Stav NIS 2 ve Španělsku
Co směrnice vyžaduje, kde stojí španělská transpozice a jak do toho zatím zapadají CCN a INCIBE.
Přehled
Směrnice NIS 2 je vrstvou EU. Zavazuje každý členský stát, včetně Španělska, jednou minimální úrovní kybernetické bezpečnosti pro základní a důležité subjekty. Španělsko musí tuto úroveň vložit do španělského práva a provozovat pod ní dozorový režim.
Španělsko zmeškalo transpoziční lhůtu 17. října 2024 stanovenou v čl. 41 NIS 2. Rada ministrů schválila Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad dne 14. ledna 2025. V březnu 2026 vláda uvedla, že text ministerstva stále zpracovávají jako Anteproyecto (vládní návrh) a že nebyl zveřejněn v Boletín Oficial del Estado.
Dokud se návrh nestane zákonem, nadále platí předchozí Real Decreto-ley 12/2018 (transpozice NIS 1). Podle něj je dohled rozdělen: Ministerstvo vnitra (CNPIC) pro provozovatele označené za kritické, příslušné ministerstvo pro ostatní provozovatele základních služeb, Státní sekretariát pro digitalizaci pro poskytovatele digitálních služeb a CCN pro veřejný sektor. INCIBE-CERT a CCN-CERT jsou týmy pro reakci na incidenty, nikoli dozorové orgány. Evropská komise zaslala odůvodněné stanovisko dne 7. května 2025 a dne 8. července 2026 podala žalobu proti Španělsku u Soudního dvora EU, v níž požaduje paušální částku a denní penále, dokud Španělsko neoznámí úplnou transpozici.
Směrnice EU
Směrnice (EU) 2022/2555 (NIS 2)
Celoevropská směrnice o kybernetické bezpečnosti. Stanoví povinnosti, které musí každý členský stát transponovat, včetně testů velikosti a sektoru pro základní a důležité subjekty. Závazná španělská verze je zveřejněna na EUR-Lex.
Provedení EU
Prováděcí nařízení Komise (EU) 2024/2690
Technická a metodická opatření pro poskytovatele digitální infrastruktury. Přímo použitelná ve Španělsku bez národní transpozice.
Španělská transpozice (probíhá)
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
Schváleno Radou ministrů dne 14. ledna 2025. Návrh vytváří Centro Nacional de Ciberseguridad, připojené k Secretaría General de Presidencia del Gobierno, jako jednotné kontaktní místo s EU a orgán pro krizové situace v oblasti kybernetické bezpečnosti. Dohled by spočíval na třech kontrolních orgánech: Koordinačním úřadu pro kybernetickou bezpečnost Ministerstva vnitra, Národním kryptologickém centru (obrana) a Státním sekretariátu pro telekomunikace a digitální infrastruktury. V březnu 2026 byl text stále Anteproyecto (vládní návrh) a nebyl zveřejněn v BOE; dokud nebude přijat, nadále platí předchozí Real Decreto-ley 12/2018 (transpozice NIS 1).
Ley de Coordinación y Gobernanza de la Ciberseguridad (návrh)
Návrh přenáší povinnosti NIS 2 do španělského práva, definuje základní a důležité subjekty, stanoví dozorové pravomoci, povinnosti hlášení incidentů a sankce. Dokud nebude zákon zveřejněn v BOE, směrnice zavazuje španělský stát, nikoli španělské společnosti; na společnosti dnes dopadá Real Decreto-ley 12/2018, pokud jsou podle něj určeny.
