NIS2 in Spanien: Stand der Umsetzung, INCIBE und Pflichten

Spanien gehört – Stand Oktober 2026 – zu den EU-Mitgliedstaaten, die die NIS2-Richtlinie (EU) 2022/2555 noch nicht in nationales Recht umgesetzt haben, obwohl die Umsetzungsfrist am 17. Oktober 2024 abgelaufen ist. Der Ministerrat billigte am 14. Januar 2025 zwar den Vorentwurf eines Gesetzes zur Koordinierung und Steuerung der Cybersicherheit (Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad), der Text wurde jedoch nie als Gesetzentwurf in die Cortes Generales eingebracht. Die Europäische Kommission hat Spanien deshalb am 8. Juli 2026 vor dem Gerichtshof der EU verklagt und finanzielle Sanktionen beantragt. Da das Parlament für die Neuwahlen am 29. November 2026 aufgelöst wurde, ist eine Umsetzung vor der Bildung einer neuen Regierung nicht zu erwarten. Bis dahin gilt der NIS1-Rahmen aus dem Real Decreto-ley 12/2018 und dem Real Decreto 43/2021 mit etablierten Institutionen wie INCIBE, CCN-CERT und dem CNPIC. In Deutschland ist das NIS2UmsuCG dagegen seit dem 6. Dezember 2025 in Kraft. Für deutsche Unternehmen mit Tochtergesellschaften, Niederlassungen oder wichtigen Lieferanten in Spanien entsteht damit eine Übergangslage. Den europäischen Rahmen beschreibt der Leitfaden zu den NIS2-Grundlagen.

Spaniens NIS2-Umsetzung: Rechtsrahmen und Zeitlinie

Grundlage des spanischen Cybersicherheitsrechts ist weiterhin das Real Decreto-ley 12/2018 vom 7. September 2018, mit dem Spanien die NIS1-Richtlinie (EU) 2016/1148 umgesetzt hat, sowie das ausführende Real Decreto 43/2021 vom 26. Januar 2021. Erfasst sind Betreiber wesentlicher Dienste (operadores de servicios esenciales), die über die Verfahren des Gesetzes 8/2011 zum Schutz kritischer Infrastrukturen bestimmt werden, sowie Anbieter digitaler Dienste (proveedores de servicios digitales), also Online-Marktplätze, Online-Suchmaschinen und Cloud-Dienste. Das Real Decreto 43/2021 regelt unter anderem den Verantwortlichen für Informationssicherheit (responsable de la seguridad de la información) und enthält im Anhang die nationale Anweisung zur Meldung und Bewältigung von Cybervorfällen.

Nach Ablauf der Frist am 17. Oktober 2024 versandte die Kommission am 28. November 2024 ein Aufforderungsschreiben und am 7. Mai 2025 eine mit Gründen versehene Stellungnahme. Der Ministerrat billigte den Vorentwurf am 14. Januar 2025 in erster Lesung und ordnete ein beschleunigtes Verfahren an (EU-Notifizierung TRIS 2025/0104/ES). Die zweite Kabinettsbefassung und die Einbringung ins Parlament blieben aus. Am 8. Juli 2026 folgte die EuGH-Klage; mit dem Real Decreto 806/2026 (BOE vom 6. Oktober 2026) wurden Congreso und Senat aufgelöst. Ob eine neue Regierung den Entwurf weiterverfolgt, ist offen. In der notifizierten Fassung sieht der Vorentwurf unter anderem vor:

• NIS2-Transposition: Einteilung in wesentliche und wichtige Einrichtungen nach den Anhängen I und II, Pflichten zum Cybersicherheits-Risikomanagement und ein dreistufiges Meldesystem (24 Stunden, 72 Stunden, ein Monat) entsprechend Artikel 23 NIS2
• Neue Behördenstruktur: ein neu zu schaffendes Centro Nacional de Ciberseguridad als einzige zuständige nationale Behörde, zentrale Anlaufstelle und Behörde für das Cyberkrisenmanagement; daneben drei Kontrollbehörden – das Verteidigungsministerium über das CCN (öffentlicher Sektor), das Ministerium für digitale Transformation (digitale Infrastruktur, Anbieter digitaler Dienste und nicht kritische wichtige Einrichtungen der übrigen Sektoren) und das Innenministerium über die Oficina de Coordinación de Ciberseguridad (kritische Einrichtungen, wesentliche Einrichtungen der übrigen Sektoren, private Sicherheitsdienste)
• Ablösung des NIS1-Rechts: Aufhebung des Real Decreto-ley 12/2018 und des Real Decreto 43/2021; die Meldeanweisung im Anhang des Real Decreto 43/2021 soll vorerst weitergelten
• Bußgeldrahmen: für bestimmte sehr schwere Verstöße Geldbußen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. bis zu 7 Millionen Euro oder 1,4 Prozent (wichtige Einrichtungen), jeweils der höhere Betrag; für sonstige Verstöße gestaffelte Rahmen von 10.000 Euro bis 2 Millionen Euro

Solange das neue Gesetz fehlt, begründet die NIS2-Richtlinie für private Unternehmen in Spanien keine unmittelbaren Pflichten: Richtlinien richten sich an die Mitgliedstaaten und können nach ständiger Rechtsprechung des EuGH nicht selbst Pflichten für Private schaffen. Maßgeblich bleiben daher das Real Decreto-ley 12/2018 und das Real Decreto 43/2021, auf deren Grundlage die spanischen Stellen tätig sind. Eine erste Einschätzung, ob eine Einrichtung künftig in den NIS2-Anwendungsbereich fallen könnte, ermöglicht der Leitfaden zum NIS2-Anwendungsbereich.

