NIS 2 Status Spanien
Was die Richtlinie verlangt, wo die spanische Umsetzung steht und welche Rolle CCN und INCIBE in der Zwischenzeit spielen.
Überblick
Die NIS 2 Richtlinie ist die EU Ebene. Sie bindet jeden Mitgliedstaat, also auch Spanien, an einen einheitlichen Mindeststandard für wesentliche und wichtige Einrichtungen. Spanien muss diesen Standard in spanisches Recht überführen und eine Aufsicht darauf aufbauen.
Spanien hat die in Artikel 41 NIS 2 verankerte Umsetzungsfrist vom 17. Oktober 2024 nicht eingehalten. Der Ministerrat hat am 14. Januar 2025 den Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad verabschiedet. Im März 2026 lag der Text nach Angaben der Regierung weiterhin als Anteproyecto (Regierungsentwurf) bei den Ministerien, und im Boletín Oficial del Estado ist er nicht veröffentlicht.
Solange der Entwurf kein Gesetz ist, gilt weiterhin der frühere Real Decreto-ley 12/2018 (Umsetzung der NIS 1 Richtlinie). Danach ist die Aufsicht geteilt: das Innenministerium (CNPIC) für als kritisch eingestufte Betreiber, das jeweils zuständige Ministerium für andere Betreiber wesentlicher Dienste, das Staatssekretariat für Digitalisierung für Anbieter digitaler Dienste und das CCN für den öffentlichen Sektor. INCIBE-CERT und CCN-CERT sind Teams für die Bearbeitung von Sicherheitsvorfällen, keine Aufsichtsbehörden. Die Europäische Kommission hat am 7. Mai 2025 eine mit Gründen versehene Stellungnahme an Spanien gerichtet und Spanien am 8. Juli 2026 vor dem Gerichtshof der EU verklagt. Sie beantragt einen Pauschalbetrag und tägliche Zwangsgelder, bis Spanien die vollständige Umsetzung mitteilt.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU weite Cybersicherheitsrichtlinie. Legt die Pflichten fest, die jeder Mitgliedstaat umsetzen muss, einschließlich der Größen und Sektor Tests für wesentliche und wichtige Einrichtungen. Die authentische spanische Fassung ist auf EUR-Lex veröffentlicht.
EU Durchführungsverordnung
Durchführungsverordnung (EU) 2024/2690 der Kommission
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In Spanien ohne nationale Umsetzung unmittelbar anwendbar.
Spanische Umsetzung (im Verfahren)
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
Verabschiedet vom Ministerrat am 14. Januar 2025. Der Entwurf richtet ein Centro Nacional de Ciberseguridad ein, angesiedelt beim Generalsekretariat der Presidencia del Gobierno, als einzige Kontaktstelle zur EU und als Behörde für Cybersicherheitskrisen. Die Aufsicht sollen drei Kontrollbehörden führen: die Koordinierungsstelle für Cybersicherheit des Innenministeriums, das Centro Criptológico Nacional (Verteidigung) und das Staatssekretariat für Telekommunikation und digitale Infrastrukturen. Im März 2026 war der Text weiterhin ein Anteproyecto (Regierungsentwurf), im BOE ist er nicht veröffentlicht. Bis zur Verabschiedung gilt der frühere Real Decreto-ley 12/2018 (NIS 1 Umsetzung) fort.
Ley de Coordinación y Gobernanza de la Ciberseguridad (Entwurf)
Der Entwurf überträgt die NIS 2 Pflichten in spanisches Recht, definiert wesentliche und wichtige Einrichtungen, regelt Aufsichtsbefugnisse, Meldepflichten und Sanktionen. Bis zur Veröffentlichung im BOE bindet die Richtlinie den spanischen Staat, nicht spanische Unternehmen. Für Unternehmen gilt heute der Real Decreto-ley 12/2018, soweit sie danach benannt sind.