Navrhované Centro Nacional de Ciberseguridad a kontrolní orgány
Návrh vytváří Centro Nacional de Ciberseguridad, připojené k Secretaría General de Presidencia del Gobierno, jako jednotné kontaktní místo s EU a orgán pro krizové situace v oblasti kybernetické bezpečnosti. Dohled by spočíval na třech kontrolních orgánech: Koordinačním úřadu pro kybernetickou bezpečnost Ministerstva vnitra, Národním kryptologickém centru (obrana) a Státním sekretariátu pro telekomunikace a digitální infrastruktury. V mezidobí dekret NIS 1 dělí dohled mezi Ministerstvo vnitra (CNPIC) pro kritické provozovatele, příslušné ministerstvo pro ostatní provozovatele základních služeb, Státní sekretariát pro digitalizaci pro poskytovatele digitálních služeb a CCN pro veřejný sektor. INCIBE-CERT a CCN-CERT jsou týmy pro reakci na incidenty, nikoli dozorové orgány.
Lhůta podle čl. 41 zmeškána
Čl. 41 NIS 2 stanovil transpoziční lhůtu na 17. října 2024. Španělsko tuto lhůtu nesplnilo. Evropská komise zaslala Španělsku odůvodněné stanovisko dne 7. května 2025 a dne 8. července 2026 podala žalobu proti Španělsku u Soudního dvora EU, v níž požaduje paušální částku a denní penále, dokud Španělsko neoznámí úplnou transpozici.
Uvnitř Španělska platí místní právo
Subjekty usazené ve Španělsku se budou řídit španělskou transpozicí, jakmile bude přijata. Český jednatel řídící španělskou dceřinou společnost bude pro tuto dceřinou společnost číst případnou Ley de Coordinación y Gobernanza de la Ciberseguridad, nikoli český zákon č. 264/2025 Sb. V mezidobí platí Real Decreto-ley 12/2018 pro společnosti, které jsou podle něj určeny; směrnice zavazuje španělský stát, nikoli dceřinou společnost.
Španělsko nesmí klesnout pod úroveň EU
Směrnice je nástrojem minimální harmonizace. Skutečnost, že je španělská transpozice zpožděna, úroveň nesnižuje: po přijetí musí španělský zákon obsahovat alespoň povinnosti základních a důležitých subjektů ze směrnice, lhůty pro hlášení incidentů a odpovědnost řídícího orgánu. Do té doby směrnice zavazuje španělský stát, nikoli španělské společnosti: judikatura EU je jasná v tom, že směrnice sama o sobě nemůže společnosti ukládat povinnosti.
INCIBE a INCIBE-CERT
Instituto Nacional de Ciberseguridad, připojený k Ministerstvu digitální transformace. INCIBE-CERT je referenčním centrem reakce na incidenty pro občany a soukromoprávní subjekty. Pro incidenty týkající se kritických provozovatelů provozuje INCIBE-CERT společně INCIBE a CNPIC Ministerstva vnitra.
CCN a CCN-CERT
Centro Criptológico Nacional, připojené k Centro Nacional de Inteligencia (CNI). CCN-CERT, zřízený v roce 2006, je vládním CERT pro veřejný sektor. CCN upravují zákon 11/2002 a Real Decreto 421/2004; Real Decreto 311/2022 upravuje Esquema Nacional de Seguridad (ENS).
ENISA
Agentura EU pro kybernetickou bezpečnost. Zveřejňuje pokyny, spravuje evropskou databázi zranitelností a podporuje přeshraniční koordinaci. Není dozorcem pro španělské subjekty. Podle dekretu NIS 1 jsou dozorovými orgány Ministerstvo vnitra (CNPIC), odvětvová ministerstva, Státní sekretariát pro digitalizaci a CCN; návrh zákona by svěřil dohled třem kontrolním orgánům, s Centro Nacional de Ciberseguridad jako jednotným kontaktním místem s EU.
Když má Česko zákon č. 264/2025 Sb., Španělsko má obdobný zákon v platnosti.
Český zákon č. 264/2025 Sb. je účinný od 1. listopadu 2025. Španělsko zatím nemá přijatý zákon: Anteproyecto prošel Radou ministrů dne 14. ledna 2025, ale v BOE nebylo nic zveřejněno. Španělské dceřiné společnosti nemohou poukázat na finalizovaný národní zákon; dnes se na ně vztahuje předchozí Real Decreto-ley 12/2018, pokud jsou podle něj určeny, zatímco směrnice ukazuje, co bude muset španělský zákon obsahovat.
