NIS2 Spanien: Pflichten, Fristen und Umsetzung

Die EU-Richtlinie NIS2 erweitert den Kreis regulierter Einrichtungen und macht Cybersicherheit zur Leitungsaufgabe. Für Unternehmen ist entscheidend, ob sie nach Sektor, Größe oder besonderer Kritikalität erfasst werden und welche Regeln in Spanien bereits gelten.

Was bedeutet NIS2 Spanien für Unternehmen?

NIS2 ist die Kurzbezeichnung für die Richtlinie (EU) 2022/2555 über ein hohes gemeinsames Cybersicherheitsniveau. Sie verpflichtet die EU-Mitgliedstaaten, nationale Strategien, zuständige Behörden und Computer-Notfallteams (Computer Security Incident Response Teams, CSIRT) einzurichten sowie Regeln für Risikomanagement, Vorfallmeldungen, Aufsicht und Durchsetzung zu schaffen.

Die Umsetzungsfrist endete am 17. Oktober 2024. Nach dem am 8. Juli 2026 veröffentlichten Stand der Europäischen Kommission hatte Spanien die vollständige Umsetzung noch nicht mitgeteilt; die Kommission beschloss deshalb, Spanien vor dem Gerichtshof der Europäischen Union zu verklagen. Der spanische Jahresnormenplan 2026 führt das Gesetz über Koordinierung und Governance der Cybersicherheit (Ley de Coordinación y Gobernanza de la Ciberseguridad) als Gesetzesvorhaben auf.

Damit müssen zwei Ebenen getrennt werden. NIS2 gibt den von Spanien umzusetzenden Rahmen vor. Der bestehende spanische Rechtsrahmen aus dem Real Decreto-ley 12/2018 und dem Real Decreto 43/2021 beruht dagegen auf der älteren NIS-Richtlinie und deckt den erweiterten NIS2-Kreis nicht automatisch vollständig ab.

Welche Unternehmen fallen unter NIS2?

Der allgemeine Anwendungsbereich knüpft an drei Merkmale an: die konkrete Tätigkeit, den in den Anhängen I und II genannten Einrichtungstyp und die Unternehmensgröße. Grundsätzlich sind Einrichtungen erfasst, die mindestens als mittlere Unternehmen gelten oder die dafür maßgeblichen Höchstwerte überschreiten und ihre Dienste oder Tätigkeiten in der Europäischen Union erbringen.

Für die NIS2 Richtlinie Spanien bedeutet das: Ein Unternehmenssitz in Spanien genügt für sich allein ebenso wenig wie die bloße Nutzung von IT. Zuerst ist zuzuordnen, ob die konkrete Tätigkeit zu einem erfassten Einrichtungstyp gehört; danach folgen Größen- und gegebenenfalls Sonderprüfung.

Welche Sektoren nennt die Richtlinie?

Zu den Sektoren mit hoher Kritikalität gehören unter anderem Energie, Verkehr, Banken, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Als weitere kritische Sektoren nennt NIS2 unter anderem Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, bestimmte Lebensmittelunternehmen, bestimmte Herstellung, Anbieter digitaler Dienste und Forschung.

Diese Sektorbezeichnungen sind kein Ersatz für die genaue Tätigkeitsdefinition im jeweiligen Anhang. Beispielsweise ist nicht jedes Unternehmen, das Lebensmittel verkauft oder Software nutzt, allein deshalb erfasst.

Für Finanzunternehmen, die unter die Verordnung (EU) 2022/2554 (DORA) fallen, gehen deren Regeln zum IKT-Risikomanagement, zu Vorfallmeldungen sowie zur entsprechenden Aufsicht und Durchsetzung den überlappenden NIS2-Regeln vor (Artikel 4 NIS2).

Wann gilt NIS2 unabhängig von der Größe?

