En bref : la Loi de Coordination et de Gouvernance de la Cybersécurité est la norme par laquelle l'Espagne transpose la Directive NIS2. En juillet 2026, elle est toujours en cours d'examen : le Conseil des ministres a approuvé l'avant-projet le 14 janvier 2025, mais il n'a toujours pas été publié au BOE (Journal officiel espagnol). Elle crée le Centre national de cybersécurité (Centro Nacional de Ciberseguridad, CNC) comme autorité nationale, répartit la supervision entre plusieurs ministères et coexistera avec l'ENS (Schéma national de sécurité espagnol).

L'Espagne devait transposer la Directive NIS2 avant le 17 octobre 2024 et ne l'a pas fait. L'instrument choisi est la Loi de Coordination et de Gouvernance de la Cybersécurité, dont l'avant-projet a été approuvé par le Conseil des ministres en janvier 2025 et qui, en juillet 2026, reste en attente d'adoption parlementaire. La loi ne se contente pas de recopier la directive : elle crée le Centre national de cybersécurité comme autorité nationale unique, répartit la supervision sectorielle entre l'Intérieur, la Défense et la Transformation numérique, met en place un registre des entités essentielles et importantes, et fixe un régime de sanctions pouvant atteindre 10 millions d'euros d'amende. Tant qu'elle n'est pas publiée, la référence reste la réglementation NIS1 en vigueur et, pour le secteur public et ses prestataires, l'ENS.

Toutes les quelques semaines, quelqu'un m'écrit avec la même question : « la NIS2 est-elle déjà obligatoire en Espagne ? ». La réponse courte est que la directive européenne donne le cap depuis 2022, mais que ce qui vous imposera des obligations concrètes — vous enregistrer, notifier les incidents, engager votre responsabilité personnelle si vous êtes dirigeant — c'est la loi espagnole qui la transpose. Et cette loi, celle de Coordination et de Gouvernance de la Cybersécurité, traîne depuis plus d'un an. Je vous explique où elle en est réellement, ce qu'elle ajoute à la directive et pourquoi attendre sagement sa publication est la pire des stratégies.

Qu'est-ce que la Loi de Coordination et de Gouvernance de la Cybersécurité ?

C'est la norme par laquelle l'Espagne intègre dans son ordre juridique la Directive (UE) 2022/2555, dite NIS2, qui remplace la première directive sur la sécurité des réseaux et des systèmes d'information. Le nom n'est pas anodin : il décrit ses deux objectifs. D'une part, la coordination, car jusqu'ici les compétences en matière de cybersécurité étaient réparties entre des organismes qui ne dialoguaient pas toujours entre eux ; d'autre part, la gouvernance, c'est-à-dire définir qui commande, qui supervise et qui répond de ses actes.

L'avant-projet est une proposition conjointe de trois ministères — l'Intérieur, la Défense et la Transformation numérique et de la Fonction publique —, ce qui laisse déjà présager le partage de pouvoir que vous verrez plus bas. Face à la NIS2 précédente, centrée sur les opérateurs de services essentiels de secteurs très spécifiques, celle-ci élargit le périmètre à beaucoup plus d'organisations et, pour la première fois, touche pleinement des moyennes entreprises du secteur privé qui, auparavant, ne se considéraient même pas concernées par la réglementation.

La loi est-elle adoptée ? État de la transposition de la NIS2 en Espagne (juillet 2026)

Non, elle n'est pas encore adoptée. Voici l'état réel, avec les dates, pour ne pas se fier aux titres de presse :

  • 17 octobre 2024 : date limite fixée par la directive pour que tous les États membres l'aient transposée. L'Espagne ne l'a pas respectée.
  • 14 janvier 2025 : le Conseil des ministres approuve l'avant-projet de loi en première lecture et opte pour la procédure d'urgence.
  • Mai 2025 : la Commission européenne adresse à l'Espagne un avis motivé pour défaut de notification de la transposition complète, dans le cadre de la procédure d'infraction INFR(2024)0270.
  • Mai 2026 : face à l'absence d'avancée, la Commission franchit une étape supplémentaire avec une nouvelle mise en demeure formelle, prélude à un possible renvoi de l'État devant la Cour de justice de l'UE, avec des amendes financières à la clé.
  • Juillet 2026 : le projet poursuit son examen parlementaire et n'a toujours pas été publié au BOE. Les prévisions tablent sur une entrée en vigueur courant 2026, vraisemblablement dès le lendemain de sa publication et sans longue période transitoire.