Není v platnosti žádný španělský zákon, takže zatím není co dělat.
Směrnice je v platnosti od ledna 2023. Členské státy musely uplatňovat své vnitrostátní předpisy od 18. října 2024. Dokud Španělsko svůj zákon nepřijme, směrnice zavazuje španělský stát, nikoli španělské společnosti: judikatura EU je jasná v tom, že směrnice sama o sobě nemůže společnosti ukládat povinnosti. Na společnosti dnes dopadá dekret NIS 1 (Real Decreto-ley 12/2018), pokud jsou podle něj určeny. Lhůta 17. dubna 2025, do které musí být členské státy schopny identifikovat základní a důležité subjekty, je pro Španělsko závazná bez ohledu na návrh. Připravovat kontroly rozsahu, postupy hlášení incidentů a schválení řídícím orgánem je přesto rozumné, protože návrh směrnici úzce sleduje.
Náš sektorový regulátor nám řekne, co máme dělat.
Některé sektory mají jasného regulátora (finance s Banco de España pro úvěrové instituce a DORA jako lex specialis, energetika s Ministerstvem pro ekologickou transformaci). Mnohé jednu linii dohledu zatím nemají, protože návrh zákona ještě nedokončil definování architektury dohledu. Po přijetí zákona platí jeho povinnosti bez ohledu na to, který národní orgán je nakonec bude vymáhat.
Většina španělských provozovatelů středního trhu, které vidíme, považuje NIS 2 za problém, který lze odložit, dokud Boletín nezveřejní finální zákon. To je drahá sázka. Lhůta směrnice 17. října 2024 již uplynula, Komise zaslala odůvodněné stanovisko dne 7. května 2025 a dne 8. července 2026 podala žalobu proti Španělsku u Soudního dvora EU a hmotněprávní povinnosti (schválení opatření k řízení rizik vedením, 24h včasné varování, 72h oznámení, doložky o dodavatelském řetězci) se mezi návrhem a jakýmkoli pravděpodobným finálním textem nemění.
Praktický krok je stejný jako kdekoli jinde v EU: potvrdit rozsah podle směrnice, připravit se na registraci, jakmile španělský zákon určí registrační orgán a portál, nastavit čtyři průběžné povinnosti (udržování registrace, hlášení incidentů, řízení rizik dodavatelského řetězce, dohled vedení) a zdokumentovat minimum. Stávající pokyny CCN a INCIBE plus ohlašovací kanály Real Decreto-ley 12/2018 zůstávají použitelné, dokud je nový zákon ve schvalování.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 41 transpoziční lhůta. EUR-Lex.
- Prováděcí nařízení Komise (EU) 2024/2690.
- Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, schváleno Radou ministrů dne 14. ledna 2025. Departamento de Seguridad Nacional (dsn.gob.es).
- Evropská komise, odůvodněné stanovisko Španělsku za neoznámení úplné transpozice NIS 2, 7. května 2025; žaloba proti Španělsku u Soudního dvora EU, 8. července 2026 (IP/26/1499).
- Real Decreto-ley 12/2018, transpozice NIS 1, Boletín Oficial del Estado.
- CCN-CERT (zřízen 2006): Centro Criptológico Nacional, upraveno Ley 11/2002 a Real Decreto 421/2004; Real Decreto 311/2022 o Esquema Nacional de Seguridad.
- INCIBE-CERT, Instituto Nacional de Ciberseguridad, Ministerio para la Transformación Digital.
V praxi
Co mění národní zákon a co ne
Národní zákon mimo jiné určuje, kde se registrujete a komu hlásíte incidenty. Samotná opatření vycházejí ve všech členských státech ze stejného minimálního seznamu (čl. 21 NIS 2). Průvodce vás jimi provede krok za krokem:
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
