Estado da NIS 2 em Espanha
O que a diretiva exige, em que ponto está a transposição espanhola e como o CCN e o INCIBE se encaixam entretanto.
Visão geral
A diretiva NIS 2 é o nível da UE. Vincula todos os Estados-Membros, incluindo Espanha, com um patamar único de cibersegurança para as entidades essenciais e importantes. Espanha tem de inscrever esse patamar no direito espanhol e operar um regime de supervisão ao seu abrigo.
Espanha falhou o prazo de transposição de 17 de outubro de 2024 fixado no artigo 41.o da NIS 2. O Conselho de Ministros aprovou um Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad em 14 de janeiro de 2025. Em março de 2026, o Governo disse que o texto continuava a ser tramitado pelos ministérios como Anteproyecto (um projeto do Governo), e não foi publicado no Boletín Oficial del Estado.
Até o projeto se tornar lei, o anterior Real Decreto-ley 12/2018 (a transposição da NIS 1) mantém-se aplicável. Nos termos deste, a supervisão está repartida: o Ministério do Interior (CNPIC) para os operadores designados como críticos, o ministério competente para os restantes operadores de serviços essenciais, a Secretaría de Estado de Digitalización para os prestadores de serviços digitais e o CCN para o setor público. O INCIBE-CERT e o CCN-CERT são as equipas de resposta a incidentes, não supervisores. A Comissão enviou um parecer fundamentado em 7 de maio de 2025 e, em 8 de julho de 2026, remeteu Espanha para o Tribunal de Justiça da UE, pedindo uma quantia fixa e sanções pecuniárias diárias até Espanha notificar a transposição completa.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança a nível da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para as entidades essenciais e importantes. A versão espanhola autêntica está publicada no EUR-Lex.
Aplicação da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável em Espanha sem transposição nacional.
Transposição espanhola (em curso)
Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
Aprovado pelo Conselho de Ministros em 14 de janeiro de 2025. O texto cria um Centro Nacional de Ciberseguridad, integrado na Secretaría General de Presidencia del Gobierno, como ponto de contacto único com a UE e autoridade para as crises de cibersegurança. A supervisão caberia a três autoridades de controlo: a Oficina de Coordinación de Ciberseguridad do Ministério do Interior, o Centro Criptológico Nacional (Defesa) e a Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales. Em março de 2026 o texto continuava a ser um Anteproyecto (um projeto do Governo) e não foi publicado no BOE; até ser promulgado, o anterior Real Decreto-ley 12/2018 (transposição da NIS 1) continua a aplicar-se.
Ley de Coordinación y Gobernanza de la Ciberseguridad (projeto)
O projeto inscreve as obrigações da NIS 2 no direito espanhol, define as entidades essenciais e importantes, fixa os poderes de supervisão, os deveres de comunicação de incidentes e as sanções. Até a lei ser publicada no BOE, a diretiva vincula o Estado espanhol, não as empresas espanholas; o que se aplica hoje às empresas é o Real Decreto-ley 12/2018, para as designadas ao abrigo dele.
Proposto Centro Nacional de Ciberseguridad e autoridades de controlo
O projeto cria um Centro Nacional de Ciberseguridad, integrado na Secretaría General de Presidencia del Gobierno, como ponto de contacto único com a UE e autoridade para as crises de cibersegurança. A supervisão caberia a três autoridades de controlo: a Oficina de Coordinación de Ciberseguridad do Ministério do Interior, o Centro Criptológico Nacional (Defesa) e a Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales. No período intercalar, o decreto da NIS 1 reparte a supervisão entre o Ministério do Interior (CNPIC) para os operadores críticos, o ministério competente para os restantes operadores de serviços essenciais, a Secretaría de Estado de Digitalización para os prestadores de serviços digitais e o CCN para o setor público. O INCIBE-CERT e o CCN-CERT são as equipas de resposta a incidentes, não supervisores.
Prazo do artigo 41.o falhado
O artigo 41.o da NIS 2 fixou o prazo de transposição em 17 de outubro de 2024. Espanha não cumpriu esse prazo. A Comissão enviou um parecer fundamentado em 7 de maio de 2025 e, em 8 de julho de 2026, remeteu Espanha para o Tribunal de Justiça da UE, pedindo uma quantia fixa e sanções pecuniárias diárias até Espanha notificar a transposição completa.
A lei local aplica-se dentro de Espanha
As entidades estabelecidas em Espanha seguem a transposição espanhola assim que esta for promulgada. Um Geschäftsführer alemão que gere uma filial espanhola lerá a eventual Ley de Coordinación y Gobernanza de la Ciberseguridad para essa filial, não o BSIG alemão. No período intercalar, o Real Decreto-ley 12/2018 aplica-se às empresas designadas ao abrigo dele; a diretiva vincula o Estado espanhol, não a filial.
Espanha não pode descer abaixo do patamar da UE
A diretiva é um instrumento de harmonização mínima. O facto de a transposição espanhola estar atrasada não baixa o patamar: depois de promulgada, a lei espanhola tem de conter, no mínimo, os deveres das entidades essenciais e importantes, os prazos de comunicação de incidentes e a responsabilidade do órgão de administração. Até lá, a diretiva vincula o Estado espanhol, não as empresas espanholas: a jurisprudência da UE é clara ao afirmar que uma diretiva, por si só, não pode impor obrigações a uma empresa.
