Genomförandet av NIS2-direktivet i Spanien: situation, skyldigheter och utmaningar

Informatec Digital » Resurser » Implementeringen av NIS2-direktivet i Spanien: situation, skyldigheter och utmaningar

Det europeiska NIS2-direktivet har fullständigt förändrat cybersäkerhetslandskapet i Europa, och särskilt i Spanien. Detta är inte bara ytterligare en förordning; det representerar ett fundamentalt skifte i hur företag och offentliga förvaltningar hanterar digitala risker, rapporterar incidenter och samordnar med myndigheter.

Samtidigt gör Spanien stadiga men tydligt försenade framsteg i sitt införlivande: den officiella tidsfristen var oktober 2024, och än idag genomgår den framtida lagen om samordning och styrning av cybersäkerhet fortfarande parlamentariska förfaranden. Denna situation skapar ett något märkligt scenario: direktivet är redan bindande på europeisk nivå, men den slutgiltiga nationella rättsliga ramen har ännu inte godkänts, vilket lämnar många organisationer i kläm mellan den moraliska och strategiska skyldigheten att förbereda och bedöma sin situation och avsaknaden av en fullt tillämplig lag.

Vad är NIS2-direktivet och varför ändrar det spelreglerna?

Direktiv (EU) 2022/2555, känt som NIS2 , ersätter det ursprungliga NIS-direktivet med syftet att fastställa en hög gemensam nivå av cybersäkerhet för nätverk och informationssystem i hela Europeiska unionen. Syftet är att stärka motståndskraften mot cyberincidenter som kan påverka viktiga tjänster och samhällets och ekonomins normala funktion.

Till skillnad från sin föregångare utökar NIS2 avsevärt antalet berörda sektorer och enheter , och omfattar inte bara traditionell kritisk infrastruktur (energi, transport, vatten, bank eller hälso- och sjukvård), utan även områden som offentlig förvaltning, digital infrastruktur, post- och budtjänster, avfallshantering, avancerad tillverkning eller livsmedelsproduktion och distribution.

Direktivet inrättar ett harmoniserat ramverk för minimikrav på cybersäkerhet för hela EU, med åtgärder för riskhantering, styrning, skydd av leveranskedjan, affärskontinuitet och tidig anmälan av incidenter. Dessutom stärker det övervaknings- och sanktionssystemet och ökar uttryckligen den högsta ledningens ansvar.

En annan viktig utveckling är det tydliga åtagandet till samarbete mellan medlemsstaterna och inrättandet eller stärkandet av nationella insatsgrupper för datasäkerhetsincidenter (CSIRT) , som kan samordna på europeisk nivå i allvarliga krissituationer. Enisa, EU:s cybersäkerhetsbyrå, spelar en nyckelroll i detta ekosystem genom att stödja utvecklingen av nationella cybersäkerhetsstrategier och främja bästa praxis.

Finanssektorn är i huvudsak undantagen från NIS2:s tillämpningsområde , eftersom DORA-reglerna har företräde som lex specialis. Trots detta är logiken bakom digital operativ motståndskraft som driver DORA helt i linje med NIS2-filosofin.

Nuvarande status för införlivandet av NIS2 i Spanien

NIS2-direktivet trädde i kraft den 16 januari 2023 och satte den 17 oktober 2024 som tidsfrist för dess införlivande. Ett år efter den tidsfristen hade Spanien fortfarande inte slutfört det formella införlivandet i sitt interna rättssystem, vilket placerade landet i gruppen av länder som släpar efter.

Till följd av denna försening inledde Europeiska kommissionen överträdelseförfaranden mot ett flertal medlemsstater. Den 7 maj 2025 skickade kommissionen ett motiverat yttrande till nitton länder, inklusive Spanien, med krav på att de skulle anmäla det fullständiga införlivandet av direktivet inom två månader, med varningen att den kunde hänskjuta ärendet till EU-domstolen om nödvändiga åtgärder inte vidtogs.

När det gäller Spanien inträffade den stora vändpunkten den 14 januari 2025, då ministerrådet godkände lagförslaget om samordning och styrning av cybersäkerhet. Denna lag kommer att fungera som det grundläggande instrumentet för att införliva NIS2 i nationell lagstiftning och omorganisera den nationella styrningsmodellen för cybersäkerhet.

