Implementação da Diretiva NIS2 em Espanha: situação, obrigações e desafios

Informatec Digital » Recursos » Implementação da Diretiva NIS2 na Espanha: situação, obrigações e desafios

A Diretiva Europeia NIS2 transformou completamente o panorama da cibersegurança na Europa, e especialmente em Espanha. Não se trata apenas de mais uma regulamentação; representa uma mudança fundamental na forma como as empresas e as administrações públicas gerem os riscos digitais, reportam incidentes e coordenam ações com as autoridades.

Entretanto, a Espanha avança de forma constante, embora claramente atrasada, na transposição da diretiva: o prazo oficial era outubro de 2024 e, até hoje, a futura Lei de Coordenação e Governança da Cibersegurança ainda está em tramitação no Parlamento. Essa situação cria um cenário um tanto peculiar: a Diretiva já é vinculativa em nível europeu, mas o marco legal nacional definitivo ainda não foi aprovado, deixando muitas organizações presas entre a obrigação moral e estratégica de se prepararem e avaliarem sua situação e a ausência de uma lei plenamente aplicável.

O que é a Diretiva NIS2 e por que ela muda as regras do jogo?

A Diretiva (UE) 2022/2555, conhecida como NIS2 , substitui a Diretiva NIS original com o objetivo de estabelecer um elevado nível comum de cibersegurança para redes e sistemas de informação em toda a União Europeia. O seu propósito é reforçar a resiliência contra incidentes cibernéticos que possam afetar serviços essenciais e o funcionamento normal da sociedade e da economia.

Ao contrário de seu antecessor, o NIS2 expande significativamente o número de setores e entidades afetados , incorporando não apenas infraestruturas críticas tradicionais (energia, transporte, água, serviços bancários ou saúde), mas também áreas como administração pública, infraestruturas digitais, serviços postais e de entrega, gestão de resíduos, manufatura avançada ou produção e distribuição de alimentos.

A Diretiva estabelece um quadro harmonizado de requisitos mínimos de cibersegurança para toda a UE, com medidas para gestão de riscos, governação, proteção da cadeia de abastecimento, continuidade de negócios e notificação precoce de incidentes. Além disso, reforça o regime de monitorização e sanções e aumenta explicitamente a responsabilidade da alta administração.

Outro desenvolvimento significativo é o claro compromisso com a cooperação entre os Estados-Membros e a criação ou o fortalecimento de Equipas Nacionais de Resposta a Incidentes de Segurança Informática (CSIRTs) , capazes de coordenar ações a nível europeu em situações de crise graves. A ENISA, Agência Europeia para a Cibersegurança, desempenha um papel fundamental neste ecossistema, apoiando o desenvolvimento de estratégias nacionais de cibersegurança e promovendo as melhores práticas.

O setor financeiro está essencialmente excluído do âmbito de aplicação da NIS2 , uma vez que as regulamentações da DORA prevalecem como lei especializada. Mesmo assim, a lógica da resiliência operacional digital que norteia a DORA é totalmente coerente com a filosofia da NIS2.

Situação atual da transposição do NIS2 na Espanha

A Diretiva NIS2 entrou em vigor em 16 de janeiro de 2023 e estabeleceu 17 de outubro de 2024 como prazo para sua transposição. Um ano após esse prazo, a Espanha ainda não havia concluído a incorporação formal em seu ordenamento jurídico interno, ficando assim no grupo de países atrasados.

Em consequência desse atraso, a Comissão Europeia instaurou processos de infração contra vários Estados-Membros. Em 7 de maio de 2025, a Comissão enviou um parecer fundamentado a dezenove países, incluindo a Espanha, exigindo que notificassem a transposição integral da Diretiva no prazo de dois meses, sob a advertência de que poderia submeter o assunto ao Tribunal de Justiça da UE caso as medidas necessárias não fossem tomadas.

No caso da Espanha, o ponto de virada crucial ocorreu em 14 de janeiro de 2025, com a aprovação pelo Conselho de Ministros do Projeto de Lei sobre Coordenação e Governança da Segurança Cibernética . Essa lei servirá como instrumento fundamental para a transposição da NIS2 para a legislação nacional e para a reorganização do modelo nacional de governança da segurança cibernética.

