.
- Commission Implementing Regulation (EU) 2024/2690.
- Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, approved by the Council of Ministers on 14 January 2025. Departamento de Seguridad Nacional (dsn.gob.es).
- Komisja Europejska, uzasadniona opinia skierowana do Hiszpanii z powodu niezgłoszenia pełnej transpozycji NIS 2, 7 maja 2025 r.; skierowanie Hiszpanii do Trybunału Sprawiedliwości UE, 8 lipca 2026 r. (IP/26/1499).
- Real Decreto-ley 12/2018, NIS 1 transposition, Boletín Oficial del Estado.
- CCN-CERT (utworzony w 2006 r.): Centro Criptológico Nacional, uregulowany w Ley 11/2002 i Real Decreto 421/2004; Real Decreto 311/2022 o Esquema Nacional de Seguridad.
- INCIBE-CERT: Instituto Nacional de Ciberseguridad, Ministerio para la Transformación Digital.
W praktyce
Co zmienia prawo krajowe, a czego nie
Prawo krajowe określa między innymi, gdzie się rejestrujesz i komu zgłaszasz incydenty. Same środki wychodzą w każdym państwie członkowskim z tej samej minimalnej listy (art. 21 NIS 2). Przewodnik prowadzi przez nie krok po kroku:
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
