Mise en œuvre de la directive NIS2 en Espagne : situation, obligations et défis

Informatec Digital » Ressources » Mise en œuvre de la directive NIS2 en Espagne : situation, obligations et défis

La directive européenne NIS2 a profondément transformé le paysage de la cybersécurité en Europe, et plus particulièrement en Espagne. Il ne s'agit pas d'une simple réglementation de plus ; elle représente un changement fondamental dans la manière dont les entreprises et les administrations publiques gèrent les risques numériques, signalent les incidents et collaborent avec les autorités.

Parallèlement, l'Espagne progresse de manière constante, mais manifestement tardive, dans sa transposition : la date butoir officielle était octobre 2024 et, à ce jour, la future loi sur la coordination et la gouvernance de la cybersécurité est toujours en cours d'examen parlementaire. Cette situation crée un contexte particulier : la directive est déjà contraignante au niveau européen, mais le cadre juridique national définitif n'a pas encore été approuvé, laissant de nombreuses organisations face à un dilemme : d'une part, l'obligation morale et stratégique de se préparer et d'évaluer leur situation ; d'autre part, l' absence d'une loi pleinement applicable.

Qu’est-ce que la directive NIS2 et pourquoi change-t-elle la donne ?

La directive (UE) 2022/2555, dite NIS2 , remplace la directive NIS initiale et vise à instaurer un niveau élevé et commun de cybersécurité pour les réseaux et les systèmes d'information au sein de l'Union européenne. Son objectif est de renforcer la résilience face aux cyberincidents susceptibles d'affecter les services essentiels et le fonctionnement normal de la société et de l'économie.

Contrairement à son prédécesseur, NIS2 élargit considérablement le nombre de secteurs et d'entités concernés , intégrant non seulement les infrastructures critiques traditionnelles (énergie, transport, eau, banque ou santé), mais aussi des domaines tels que l'administration publique, les infrastructures numériques, les services postaux et de messagerie, la gestion des déchets, la fabrication de pointe ou la production et la distribution alimentaires.

La directive établit un cadre harmonisé d'exigences minimales en matière de cybersécurité pour l'ensemble de l'UE, comprenant des mesures de gestion des risques, de gouvernance, de protection de la chaîne d'approvisionnement, de continuité des activités et de notification rapide des incidents. Elle renforce en outre le régime de surveillance et de sanctions et accroît explicitement la responsabilité des dirigeants.

Autre évolution significative : l’engagement clair en faveur de la coopération entre les États membres et la création ou le renforcement d’ équipes nationales de réponse aux incidents de sécurité informatique (CSIRT) , capables de coordonner leurs actions au niveau européen en cas de crise grave. L’ENISA, l’Agence de l’UE pour la cybersécurité, joue un rôle clé dans cet écosystème, en soutenant l’élaboration de stratégies nationales de cybersécurité et en promouvant les meilleures pratiques.

Le secteur financier est de fait exclu du champ d'application de NIS2 , la réglementation DORA prévalant en tant que lex specialis. Pour autant, la logique de résilience opérationnelle numérique qui sous-tend DORA est pleinement cohérente avec la philosophie de NIS2.

État actuel de la transposition de NIS2 en Espagne

La directive NIS2 est entrée en vigueur le 16 janvier 2023 et fixait au 17 octobre 2024 la date limite de sa transposition. Un an après cette échéance, l'Espagne n'avait toujours pas achevé son intégration formelle dans son droit interne, la plaçant ainsi parmi les pays en retard.

En raison de ce retard, la Commission européenne a engagé des procédures d'infraction contre de nombreux États membres. Le 7 mai 2025, elle a adressé un avis motivé à dix-neuf pays, dont l'Espagne, leur enjoignant de notifier la transposition intégrale de la directive dans un délai de deux mois, sous peine de saisir la Cour de justice de l'Union européenne si les mesures nécessaires n'étaient pas prises.

Dans le cas de l'Espagne, le tournant majeur a eu lieu le 14 janvier 2025, avec l'approbation par le Conseil des ministres du projet de loi sur la coordination et la gouvernance de la cybersécurité . Cette loi constituera l'instrument fondamental pour la transposition de la NIS2 en droit national et la réorganisation du modèle national de gouvernance de la cybersécurité.