Após sua aprovação inicial, o projeto de lei foi disponibilizado para consulta e revisão pública entre 16 de janeiro e 10 de fevereiro de 2025 , permitindo que cidadãos, empresas, associações e outras organizações enviassem comentários e sugestões para melhorias. Posteriormente, o texto foi revisado pelo Grupo de Trabalho Técnico Interministerial, que consolidou a minuta levando em consideração o feedback recebido, inclusive de comunidades de especialistas como o Fórum ISMS.

Ainda assim, e apesar do impulso político, a lei permanece em tramitação no Parlamento . Fala-se em sua submissão ao Conselho de Ministros para aprovação como projeto de lei por volta de novembro e de uma possível aprovação parlamentar até o final de janeiro ou fevereiro do ano seguinte, mas a realidade é que, até o final de 2025, a Espanha ainda não possui uma lei nacional plenamente aplicável que transponha a NIS2.

Projeto de Lei sobre Coordenação e Governança em Segurança Cibernética

O projeto de lei aprovado pelo Governo espanhol é uma iniciativa conjunta dos Ministérios do Interior, da Defesa e da Transformação Digital e da Administração Pública . Seu objetivo é duplo: primeiro, transpor a Diretiva NIS2 e, segundo, organizar a coordenação e a governança da cibersegurança em nível nacional, fortalecendo a proteção de redes e sistemas de informação contra ameaças cibernéticas que possam afetar infraestruturas críticas e serviços essenciais.

A futura lei será aplicada a entidades públicas e privadas que atuam em setores como energia, transporte, infraestrutura bancária e do mercado financeiro, saúde, gestão de recursos hídricos, infraestrutura digital, serviços de tecnologia e outros setores críticos . Ela inclui explicitamente os registros de nomes de domínio , como o Dominios.es (gerenciado pela Red.es), que assumirão novas obrigações de cibersegurança devido ao seu papel estratégico na estabilidade do ecossistema digital.

Em termos gerais, a proposta está alinhada com as principais obrigações da Diretiva NIS2 e articula quatro eixos principais: fortalecimento da governança e da responsabilidade da alta administração, medidas gerais de gestão de riscos de segurança, designação de um responsável pela segurança da informação e obrigações claras de notificação de incidentes.

Além disso, a lei espanhola introduz um importante elemento organizacional: a criação do Centro Nacional de Cibersegurança (CNC) . Este órgão atuará como coordenador da proteção de redes e sistemas de informação, harmonizando critérios entre diferentes autoridades reguladoras (Ministério do Interior, Defesa e Transformação Digital), promovendo Equipes de Resposta a Incidentes de Segurança Cibernética (CSIRTs) e facilitando uma visão mais coesa do ecossistema nacional de cibersegurança.

Durante a fase de consulta pública, organizações como o ISMS Forum deram contribuições significativas : reforçando o papel do responsável pela segurança da informação, separando esta função da Lei de Segurança Privada e estabelecendo mecanismos de resposta específicos para os casos em que a entidade não conforme seja uma administração pública, que, por sua própria natureza, não pode ser penalizada financeiramente. Entre as propostas, destaca-se a possibilidade de avisos públicos, em consonância com as disposições da LOPDGDD (Lei Orgânica de Proteção de Dados Pessoais e Garantia dos Direitos Digitais) relativas à proteção de dados.

Setores e tipos de entidades afetadas pelo NIS2

A norma NIS2 classifica as organizações sujeitas à Diretiva como entidades essenciais ou importantes , com base principalmente no setor em que atuam e no seu porte (empresas de médio e grande porte, com exceções baseadas na criticidade). A norma aplica-se, em geral, a entidades públicas ou privadas que operam na UE, com a possibilidade de incluir organizações de menor porte quando os Estados-Membros as identificarem como essenciais ou importantes devido à sua relevância.

