Stato della NIS 2 in Spagna
Cosa richiede la direttiva, a che punto è il recepimento spagnolo e come CCN e INCIBE si inseriscono nel frattempo.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, inclusa la Spagna, con un unico livello minimo di cybersicurezza per i soggetti essenziali e importanti. La Spagna deve inserire quel livello minimo nel diritto spagnolo e gestire un regime di vigilanza in base a esso.
La Spagna ha mancato il termine di recepimento del 17 ottobre 2024 fissato all'articolo 41 della NIS 2. Il Consiglio dei Ministri ha approvato un Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad il 14 gennaio 2025, ma a metà 2026 il disegno di legge è ancora nell'iter legislativo e non è stato pubblicato nel Boletín Oficial del Estado.
Finché il disegno di legge non diventa legge, continua ad applicarsi il precedente Real Decreto-ley 12/2018 (il recepimento della NIS 1), e la vigilanza resta suddivisa tra il Centro Crittologico Nazionale (CCN) e l'Istituto Nazionale di Cybersicurezza (INCIBE), con autorità settoriali per la finanza e altri settori regolamentati. La Commissione europea ha inviato un parere motivato il 7 maggio 2025 per il mancato recepimento.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva sulla cybersicurezza a livello UE. Fissa gli obblighi che ogni Stato membro deve recepire, inclusi i test di dimensione e settore per i soggetti essenziali e importanti. La versione spagnola autentica è pubblicata su EUR-Lex.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Spagna senza recepimento nazionale.
Recepimento spagnolo (in corso)
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
Approvato dal Consiglio dei Ministri il 14 gennaio 2025. Il testo crea un Centro Nacional de Ciberseguridad incardinato presso la Presidencia del Gobierno come autorità nazionale competente unica proposta. Il disegno di legge è ancora nell'iter legislativo; finché non sarà promulgato, continua ad applicarsi il precedente Real Decreto-ley 12/2018 (recepimento della NIS 1).
Ley de Coordinación y Gobernanza de la Ciberseguridad (bozza)
La bozza trasferisce gli obblighi della NIS 2 nel diritto spagnolo, definisce i soggetti essenziali e importanti, fissa i poteri di vigilanza, gli obblighi di segnalazione di incidenti e le sanzioni. Finché la legge non è pubblicata nel BOE, la direttiva stessa è il riferimento operativo per le entità che operano in Spagna accanto all'esistente Real Decreto-ley 12/2018.
Proposto Centro Nacional de Ciberseguridad
La bozza propone un Centro Nacional de Ciberseguridad incardinato presso la Presidencia del Gobierno come autorità nazionale competente unica e punto di contatto UE. Nel frattempo, la vigilanza è suddivisa: CCN per il settore pubblico e l'ambito dell'Esquema Nacional de Seguridad, INCIBE per il settore privato e i cittadini, con le autorità di regolamentazione settoriali competenti nei propri ambiti.
Termine dell'articolo 41 mancato
L'articolo 41 della NIS 2 ha fissato il termine di recepimento al 17 ottobre 2024. La Spagna non ha rispettato quel termine. La Commissione europea ha inviato alla Spagna un parere motivato il 7 maggio 2025, che è la seconda fase formale di una procedura di infrazione prima del deferimento alla Corte di giustizia dell'UE.
Il diritto locale si applica all'interno della Spagna
Le operazioni sul territorio spagnolo seguono il recepimento spagnolo una volta promulgato. Un Geschäftsführer tedesco che gestisce una controllata spagnola leggerà l'eventuale Ley de Coordinación y Gobernanza de la Ciberseguridad per quella controllata, non il BSIG tedesco. Nel periodo intermedio, il Real Decreto-ley 12/2018 più la direttiva stessa restano il riferimento.
La Spagna non può scendere al di sotto del livello minimo UE
La direttiva è uno strumento di armonizzazione minima. Il fatto che il recepimento spagnolo sia ritardato non abbassa il livello minimo. Gli obblighi dei soggetti essenziali e importanti, i termini di segnalazione di incidenti e la responsabilità dell'organo di gestione restano ancorati alla direttiva e alla giurisprudenza UE sull'effetto diretto delle direttive non attuate.
INCIBE e INCIBE-CERT
L'Instituto Nacional de Ciberseguridad, incardinato presso il Ministero della Trasformazione Digitale. INCIBE-CERT è il centro di riferimento per la risposta agli incidenti per i cittadini e le entità di diritto privato. Per gli incidenti che riguardano gli operatori critici del settore privato è gestito congiuntamente con l'ufficio di coordinamento della cybersicurezza del Ministero dell'Interno.
CCN e CCN-CERT
Il Centro Criptológico Nacional, incardinato presso il Centro Nacional de Inteligencia (CNI). CCN-CERT è il CERT governativo per il settore pubblico, istituito nel 2006 ai sensi della Ley 11/2002, del Real Decreto 421/2004 e del Real Decreto 311/2022, che regolamenta l'Esquema Nacional de Seguridad (ENS).