Geplantes Centro Nacional de Ciberseguridad und Kontrollbehörden
Der Entwurf richtet ein Centro Nacional de Ciberseguridad beim Generalsekretariat der Presidencia del Gobierno ein, als einzige Kontaktstelle zur EU und als Behörde für Cybersicherheitskrisen. Die Aufsicht sollen drei Kontrollbehörden führen: die Koordinierungsstelle für Cybersicherheit des Innenministeriums, das Centro Criptológico Nacional (Verteidigung) und das Staatssekretariat für Telekommunikation und digitale Infrastrukturen. In der Übergangszeit teilt der NIS 1 Erlass die Aufsicht auf: das Innenministerium (CNPIC) für kritische Betreiber, das jeweils zuständige Ministerium für andere Betreiber wesentlicher Dienste, das Staatssekretariat für Digitalisierung für Anbieter digitaler Dienste und das CCN für den öffentlichen Sektor. INCIBE-CERT und CCN-CERT sind Teams für die Bearbeitung von Sicherheitsvorfällen, keine Aufsichtsbehörden.
Frist nach Artikel 41 verfehlt
Artikel 41 NIS 2 setzt die Umsetzungsfrist auf den 17. Oktober 2024. Spanien hat diese Frist nicht eingehalten. Die Europäische Kommission hat am 7. Mai 2025 eine mit Gründen versehene Stellungnahme an Spanien gerichtet und Spanien am 8. Juli 2026 vor dem Gerichtshof der EU verklagt. Sie beantragt einen Pauschalbetrag und tägliche Zwangsgelder, bis Spanien die vollständige Umsetzung mitteilt.
In Spanien gilt spanisches Recht
Einrichtungen mit Niederlassung in Spanien richten sich nach der spanischen Umsetzung, sobald diese in Kraft tritt. Eine deutsche Geschäftsführerin mit spanischer Tochter wird die spätere Ley de Coordinación y Gobernanza de la Ciberseguridad für diese Tochter heranziehen, nicht das deutsche BSIG. In der Übergangszeit gilt der Real Decreto-ley 12/2018 für Unternehmen, die danach benannt sind. Die Richtlinie bindet den spanischen Staat, nicht die Tochter.
Spanien darf den EU Mindeststandard nicht unterschreiten
Die Richtlinie ist ein Instrument der Mindestharmonisierung. Die verspätete spanische Umsetzung senkt den Mindeststandard nicht: Das spanische Gesetz muss nach seiner Verabschiedung mindestens die Pflichten für wesentliche und wichtige Einrichtungen, die Meldefristen und die Verantwortung der Leitungsorgane enthalten. Bis dahin bindet die Richtlinie den spanischen Staat, nicht spanische Unternehmen. Nach der Rechtsprechung des EuGH kann eine Richtlinie selbst keine Pflichten für ein Unternehmen begründen.
INCIBE und INCIBE-CERT
Das Instituto Nacional de Ciberseguridad, angesiedelt beim Ministerium für digitale Transformation. INCIBE-CERT ist die Referenzstelle für Vorfallsbearbeitung bei Bürgerinnen und privatrechtlichen Einrichtungen. Für Vorfälle bei kritischen Betreibern wird INCIBE-CERT gemeinsam von INCIBE und dem CNPIC des Innenministeriums betrieben.
CCN und CCN-CERT
Das Centro Criptológico Nacional, angegliedert an das Centro Nacional de Inteligencia (CNI). CCN-CERT, gegründet 2006, ist das CERT der Regierung für den öffentlichen Sektor. Das CCN ist im Ley 11/2002 und im Real Decreto 421/2004 geregelt. Der Real Decreto 311/2022 regelt das Esquema Nacional de Seguridad (ENS).
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und unterstützt die grenzüberschreitende Koordination. Keine Aufsichtsbehörde für spanische Einrichtungen. Nach dem NIS 1 Erlass sind das Innenministerium (CNPIC), die Fachministerien, das Staatssekretariat für Digitalisierung und das CCN die Aufsicht. Der Gesetzentwurf würde die Aufsicht drei Kontrollbehörden übertragen, mit dem Centro Nacional de Ciberseguridad als einziger Kontaktstelle zur EU.
Wenn Deutschland das BSIG hat, hat Spanien etwas Vergleichbares in Kraft.
Das deutsche NIS 2 Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Spanien hat noch kein verabschiedetes Gesetz: Der Anteproyecto wurde am 14. Januar 2025 vom Ministerrat verabschiedet, im BOE ist aber nichts veröffentlicht. Spanische Töchter können sich nicht auf ein in Kraft getretenes nationales Gesetz berufen. Für sie gilt heute der fortgeltende Real Decreto-ley 12/2018, soweit sie danach benannt sind. Die Richtlinie zeigt, was das spanische Gesetz enthalten muss.
