NIS2 in Spanien: Stand der Umsetzung und die Fristen.

Kurz zusammengefasst: Das Gesetz zur Koordinierung und Governance der Cybersicherheit ist die Norm, mit der Spanien die NIS2-Richtlinie umsetzt. Im Juli 2026 befindet es sich noch in der parlamentarischen Beratung: Der Ministerrat billigte den Gesetzentwurf am 14. Januar 2025, doch veröffentlicht im BOE (spanisches Amtsblatt) wurde er bislang nicht. Das Gesetz schafft das Nationale Cybersicherheitszentrum als nationale Behörde, verteilt die Aufsicht auf mehrere Ministerien und wird künftig neben dem ENS (spanisches nationales Sicherheitssystem) bestehen. Hier erkläre ich, was es gegenüber der Richtlinie ergänzt, welche Fristen gelten und was Sie in der Zwischenzeit tun sollten.

Spanien hätte die NIS2-Richtlinie bis zum 17. Oktober 2024 umsetzen müssen und hat es nicht getan. Das gewählte Instrument ist das Gesetz zur Koordinierung und Governance der Cybersicherheit, dessen Entwurf der Ministerrat im Januar 2025 billigte und das im Juli 2026 weiterhin auf die parlamentarische Verabschiedung wartet. Das Gesetz begnügt sich nicht damit, die Richtlinie abzuschreiben: Es schafft das Nationale Cybersicherheitszentrum (CNC) als einzige nationale Behörde, verteilt die sektorale Aufsicht auf Innen-, Verteidigungs- und das Ministerium für digitale Transformation, richtet ein Register wesentlicher und wichtiger Einrichtungen ein und legt ein Sanktionsregime mit Geldbußen von bis zu 10 Millionen Euro fest. Solange es nicht veröffentlicht ist, bleibt die geltende erste NIS-Regelung die Referenz – und für den öffentlichen Sektor sowie seine Anbieter das ENS.

Alle paar Wochen schreibt mir jemand mit derselben Frage: „Ist NIS2 in Spanien jetzt schon verpflichtend?" Die kurze Antwort: Die europäische Richtlinie gibt seit 2022 die Richtung vor, aber wer Ihnen konkrete Pflichten auferlegt – Registrierung, Meldung von Vorfällen, persönliche Haftung als Geschäftsführung – ist das spanische Gesetz, das sie umsetzt. Und dieses Gesetz, das zur Koordinierung und Governance der Cybersicherheit, dreht sich seit über einem Jahr im Kreis. Ich erkläre Ihnen, wo es wirklich steht, was es gegenüber der Richtlinie ergänzt und warum abzuwarten, bis es veröffentlicht wird, die schlechteste Strategie ist.

Was ist das Gesetz zur Koordinierung und Governance der Cybersicherheit?

Es ist die Norm, mit der Spanien die Richtlinie (EU) 2022/2555, bekannt als NIS2, in nationales Recht umsetzt und die die erste Richtlinie über die Sicherheit von Netz- und Informationssystemen ablöst. Der Name ist kein Zufall: Er beschreibt die beiden Ziele des Gesetzes. Zum einen die Koordinierung, weil die Zuständigkeiten für Cybersicherheit bisher auf Stellen verteilt waren, die nicht immer miteinander kommunizierten; zum anderen die Governance, also die Festlegung, wer entscheidet, wer überwacht und wer haftet.

Der Gesetzentwurf ist ein gemeinsamer Vorschlag von drei Ministerien – Inneres, Verteidigung sowie digitale Transformation und öffentlicher Dienst –, was bereits die weiter unten beschriebene Machtverteilung erahnen lässt. Im Vergleich zur ersten NIS-Regelung, die sich auf Betreiber wesentlicher Dienste weniger Sektoren konzentrierte, erweitert diese den Anwendungsbereich auf deutlich mehr Organisationen und erfasst erstmals auch viele mittelständische Privatunternehmen, die sich bislang gar nicht als reguliert betrachteten.

Ist das Gesetz schon verabschiedet? Stand der NIS2-Umsetzung in Spanien (Juli 2026)

Nein, es ist noch nicht verabschiedet. Das ist der tatsächliche Stand mit Daten, damit Sie sich nicht auf Schlagzeilen verlassen müssen:

• 17. Oktober 2024: Frist, die die Richtlinie für die vollständige Umsetzung durch alle Mitgliedstaaten setzte. Spanien hielt sie nicht ein.
• 14. Januar 2025: Der Ministerrat billigt den Gesetzentwurf in erster Lesung und wählt das Dringlichkeitsverfahren.
• Mai 2025: Die Europäische Kommission übermittelt Spanien im Rahmen des Vertragsverletzungsverfahrens INFR(2024)0270 eine mit Gründen versehene Stellungnahme, weil die vollständige Umsetzung nicht mitgeteilt wurde.
• Mai 2026: Angesichts des mangelnden Fortschritts geht die Kommission einen Schritt weiter mit einem neuen förmlichen Aufforderungsschreiben – der Vorstufe zur Klage vor dem Gerichtshof der Europäischen Union mit möglichen Geldstrafen.
• Juli 2026: Das Vorhaben durchläuft weiterhin das parlamentarische Verfahren und ist noch nicht im BOE veröffentlicht. Es dürfte im Laufe des Jahres 2026 in Kraft treten, voraussichtlich am Tag nach der Veröffentlichung und ohne lange Übergangsfrist.