Après son approbation initiale, le projet de loi a été soumis à consultation publique du 16 janvier au 10 février 2025 , permettant aux citoyens, entreprises, associations et autres organisations de formuler des observations et des suggestions d'amélioration. Le texte a ensuite été examiné par le Groupe de travail technique interministériel, qui a consolidé le projet en tenant compte des commentaires reçus, notamment ceux des communautés d'experts telles que le Forum ISMS.

Malgré la dynamique politique actuelle, le projet de loi reste bloqué au Parlement . On a évoqué sa soumission au Conseil des ministres pour approbation sous forme de projet de loi vers novembre et une possible adoption par le Parlement fin janvier ou février de l'année suivante, mais en réalité, jusqu'à fin 2025, l'Espagne ne disposera toujours pas d'une loi nationale pleinement applicable transposant la NIS2.

Projet de loi sur la coordination et la gouvernance en matière de cybersécurité

Le projet de loi approuvé par le gouvernement espagnol est une initiative conjointe des ministères de l'Intérieur, de la Défense et de la Transformation numérique et de l'Administration publique . Il poursuit un double objectif : d'une part, transposer la directive NIS2 ; d'autre part, organiser la coordination et la gouvernance de la cybersécurité au niveau national, en renforçant la protection des réseaux et des systèmes d'information contre les cybermenaces susceptibles d'affecter les infrastructures critiques et les services essentiels.

La future loi s'appliquera aux entités publiques et privées opérant dans des secteurs tels que l'énergie, les transports, les infrastructures bancaires et financières, la santé, la gestion de l'eau, les infrastructures numériques, les services technologiques et d'autres secteurs critiques . Elle inclut explicitement les registres de noms de domaine , comme Dominios.es (géré par Red.es), qui devront assumer de nouvelles obligations en matière de cybersécurité en raison de leur rôle stratégique dans la stabilité de l'écosystème numérique.

De manière générale, le projet s'aligne sur les principales obligations de la directive NIS2 et articule quatre axes clés : le renforcement de la gouvernance et de la responsabilité de la haute direction, des mesures générales de gestion des risques de sécurité, la désignation d'un responsable de la sécurité de l'information et des obligations claires en matière de signalement des incidents.

Par ailleurs, la loi espagnole introduit un élément organisationnel important : la création du Centre national de cybersécurité (CNC) . Cet organisme assurera la coordination de la protection des réseaux et des systèmes d’information, harmonisant les critères entre les différentes autorités réglementaires (Intérieur, Défense et Transformation numérique), promouvant les équipes d’intervention en cas d’incident de sécurité informatique (CSIRT) et favorisant une vision plus cohérente de l’écosystème national de cybersécurité.

Lors de la consultation publique, des organisations comme l'ISMS Forum ont apporté une contribution significative : le renforcement du rôle du délégué à la sécurité de l'information, la dissociation de cette fonction du droit de la sécurité privée et la mise en place de mécanismes de réponse spécifiques lorsque l'entité non conforme est une administration publique, laquelle, par définition, ne peut être sanctionnée financièrement. Parmi les propositions figure la possibilité d'avertissements publics, conformément aux dispositions de la LOPDGDD (Loi organique relative à la protection des données personnelles et à la garantie des droits numériques) en matière de protection des données.

Secteurs et types d'entités concernés par NIS2

La norme NIS2 classe les organisations soumises à la directive comme entités essentielles ou importantes , principalement en fonction de leur secteur d'activité et de leur taille (moyennes et grandes entreprises, avec des exceptions liées à leur criticité). Cette norme s'applique généralement aux entités publiques ou privées opérant dans l'UE, avec la possibilité d'inclure des organisations plus petites lorsque les États membres les identifient comme essentielles ou importantes en raison de leur pertinence.