Os setores de alta criticidade estão listados no Anexo I da NIS2, enquanto os demais setores críticos estão listados no Anexo II . Na Espanha, o aumento no número de setores é um pouco menor do que em outros países, porque a transposição da antiga NIS já estava alinhada com a Lei 8/2011 sobre a Proteção de Infraestruturas Críticas, que incluía 12 setores. Mesmo assim, a NIS2 incorpora novas áreas, como serviços postais e de entrega expressa, gestão de resíduos e diversas categorias de manufatura , e divide outras, por exemplo, distinguindo entre água potável e esgoto.

Dentre os setores e exemplos de entidades , destacam-se os seguintes:

• EnergiaEmpresas de fornecimento de eletricidade, gestores de redes de transporte e distribuição, produtores, operadores NEMO, participantes do mercado de eletricidade, operadores de pontos de carregamento; operadores e gestores de redes de gás, petróleo e hidrogênio.
• TransporteCompanhias aéreas, operadores aeroportuários, controle de tráfego aéreo, gestores de infraestrutura ferroviária, empresas ferroviárias, entidades de transporte marítimo e fluvial, operadores portuários, serviços de tráfego de navios, autoridades rodoviárias e operadores de sistemas inteligentes de transporte.
• Infraestrutura bancária e do mercado financeiroInstituições de crédito e gestores de centros de negociação, contrapartes centrais, com a nuance de que a DORA atua como um padrão setorial específico.
• Setor de saudePrestadores de cuidados de saúde, laboratórios de referência da UE, entidades de I&D de medicamentos, fabricantes de produtos farmacêuticos básicos e especializados e fabricantes de dispositivos médicos essenciais em emergências de saúde pública.
• Água potável e águas residuaisFornecedores e distribuidores de água potável e empresas responsáveis ​​pela coleta, descarte e tratamento de águas residuais urbanas, domésticas ou industriais.
• Infraestrutura digitalProvedores de pontos de troca de internet (IXP), serviços de DNS, registros de domínio de nível superior, provedores de serviços de computação em nuvem, centros de dados, redes de distribuição de conteúdo (CDNs), provedores de serviços confiáveis, provedores de redes públicas de comunicações eletrônicas e serviços públicos de comunicações eletrônicas.
• Gestão de serviços de TIC de empresa para empresa: provedores de serviços gerenciados e provedores de serviços de segurança gerenciados, com impacto direto em toda a cadeia de suprimentos de tecnologia.
• Administrações públicasEntidades da Administração Geral do Estado e, em certos casos, entidades regionais e locais, quando a interrupção dos seus serviços possa afetar significativamente atividades sociais ou económicas críticas.
• Serviços postais e de correioFornecedores que realizam a coleta, triagem, transporte e distribuição de remessas postais.
• Gestão de residuosEmpresas dedicadas à coleta, transporte, recuperação e destinação final de resíduos, incluindo aterros sanitários.
• QuímicoEmpresas que fabricam, produzem e distribuem substâncias e misturas químicas, bem como produzem artigos a partir delas.
• Produção, processamento e distribuição de alimentosEmpresas alimentícias dedicadas à distribuição por atacado e à produção e processamento industrial em larga escala.
• Fabricação avançadaFabricantes de produtos para a saúde e diagnósticos in vitro, fabricação de produtos de informática, eletrônicos e ópticos, equipamentos elétricos, máquinas e equipamentos, veículos motorizados e outros equipamentos de transporte.
• Setor espacialOperadores de infraestrutura terrestre que dão suporte à prestação de serviços espaciais, exceto aqueles cuja propriedade ou gestão corresponda à UE ou a terceiros no âmbito do seu programa espacial.

Em todos esses setores, as grandes empresas são geralmente classificadas como essenciais , enquanto as empresas de médio porte tendem a ser importantes, a menos que sejam especificamente designadas de outra forma. As pequenas e microempresas geralmente são excluídas devido ao seu tamanho, mas podem ser incluídas se sua criticidade o justificar.

Responsabilidades de governança e gestão sênior

Uma das mudanças mais significativas na NIS2 e no projeto de lei espanhol é a ênfase na governança da cibersegurança e na responsabilidade direta dos órgãos governamentais . O artigo 14 do projeto de lei reforça essa ideia: a cibersegurança deixa de ser uma questão puramente técnica e passa a ser uma questão estratégica de alto nível.