Eine juristische Unterscheidung, die oft übersehen wird, sollte klar sein: Solange das Gesetz nicht veröffentlicht ist, sind die konkreten Pflichten aus NIS2 für die meisten Privatunternehmen nicht unmittelbar einklagbar, denn eine Richtlinie benötigt eine Umsetzung, um gegenüber Einzelnen Wirkung zu entfalten. Weiterhin gültig ist der Rahmen der ersten NIS-Richtlinie – seinerzeit umgesetzt durch das Königliche Gesetzesdekret 12/2018 und das Königliche Dekret 43/2021 –, der so lange anwendbar bleibt, bis ihn das neue Gesetz ablöst. Es gibt also keine Regelungslücke, aber einen unmittelbar bevorstehenden Sprung in der Regulierungstiefe.

Was das spanische Gesetz der NIS2-Richtlinie hinzufügt

Eine Richtlinie legt das „Was" fest und überlässt jedem Land das „Wie". Genau da setzt dieses Gesetz an. Die Richtlinie verpflichtet dazu, Behörden zu benennen, Reaktionsteams aufzubauen und zu sanktionieren; das spanische Gesetz konkretisiert diese Bausteine mit Namen:

Der eigentliche Mehrwert des Gesetzes steckt in der rechten Spalte: Ohne sie bleiben die Pflichten aus NIS2 in der Luft hängen, weil unklar ist, wer sie überwacht, wo Sie sich registrieren und was bei Nichteinhaltung passiert.

Nationales Cybersicherheitszentrum: die geplante nationale Behörde

Das Kernstück des Gesetzes ist das Nationale Cybersicherheitszentrum (CNC), das der Regierungsspitze (Presidencia del Gobierno) unterstellt ist. Laut Gesetzentwurf wird es die einzige zuständige nationale Behörde sein, die sämtliche im Gesetz vorgesehene Tätigkeit leitet, vorantreibt und koordiniert, und außerdem als einzige Anlaufstelle gegenüber den europäischen Institutionen sowie als nationale Behörde für das Management von Cybersicherheitskrisen fungiert. Wichtig: Das CNC existiert noch nicht; es wird erst durch dieses künftige Gesetz geschaffen. Bis dahin übernimmt das Amt für Nationale Sicherheit (DSN) diese Aufgaben der Interessenvertretung.

Wer wird welchen Sektor beaufsichtigen?

Das Gesetz bündelt die Aufsicht nicht in einer einzigen Behörde. Es verteilt sie auf drei Ministerien, jedes über seinen spezialisierten Bereich:

• Innenministerium, über die Koordinierungsstelle für Cybersicherheit.
• Verteidigungsministerium, über das Nationale Kryptologiezentrum (CCN), das bereits die technische Referenz des öffentlichen Sektors ist.
• Ministerium für digitale Transformation und den öffentlichen Dienst, über die zuständigen Staatssekretariate.

Solange das Gesetz nicht in Kraft ist, gilt die vorläufige Karte, die bereits funktioniert: Die einzige Anlaufstelle liegt beim Nationalen Sicherheitsrat über das Amt für Nationale Sicherheit, das CCN und sein CCN-CERT decken den öffentlichen Sektor ab, und INCIBE-CERT betreut die Unternehmenslandschaft. Diese Aufteilung der Zuständigkeiten ist zugleich einer der häufigsten Kritikpunkte am Modell: Je mehr Akteure beteiligt sind, desto wichtiger ist, dass die Koordinierung – die dem Gesetz seinen Namen gibt – tatsächlich funktioniert.

Fristen und Sanktionen des Cybersicherheitsgesetzes

Das ist der Teil, der die meisten Fragen aufwirft, weil er unmittelbar den Geldbeutel und die persönliche Verantwortung der Unternehmensleitung betrifft.

Welche Sanktionen sind für Unternehmen vorgesehen?