Les secteurs hautement critiques sont listés à l'annexe I de la NIS2, tandis que les autres secteurs critiques figurent à l'annexe II . En Espagne, l'augmentation du nombre de secteurs est légèrement inférieure à celle observée dans d'autres pays, car la transposition de l'ancienne NIS était déjà conforme à la loi 8/2011 relative à la protection des infrastructures critiques, qui comprenait 12 secteurs. La NIS2 intègre néanmoins de nouveaux domaines tels que les services postaux et de messagerie, la gestion des déchets et plusieurs catégories de production , et en scinder d'autres, en distinguant par exemple l'eau potable et les eaux usées.

Parmi les secteurs et exemples d'entités , les suivants se distinguent :

• EnergieEntreprises de fourniture d'électricité, gestionnaires de réseaux de transport et de distribution, producteurs, opérateurs NEMO, acteurs du marché de l'électricité, exploitants de bornes de recharge ; exploitants et gestionnaires de réseaux de gaz, de pétrole et d'hydrogène.
• Transports: compagnies aériennes, exploitants d'aéroports, contrôle aérien, gestionnaires d'infrastructures ferroviaires, entreprises ferroviaires, entités de transport maritime et fluvial, exploitants portuaires, services de trafic maritime, autorités routières et opérateurs de systèmes de transport intelligents.
• Infrastructures bancaires et des marchés financiers: établissements de crédit et gestionnaires de centres de négociation, contreparties centrales, avec la nuance que DORA fait office de norme sectorielle spécifique.
• Secteur de la santé: les prestataires de soins de santé, les laboratoires de référence de l'UE, les organismes de recherche et développement pour les médicaments, les fabricants de produits pharmaceutiques de base et de spécialité, et les fabricants de dispositifs médicaux essentiels en cas d'urgences de santé publique.
• Eau potable et eaux uséesFournisseurs et distributeurs d'eau potable, et entreprises chargées de la collecte, de l'élimination et du traitement des eaux usées urbaines, domestiques ou industrielles.
• Infrastructure numériqueFournisseurs de points d'échange Internet (IXP), services DNS, registres de domaines de premier niveau, fournisseurs de services de cloud computing, centres de données, réseaux de diffusion de contenu (CDN), fournisseurs de services de confiance, fournisseurs de réseaux de communications électroniques publics et services de communications électroniques publics.
• Gestion des services TIC interentreprises: les fournisseurs de services gérés et les fournisseurs de services de sécurité gérés, avec un impact direct sur l'ensemble de la chaîne d'approvisionnement technologique.
• Administrations publiques: les entités de l’Administration générale de l’État et, dans certains cas, les entités régionales et locales, lorsque l’interruption de leurs services peut avoir un impact significatif sur les activités sociales ou économiques critiques.
• Services postaux et de messagerie: les fournisseurs qui effectuent la collecte, le tri, le transport et la distribution des envois postaux.
• La gestion des déchets: entreprises spécialisées dans la collecte, le transport, la valorisation et l'élimination des déchets, y compris les décharges.
• Chimiste: les entreprises qui fabriquent, produisent et distribuent des substances et des mélanges chimiques, ainsi que des articles à partir de ces substances.
• Production, transformation et distribution des aliments: entreprises alimentaires spécialisées dans la distribution en gros et la production et la transformation industrielles à grande échelle.
• Fabrication de pointe: fabricants de produits de santé et de diagnostics in vitro, fabricants de produits informatiques, électroniques et optiques, d'équipements électriques, de machines et d'équipements, de véhicules automobiles et autres équipements de transport.
• Secteur spatial: les opérateurs d’infrastructures terrestres qui soutiennent la fourniture de services spatiaux, à l’exception de ceux dont la propriété ou la gestion relève de l’UE ou de tiers dans le cadre de son programme spatial.

Dans tous ces secteurs, les grandes entreprises sont généralement considérées comme essentielles , tandis que les entreprises de taille moyenne sont généralement qualifiées d'importantes, sauf indication contraire. Les petites et micro-entreprises sont habituellement exclues en raison de leur taille, mais peuvent être incluses si leur importance le justifie.

Responsabilités en matière de gouvernance et de haute direction

L'un des changements les plus importants apportés par la NIS2 et le projet de loi espagnol réside dans l'accent mis sur la gouvernance de la cybersécurité et la responsabilité directe des instances dirigeantes . L'article 14 du projet de loi renforce cette idée : la cybersécurité n'est plus une question purement technique, mais bien un enjeu stratégique de premier plan.