Efter det första godkännandet gjordes lagförslaget tillgängligt för offentligt samråd och granskning mellan 16 januari och 10 februari 2025 , vilket gjorde det möjligt för medborgare, företag, föreningar och andra organisationer att lämna in kommentarer och förslag till förbättringar. Därefter granskades texten av den interministeriella tekniska arbetsgruppen, som sammanställde utkastet med hänsyn till den feedback som mottagits, inklusive den från expertgrupper som ISMS-forumet.

Trots det politiska momentumet är lagen fortfarande under parlamentarisk behandling . Det har talats om att den ska läggas fram för ministerrådet för godkännande som ett lagförslag runt november och om ett eventuellt parlamentariskt godkännande i slutet av januari eller februari året därpå, men verkligheten är att Spanien fram till slutet av 2025 fortfarande saknar en fullt tillämplig nationell lag som införlivar NIS2.

Lagförslaget om samordning och styrning av cybersäkerhet

Det lagförslag som godkänts av den spanska regeringen är ett gemensamt initiativ från inrikes-, försvars- och digitaliseringsministeriet samt ministeriet för offentlig förvaltning . Dess syfte är tvåfaldigt: för det första att införliva NIS2-direktivet, och för det andra att organisera samordningen och styrningen av cybersäkerhet på nationell nivå, och stärka skyddet av nätverk och informationssystem mot cyberhot som kan påverka kritisk infrastruktur och samhällsviktiga tjänster.

Den framtida lagen kommer att gälla för offentliga och privata enheter som är verksamma inom sektorer som energi, transport, bank- och finansmarknadsinfrastruktur, hälso- och sjukvård, vattenförvaltning, digital infrastruktur, tekniktjänster och andra kritiska sektorer . Den inkluderar uttryckligen domännamnsregister , såsom Dominios.es (förvaltas av Red.es), vilka kommer att åta sig nya cybersäkerhetsskyldigheter på grund av deras strategiska roll i stabiliteten i det digitala ekosystemet.

Generellt sett överensstämmer utkastet med de viktigaste skyldigheterna i NIS2-direktivet och anger fyra huvudaspekter: stärkt styrning och ansvar för den högsta ledningen, allmänna åtgärder för hantering av säkerhetsrisker, utnämning av en informationssäkerhetsansvarig och tydliga skyldigheter att rapportera incidenter.

Dessutom inför den spanska lagen ett betydande organisatoriskt element: skapandet av det nationella cybersäkerhetscentret (CNC) . Detta organ kommer att fungera som ett samordnande organ för skydd av nätverk och informationssystem, harmonisera kriterier mellan olika tillsynsmyndigheter (inrikes, försvar och digital transformation), främja insatsgrupper för incidenthantering vid datorsäkerhet (CSIRT) och underlätta en mer sammanhängande vision för det nationella cybersäkerhetsekosystemet.

Under den offentliga samrådsfasen bidrog organisationer som ISMS Forum avsevärt : de stärkte informationssäkerhetsombudets roll, separerade denna position från lagen om privat säkerhet och inrättade specifika responsmekanismer när den icke-efterlevande enheten är en offentlig förvaltning, vilket till sin natur inte kan bestraffas ekonomiskt. Bland förslagen finns möjligheten till offentliga varningar, i linje med bestämmelserna i LOPDGDD (organisk lag om skydd av personuppgifter och garanti för digitala rättigheter) om dataskydd.

Sektorer och typer av enheter som påverkas av NIS2

NIS2 klassificerar organisationer som omfattas av direktivet som väsentliga eller viktiga enheter , främst baserat på den sektor de är verksamma inom och deras storlek (medelstora och stora företag, med undantag baserade på kritiska egenskaper). Standarden gäller generellt sett för offentliga eller privata enheter som är verksamma inom EU, med möjlighet att inkludera mindre organisationer när medlemsstaterna identifierar dem som väsentliga eller viktiga på grund av deras relevans.