Es gibt noch kein spanisches Gesetz, also gibt es nichts zu tun.
Die Richtlinie ist seit Januar 2023 in Kraft. Die Mitgliedstaaten mussten ihre nationalen Vorschriften ab dem 18. Oktober 2024 anwenden. Bis Spanien sein Gesetz verabschiedet, bindet die Richtlinie den spanischen Staat, nicht spanische Unternehmen. Nach der Rechtsprechung des EuGH kann eine Richtlinie selbst keine Pflichten für ein Unternehmen begründen. Für Unternehmen gilt heute der NIS 1 Erlass (Real Decreto-ley 12/2018), soweit sie danach benannt sind. Die in der Richtlinie verankerte Frist zur Identifizierung wesentlicher und wichtiger Einrichtungen durch die Mitgliedstaaten bindet Spanien unabhängig vom Stand des Gesetzentwurfs. Anwendbarkeitsprüfungen, Meldeprozesse und die Freigabe durch das Leitungsorgan jetzt vorzubereiten, bleibt sinnvoll, weil der Entwurf der Richtlinie eng folgt.
Unsere Sektoraufsicht wird uns sagen, was zu tun ist.
Manche Sektoren haben eine klare Aufsicht (Finanzen mit der Banco de España für Kreditinstitute und DORA als lex specialis, Energie mit dem Ministerium für den ökologischen Wandel). Viele haben das noch nicht, weil der Gesetzentwurf die Aufsichtsarchitektur noch nicht abschließend regelt. Sobald das Gesetz verabschiedet ist, gelten seine Pflichten unabhängig davon, welche nationale Stelle am Ende durchsetzt.
Die meisten spanischen Mittelstandsbetreiber, die wir sehen, behandeln NIS 2 als Aufgabe, die sich bis zur Veröffentlichung des endgültigen Gesetzes im Boletín verschieben lässt. Das ist eine teure Wette. Die Frist aus Artikel 41 ist am 17. Oktober 2024 abgelaufen, die Kommission hat am 7. Mai 2025 eine mit Gründen versehene Stellungnahme gerichtet und Spanien am 8. Juli 2026 vor dem Gerichtshof der EU verklagt, und die materiellen Pflichten (Freigabe der Risikomaßnahmen durch das Leitungsorgan, 24 Stunden Frühwarnung, 72 Stunden Meldung, Lieferkettenklauseln) werden sich zwischen Entwurf und endgültigem Text kaum noch ändern.
Der praktische Weg ist derselbe wie überall in der EU: Anwendbarkeit unter der Richtlinie prüfen, Registrierung vorbereiten, sobald das spanische Gesetz die zuständige Stelle und das Portal benennt, die vier laufenden Pflichten aufsetzen (Registrierungsdaten aktuell halten, Vorfallsmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Bestehende Leitfäden von CCN und INCIBE sowie die Meldekanäle aus Real Decreto-ley 12/2018 bleiben nutzbar, solange das neue Gesetz noch nicht in Kraft ist.
- Richtlinie (EU) 2022/2555 (NIS 2), Artikel 41 Umsetzungsfrist. EUR-Lex.
- Durchführungsverordnung (EU) 2024/2690 der Kommission.
- Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, Verabschiedung durch den Ministerrat am 14. Januar 2025. Departamento de Seguridad Nacional (dsn.gob.es).
- Europäische Kommission, mit Gründen versehene Stellungnahme an Spanien wegen fehlender vollständiger Umsetzung von NIS 2, 7. Mai 2025; Klage gegen Spanien vor dem Gerichtshof der EU, 8. Juli 2026 (IP/26/1499).
- Real Decreto-ley 12/2018, NIS 1 Umsetzung, Boletín Oficial del Estado.
- CCN-CERT (gegründet 2006), Centro Criptológico Nacional, geregelt im Ley 11/2002 und im Real Decreto 421/2004; Real Decreto 311/2022 zum Esquema Nacional de Seguridad.
- INCIBE-CERT, Instituto Nacional de Ciberseguridad, Ministerio para la Transformación Digital.
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
