Estado da NIS 2 em Espanha
O que a diretiva exige, em que ponto está a transposição espanhola e como o CCN e o INCIBE se encaixam entretanto.
Visão geral
A diretiva NIS 2 é o nível da UE. Vincula todos os Estados-Membros, incluindo Espanha, com um patamar único de cibersegurança para as entidades essenciais e importantes. Espanha tem de inscrever esse patamar no direito espanhol e operar um regime de supervisão ao seu abrigo.
Espanha falhou o prazo de transposição de 17 de outubro de 2024 fixado no artigo 41.o da NIS 2. O Conselho de Ministros aprovou um Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad em 14 de janeiro de 2025, mas, em meados de 2026, o projeto continua no procedimento legislativo e não foi publicado no Boletín Oficial del Estado.
Até o projeto se tornar lei, o anterior Real Decreto-ley 12/2018 (a transposição da NIS 1) mantém-se aplicável, e a supervisão continua repartida entre o Centro Criptológico Nacional (CCN) e o Instituto Nacional de Ciberseguridad (INCIBE), com autoridades setoriais para as finanças e outros setores regulados. A Comissão Europeia enviou um parecer fundamentado em 7 de maio de 2025 sobre a transposição em falta.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança a nível da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para as entidades essenciais e importantes. A versão espanhola autêntica está publicada no EUR-Lex.
Aplicação da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável em Espanha sem transposição nacional.
Transposição espanhola (em curso)
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
Aprovado pelo Conselho de Ministros em 14 de janeiro de 2025. O texto cria um Centro Nacional de Ciberseguridad sob a Presidencia del Gobierno como autoridade competente nacional única proposta. O projeto continua no procedimento legislativo; até ser promulgado, o anterior Real Decreto-ley 12/2018 (transposição da NIS 1) continua a aplicar-se.
Ley de Coordinación y Gobernanza de la Ciberseguridad (projeto)
O projeto inscreve as obrigações da NIS 2 no direito espanhol, define as entidades essenciais e importantes, fixa os poderes de supervisão, os deveres de comunicação de incidentes e as sanções. Até a lei ser publicada no BOE, a própria diretiva é a referência operativa para as entidades que operam em Espanha, a par do Real Decreto-ley 12/2018 existente.
Proposto Centro Nacional de Ciberseguridad
O projeto propõe um Centro Nacional de Ciberseguridad sob a Presidencia del Gobierno como autoridade competente nacional única e ponto de contacto da UE. No entretanto, a supervisão está repartida: o CCN para o setor público e o âmbito do Esquema Nacional de Seguridad, o INCIBE para o setor privado e os cidadãos, com reguladores setoriais competentes nas suas próprias áreas.
Prazo do artigo 41.o falhado
O artigo 41.o da NIS 2 fixou o prazo de transposição em 17 de outubro de 2024. Espanha não cumpriu esse prazo. A Comissão Europeia enviou a Espanha um parecer fundamentado em 7 de maio de 2025, que é a segunda fase formal de um procedimento de infração antes do reenvio para o Tribunal de Justiça da UE.
A lei local aplica-se dentro de Espanha
As operações em território espanhol seguem a transposição espanhola assim que esta for promulgada. Um Geschäftsführer alemão que gere uma filial espanhola lerá a eventual Ley de Coordinación y Gobernanza de la Ciberseguridad para essa filial, não o BSIG alemão. No período intercalar, o Real Decreto-ley 12/2018 mais a própria diretiva mantêm-se como referência.
Espanha não pode descer abaixo do patamar da UE
A diretiva é um instrumento de harmonização mínima. O facto de a transposição espanhola estar atrasada não baixa o patamar. Os deveres das entidades essenciais e importantes, os prazos de comunicação de incidentes e a responsabilidade do órgão de administração mantêm-se ancorados na diretiva e na jurisprudência da UE sobre o efeito direto de diretivas não transpostas.
INCIBE e INCIBE-CERT
O Instituto Nacional de Ciberseguridad, sob o Ministério da Transformação Digital. O INCIBE-CERT é o centro de referência de resposta a incidentes para os cidadãos e as entidades de direito privado. Para os incidentes que afetam operadores críticos do setor privado, é operado conjuntamente com o gabinete de coordenação de cibersegurança do Ministério do Interior.
CCN e CCN-CERT
O Centro Criptológico Nacional, sob o Centro Nacional de Inteligencia (CNI). O CCN-CERT é o CERT governamental para o setor público, criado em 2006 ao abrigo da Lei 11/2002, do Real Decreto 421/2004 e do Real Decreto 311/2022, que regula o Esquema Nacional de Seguridad (ENS).