De sektorer med hög kritiskhet listas i bilaga I till NIS2, medan andra kritiska sektorer listas i bilaga II . I Spanien är ökningen av antalet sektorer något mindre än i andra länder, eftersom införlivandet av den gamla NIS redan var anpassat till lag 8/2011 om skydd av kritisk infrastruktur, som omfattade 12 sektorer. Ändå införlivar NIS2 nya områden som post- och budtjänster, avfallshantering och flera tillverkningskategorier , och delar upp andra, till exempel genom att skilja mellan dricksvatten och avloppsvatten.

Bland sektorerna och exemplen på enheter utmärker sig följande:

• effektElförsörjningsföretag, transport- och distributionsnätförvaltare, producenter, NEMO-operatörer, elmarknadsaktörer, laddningsstationsoperatörer; gas-, olje- och vätgasnätsoperatörer och förvaltare.
• Transportflygbolag, flygplatsoperatörer, flygtrafikledning, järnvägsinfrastrukturförvaltare, järnvägsföretag, sjö- och flodtransportenheter, hamnoperatörer, fartygstrafiktjänster, vägmyndigheter och operatörer av intelligenta transportsystem.
• Bank- och finansmarknadsinfrastrukturkreditinstitut och förvaltare av handelsplatser, centrala motparter, med nyansen att DORA fungerar som en specifik sektorstandard.
• Vårdsektornvårdgivare, EU:s referenslaboratorier, forsknings- och utvecklingsenheter för läkemedel, tillverkare av bas- och specialläkemedel och tillverkare av viktiga medicintekniska produkter vid folkhälsokriser.
• Dricksvatten och avloppsvattenLeverantörer och distributörer av dricksvatten, och företag som ansvarar för insamling, omhändertagande och behandling av kommunalt, hushålls- eller industriavloppsvatten.
• Digital infrastrukturLeverantörer av internetutbytespunkter (IXP), DNS-tjänster, toppdomänregister, leverantörer av molntjänster, datacenter, innehållsleveransnätverk (CDN), betrodda tjänsteleverantörer, leverantörer av offentliga elektroniska kommunikationsnät och offentliga elektroniska kommunikationstjänster.
• Företagsbaserad IT-tjänsthantering: leverantörer av hanterade tjänster och leverantörer av hanterade säkerhetstjänster, med direkt inverkan på hela teknikförsörjningskedjan.
• Offentliga förvaltningarEnheter inom den allmänna statsförvaltningen och, i vissa fall, regionala och lokala enheter, när störningar i deras tjänster kan påverka kritiska sociala eller ekonomiska verksamheter avsevärt.
• Post- och budtjänster: leverantörer som utför insamling, sortering, transport och distribution av postförsändelser.
• Gestión de restosföretag som arbetar med insamling, transport, återvinning och bortskaffande av avfall, inklusive deponier.
• Kemiskföretag som tillverkar, producerar och distribuerar kemiska ämnen och blandningar, samt producerar varor av dem.
• Produktion, bearbetning och distribution av livsmedelLivsmedelsföretag inriktade på grossistdistribution och storskalig industriell produktion och bearbetning.
• Avancerad tillverkningTillverkare av hälsoprodukter och in vitro-diagnostik, tillverkning av datorer, elektroniska och optiska produkter, elektrisk utrustning, maskiner och utrustning, motorfordon och annan transportutrustning.
• RymdsektornOperatörer av markbunden infrastruktur som stöder tillhandahållandet av rymdtjänster, med undantag för de vars ägande eller förvaltning motsvarar EU eller tredje part inom ramen för dess rymdprogram.

Inom alla dessa sektorer klassificeras stora enheter generellt som väsentliga , medan medelstora enheter tenderar att vara viktiga, om inte annat uttryckligen anges. Småföretag och mikroföretag exkluderas vanligtvis på grund av sin storlek, men kan inkluderas om deras kritiska betydelse motiverar det.

Styrning och ledningsansvar

En av de viktigaste förändringarna i NIS2 och det spanska lagförslaget är betoningen på styrning av cybersäkerhet och det direkta ansvaret för styrande organ . Artikel 14 i lagförslaget förstärker denna idé: cybersäkerhet är inte längre en rent teknisk fråga, utan snarare en strategisk fråga på högsta nivå.

