Unter dem Druck der laufenden EuGH-Klage hat der spanische Ministerrat (Consejo de Ministros) am 15. Juli 2026 ein Real Decreto-ley zur Umsetzung der NIS2-Richtlinie gebilligt. Das Instrument des Decreto-ley erlaubt der Regierung, in dringlichen Fällen ohne vorherige parlamentarische Beratung zu handeln – das Parlament hat anschließend 30 Tage Zeit, das Dekret zu ratifizieren oder abzulehnen.
Kerninhalte des Dekretentwurfs
Das Decreto-ley orientiert sich eng am NIS2-Richtlinientext und enthält folgende Kernelemente:
- Anwendungsbereich: alle 18 NIS2-Sektoren, Schwellenwerte analog zur Richtlinie (50 Beschäftigte / 10 Mio. Euro Umsatz)
- Geteilte Aufsicht: INCIBE-CERT für Privatunternehmen, CCN-CERT für öffentliche Einrichtungen und kritische Infrastrukturen
- Bußgelder bis 10 Mio. Euro bzw. 2 Prozent des weltweiten Jahresumsatzes für wesentliche Einrichtungen
- Inkrafttreten: 30 Tage nach Ratifizierung durch das Parlament, geplant für November 2026
Was das für Unternehmen mit Spanien-Bezug bedeutet
Spanische Einrichtungen und internationale Unternehmen mit Niederlassungen in Spanien müssen jetzt aktiv werden. Das Decreto-ley-Verfahren ist in Spanien ein bewährtes Instrument für EU-Fristsachen; ein parlamentarisches Scheitern gilt als unwahrscheinlich. Praktisch bedeutet das: Wer bisher auf ein nationales Gesetz gewartet hat, hat nun einen klaren Horizont – und sollte die verbleibenden Monate für die interne Vorbereitung nutzen.
Die EuGH-Klage gegen Spanien wird nach erfolgreicher Ratifizierung und Notifizierung an die Kommission voraussichtlich eingestellt. Bis dahin laufen jedoch die täglichen Strafzahlungsanträge der Kommission formal weiter.