Für bestimmte Einrichtungstypen und besondere Kritikalitätsfälle greift die Richtlinie unabhängig von der Größe. Dazu zählen unter anderem Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste, Vertrauensdiensteanbieter, Register für Domänennamen oberster Stufe und DNS-Dienste. Größe ist ebenfalls nicht ausschlaggebend, wenn eine Einrichtung etwa alleiniger Anbieter eines wesentlichen Dienstes ist oder eine Störung erhebliche Folgen für öffentliche Sicherheit, Gesundheit oder andere kritische Bereiche haben könnte.

Für Domänennamen-Registrierungsdienste gelten unabhängig von der Größe insbesondere die Registrierungs- und Domänendatenpflichten nach Artikeln 27 und 28. Allein diese Tätigkeit macht sie jedoch nicht zu einer wesentlichen oder wichtigen Einrichtung mit sämtlichen Risiko- und Vorfallmeldepflichten.

Was unterscheidet wesentliche und wichtige Einrichtungen?

Wesentliche Einrichtungen sind insbesondere große Einrichtungen aus den hochkritischen Sektoren des Anhangs I sowie bestimmte ausdrücklich genannte Dienste. Wichtige Einrichtungen sind grundsätzlich die übrigen erfassten Einrichtungen aus Anhang I oder II, soweit sie nicht als wesentlich gelten. Diese Unterscheidung wirkt sich vor allem auf Aufsicht und den vorgesehenen Bußgeldrahmen aus.

Welche Pflichten treffen Leitung und Organisation?

Die Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen die Maßnahmen zum Cybersicherheitsrisikomanagement genehmigen und ihre Umsetzung überwachen. Sie müssen außerdem selbst an Schulungen teilnehmen. Für Beschäftigte sollen regelmäßige vergleichbare Schulungen gefördert werden.

Die EU NIS2 Pflichten verlangen in Spanien nach ihrer nationalen Umsetzung deshalb mehr als ein isoliertes IT-Projekt: Verantwortlichkeiten, Freigaben, Überwachung und Schulung gehören in die Unternehmensführung. Welche persönliche Verantwortlichkeit daraus folgt, richtet sich zusätzlich nach dem anwendbaren nationalen Recht.

Welche Sicherheitsmaßnahmen verlangt NIS2?

Erfasste Einrichtungen müssen angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen treffen. Maßgeblich sind unter anderem Risikoexposition, Größe, Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle einschließlich gesellschaftlicher und wirtschaftlicher Folgen.

Der gesetzliche Mindestkatalog umfasst:

Richtlinien zur Sicherheit von Netz- und Informationssystemen sowie Risikoanalysen,
Bewältigung von Sicherheitsvorfällen,
Geschäftskontinuität, Sicherungskopien, Wiederherstellung und Krisenmanagement,
Lieferkettensicherheit und die Sicherheitsqualität unmittelbarer Anbieter,
sichere Beschaffung, Entwicklung und Wartung einschließlich Schwachstellenmanagement,
Verfahren zur Prüfung der Wirksamkeit getroffener Maßnahmen,
Cyberhygiene, Schulungen, Kryptografie und gegebenenfalls Verschlüsselung,
Personalsicherheit, Zugriffskontrolle und Verwaltung von Vermögenswerten sowie
gegebenenfalls Mehrfaktorauthentifizierung und sichere Kommunikation.

Die Vorgabe ist risikobasiert. Nicht jede Einrichtung benötigt identische Werkzeuge, wohl aber eine nachvollziehbare Bewertung, dokumentierte Entscheidungen und wirksame Kontrollen.

Welche Meldefristen gelten bei erheblichen Vorfällen?

Ein Vorfall ist erheblich, wenn er schwere Betriebsstörungen oder wirtschaftliche Verluste verursacht oder verursachen kann oder wenn andere natürliche oder juristische Personen erhebliche materielle oder immaterielle Schäden erleiden oder erleiden können.