La direction générale doit approuver et superviser la mise en œuvre des mesures de gestion des risques de cybersécurité , en veillant à ce qu'elles soient proportionnées au contexte de l'organisation et aux risques identifiés. De plus, les instances dirigeantes seront responsables en dernier ressort de tout manquement, ce qui entraîne l'application du régime de sanctions renforcées.

Un autre point essentiel est la formation régulière des cadres en cybersécurité . La simple délégation ne suffit pas : les dirigeants doivent être formés pour comprendre les risques, prendre des décisions éclairées et favoriser la diffusion d’une culture de sécurité solide au sein de l’organisation. Ils seront ensuite chargés de promouvoir des programmes de formation réguliers pour l’ensemble du personnel.

L’article 20 de la NIS2 renforce ce point de vue en exigeant expressément que les organes directeurs soient conscients de leurs obligations, approuvent les mesures, veillent à leur mise en œuvre et soient en mesure de réagir, dans des situations extrêmes, même avec des conséquences personnelles (comme la possible séparation des fonctions dans certains cas).

Dans ce contexte, la relation entre la direction et le responsable de la sécurité de l'information (RSSI ou équivalent) devient cruciale : un dialogue fluide et constant, fondé sur des critères objectifs de risque et de conformité, est attendu.

Mesures de gestion des risques requises par NIS2

L’article 15 du projet de loi espagnol établit que les mesures de gestion des risques de cybersécurité doivent être fondées sur des normes techniques nationales, européennes et internationales , intégrant au minimum les exigences énoncées à l’article 21 de la NIS2 et développées dans le règlement d’exécution (UE) 2024/2690.

Parmi les mesures que les entités essentielles et importantes doivent mettre en œuvre , les suivantes se distinguent :

• Politiques de sécurité et analyse des risques des systèmes d'information, avec des révisions périodiques.
• La gestion des incidents, y compris des procédures claires de détection, d'intervention et de rétablissement.
• Continuité des activités, sauvegardes, reprise après sinistre et gestion de criseassurer la résilience opérationnelle.
• Sécurité de la chaîne d'approvisionnement et des relations avec les fournisseurs et les prestataires de services directs, ce qui implique l'imposition d'exigences contractuelles et de contrôles d'approbation et d'audit.
• gestion des vulnérabilités dans l'acquisition, le développement et la maintenance des réseaux et des systèmes d'information, y compris les correctifs et les mises à jour.
• Politiques d'évaluation de l'efficacité des mesures de cybersécuritépar le biais d'audits, de mesures et d'examens périodiques.
• Pratiques et formations de base en matière de cybersécurité des employés, adaptés aux différents profils.
• Politiques de cryptographie et de chiffrement afin de garantir la confidentialité et l'intégrité des informations.
• Sécurité des ressources humainesPolitiques de contrôle d'accès et de gestion des actifs.
• Authentification multifactorielle ou continue, la protection des communications vocales et des communications d'urgence.

En Espagne, nombre de ces mesures étaient déjà intégrées au Cadre national de sécurité (ENS) , notamment pour les administrations publiques et leurs fournisseurs. De fait, l’Agence d’État pour l’administration numérique et le Centre national de cryptologie ont présenté à l’UE la forte convergence de l’ENS avec NIS2, soulignant son potentiel en tant que référence européenne et sa contribution à la résilience de l’écosystème numérique national.

Cependant, la norme NIS2 impose des exigences plus élevées à un éventail beaucoup plus large d'organisations, y compris les PME, en raison de leur taille ou de la criticité de leurs activités . Pour les organisations établies, nombre de ces exigences correspondent aux pratiques existantes ; pour des milliers d'entreprises sans expérience en cybersécurité, elles représentent un bond en avant considérable en termes de maturité, de ressources et d'organisation interne.

Le responsable de la sécurité des systèmes d'information (RSSI) et ses fonctions

L’article 16 du projet de loi prévoit que toutes les entités essentielles et importantes doivent désigner un responsable de la sécurité de l’information . Ce rôle, inspiré de l’expérience espagnole avec le NIS initial, devient le point central de coordination de tout ce qui concerne la protection des systèmes et des données.