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica orientamenti, gestisce il database europeo delle vulnerabilità e sostiene il coordinamento transfrontaliero. Non è un'autorità di vigilanza per le entità spagnole; lo sono CCN, INCIBE e le autorità settoriali, con il proposto Centro Nacional de Ciberseguridad a consolidare il ruolo una volta promulgata la legge.
Se la Germania ha il BSIG, la Spagna ha una legge analoga in vigore.
La Germania stessa non ha ancora promulgato il NIS2UmsuCG ed è nella stessa posizione di ritardo. La Spagna è più avanti sul fronte della bozza (l'Anteproyecto ha superato il Consiglio dei Ministri il 14 gennaio 2025) ma il BOE non ha ancora pubblicato un testo promulgato. Le controllate spagnole non possono fare riferimento a una legge nazionale definitiva e devono leggere direttamente la direttiva più il precedente Real Decreto-ley 12/2018.
Non c'è alcuna legge spagnola in vigore, quindi non c'è ancora nulla da fare.
La direttiva stessa ha effetto a livello UE dal 18 ottobre 2024 e la giurisprudenza UE attribuisce alle direttive non attuate un effetto diretto parziale nei confronti dello Stato. Il termine del 17 aprile 2025 entro cui gli Stati membri devono essere in grado di individuare i soggetti essenziali e importanti è vincolante per la Spagna indipendentemente dal disegno di legge. Gli operatori dovrebbero preparare ora le verifiche dell'ambito, i processi di segnalazione di incidenti e l'approvazione dell'organo di gestione, non aspettare il BOE.
La nostra autorità di regolamentazione settoriale ci dirà cosa fare.
Alcuni settori hanno un'autorità di regolamentazione chiara (finanza con la Banco de España e DORA come lex specialis, energia con la CNMC). Molti non hanno ancora una linea di riferimento unica perché la bozza di legge non ha finito di definire l'architettura di vigilanza. Gli obblighi della direttiva si applicano indipendentemente da quale organismo nazionale finirà per applicarli.
La maggior parte degli operatori spagnoli di fascia media che vediamo tratta la NIS 2 come un problema rinviabile fino a quando il Boletín pubblicherà la legge definitiva. È una scommessa costosa. Il termine del 17 ottobre 2024 della direttiva è già passato, la Commissione è già passata alla fase del parere motivato il 7 maggio 2025, e gli obblighi sostanziali (approvazione delle misure di rischio da parte dell'organo di gestione, preallarme di 24h, notifica di 72h, clausole della catena di approvvigionamento) non cambiano tra la bozza e qualsiasi testo definitivo plausibile.
La mossa pratica è la stessa che ovunque nell'UE: confermare l'ambito ai sensi della direttiva, prepararsi alla registrazione una volta annunciato il portale del Centro Nacional de Ciberseguridad, impostare i quattro obblighi continui (mantenimento della registrazione, segnalazione di incidenti, gestione del rischio della catena di approvvigionamento, sorveglianza dell'organo di gestione) e documentare il minimo. Gli orientamenti esistenti di CCN e INCIBE più i canali di segnalazione del Real Decreto-ley 12/2018 restano utilizzabili in attesa della nuova legge.
Costruiamo il registro degli obblighi NIS 2 sul livello UE, non su un singolo recepimento nazionale. La stessa checklist funziona per una controllata spagnola che fa riferimento all'eventuale Ley de Coordinación y Gobernanza de la Ciberseguridad, una società madre tedesca che usa il BSIG e una società sorella olandese che usa la Cyberbeveiligingswet. I riferimenti agli articoli cambiano per locale; gli obblighi sostanziali no.
Per l'ambito spagnolo si parte dalla verifica di applicabilità rispetto agli allegati I e II della direttiva, poi si passa alla cadenza di segnalazione di incidenti, alle clausole della catena di approvvigionamento e all'approvazione dell'organo di gestione. Laddove CCN, INCIBE o le autorità di regolamentazione settoriali pubblicano orientamenti, vi facciamo riferimento; non li duplichiamo.
- Direttiva (UE) 2022/2555 (NIS 2), articolo 41 termine di recepimento. EUR-Lex.
- Regolamento di esecuzione (UE) 2024/2690 della Commissione.
- Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, approvato dal Consiglio dei Ministri il 14 gennaio 2025. Departamento de Seguridad Nacional (dsn.gob.es).
- Commissione europea, parere motivato alla Spagna per la mancata notifica del recepimento completo della NIS 2, 7 maggio 2025.
- Real Decreto-ley 12/2018, recepimento della NIS 1, Boletín Oficial del Estado.
- CCN-CERT: Centro Criptológico Nacional, fondato nel 2006 ai sensi della Ley 11/2002 e del Real Decreto 421/2004; Real Decreto 311/2022 sull'Esquema Nacional de Seguridad.
- INCIBE-CERT: Instituto Nacional de Ciberseguridad, Ministerio para la Transformación Digital.