Das Sanktionsregime folgt den Rahmenwerten der NIS2-Richtlinie, die zwei Kategorien von Einrichtungen unterscheidet:

• Wesentliche Einrichtungen: Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
• Wichtige Einrichtungen: Geldbußen von bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Über die Höhe hinaus gibt es eine grundlegende Änderung: die Verantwortung der Leitungsorgane. Die Regelung macht die Geschäftsführung dafür verantwortlich, Cybersicherheitsmaßnahmen zu genehmigen und zu überwachen, mit der Möglichkeit persönlicher Haftung. Cybersicherheit ist damit keine „IT-Angelegenheit" mehr, sondern eine Pflicht des Führungsgremiums. Einen Überblick, wie das mit DSGVO und DORA zusammenpasst, finden Sie in meinem Leitfaden zum Cybersicherheitsrecht in Spanien.

Was passiert, solange das Gesetz nicht verabschiedet ist?

Zwei Dinge gleichzeitig. Für den spanischen Staat läuft die Uhr: Das Vertragsverletzungsverfahren der Europäischen Kommission kann vor dem Gerichtshof der Europäischen Union enden, mit möglichen Geldstrafen gegen das Königreich Spanien wegen der Verzögerung. Für Unternehmen ist die Unsicherheit kein Grund, sich nicht vorzubereiten, denn wenn das Gesetz veröffentlicht wird, dürfte es fast unmittelbar in Kraft treten, ohne die langen Übergangsfristen, die man von anderen Vorschriften kennt. Wer erst am Tag der Veröffentlichung beginnt, kommt zu spät.

Verhältnis zwischen dem Cybersicherheitsgesetz, NIS2 und dem ENS

Das ist die häufigste Verwechslung, die mir begegnet, deshalb kläre ich sie von Grund auf. Es sind drei Ebenen, die sich ergänzen, keine Alternativen, zwischen denen man wählen müsste:

• NIS2 ist die europäische Richtlinie: der gemeinsame Rahmen, der Spanien zur Gesetzgebung verpflichtet.
• Das Gesetz zur Koordinierung und Governance der Cybersicherheit ist dessen Umsetzung: Es macht aus diesem Rahmen einklagbare Pflichten – sowohl für den öffentlichen Sektor als auch für eine breite Gruppe von Privatunternehmen.
• Das ENS, das spanische nationale Sicherheitssystem, geregelt durch das Königliche Dekret 311/2022, ist der Sicherheitsrahmen des öffentlichen Sektors und der Unternehmen, die ihm Dienstleistungen erbringen.

Die gute Nachricht, falls Sie bereits mit dem ENS arbeiten: Viele seiner Kontrollen überschneiden sich mit den Risikomanagementmaßnahmen, die Artikel 21 der NIS2-Richtlinie verlangt (Risikoanalyse, Vorfallmanagement, Kontinuität, Sicherheit der Lieferkette, Verschlüsselung, Zugriffskontrolle). Es ist keine automatische Gleichwertigkeit, aber ein an das ENS angepasstes System nimmt Ihnen einen guten Teil des Wegs für NIS2 ab. Wenn Sie Anbieter der Verwaltung sind, betrifft Sie dieses Nebeneinander besonders, denn Ihre Konformität mit dem ENS deckt bereits Anforderungen ab, die das neue Gesetz verschärfen wird. Und falls Sie im Finanzsektor tätig sind: Dort gilt zusätzlich die DORA-Verordnung mit eigenen Regeln zur operationalen Resilienz.

Was Ihr Unternehmen tun sollte, während das Gesetz noch verabschiedet wird

Sich jetzt schon vorzubereiten ist kein sportlicher Vorgriff, sondern die einzige Möglichkeit, rechtzeitig bereit zu sein, wenn der Text veröffentlicht wird. Das sind die empfohlenen Schritte, in dieser Reihenfolge:

• Prüfen Sie, ob Sie betroffen sind. Der erste Filter ist zu wissen, ob Sie je nach Sektor und Größe als wesentliche oder wichtige Einrichtung gelten. Ein kurzer Test, ob NIS2 Sie verpflichtet, klärt die Frage in wenigen Minuten.
• Führen Sie eine ernsthafte Risikoanalyse durch. Sie ist die Grundlage von allem Weiteren und der erste Nachweis, den man von Ihnen verlangen wird. Wenn Sie nicht wissen, wo Sie anfangen sollen, ordnet ein Sicherheits-Masterplan die Prioritäten, ohne unnötig Ressourcen zu binden.
• Richten Sie Ihr Protokoll zur Meldung von Vorfällen ein. NIS2 arbeitet mit anspruchsvollen Fristen – Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht innerhalb eines Monats –, deshalb brauchen Sie den internen Ablauf vorher definiert, nicht erst während der Krise.
• Prüfen Sie Ihre Lieferkette. Ihre technologischen Anbieter fließen in Ihre Risikoanalyse ein; halten Sie deren Sicherheitszusagen schriftlich fest.
• Binden Sie die Unternehmensleitung ein. Da die Verantwortung bei den Leitungsorganen liegt, muss Cybersicherheit auf der Agenda der Geschäftsführung stehen, mit Budget und einer verantwortlichen Person.
• Nutzen Sie, was Sie bereits haben. Wenn Sie über das ENS oder ISO 27001 verfügen, verwenden Sie diese Kontrollen weiter: Sie sind der zuverlässigste Abkürzungsweg zu NIS2.