A alta administração deve aprovar e supervisionar a implementação das medidas de gestão de riscos de cibersegurança , garantindo que sejam proporcionais ao contexto da organização e aos riscos identificados. Além disso, os órgãos de governança serão os responsáveis ​​finais por qualquer descumprimento, o que está vinculado ao regime de sanções reforçado.

Outro ponto fundamental é o treinamento regular em cibersegurança para a gestão . Delegar tarefas simplesmente não basta: os líderes precisam ser capacitados para compreender os riscos, tomar decisões embasadas e promover uma cultura de segurança robusta em toda a organização. Por sua vez, eles serão responsáveis ​​por incentivar programas de treinamento regulares para os demais funcionários.

O artigo 20.º da NIS2 reforça esta perspetiva ao exigir expressamente que os órgãos de governo estejam cientes das suas obrigações, aprovem as medidas, garantam a sua implementação e sejam capazes de responder, em situações extremas, mesmo com consequências pessoais (como a possível separação de funções em determinados casos).

Nesse contexto, a relação entre a gestão e o responsável pela segurança da informação (CISO ou equivalente) torna-se crucial: espera-se um diálogo fluido e constante, baseado em critérios objetivos de risco e conformidade.

Medidas de gestão de riscos exigidas pela NIS2

O artigo 15.º do projeto de lei espanhol estabelece que as medidas de gestão de riscos de cibersegurança devem basear-se em normas técnicas nacionais, europeias e internacionais , integrando, no mínimo, os requisitos previstos no artigo 21.º da NIS2 e desenvolvidos no Regulamento de Execução (UE) 2024/2690.

Dentre as medidas que as entidades essenciais e importantes devem implementar , destacam-se as seguintes:

• Políticas de segurança e análise de risco dos sistemas de informação, com revisões periódicas.
• Gestão de incidentes , incluindo procedimentos claros de detecção, resposta e recuperação.
• Continuidade de negócios, backups, recuperação de desastres e gerenciamento de crises.Garantir a resiliência operacional.
• Segurança da cadeia de suprimentos e das relações com fornecedores e prestadores de serviços diretos, o que envolve a imposição de requisitos contratuais e controles de aprovação e auditoria.
• gerenciamento de vulnerabilidade na aquisição, desenvolvimento e manutenção de redes e sistemas de informação, incluindo correções e atualizações.
• Políticas para avaliar a eficácia das medidas de cibersegurançapor meio de auditorias, métricas e revisões periódicas.
• Práticas básicas de higiene cibernética e treinamento de funcionários, adaptados aos diferentes perfis.
• Criptografia e políticas de criptografia para garantir a confidencialidade e a integridade das informações.
• Segurança de Recursos HumanosPolíticas de controle de acesso e gestão de ativos.
• Autenticação multifatorial ou contínua, proteção das comunicações de voz e das comunicações de emergência.

Na Espanha, muitas dessas medidas já estavam incluídas no Quadro Nacional de Segurança (ENS) , especialmente para as administrações públicas e seus fornecedores. De fato, a Agência Estatal de Administração Digital e o Centro Nacional de Criptologia apresentaram à UE o forte alinhamento do ENS com a NIS2, destacando seu potencial como referência europeia e sua contribuição para a resiliência do ecossistema digital nacional.

No entanto, o NIS2 eleva o padrão para uma gama muito mais ampla de organizações, incluindo PMEs afetadas pelo seu tamanho ou criticidade . Para organizações maduras, muitos desses requisitos estão alinhados com as práticas existentes; para milhares de empresas sem experiência em cibersegurança, eles representam um salto significativo em termos de maturidade, recursos e organização interna.

O Diretor de Segurança da Informação (CISO) e suas funções

O artigo 16 do projeto de lei estabelece que todas as entidades essenciais e importantes devem nomear um responsável pela segurança da informação . Esta função, inspirada na experiência anterior da Espanha com o Sistema Nacional de Informação (SNI), torna-se o ponto central de coordenação de tudo o que se relaciona com a proteção de sistemas e dados.

