Statutul NIS 2 în Spania
Ce impune directiva, în ce stadiu se află transpunerea spaniolă și cum se încadrează CCN și INCIBE între timp.
Prezentare generală
Directiva NIS 2 este stratul UE. Obligă fiecare stat membru, inclusiv Spania, cu un prag unic de securitate cibernetică pentru entitățile esențiale și importante. Spania trebuie să integreze acel prag în legislația spaniolă și să ruleze un regim de supraveghere în temeiul lui.
Spania a ratat termenul de transpunere de 17 octombrie 2024 stabilit în Articolul 41 din NIS 2. Consiliul de Miniștri a aprobat un Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad la 14 ianuarie 2025. În martie 2026, guvernul a declarat că textul era încă în curs de prelucrare de către ministere ca Anteproyecto (proiect guvernamental) și nu a fost publicat în Boletín Oficial del Estado.
Până când proiectul devine lege, se aplică în continuare anteriorul Real Decreto-ley 12/2018 (transpunerea NIS 1). În temeiul acestuia, supravegherea este împărțită: Ministerul de Interne (CNPIC) pentru operatorii desemnați ca critici, ministerul competent pentru ceilalți operatori de servicii esențiale, Secretariatul de Stat pentru Digitalizare pentru furnizorii de servicii digitale și CCN pentru sectorul public. INCIBE-CERT și CCN-CERT sunt echipele de răspuns la incidente, nu supraveghetori. Comisia a trimis un aviz motivat la 7 mai 2025 și la 8 iulie 2026 a sesizat Curtea de Justiție a UE împotriva Spaniei, cerând o sumă forfetară și penalități zilnice până când Spania notifică transpunerea integrală.
Directiva UE
Directiva (UE) 2022/2555 (NIS 2)
Directiva UE privind securitatea cibernetică. Stabilește obligațiile pe care fiecare stat membru trebuie să le transpună, inclusiv testele de dimensiune și de sector pentru entitățile esențiale și importante. Versiunea spaniolă autentică este publicată pe EUR-Lex.
Punerea în aplicare la nivelul UE
Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei
Măsuri tehnice și metodologice pentru furnizorii de infrastructură digitală. Direct aplicabil în Spania fără transpunere națională.
Transpunerea spaniolă (în curs)
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
Aprobat de Consiliul de Miniștri la 14 ianuarie 2025. Proiectul creează un Centro Nacional de Ciberseguridad, atașat Secretaría General de Presidencia del Gobierno, ca punct unic de contact cu UE și autoritate pentru crizele de securitate cibernetică. Supravegherea ar reveni a trei autorități de control: Oficiul de coordonare a securității cibernetice al Ministerului de Interne, Centrul Național de Criptologie (Apărare) și Secretariatul de Stat pentru Telecomunicații și Infrastructură Digitală. În martie 2026, textul era încă un Anteproyecto (proiect guvernamental) și nu a fost publicat în BOE; până la promulgare, anteriorul Real Decreto-ley 12/2018 (transpunerea NIS 1) continuă să se aplice.
Ley de Coordinación y Gobernanza de la Ciberseguridad (proiect)
Proiectul transpune obligațiile NIS 2 în legislația spaniolă, definește entitățile esențiale și importante, stabilește competențe de supraveghere, obligații de raportare a incidentelor și sancțiuni. Până când legea este publicată în BOE, directiva obligă statul spaniol, nu companiile spaniole; ceea ce se aplică astăzi companiilor este Real Decreto-ley 12/2018, pentru cele desemnate în temeiul acestuia.