Fazit: ein bevorstehendes Gesetz, auf das man nicht warten sollte

Das Gesetz zur Koordinierung und Governance der Cybersicherheit hängt schon zu lange in der Schwebe, aber das macht es nicht weniger ernst: Wenn es verabschiedet wird, bringt es ein nationales Register, eine Behörde mit Sanktionsbefugnis und persönliche Verantwortung für die Geschäftsführung mit sich – und das mit wenig Spielraum zur Anpassung. Das Verfahren verzögert sich; die Bedrohungen nicht. Die Unternehmen, die diese Zeit nutzen, um ihre Risiken und Verfahren zu ordnen, werden diejenigen sein, die am ersten Tag konform sind; wer auf das BOE wartet, wird hinterherlaufen.

Wenn Sie nicht sicher sind, ob Ihr Unternehmen in den Anwendungsbereich von NIS2 fällt oder womit Sie anfangen sollten, schildern Sie mir Ihren Fall – unverbindlich, gemeinsam finden wir eine Antwort. Und wenn Sie einen ganzheitlichen Ansatz bevorzugen, lernen Sie meine Cybersicherheitsberatung für Unternehmen kennen, die die Vorschriften erfüllen wollen, ohne überzudimensionieren.

Häufig gestellte Fragen zum Gesetz zur Koordinierung und Governance der Cybersicherheit

Was ist das Gesetz zur Koordinierung und Governance der Cybersicherheit?

Es ist die Norm, mit der Spanien die Richtlinie (EU) 2022/2555, bekannt als NIS2, in nationales Recht umsetzt und die die erste Richtlinie über die Sicherheit von Netz- und Informationssystemen ablöst. Der Name ist kein Zufall: Er beschreibt die beiden Ziele des Gesetzes. Zum einen die Koordinierung, weil die Zuständigkeiten für Cybersicherheit bisher auf Stellen verteilt waren, die nicht immer miteinander kommunizierten; zum anderen die Governance, also die Festlegung, wer entscheidet, wer überwacht und wer haftet.

Wer wird welchen Sektor beaufsichtigen?

Das Gesetz bündelt die Aufsicht nicht in einer einzigen Behörde, sondern verteilt sie auf drei Ministerien, jedes über seinen spezialisierten Bereich: das Innenministerium über die Koordinierungsstelle für Cybersicherheit, das Verteidigungsministerium über das Nationale Kryptologiezentrum (CCN) und das Ministerium für digitale Transformation und den öffentlichen Dienst über die zuständigen Staatssekretariate.

Welche Sanktionen sind für Unternehmen vorgesehen?

Das Sanktionsregime folgt den Rahmenwerten der NIS2-Richtlinie, die zwei Kategorien von Einrichtungen unterscheidet: Für wesentliche Einrichtungen drohen Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist; für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes.

Was passiert, solange das Gesetz nicht verabschiedet ist?

Zwei Dinge gleichzeitig. Für den spanischen Staat läuft die Uhr: Das Vertragsverletzungsverfahren der Europäischen Kommission kann vor dem Gerichtshof der Europäischen Union enden, mit möglichen Geldstrafen gegen das Königreich Spanien wegen der Verzögerung. Für Unternehmen ist die Unsicherheit kein Grund, sich nicht vorzubereiten, denn wenn das Gesetz veröffentlicht wird, dürfte es fast unmittelbar in Kraft treten, ohne die langen Übergangsfristen, die man von anderen Vorschriften kennt. Wer erst am Tag der Veröffentlichung beginnt, kommt zu spät.

Quellen

• Richtlinie (EU) 2022/2555 (NIS2) · EUR-Lex — offizieller Richtlinientext.
• Königliches Dekret 311/2022 (ENS) · BOE.
• Amt für Nationale Sicherheit · Regierungspräsidium.
• La Moncloa · Mitteilungen des Ministerrats.
• CCN-CERT · Nationales Kryptologiezentrum.
• INCIBE · Nationales Institut für Cybersicherheit.

Inhalt erstellt von Ángel Ortega Castro für angelortegacastro.com. Informativer Beitrag; da sich das Gesetz noch in der parlamentarischen Beratung befindet, prüfen Sie vor endgültigen Entscheidungen stets den aktuellen Verfahrensstand und den späteren Text im BOE.