Il convient d'avoir à l'esprit une distinction juridique souvent négligée : tant que la loi n'est pas publiée, les obligations concrètes de la NIS2 ne sont pas directement exigibles pour la majorité des entreprises privées, car une directive nécessite une transposition pour produire des effets à l'égard des particuliers. Ce qui reste en vigueur, c'est le cadre de la première directive NIS — transposée en son temps par le Décret-loi royal 12/2018 et le Décret royal 43/2021 —, qui continuera de s'appliquer jusqu'à ce que la nouvelle loi la remplace. Autrement dit : il n'y a pas de vide juridique, mais un changement d'échelle imminent.

Ce que la loi espagnole ajoute à la Directive NIS2

Une directive fixe le « quoi » et laisse à chaque pays le « comment ». C'est précisément là que cette loi apporte sa contribution. La directive impose de désigner des autorités, de mettre en place des équipes de réponse et de sanctionner ; la loi espagnole concrétise ces éléments avec des noms précis :

Ce qu'exige la Directive NIS2Comment la loi espagnole le concrétise
Désigner une ou plusieurs autorités nationales compétentesCrée le Centre national de cybersécurité (CNC) comme autorité nationale unique et point de contact
Superviser le respect des règles par secteurRépartit la supervision entre l'Intérieur, la Défense et la Transformation numérique
Identifier les entités essentielles et importantesÉtablit un registre national des entités soumises à la loi
Équipes de réponse aux incidents (CSIRT)S'appuie sur les CSIRT existants : CCN-CERT et INCIBE-CERT
Régime de sanctions « effectif et dissuasif »Fixe des montants précis et la responsabilité des organes de direction
Gestion de crise en matière de cybersécuritéAttribue au CNC la fonction d'autorité nationale de gestion de crise

La véritable valeur de la loi se trouve dans cette colonne de droite : sans elle, les obligations de la NIS2 restent en suspens, faute de savoir qui les surveille, où s'enregistrer et ce qu'il advient en cas de non-respect.

Centre national de cybersécurité : l'autorité nationale prévue

L'élément central de la loi est le Centre national de cybersécurité (CNC), rattaché à la Présidence du gouvernement. Selon l'avant-projet, il sera l'autorité nationale compétente unique chargée de diriger, d'impulser et de coordonner l'ensemble de l'activité prévue par la loi, en plus d'agir comme point de contact unique avec les institutions européennes et comme autorité nationale de gestion de crise en matière de cybersécurité. Point important : le CNC n'existe pas encore ; c'est cette future loi qui le crée. En attendant, ces fonctions d'interlocution sont assumées par le Département de la Sécurité nationale (Departamento de Seguridad Nacional).

Qui supervisera chaque secteur ?

La loi ne concentre pas toute la surveillance entre les mains d'un seul organisme. Elle répartit la supervision sectorielle entre trois ministères, chacun agissant via son bras spécialisé :

  • Ministère de l'Intérieur, par l'intermédiaire du Bureau de Coordination de la Cybersécurité.
  • Ministère de la Défense, via le Centre National Cryptologique (CCN), qui est déjà la référence technique du secteur public.
  • Ministère de la Transformation numérique et de la Fonction publique, via les secrétariats d'État compétents.

Tant que la loi n'est pas en vigueur, la carte provisoire est celle qui fonctionne déjà : le point de contact unique revient au Conseil de Sécurité nationale via le Département de la Sécurité nationale, le CCN et son CCN-CERT couvrent le secteur public, et INCIBE-CERT s'occupe du tissu entrepreneurial. Cette répartition des compétences est d'ailleurs l'une des critiques habituelles adressées au modèle : plus il y a d'acteurs, plus il importe que la coordination — qui donne son nom à la loi — fonctionne réellement.