Ledningen måste godkänna och övervaka implementeringen av åtgärder för hantering av cybersäkerhetsrisker och säkerställa att de står i proportion till organisationens sammanhang och de identifierade riskerna. Dessutom bär de styrande organen det yttersta ansvaret för eventuella bristande efterlevnad, vilket är kopplat till det skärpta sanktionssystemet.

En annan viktig punkt är regelbunden cybersäkerhetsutbildning för ledningen . Att bara delegera räcker inte: ledare måste utbildas för att förstå riskerna, fatta välgrundade beslut och stödja spridningen av en stark säkerhetskultur i hela organisationen. De kommer i sin tur att ansvara för att främja regelbundna utbildningsprogram för resten av personalen.

Artikel 20 i NIS2 förstärker denna uppfattning genom att uttryckligen kräva att styrande organ ska vara medvetna om sina skyldigheter, godkänna åtgärderna, säkerställa deras genomförande och kunna reagera, i extrema situationer, även med personliga konsekvenser (såsom eventuell funktionsseparation i vissa fall).

I detta sammanhang blir relationen mellan ledningen och informationssäkerhetsansvarig (CISO eller motsvarande) avgörande: en flytande, ständig dialog baserad på objektiva risk- och efterlevnadskriterier förväntas.

Riskhanteringsåtgärder som krävs enligt NIS2

Artikel 15 i det spanska lagförslaget fastställer att åtgärder för hantering av cybersäkerhetsrisker måste baseras på nationella, europeiska och internationella tekniska standarder och åtminstone integrera kraven i artikel 21 i NIS2 och som utvecklats i genomförandeförordning (EU) 2024/2690.

Bland de åtgärder som väsentliga och viktiga enheter måste genomföra utmärker sig följande:

• Säkerhetspolicyer och riskanalys av informationssystemen, med regelbundna översyner.
• Incidenthantering, inklusive tydliga rutiner för detektering, respons och återställning.
• Verksamhetskontinuitet, säkerhetskopiering, katastrofåterställning och krishanteringsäkerställa operativ motståndskraft.
• Säkerhet i försörjningskedjan och av relationerna med leverantörer och direkta tjänsteleverantörer, vilket innebär att man inför avtalsenliga krav samt godkännande- och revisionskontroller.
• Sårbarhetshantering vid anskaffning, utveckling och underhåll av nätverk och informationssystem, inklusive patchar och uppdateringar.
• Policyer för utvärdering av effektiviteten av cybersäkerhetsåtgärdergenom revisioner, mätvärden och regelbundna granskningar.
• Grundläggande cyberhygienrutiner och utbildning av anställda, anpassade till de olika profilerna.
• Kryptografi och krypteringspolicyer för att garantera informationens sekretess och integritet.
• PersonalsäkerhetPolicyer för åtkomstkontroll och tillgångshantering.
• Multifaktor- eller kontinuerlig autentisering, skydd av röstkommunikation och nödkommunikation.

I Spanien inkluderades många av dessa åtgärder redan i den nationella säkerhetsramen (ENS) , särskilt för offentliga förvaltningar och deras leverantörer. Faktum är att den statliga byrån för digital förvaltning och det nationella kryptologiska centret har presenterat för EU den starka anpassningen mellan ENS och NIS2, och framhävt dess potential som ett europeiskt riktmärke och dess bidrag till det nationella digitala ekosystemets motståndskraft.

NIS2 höjer dock ribban för ett mycket bredare spektrum av organisationer, inklusive små och medelstora företag som påverkas av storlek eller kritisk betydelse . För mogna organisationer överensstämmer många av dessa krav med befintlig praxis; för tusentals företag utan bakgrund inom cybersäkerhet representerar de ett betydande språng i mognad, resurser och intern organisation.

Informationssäkerhetschefen (CISO) och deras funktioner

Artikel 16 i lagförslaget fastställer att alla väsentliga och viktiga enheter måste utse en informationssäkerhetsansvarig . Denna roll, inspirerad av Spaniens tidigare erfarenheter av det ursprungliga NIS, blir den centrala punkten för att samordna allt som rör skydd av system och data.

