Während die meisten EU-Mitgliedstaaten ihre NIS2-Umsetzung abgeschlossen haben, ist Spanien einer der wenigen Nachzügler: Das nationale NIS2-Umsetzungsgesetz ist bisher nicht in Kraft getreten. Die EU-Kommission hat im November 2024 ein Vertragsverletzungsverfahren eingeleitet; am 7. Mai 2025 folgte eine begründete Stellungnahme – die zweite Eskalationsstufe im EU-Infringement-Verfahren.
Aktueller Stand der spanischen Gesetzgebung
Die spanische Regierung hat dem Gesetzentwurf den Status eines dringlichen Gesetzgebungsvorhabens verliehen und ihn dem Parlament vorgelegt. Inhaltlich orientiert sich der Entwurf eng an der NIS2-Richtlinie: Das INCIBE (Instituto Nacional de Ciberseguridad) übernimmt die Aufsicht für die Privatwirtschaft, das CCN (Centro Criptológico Nacional) für öffentliche Einrichtungen und staatlich nahestehende Sektoren. Ein verbindlicher Zeitplan für die abschließende Parlamentsabstimmung liegt Mitte Mai 2026 noch nicht vor.
Was bedeutet die Verzögerung für Unternehmen in Spanien?
Solange das nationale Umsetzungsgesetz fehlt, gibt es keine direkt durchsetzbaren nationalen Pflichten für Privatunternehmen. Dennoch gilt die NIS2-Richtlinie als EU-Sekundärrecht seit Oktober 2024 und kann unter Umständen direkte Wirkung entfalten. EU-weit tätige Unternehmen, die in einem anderen Mitgliedstaat als wesentliche oder wichtige Einrichtung eingestuft sind, unterliegen bereits jetzt den Anforderungen des jeweiligen nationalen Rechts und können nicht auf die spanische Verzögerung verweisen.
Das strategische Risiko: Compliance-Druck nach Verabschiedung
Erfahrungen aus anderen Mitgliedstaaten zeigen: Sobald ein verspätet verabschiedetes Umsetzungsgesetz in Kraft tritt, setzen Aufsichtsbehörden die ausstehende Compliance mit kurzen Übergangsfristen durch. Unternehmen, die bis dahin nichts vorbereitet haben, stehen unter erheblichem Zeit- und Ressourcendruck. Frühzeitige Vorbereitung – auch ohne formale nationale Pflicht – ist deshalb strategisch sinnvoll.
Empfohlene Vorbereitungsschritte jetzt
Beratungsunternehmen und Rechtsexperten empfehlen spanischen Einrichtungen, die NIS2-Vorbereitung bereits heute zu starten:
- Betroffenheitsanalyse: Prüfen, ob das Unternehmen in die NIS2-Sektoren fällt und welche Kategorie (wesentlich/wichtig) wahrscheinlich zutrifft.
- Governance aufbauen: Management-Verantwortung für Cybersicherheit festlegen – Pflicht nach Art. 20 NIS2.
- Risikoanalyse starten: Dokumentierte Risikoanalyse nach Art. 21 NIS2 – Basis für alle weiteren Maßnahmen.
- Incident-Response-Prozess: Verfahren für die 24h-Frühwarnung und 72h-Meldung definieren.
- Lieferkette: Sicherheitsanforderungen an kritische IT-Dienstleister definieren.
Nächste Schritte im EU-Infringement-Verfahren
Nach der begründeten Stellungnahme kann die EU-Kommission Spanien vor dem Europäischen Gerichtshof (EuGH) verklagen. Ein EuGH-Verfahren dauert typischerweise 18 bis 36 Monate und kann mit einem Pauschalbonus und täglichem Zwangsgeld enden. Vergleichbare Verfahren gegen andere Mitgliedstaaten zeigen, dass diese Verfahren ernst genommen werden müssen. Unternehmen in Spanien sollten die parlamentarische Entwicklung aktiv verfolgen.