Centro Nacional de Ciberseguridad propus și autoritățile de control
Proiectul creează un Centro Nacional de Ciberseguridad, atașat Secretaría General de Presidencia del Gobierno, ca punct unic de contact cu UE și autoritate pentru crizele de securitate cibernetică. Supravegherea ar reveni a trei autorități de control: Oficiul de coordonare a securității cibernetice al Ministerului de Interne, Centrul Național de Criptologie (Apărare) și Secretariatul de Stat pentru Telecomunicații și Infrastructură Digitală. Între timp, decretul NIS 1 împarte supravegherea între Ministerul de Interne (CNPIC) pentru operatorii critici, ministerul competent pentru ceilalți operatori de servicii esențiale, Secretariatul de Stat pentru Digitalizare pentru furnizorii de servicii digitale și CCN pentru sectorul public. INCIBE-CERT și CCN-CERT sunt echipele de răspuns la incidente, nu supraveghetori.
Termenul din Articolul 41 ratat
Articolul 41 din NIS 2 a stabilit termenul de transpunere la 17 octombrie 2024. Spania nu a respectat acel termen. Comisia a trimis un aviz motivat la 7 mai 2025 și la 8 iulie 2026 a sesizat Curtea de Justiție a UE împotriva Spaniei, cerând o sumă forfetară și penalități zilnice până când Spania notifică transpunerea integrală.
Legea locală se aplică în interiorul Spaniei
Entitățile stabilite în Spania urmează transpunerea spaniolă odată promulgată. Un Geschäftsführer german care conduce o filială spaniolă va citi eventuala Ley de Coordinación y Gobernanza de la Ciberseguridad pentru acea filială, nu BSIG german. În perioada intermediară, Real Decreto-ley 12/2018 se aplică companiilor desemnate în temeiul său; directiva obligă statul spaniol, nu filiala.
Spania nu poate coborî sub pragul UE
Directiva este un instrument de armonizare minimă. Faptul că transpunerea spaniolă este întârziată nu coboară pragul: odată promulgată, legea spaniolă trebuie să conțină cel puțin obligațiile directivei pentru entitățile esențiale și importante, termenele de raportare a incidentelor și răspunderea organului de conducere. Până atunci directiva obligă statul spaniol, nu companiile spaniole: jurisprudența UE este clară că o directivă nu poate, prin ea însăși, impune obligații unei companii.
INCIBE și INCIBE-CERT
Instituto Nacional de Ciberseguridad, atașat Ministerului Transformării Digitale. INCIBE-CERT este centrul de referință pentru răspunsul la incidente pentru cetățeni și entitățile de drept privat. Pentru incidentele care afectează operatori critici, INCIBE-CERT este operat în comun de INCIBE și de CNPIC al Ministerului de Interne.
CCN și CCN-CERT
Centro Criptológico Nacional, atașat Centro Nacional de Inteligencia (CNI). CCN-CERT, creat în 2006, este CERT-ul guvernamental pentru sectorul public. CCN este guvernat de Legea 11/2002 și Real Decreto 421/2004; Real Decreto 311/2022 reglementează Esquema Nacional de Seguridad (ENS).
ENISA
Agenția UE pentru securitate cibernetică. Publică orientări, gestionează baza de date europeană a vulnerabilităților și sprijină coordonarea transfrontalieră. Nu este un supraveghetor pentru entitățile spaniole. În temeiul decretului NIS 1, supraveghetorii sunt Ministerul de Interne (CNPIC), ministerele sectoriale, Secretariatul de Stat pentru Digitalizare și CCN; proiectul de lege ar da supravegherea a trei autorități de control, cu Centro Nacional de Ciberseguridad ca punct unic de contact cu UE.
Dacă Germania are BSIG, Spania are o lege similară în vigoare.
Legea germană NIS 2 se aplică din 6 decembrie 2025. Spania nu are încă o lege promulgată: Anteproyecto a trecut de Consiliul de Miniștri la 14 ianuarie 2025, dar nimic nu a fost publicat în BOE. Filialele spaniole nu pot invoca o lege națională finalizată; ceea ce li se aplică astăzi este anteriorul Real Decreto-ley 12/2018, pentru cele desemnate în temeiul său, în timp ce directiva arată ce va trebui să conțină legea spaniolă.
Nu există nicio lege spaniolă în vigoare, deci nu e nimic de făcut deocamdată.