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades espanholas; o CCN, o INCIBE e as autoridades setoriais são-no, com o proposto Centro Nacional de Ciberseguridad a consolidar o papel assim que a lei for promulgada.
Se a Alemanha tem o BSIG, Espanha tem uma lei semelhante em vigor.
A própria Alemanha ainda não promulgou o NIS2UmsuCG e está na mesma posição de atraso. Espanha está mais avançada no lado do projeto (o Anteproyecto passou o Conselho de Ministros em 14 de janeiro de 2025), mas o BOE ainda não publicou um texto promulgado. As filiais espanholas não podem invocar uma lei nacional finalizada e têm de ler a diretiva diretamente mais o anterior Real Decreto-ley 12/2018.
Não há lei espanhola em vigor, por isso ainda não há nada a fazer.
A própria diretiva produz efeitos a nível da UE em 18 de outubro de 2024 e a jurisprudência da UE confere às diretivas não transpostas efeito direto parcial contra o Estado. O prazo de 17 de abril de 2025 para os Estados-Membros poderem identificar as entidades essenciais e importantes é vinculativo para Espanha independentemente do projeto. Os operadores devem estar a preparar verificações de âmbito, processos de comunicação de incidentes e a aprovação do órgão de administração agora, não a esperar pelo BOE.
O nosso regulador setorial vai dizer-nos o que fazer.
Alguns setores têm um regulador claro (finanças com o Banco de España e a DORA como lex specialis, energia com a CNMC). Muitos ainda não têm uma linha única de competência porque o projeto de lei não terminou de definir a arquitetura de supervisão. As obrigações da diretiva aplicam-se independentemente de qual o organismo nacional que acabar por as executar.
A maioria dos operadores espanhóis de média dimensão que vemos trata a NIS 2 como um problema que pode adiar até o Boletín publicar a lei final. É uma aposta cara. O prazo de 17 de outubro de 2024 da diretiva já passou, a Comissão já avançou para a fase de parecer fundamentado em 7 de maio de 2025, e as obrigações substantivas (aprovação das medidas de risco pelo órgão de administração, aviso prévio em 24h, notificação em 72h, cláusulas da cadeia de fornecimento) não mudam entre o projeto e qualquer texto final plausível.
O passo prático é o mesmo que em todo o resto da UE: confirmar o âmbito ao abrigo da diretiva, preparar o registo assim que o portal do Centro Nacional de Ciberseguridad for anunciado, estabelecer as quatro obrigações contínuas (manutenção do registo, comunicação de incidentes, gestão do risco da cadeia de fornecimento, supervisão pelo órgão de administração) e documentar o mínimo. A orientação existente do CCN e do INCIBE, mais os canais de comunicação do Real Decreto-ley 12/2018, mantêm-se utilizáveis enquanto a nova lei está pendente.
Construímos o registo de obrigações da NIS 2 sobre o nível da UE, não sobre qualquer transposição nacional isolada. A mesma lista de verificação funciona para uma filial espanhola que remete para a eventual Ley de Coordinación y Gobernanza de la Ciberseguridad, uma sociedade-mãe alemã que utiliza o BSIG e uma congénere neerlandesa que utiliza a Cyberbeveiligingswet. As referências aos artigos mudam por idioma; as obrigações substantivas não.
Para o âmbito espanhol, começa pela verificação de aplicabilidade face aos anexos I e II da diretiva, depois passa à cadência de comunicação de incidentes, às cláusulas da cadeia de fornecimento e à aprovação do órgão de administração. Onde o CCN, o INCIBE ou os reguladores setoriais publicam orientação, referenciamo-la; não a duplicamos.
- Diretiva (UE) 2022/2555 (NIS 2), prazo de transposição do artigo 41.o. EUR-Lex.
- Regulamento de Execução (UE) 2024/2690 da Comissão.
- Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprovado pelo Conselho de Ministros em 14 de janeiro de 2025. Departamento de Seguridad Nacional (dsn.gob.es).
- Comissão Europeia, parecer fundamentado a Espanha por não notificação da transposição completa da NIS 2, 7 de maio de 2025.
- Real Decreto-ley 12/2018, transposição da NIS 1, Boletín Oficial del Estado.
- CCN-CERT. Centro Criptológico Nacional, fundado em 2006 ao abrigo da Ley 11/2002 e do Real Decreto 421/2004; Real Decreto 311/2022 sobre o Esquema Nacional de Seguridad.
- INCIBE-CERT. Instituto Nacional de Ciberseguridad, Ministerio para la Transformación Digital.