Suas principais funções incluem:

• Definir e implementar a estratégia de cibersegurança da organização., alinhado com os riscos, as obrigações comerciais e regulamentares.
• Avaliar, mitigar e rever continuamente os riscos., mantendo uma visão atualizada da exposição da entidade.
• Gerenciar as evidências, políticas e registros necessários para demonstrar a conformidade. das obrigações decorrentes da NIS2 e das regulamentações nacionais.
• Promover uma cultura de cibersegurança Em coordenação com a alta administração, promoveremos o treinamento e a conscientização de todos os funcionários.
• Garantir o cumprimento das obrigações de notificação de incidentes., coordenando os relatórios às autoridades competentes.

A Espanha foi um dos primeiros países a introduzir explicitamente o cargo de Diretor de Segurança da Informação (CISO) na transposição da antiga NIS. No entanto, a experiência demonstrou que um número significativo de operadores-chave nunca formalizou esse cargo e, mesmo assim, não foram penalizados. A NIS2, em conjunto com a futura legislação espanhola e um regime de sanções mais rigoroso, procura corrigir essa lacuna e conferir ao CISO uma posição mais robusta e reconhecida.

Olhando para o futuro, prevê-se um aumento massivo no número de entidades obrigadas : de aproximadamente 400 operadores essenciais atuais para uma estimativa de 5.000 a 50.000 entidades essenciais e importantes. Isso implicará uma demanda significativa por profissionais de cibersegurança, tanto internos quanto terceirizados, especialmente para PMEs que nunca tiveram essa função anteriormente.

Obrigações de reporte de incidentes e gestão de vulnerabilidades

A Diretiva NIS2 atribui importância primordial à notificação precoce de incidentes de segurança com impacto significativo . O artigo 18.º do projeto de lei espanhol detalha esta obrigação, alinhando-se com os prazos e conteúdos estabelecidos pela Diretiva.

Quando uma entidade sofre um incidente que pode causar sérias interrupções na prestação de seus serviços ou danos consideráveis ​​a si mesma ou a terceiros, ela deve cumprir o seguinte esquema de notificação:

• Notificação inicial: num prazo máximo de 24 horas após a detecção do incidente, fornecendo as informações básicas disponíveis.
• relatório provisório: num prazo máximo de 72 horas após a detecção, com uma avaliação inicial do impacto e da gravidade.
• Relatório final: num prazo máximo de um mês a partir da primeira notificação, incluindo uma descrição detalhada do incidente, seu impacto, gravidade e as medidas tomadas.

Além disso, o NIS2 fortalece a gestão de vulnerabilidades e a comunicação : não se trata apenas de relatar incidentes concluídos, mas também de compartilhar informações relevantes sobre vulnerabilidades que possam ter um impacto sistêmico, facilitando a coordenação de respostas em níveis nacional e europeu.

Na Espanha, o ecossistema de resposta a incidentes se baseia em três principais CSIRTs de referência : o CCN-CERT (para administração pública, empresas estratégicas e sistemas classificados), o INCIBE-CERT (setor privado e cidadãos) e o MCCE (setor de defesa). Estes são complementados pela rede csirt.es, que reúne dezenas de equipes especializadas e se conecta com redes internacionais como a FIRST, bem como com a Rede Nacional de SOCs.

Entidades essenciais e importantes devem reportar seus incidentes às CSIRTs competentes , de acordo com os regulamentos do setor e as diretrizes do futuro Centro Nacional de Cibersegurança, que atuará como elemento coordenador e de ligação com a ENISA e os demais Estados-Membros.

Regime de sanções e pressão europeia

A Diretiva NIS2 estabelece um regime de sanções significativamente mais rigoroso do que a Diretiva NIS anterior . Para entidades essenciais, as infrações mais graves podem resultar em multas de até 10 milhões de euros ou 2% do volume de negócios global do grupo, enquanto para entidades de maior dimensão, as sanções podem atingir os 7 milhões de euros ou 1,4% do volume de negócios global.