Délais et sanctions de la loi sur la cybersécurité

C'est la partie qui suscite le plus de questions, car elle touche directement au portefeuille et à la responsabilité personnelle du dirigeant de l'entreprise.

Quelles sanctions sont prévues pour les entreprises ?

Le régime de sanctions suit les fourchettes fixées par la NIS2, qui distingue deux catégories d'entités :

  • Entités essentielles : amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu.
  • Entités importantes : amendes pouvant atteindre 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu.

Au-delà du montant, il y a un changement de fond : la responsabilité des organes de direction. La réglementation rend les administrateurs responsables de l'approbation et de la supervision des mesures de cybersécurité, avec une possible responsabilité personnelle à la clé. La cybersécurité cesse d'être « une affaire d'informaticiens » pour devenir une obligation du conseil d'administration. Si vous voulez une vue d'ensemble de la façon dont tout cela s'articule avec le RGPD et DORA, vous la trouverez dans mon guide de la réglementation de cybersécurité en Espagne.

Que se passe-t-il tant que la loi n'est pas adoptée ?

Deux choses se produisent en parallèle. Pour l'État, l'horloge tourne : la procédure d'infraction de la Commission européenne peut aboutir devant la Cour de justice de l'UE, avec des amendes infligées au Royaume d'Espagne pour ce retard. Pour les entreprises, l'incertitude n'est pas une excuse pour ne pas se préparer, car lorsque la loi sera publiée, elle devrait entrer en vigueur presque immédiatement, sans les années de marge auxquelles nous a habitués d'autres réglementations. Qui commencera le jour de la publication arrivera en retard.

Relation entre la loi sur la cybersécurité, la NIS2 et l'ENS

C'est la confusion la plus fréquente que je rencontre, alors autant la clarifier à la racine. Ce sont trois strates qui se complètent, et non des alternatives entre lesquelles choisir :

  • La NIS2 est la directive européenne : le cadre commun qui oblige l'Espagne à légiférer.
  • La Loi de Coordination et de Gouvernance de la Cybersécurité en est la transposition : elle convertit ce cadre en obligations exigibles ici, tant pour le secteur public que pour un large ensemble d'entreprises privées.
  • L'ENS, le Schéma national de sécurité espagnol régi par le Décret royal 311/2022, est le cadre de sécurité du secteur public et des entreprises qui lui fournissent des services.

La bonne nouvelle si vous travaillez déjà avec l'ENS : bon nombre de ses contrôles recoupent les mesures de gestion des risques exigées par l'article 21 de la NIS2 (analyse des risques, gestion des incidents, continuité, sécurité de la chaîne d'approvisionnement, chiffrement, contrôle des accès). Ce n'est pas une équivalence automatique, mais un système conforme à l'ENS vous fait déjà parcourir une bonne partie du chemin vers la NIS2. Si vous êtes prestataire de l'Administration, cette coexistence vous concerne particulièrement, car votre conformité à l'ENS couvre déjà des exigences que la nouvelle loi viendra renforcer. Et si vous opérez dans le secteur financier, n'oubliez pas que c'est en plus le règlement DORA qui s'applique, avec ses propres règles de résilience opérationnelle.

Ce que doit faire votre entreprise en attendant l'adoption de la loi

Se préparer dès maintenant n'est pas de l'anticipation gratuite : c'est la seule façon d'être prêt à temps lorsque le texte sera publié. Voici les étapes que je recommande, dans l'ordre :