Meldestufe	NIS2-Frist	Kerninhalt
Frühwarnung	Unverzüglich, spätestens binnen 24 Stunden nach Kenntnis	Erste Einordnung, insbesondere möglicher böswilliger oder grenzüberschreitender Bezug
Vorfallmeldung	Unverzüglich, spätestens binnen 72 Stunden nach Kenntnis; bei erheblichen Vorfällen ihrer Vertrauensdienste für Vertrauensdiensteanbieter binnen 24 Stunden	Aktualisierung, erste Bewertung von Schwere und Auswirkungen, verfügbare Kompromittierungsindikatoren
Zwischenbericht	Auf Anforderung	Aktueller Sachstand
Abschlussbericht	Spätestens einen Monat nach der Vorfallmeldung; bei noch laufendem Vorfall zunächst Fortschrittsbericht, Abschlussbericht binnen eines Monats nach Bewältigung	Detaillierte Beschreibung, Auswirkungen, wahrscheinliche Ursache und Abhilfemaßnahmen

Die 24- und 72-Stunden-Fristen laufen ab Kenntnis des erheblichen Vorfalls, nicht erst nach vollständiger technischer Aufklärung. Interne Eskalations- und Dokumentationswege sollten daher so gestaltet sein, dass die Einordnung und Meldung rechtzeitig möglich sind.

Welche Aufsicht und Sanktionen sieht NIS2 vor?

Für wesentliche Einrichtungen verlangt NIS2 wirksame Aufsichtsbefugnisse. Dazu gehören Vor-Ort-Prüfungen, Fernaufsicht, regelmäßige oder anlassbezogene Sicherheitsaudits, Informations- und Nachweisanforderungen sowie verbindliche Anweisungen, festgestellte Mängel zu beseitigen.

Für Verstöße gegen die Risikomanagement- oder Meldepflichten müssen die nationalen Höchstbußgelder bei wesentlichen Einrichtungen mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes betragen, je nachdem welcher Betrag höher ist. Bei wichtigen Einrichtungen sind es mindestens 7 Millionen Euro oder 1,4 Prozent, ebenfalls nach dem höheren Betrag. Das sind von den Mitgliedstaaten vorzusehende Höchstrahmen, keine automatisch festgesetzten Bußgelder für jeden Verstoß.

Was bedeutet NIS2 Mallorca für betroffene Betriebe?

Für Mallorca enthält NIS2 keine lokale Sonderregel. Ein dort ansässiges oder tätiges Unternehmen wird nach denselben sektoralen, größenbezogenen und kritikalitätsbezogenen Kriterien geprüft wie andere Einrichtungen in Spanien.

Praktisch relevant können auf Mallorca etwa Unternehmen aus Energie, Verkehr, Gesundheit, Wasser, digitaler Infrastruktur oder bestimmten digitalen Diensten sein. Auch ein Betrieb außerhalb der regulären Größenschwelle sollte prüfen, ob er einen besonders kritischen, alleinigen oder regional bedeutsamen Dienst erbringt. Tourismus oder Inselstandort allein begründen dagegen keine NIS2-Pflicht.

Häufige Fragen (FAQ)

Gilt NIS2 schon unmittelbar für jedes spanische Unternehmen?

Nein. Die Richtlinie richtet sich an die Mitgliedstaaten und verlangt nationale Umsetzungsmaßnahmen. In Spanien gelten daneben weiterhin die bestehenden nationalen NIS-Regeln. Unternehmen sollten dennoch frühzeitig ihren möglichen NIS2-Status und notwendige organisatorische Anpassungen prüfen.

Ist ein kleines Unternehmen immer ausgenommen?

Nein. Zwar knüpft der allgemeine Anwendungsbereich an die Größe an, doch für bestimmte Dienste und besondere Kritikalitätsfälle gilt NIS2 unabhängig davon. Tätigkeit, Verbunddaten und besondere Bedeutung müssen deshalb zusammen geprüft werden.

Reicht eine Cyberversicherung zur Erfüllung der Pflichten?

Nein. Eine Versicherung kann wirtschaftliche Folgen begrenzen, ersetzt aber weder Risikomanagement noch Incident-Management, Kontinuitätsplanung, Lieferkettensicherheit, Schulung, Zugriffsschutz oder fristgerechte Meldungen.