Ses principales fonctions sont les suivantes :

• Définir et mettre en œuvre la stratégie de cybersécurité de l'organisation, en adéquation avec les risques, les obligations commerciales et réglementaires.
• Évaluer, atténuer et examiner les risques en permanence, en maintenant une vision à jour de l'exposition de l'entité.
• Gérer les preuves, les politiques et les dossiers nécessaires pour démontrer la conformité des obligations découlant de la NIS2 et des réglementations nationales.
• Promouvoir une culture de la cybersécurité en coordination avec la direction, formation et sensibilisation de l'ensemble du personnel.
• Veiller au respect des obligations de déclaration des incidents, en coordonnant les rapports aux autorités compétentes.

L'Espagne a été parmi les premiers pays à introduire explicitement le rôle de responsable de la sécurité des systèmes d'information (RSSI) lors de la transposition de l'ancienne NIS. Cependant, l'expérience a montré qu'un nombre important d'opérateurs clés n'ont jamais officiellement nommé ce responsable et, de ce fait, n'ont pas été sanctionnés. La NIS2, associée à la future législation espagnole et à un régime de sanctions plus strict, vise à corriger ce laxisme et à conférer au RSSI une position plus solide et reconnue.

À l'avenir, une forte augmentation du nombre d'entités assujetties est attendue : d'environ 400 opérateurs essentiels actuellement à environ 5 000 à 50 000 entités essentielles et importantes. Cela engendrera une demande considérable de professionnels de la cybersécurité, en interne comme en externe, notamment pour les PME qui n'ont jamais eu à gérer ce type de crise auparavant.

Obligations de signalement des incidents et de gestion des vulnérabilités

La directive NIS2 accorde une importance primordiale à la notification rapide des incidents de sécurité ayant un impact significatif . L'article 18 du projet de loi espagnol précise cette obligation, en s'alignant sur les délais et le contenu fixés par la directive.

Lorsqu'une entité subit un incident susceptible de perturber gravement la fourniture de ses services ou de causer un préjudice considérable à elle-même ou à des tiers, elle doit se conformer au dispositif de déclaration suivant :

• Notification initiale: dans un délai maximum de 24 heures après la détection de l'incident, en fournissant les informations de base disponibles.
• Rapport intérimaire: dans un délai maximum de 72 heures à compter de la détection, avec une évaluation initiale de l'impact et de la gravité.
• Rapport final: dans un délai maximal d'un mois à compter de la première notification, comprenant une description détaillée de l'incident, de son impact, de sa gravité et des mesures prises.

En outre, NIS2 renforce la gestion des vulnérabilités et la communication : il ne s'agit pas seulement de signaler les incidents résolus, mais aussi de partager des informations pertinentes sur les vulnérabilités susceptibles d'avoir un impact systémique, facilitant ainsi la coordination des réponses aux niveaux national et européen.

En Espagne, l'écosystème de réponse aux incidents repose sur trois CSIRT de référence majeurs : le CCN-CERT (pour l'administration publique, les entreprises stratégiques et les systèmes classifiés), l'INCIBE-CERT (secteur privé et citoyens) et le MCCE (secteur de la défense). Ces structures sont complétées par le réseau csirt.es, qui rassemble des dizaines d'équipes spécialisées et est connecté à des réseaux internationaux tels que FIRST, ainsi qu'au Réseau national SOC.

Les entités essentielles et importantes doivent signaler leurs incidents aux CSIRT compétents , conformément à la réglementation sectorielle et aux directives du futur Centre national de cybersécurité, qui assurera la coordination et la liaison avec l'ENISA et les autres États membres.

Régime de sanctions et pressions européennes

La directive NIS2 instaure un régime de sanctions nettement plus strict que la précédente directive NIS . Pour les entités essentielles, les infractions les plus graves peuvent entraîner des amendes allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial du groupe, tandis que pour les entités majeures, les sanctions peuvent atteindre 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial.

À l'heure actuelle, aucune sanction fondée sur la NIS2 n'a été observée en Espagne , notamment parce que la loi de transposition n'est pas encore entrée en vigueur et que l'autorité de surveillance n'a pas encore été formellement désignée. Dans d'autres États membres, la transposition étant récente, il est encore trop tôt pour s'attendre à des sanctions généralisées.