Atualmente, não foram observadas sanções baseadas na NIS2 na Espanha , em parte porque a lei de transposição ainda não está em vigor e a autoridade supervisora ​​ainda não foi formalmente designada. Em outros Estados-Membros, a transposição é recente, portanto, ainda é muito cedo para esperar sanções generalizadas.

Ainda assim, os especialistas concordam que, quando países como a França ou a Alemanha começarem a aplicar sanções , a Espanha não pode ficar para trás se quiser manter a harmonização e a credibilidade a nível europeu. A pressão da Comissão, através de processos de infração e pareceres fundamentados, visa atingir esse objetivo.

Além das sanções financeiras, a NIS2 introduz explicitamente, pela primeira vez, a responsabilidade da alta administração em cibersegurança . A desconexão entre a administração e o CISO deixa de ser uma opção: o órgão de governança deve estar envolvido, informado e tomar as decisões necessárias.

O maior desafio, segundo especialistas como os do ISMS Forum, reside na rede de PMEs que, sem se darem conta, estarão sujeitas à NIS2 . Muitas carecem de recursos, processos ou cultura de cibersegurança suficientes e serão pressionadas tanto pela lei quanto pelas exigências de seus grandes clientes na cadeia de suprimentos, que terão de exigir garantias contratuais para o cumprimento da Diretiva.

Apoiar iniciativas, estudos e o papel da ENS

Paralelamente aos avanços legislativos, a Espanha está promovendo iniciativas técnicas e de conhecimento para facilitar a adaptação do setor empresarial à NIS2. O ISMS Forum, por exemplo, está desenvolvendo um estudo sobre o impacto da NIS2 nas empresas espanholas, no âmbito da Cátedra Extraordinária de Cibersegurança e Proteção de Dados da UCM.

Este projeto tem um objetivo duplo: construir um censo não oficial de empresas afetadas pelo NIS2 e medir seu nível de maturidade em cibersegurança. Na primeira fase, o censo será compilado utilizando bases de dados abrangentes (registro comercial, DIRCE/INE, bases de dados setoriais, etc.), com resultados previstos para novembro de 2025. Na segunda fase, um breve questionário será enviado a uma amostra representativa de empresas (com o objetivo de obter 1.000 respostas) para avaliar seu nível de preparação, com resultados previstos para maio de 2026.

A análise incluirá segmentações por setor, porte, distribuição geográfica e tipo de entidade (essencial ou importante) , apresentando as conclusões em um relatório executivo agregado, sem dados individuais, que servirá tanto às empresas quanto às autoridades.

Ao mesmo tempo, organizações como o ISMS Forum e diversas agências públicas estão realizando eventos de divulgação em todo o país , com foco especial em PMEs. O objetivo é "evangelizar", explicando claramente o que a NIS2 implica, por que ter um CISO (interno ou externo) é essencial, como definir políticas básicas de cibersegurança e como se preparar para a futura lei e seus regulamentos complementares.

Em termos estritamente regulatórios, o Quadro Nacional de Segurança (ENS) foi apresentado na Europa como um dos maiores trunfos da Espanha . A Agência Estatal de Administração Digital e o Centro Nacional de Criptologia (CCN) compartilharam a experiência acumulada do ENS, seus perfis de conformidade e sua integração com os sistemas europeus de certificação do Regulamento (UE) 2019/881 (Lei de Cibersegurança) com o Grupo de Cooperação NIS2. A receptividade positiva dessa apresentação reforça a imagem da Espanha como um ator proativo, comprometido com uma cibersegurança robusta, coerente e harmonizada.

Nesse contexto, a adaptação da Espanha à NIS2 enfrenta a pressão dos prazos, a robustez técnica de instrumentos como o Sistema Nacional de Segurança (ENS) e o enorme desafio de incorporar milhares de novas entidades a uma cultura de cibersegurança avançada. As organizações que se anteciparem, realizarem avaliações situacionais e começarem a alinhar suas práticas à Diretiva agora estarão em melhor posição para minimizar riscos, evitar penalidades futuras e demonstrar uma abordagem proativa e madura em relação às ciberameaças.