Dess huvudsakliga funktioner inkluderar:

• Definiera och implementera organisationens cybersäkerhetsstrategi, i linje med risker, affärsmässiga och regulatoriska skyldigheter.
• Utvärdera, minska och kontinuerligt granska risker, och upprätthåller en aktuell bild av enhetens exponering.
• Hantera bevis, policyer och register som är nödvändiga för att visa efterlevnad av de skyldigheter som följer av NIS2 och nationella bestämmelser.
• Främja en cybersäkerhetskultur i samordning med ledningen, utbildning och ökad medvetenhet bland all personal.
• Säkerställa efterlevnaden av skyldigheterna att rapportera incidenter, samordna rapporterna till de behöriga myndigheterna.

Spanien var ett av de första länderna som uttryckligen införde rollen som Chief Information Security Officer (CISO) i samband med införlivandet av det tidigare NIS. Erfarenheten visade dock att ett betydande antal nyckelaktörer aldrig formellt utsåg denna roll och trots det inte straffades. NIS2, i kombination med den framtida spanska lagen och ett strängare sanktionssystem, syftar till att korrigera denna slapphet och ge CISO en mer robust och erkänd position.

Framöver förväntas en massiv ökning av förpliktade enheter : från cirka 400 nuvarande viktiga aktörer till uppskattningsvis 5 000 till 50 000 viktiga och viktiga enheter. Detta kommer att innebära en betydande efterfrågan på cybersäkerhetsexperter, både internt och externt, särskilt för små och medelstora företag som aldrig tidigare har haft denna roll.

Skyldigheter att rapportera incidenter och hantera sårbarheter

NIS2-direktivet lägger stor vikt vid tidig anmälan av säkerhetsincidenter med betydande konsekvenser . Artikel 18 i det spanska lagförslaget utvecklar denna skyldighet och anpassar sig till de tidsfrister och det innehåll som fastställs i direktivet.

När en enhet drabbas av en incident som kan orsaka allvarliga störningar i tillhandahållandet av dess tjänster eller betydande skada för den själv eller tredje part, måste den följa följande rapporteringsschema:

• Inledande anmälaninom högst 24 timmar efter att händelsen upptäckts, med tillhandahållande av tillgänglig grundläggande information.
• delårsrapportinom högst 72 timmar från upptäckt, med en inledande bedömning av påverkan och allvarlighetsgrad.
• Slutrapportinom högst en månad från den första anmälan, inklusive en detaljerad beskrivning av händelsen, dess inverkan, allvar och de åtgärder som vidtagits.

Dessutom stärker NIS2 sårbarhetshantering och kommunikation : det handlar inte bara om att rapportera avslutade incidenter, utan också om att dela relevant information om sårbarheter som kan ha en systemisk inverkan, vilket underlättar samordningen av insatser på nationell och europeisk nivå.

I Spanien förlitar sig responsekosystemet på tre viktiga referens-CSIRT :er: CCN-CERT (för offentlig förvaltning, strategiska företag och sekretessbelagda system), INCIBE-CERT (privat sektor och medborgare) och MCCE (försvarssektorn). Dessa kompletteras av nätverket csirt.es, som sammanför dussintals specialiserade team och är anslutna till internationella nätverk som FIRST, såväl som det nationella SOC-nätverket.

Väsentliga och viktiga enheter måste rapportera sina incidenter till de behöriga CSIRT-enheterna , i enlighet med sektorsföreskrifter och riktlinjerna från det framtida nationella cybersäkerhetscentrumet, som kommer att fungera som en samordnande faktor och kontaktperson med Enisa och resten av medlemsstaterna.

Sanktionsregimen och europeiskt tryck

NIS2-direktivet fastställer ett betydligt strängare sanktionssystem än det tidigare NIS-direktivet . För viktiga enheter kan de allvarligaste överträdelserna resultera i böter på upp till 10 miljoner euro eller 2 % av koncernens globala omsättning, medan för större enheter kan böterna uppgå till 7 miljoner euro eller 1,4 % av den globala omsättningen.