  • Vérifiez si vous êtes concerné. Le premier filtre consiste à savoir si vous serez une entité essentielle ou importante selon votre secteur et votre taille. Je vous ai préparé un test rapide pour savoir si la NIS2 vous oblige, qui résout le doute en quelques minutes.
  • Réalisez une analyse des risques sérieuse. C'est la base de tout le reste et la première preuve qu'on vous demandera. Si vous ne savez pas par où commencer, un plan directeur de sécurité permet de hiérarchiser les priorités sans dépenser inutilement.
  • Mettez en place votre protocole de notification des incidents. La NIS2 impose des délais exigeants — alerte précoce sous 24 heures, notification sous 72 heures et rapport final sous un mois —, vous avez donc besoin d'un circuit interne défini en amont, pas pendant la crise.
  • Passez en revue votre chaîne d'approvisionnement. Vos prestataires technologiques entrent dans votre analyse de risques ; il convient d'avoir leurs engagements de sécurité par écrit.
  • Impliquez la direction. La responsabilité incombant aux organes de gouvernance, la cybersécurité doit figurer à l'ordre du jour du conseil, avec un budget et une personne qui en réponde.
  • Appuyez-vous sur ce que vous avez déjà. Si vous disposez de l'ENS ou de l'ISO 27001, réutilisez ces contrôles : c'est le raccourci le plus fiable vers la NIS2.

Conclusion : une loi imminente qu'il vaut mieux ne pas attendre

La Loi de Coordination et de Gouvernance de la Cybersécurité traîne depuis trop longtemps dans les limbes, mais cela ne la rend pas moins sérieuse : une fois adoptée, elle apportera un registre national, une autorité dotée d'un pouvoir de sanction et une responsabilité personnelle pour les dirigeants, avec peu de marge d'adaptation. La procédure législative prend du retard ; les menaces, elles, n'en prennent pas. Les entreprises qui mettent ce temps à profit pour organiser leurs risques et leurs procédures seront celles qui seront en conformité dès le premier jour ; celles qui attendent le BOE seront celles qui devront courir.

Si vous n'êtes pas certain que votre entreprise entre dans le périmètre de la NIS2, ou si vous ne savez pas par où commencer à vous préparer, exposez-moi votre cas et voyons cela ensemble, sans engagement. Et si vous préférez une approche globale, découvrez mon service de conseil en cybersécurité pour les entreprises qui veulent se conformer à la réglementation sans surdimensionner leur dispositif.

Questions fréquentes sur la loi NIS2 en Espagne

Qu'est-ce que la Loi de Coordination et de Gouvernance de la Cybersécurité ?

C'est la norme par laquelle l'Espagne intègre dans son ordre juridique la Directive (UE) 2022/2555, dite NIS2, qui remplace la première directive sur la sécurité des réseaux et des systèmes d'information. Le nom n'est pas anodin : il décrit ses deux objectifs. D'une part, la coordination, car jusqu'ici les compétences en matière de cybersécurité étaient réparties entre des organismes qui ne dialoguaient pas toujours entre eux ; d'autre part, la gouvernance, c'est-à-dire définir qui commande, qui supervise et qui répond de ses actes.

Qui supervisera chaque secteur ?

La loi ne concentre pas toute la surveillance entre les mains d'un seul organisme. Elle répartit la supervision sectorielle entre trois ministères, chacun agissant via son bras spécialisé :

Quelles sanctions sont prévues pour les entreprises ?

Le régime de sanctions suit les fourchettes fixées par la NIS2, qui distingue deux catégories d'entités :

Que se passe-t-il tant que la loi n'est pas adoptée ?

Deux choses se produisent en parallèle. Pour l'État, l'horloge tourne : la procédure d'infraction de la Commission européenne peut aboutir devant la Cour de justice de l'UE, avec des amendes infligées au Royaume d'Espagne pour ce retard. Pour les entreprises, l'incertitude n'est pas une excuse pour ne pas se préparer, car lorsque la loi sera publiée, elle devrait entrer en vigueur presque immédiatement, sans les années de marge auxquelles nous a habitués d'autres réglementations. Qui commencera le jour de la publication arrivera en retard.

Sources

Contenu rédigé par Ángel Ortega Castro pour angelortegacastro.com. Information à visée pédagogique ; pour toute obligation légale, vérifiez toujours l'état le plus récent de la procédure législative et le texte publié au BOE.