INCIBE e INCIBE-CERT
O Instituto Nacional de Ciberseguridad, sob o Ministério da Transformação Digital. O INCIBE-CERT é o centro de referência de resposta a incidentes para os cidadãos e as entidades de direito privado. Para os incidentes que afetam operadores críticos, o INCIBE-CERT é operado conjuntamente pelo INCIBE e pelo CNPIC do Ministério do Interior.
CCN e CCN-CERT
O Centro Criptológico Nacional, integrado no Centro Nacional de Inteligencia (CNI). O CCN-CERT, criado em 2006, é o CERT governamental para o setor público. O CCN rege-se pela Lei 11/2002 e pelo Real Decreto 421/2004; o Real Decreto 311/2022 regula o Esquema Nacional de Seguridad (ENS).
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades espanholas. Nos termos do decreto da NIS 1, os supervisores são o Ministério do Interior (CNPIC), os ministérios setoriais, a Secretaría de Estado de Digitalización e o CCN; o projeto de lei atribuiria a supervisão a três autoridades de controlo, com o Centro Nacional de Ciberseguridad como ponto de contacto único com a UE.
Se a Alemanha tem o BSIG, Espanha tem uma lei semelhante em vigor.
A lei alemã da NIS 2 aplica-se desde 6 de dezembro de 2025. Espanha ainda não tem lei promulgada: o Anteproyecto passou o Conselho de Ministros em 14 de janeiro de 2025, mas nada foi publicado no BOE. As filiais espanholas não podem invocar uma lei nacional finalizada; o que se lhes aplica hoje é o anterior Real Decreto-ley 12/2018, para as designadas ao abrigo dele, enquanto a diretiva mostra o que a lei espanhola terá de conter.
Não há lei espanhola em vigor, por isso ainda não há nada a fazer.
A diretiva está em vigor desde janeiro de 2023. Os Estados-Membros tinham de aplicar as suas regras nacionais a partir de 18 de outubro de 2024. Até Espanha promulgar a sua lei, a diretiva vincula o Estado espanhol, não as empresas espanholas: a jurisprudência da UE é clara ao afirmar que uma diretiva, por si só, não pode impor obrigações a uma empresa. O que se aplica hoje às empresas é o decreto da NIS 1 (Real Decreto-ley 12/2018), para as designadas ao abrigo dele. O prazo de 17 de abril de 2025 para os Estados-Membros poderem identificar as entidades essenciais e importantes é vinculativo para Espanha independentemente do projeto. Preparar agora verificações de âmbito, processos de comunicação de incidentes e a aprovação do órgão de administração continua a ser sensato, porque o projeto segue de perto a diretiva.
O nosso regulador setorial vai dizer-nos o que fazer.
Alguns setores têm um regulador claro (finanças com o Banco de España para as instituições de crédito e o DORA como lex specialis, energia com o Ministério para a Transição Ecológica). Muitos ainda não têm uma linha única de competência porque o projeto de lei não terminou de definir a arquitetura de supervisão. Depois de a lei ser promulgada, as suas obrigações aplicam-se independentemente de qual o organismo nacional que acabar por as executar.
A maioria dos operadores espanhóis de média dimensão que vemos trata a NIS 2 como um problema que pode adiar até o Boletín publicar a lei final. É uma aposta cara. O prazo de 17 de outubro de 2024 da diretiva já passou, a Comissão enviou um parecer fundamentado em 7 de maio de 2025 e remeteu Espanha para o Tribunal de Justiça da UE em 8 de julho de 2026, e as obrigações substantivas (aprovação das medidas de risco pelo órgão de administração, aviso prévio em 24h, notificação em 72h, cláusulas da cadeia de fornecimento) não mudam entre o projeto e qualquer texto final plausível.
O passo prático é o mesmo que em todo o resto da UE: confirmar o âmbito ao abrigo da diretiva, preparar o registo assim que a lei espanhola indicar o organismo de registo e o portal, estabelecer as quatro obrigações contínuas (manutenção do registo, comunicação de incidentes, gestão do risco da cadeia de fornecimento, supervisão pelo órgão de administração) e documentar o mínimo. A orientação existente do CCN e do INCIBE, mais os canais de comunicação do Real Decreto-ley 12/2018, mantêm-se utilizáveis enquanto a nova lei está pendente.
- Diretiva (UE) 2022/2555 (NIS 2), prazo de transposição do artigo 41.o. EUR-Lex.
- Regulamento de Execução (UE) 2024/2690 da Comissão.
- Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprovado pelo Conselho de Ministros em 14 de janeiro de 2025. Departamento de Seguridad Nacional (dsn.gob.es).
- Comissão Europeia, parecer fundamentado a Espanha por não notificação da transposição completa da NIS 2, 7 de maio de 2025; remessa de Espanha ao Tribunal de Justiça da UE, 8 de julho de 2026 (IP/26/1499).
- Real Decreto-ley 12/2018, transposição da NIS 1, Boletín Oficial del Estado.
- CCN-CERT (criado em 2006): Centro Criptológico Nacional, regido pela Ley 11/2002 e pelo Real Decreto 421/2004; Real Decreto 311/2022 sobre o Esquema Nacional de Seguridad.
- INCIBE-CERT. Instituto Nacional de Ciberseguridad, Ministerio para la Transformación Digital.
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