Pour autant, les experts s'accordent à dire que lorsque des pays comme la France ou l'Allemagne commencent à appliquer des sanctions , l'Espagne ne peut se permettre de rester à la traîne si elle veut préserver l'harmonisation et sa crédibilité au niveau européen. La pression exercée par la Commission, à travers les procédures d'infraction et les avis motivés, vise précisément cet objectif.

Outre les sanctions financières, la norme NIS2 introduit explicitement, et pour la première fois, la responsabilité de la direction générale en matière de cybersécurité . Le manque de communication entre la direction et le RSSI n'est plus envisageable : l'organe de gouvernance doit être impliqué, informé et prendre les décisions nécessaires.

Le principal défi, selon des spécialistes comme ceux de l'ISMS Forum, réside dans le réseau des PME qui, sans en être pleinement conscientes, seront soumises à la directive NIS2 . Nombre d'entre elles manquent de ressources, de processus ou de culture en cybersécurité suffisants et seront « poussées » à la fois par la loi et par les exigences de leurs grands clients de la chaîne d'approvisionnement, qui devront exiger des garanties contractuelles de conformité à la directive.

Soutenir les initiatives, les études et le rôle de l'ENS

Parallèlement aux progrès législatifs, l'Espagne encourage les initiatives techniques et de partage des connaissances afin de faciliter l'adaptation du secteur privé à la NIS2. Le Forum ISMS, par exemple, travaille sur une étude d'impact de la NIS2 sur les entreprises espagnoles, sous l'égide de la Chaire extraordinaire de cybersécurité et de protection des données de l'UCM.

Ce projet poursuit un double objectif : établir un recensement non officiel des entreprises concernées par la directive NIS2 et évaluer leur niveau de maturité en matière de cybersécurité. Dans un premier temps, ce recensement sera réalisé à partir de bases de données exhaustives (registre du commerce, DIRCE/INE, bases de données sectorielles, etc.), les résultats étant attendus vers novembre 2025. Dans un second temps, un court questionnaire sera envoyé à un échantillon représentatif d’entreprises (objectif : 1 000 réponses) afin d’évaluer leur niveau de préparation ; les résultats sont attendus d’ici mai 2026.

L'analyse comprendra des segmentations par secteur, taille, répartition géographique et type d'entité (essentielle ou importante) , présentant les conclusions dans un rapport de synthèse à destination des dirigeants, sans données individuelles, qui servira à la fois les entreprises et les autorités.

Parallèlement, des organisations comme ISMS Forum et divers organismes publics mènent des actions de sensibilisation à travers le pays , en ciblant particulièrement les PME. L’objectif est de les informer clairement sur les implications de la NIS2, l’importance d’avoir un RSSI (interne ou externe), la définition de politiques de cybersécurité fondamentales et la préparation à la future loi et à ses règlements d’application.

Sur le plan réglementaire, le Cadre national de sécurité (ENS) a été présenté en Europe comme l'un des atouts majeurs de l'Espagne . L'Agence d'État pour l'administration numérique et le Centre national de cryptologie (CCN) ont partagé avec le groupe de coopération NIS2 l'expérience acquise grâce à l'ENS, ses profils de conformité et son intégration aux systèmes de certification européens du règlement (UE) 2019/881 (loi sur la cybersécurité). L'accueil favorable réservé à cette présentation renforce l'image de l'Espagne comme acteur proactif et engagé en faveur d'une cybersécurité robuste, cohérente et harmonisée.

Dans ce contexte, l'adaptation de l'Espagne à la directive NIS2 se heurte à la pression des échéances, à la robustesse technique d'instruments tels que le Système national de sécurité (ENS) et au défi considérable que représente l'intégration de milliers de nouvelles entités dans une culture de cybersécurité avancée. Les organisations qui prennent les devants, réalisent des analyses de la situation et commencent dès maintenant à aligner leurs pratiques sur la directive seront mieux placées pour minimiser les risques, éviter les sanctions futures et faire preuve d'une approche proactive et mature face aux cybermenaces.