Directiva este în vigoare din ianuarie 2023. Statele membre trebuiau să aplice normele naționale de la 18 octombrie 2024. Până când Spania își promulgă legea, directiva obligă statul spaniol, nu companiile spaniole: jurisprudența UE este clară că o directivă nu poate, prin ea însăși, impune obligații unei companii. Ceea ce se aplică astăzi companiilor este decretul NIS 1 (Real Decreto-ley 12/2018), pentru cele desemnate în temeiul său. Termenul de 17 aprilie 2025 pentru ca statele membre să poată identifica entitățile esențiale și importante este obligatoriu pentru Spania indiferent de proiectul de lege. Pregătirea acum a verificărilor de domeniu de aplicare, a proceselor de raportare a incidentelor și a aprobării organului de conducere rămâne rezonabilă, deoarece proiectul urmează îndeaproape directiva.
Autoritatea noastră sectorială de reglementare ne va spune ce să facem.
Unele sectoare au o autoritate clară (finanțele cu Banco de España pentru instituțiile de credit și DORA ca lex specialis, energia cu Ministerul pentru Tranziția Ecologică). Multe nu au încă o linie unică de competență, deoarece proiectul de lege nu a terminat de definit arhitectura de supraveghere. Odată promulgată legea, obligațiile ei se aplică indiferent de organismul național care va ajunge să le pună în aplicare.
Majoritatea operatorilor spanioli din segmentul mediu pe care îi vedem tratează NIS 2 ca pe o problemă pe care o pot amâna până când Boletín publică legea finală. Acesta este un pariu scump. Termenul de 17 octombrie 2024 al directivei a trecut deja, Comisia a trimis un aviz motivat la 7 mai 2025 și a sesizat Curtea de Justiție a UE împotriva Spaniei la 8 iulie 2026, iar obligațiile de fond (aprobarea măsurilor de risc de către organul de conducere, avertizare timpurie la 24h, notificare la 72h, clauzele privind lanțul de aprovizionare) nu se schimbă între proiect și orice text final plauzibil.
Mișcarea practică este aceeași ca peste tot în UE: confirmați domeniul de aplicare în temeiul directivei, pregătiți-vă pentru înregistrare odată ce legea Spaniei desemnează organismul și portalul de înregistrare, stabiliți cele patru obligații continue (menținerea înregistrării, raportarea incidentelor, gestionarea riscului lanțului de aprovizionare, supravegherea de către organul de conducere) și documentați minimul. Orientările existente CCN și INCIBE plus canalele de raportare din Real Decreto-ley 12/2018 rămân utilizabile cât timp noua lege este în așteptare.
- Directiva (UE) 2022/2555 (NIS 2), termenul de transpunere din Articolul 41. EUR-Lex.
- Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei.
- Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobat de Consiliul de Miniștri la 14 ianuarie 2025. Departamento de Seguridad Nacional (dsn.gob.es).
- Comisia Europeană, aviz motivat adresat Spaniei pentru nenotificarea transpunerii integrale a NIS 2, 7 mai 2025; sesizarea Spaniei la Curtea de Justiție a UE, 8 iulie 2026 (IP/26/1499).
- Real Decreto-ley 12/2018, transpunerea NIS 1, Boletín Oficial del Estado.
- CCN-CERT (creat în 2006): Centro Criptológico Nacional, guvernat de Ley 11/2002 și Real Decreto 421/2004; Real Decreto 311/2022 privind Esquema Nacional de Seguridad.
- INCIBE-CERT. Instituto Nacional de Ciberseguridad, Ministerio para la Transformación Digital.
În practică
Ce schimbă legea națională și ce nu
Legea națională stabilește, printre altele, unde vă înregistrați și cui raportați incidentele. Măsurile pornesc, în fiecare stat membru, de la aceeași listă minimă (art. 21 NIS 2). Parcursul ghidat vă conduce prin ele pas cu pas:
Parcursul în sine este în germană și engleză.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