För närvarande har inga sanktioner baserade på NIS2 ännu observerats i Spanien , delvis på grund av att införlivandelagen ännu inte har trätt i kraft och tillsynsmyndigheten inte formellt har utsetts. I andra medlemsstater är införlivandet nyligen genomfört, så det är fortfarande för tidigt att förvänta sig omfattande sanktioner.

Experterna är dock överens om att när länder som Frankrike eller Tyskland börjar tillämpa sanktioner har Spanien inte råd att halka efter om man vill upprätthålla harmonisering och trovärdighet på europeisk nivå. Kommissionens påtryckningar, genom överträdelseförfaranden och motiverade yttranden, syftar till att uppnå detta.

Utöver de ekonomiska påföljderna inför NIS2 uttryckligen, för första gången, ett ansvar för cybersäkerhet för den högsta ledningen . Bristen mellan ledningen och IT-chefen är inte längre ett alternativ: styrelsen måste vara involverad, informerad och fatta nödvändiga beslut.

Den största utmaningen, enligt specialister som de på ISMS Forum, ligger inom nätverket av små och medelstora företag som, utan att vara helt medvetna om det, kommer att vara bundna av NIS2 . Många saknar tillräckliga resurser, processer eller cybersäkerhetskultur och kommer att "pressas" både av lagen och av kraven från sina stora kunder i leveranskedjan, som kommer att behöva kräva avtalsenliga garantier för att följa direktivet.

Stödja initiativ, studier och ENS roll

Parallellt med lagstiftningsframsteg främjar Spanien tekniska och kunskapsbaserade initiativ för att underlätta näringslivets anpassning till NIS2. ISMS Forum arbetar till exempel med en studie av NIS2:s inverkan på spanska företag, under ledning av den extraordinära professuren för cybersäkerhet och dataskydd vid UCM.

Detta projekt har ett dubbelt mål: att skapa en inofficiell undersökning av företag som drabbats av NIS2 och att mäta deras mognadsnivå inom cybersäkerhet. I den första fasen kommer undersökningen att sammanställas med hjälp av omfattande databaser (handelsregister, DIRCE/INE, sektorspecifika databaser etc.), med resultat som förväntas runt november 2025. I den andra fasen kommer ett kort frågeformulär att skickas till ett representativt urval av företag (med målet att få in 1 000 svar) för att bedöma deras beredskapsnivå, med resultat som förväntas senast i maj 2026.

Analysen kommer att omfatta segmenteringar efter sektor, storlek, geografisk spridning och typ av enhet (väsentlig eller viktig) , och presentera slutsatserna i en aggregerad ledningsrapport, utan individuella data, som betjänar både företag och myndigheter.

Samtidigt genomför organisationer som ISMS Forum och olika offentliga myndigheter uppsökande evenemang över hela landet , med särskilt fokus på små och medelstora företag. Målet är att "evangelisera" och tydligt förklara vad NIS2 innebär, varför det är viktigt att ha en CISO (intern eller extern), hur man definierar grundläggande cybersäkerhetspolicyer och hur man förbereder sig för den framtida lagen och dess kompletterande regler.

I strikt regulatoriska termer har den nationella säkerhetsramen (ENS) presenterats i Europa som en av Spaniens största styrkor. Statliga byrån för digital förvaltning och det nationella kryptologiska centret (CCN) har delat ENS samlade erfarenheter, dess efterlevnadsprofiler och dess integration med de europeiska certifieringssystemen i förordning (EU) 2019/881 (cybersäkerhetslagen) med NIS2-samarbetsgruppen. Det positiva mottagandet av denna presentation förstärker Spaniens image som en proaktiv aktör som är engagerad i robust, sammanhängande och harmoniserad cybersäkerhet.

I detta sammanhang handlar Spaniens anpassning till NIS2 om att navigera pressen av tidsfrister, den tekniska robustheten hos instrument som det nationella säkerhetssystemet (ENS) och den enorma utmaningen att införliva tusentals nya enheter i en avancerad cybersäkerhetskultur. Organisationer som ligger steget före, genomför situationsbedömningar och börjar anpassa sina metoder till direktivet nu kommer att vara bättre positionerade för att minimera risker, undvika framtida påföljder och visa en proaktiv och mogen strategi för cyberhot.