INCIBE und INCIBE-CERT – Anlaufstelle für den Privatsektor

Das Instituto Nacional de Ciberseguridad de España (INCIBE) mit Sitz in León ist Spaniens zentrale Einrichtung für die Cybersicherheit von Bürgern, Unternehmen und strategischen Sektoren. Es ging aus dem 2006 gegründeten INTECO hervor und trägt seinen heutigen Namen seit Oktober 2014. INCIBE ist dem Ministerium für digitale Transformation und öffentlichen Dienst (Ministerio para la Transformación Digital y de la Función Pública) zugeordnet; seit dem Real Decreto 1185/2024 untersteht es direkt dem Staatssekretariat für Telekommunikation und digitale Infrastrukturen (Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales). Anders als das deutsche BSI ist INCIBE nach geltendem Recht keine Aufsichtsbehörde: Die Aufsicht liegt bei den in Artikel 9 des Real Decreto-ley 12/2018 genannten zuständigen Behörden.

Im geltenden NIS1-Rahmen und mit Blick auf NIS2 nimmt INCIBE vor allem folgende Aufgaben wahr:

• Referenz-CSIRT INCIBE-CERT: Nach Artikel 11 des Real Decreto-ley 12/2018 ist INCIBE-CERT das Referenz-CSIRT für Betreiber wesentlicher Dienste außerhalb des öffentlichen Sektors, für Anbieter digitaler Dienste sowie für Bürger und private Einrichtungen; Vorfallmeldungen an die zuständige Behörde laufen über dieses CSIRT
• Gemeinsamer Betrieb mit dem CNPIC: Bei Vorfällen, die kritische Betreiber betreffen, wird INCIBE-CERT gemeinsam von INCIBE und dem CNPIC betrieben
• Rolle nach dem NIS2-Entwurf: Auch der Vorentwurf sieht INCIBE-CERT als nationales Referenz-CSIRT für wesentliche und wichtige Einrichtungen außerhalb des öffentlichen Sektors vor; eine Aufsichtsrolle für INCIBE ist darin nicht vorgesehen
• Prävention und Unterstützung: kostenlose Cybersicherheits-Hotline 017, Leitfäden, Schulungs- und Sensibilisierungsangebote, insbesondere für kleine und mittlere Unternehmen

Eine Besonderheit des spanischen Systems ist die Rolle des CNPIC (Centro Nacional de Protección de Infraestructuras y Ciberseguridad) beim Staatssekretariat für Sicherheit des Innenministeriums. Ist ein Betreiber wesentlicher Dienste zugleich als kritischer Betreiber nach dem Gesetz 8/2011 eingestuft, ist das Staatssekretariat für Sicherheit über das CNPIC – unabhängig vom Sektor – die zuständige Behörde. Für nicht kritische Betreiber ist die jeweilige Fachbehörde des Sektors zuständig, für Anbieter digitaler Dienste das Staatssekretariat für Digitalisierung und Künstliche Intelligenz.

CCN und CCN-CERT – Zuständigkeit für die öffentliche Verwaltung

Das Centro Criptológico Nacional (CCN) und sein Incident-Response-Team CCN-CERT sind für die Cybersicherheit der spanischen öffentlichen Verwaltung zuständig. Das CCN wird vom Direktor des Nachrichtendienstes CNI (Centro Nacional de Inteligencia) geleitet, der dem Verteidigungsministerium zugeordnet ist. Nach Artikel 9 des Real Decreto-ley 12/2018 ist das Verteidigungsministerium über das CCN die zuständige Behörde für Betreiber und Anbieter des öffentlichen Sektors, soweit sie keine kritischen Betreiber sind; nach Artikel 11 ist CCN-CERT das Referenz-CSIRT für diese Gemeinschaft.

Die Aufgaben von CCN und CCN-CERT umfassen insbesondere:

• Öffentlicher Sektor: Zuständigkeit für Einrichtungen im Anwendungsbereich des Gesetzes 40/2015 über die Rechtsordnung des öffentlichen Sektors; nach dem Vorentwurf soll das CCN Kontrollbehörde für die nicht kritischen wesentlichen und wichtigen Einrichtungen des öffentlichen Sektors werden und CCN-CERT deren Referenz-CSIRT bleiben
• Nationaler Sicherheitsrahmen (ENS): Das Esquema Nacional de Seguridad ist im Real Decreto 311/2022 vom 3. Mai 2022 geregelt. Es gilt für den gesamten öffentlichen Sektor und auch für private Unternehmen, soweit diese vertraglich Dienste oder Lösungen für öffentliche Stellen erbringen. Das CCN unterstützt die Anwendung mit den CCN-STIC-Leitfäden; inhaltlich bestehen zahlreiche Überschneidungen mit NIS2
• Incident Response und Koordination: Unterstützung öffentlicher Stellen bei Sicherheitsvorfällen; in besonders schweren Fällen koordiniert CCN-CERT die technische Reaktion der CSIRTs auf nationaler Ebene
• Produktsicherheit: Das CCN führt den Katalog CPSTIC (Catálogo de Productos y Servicios de Seguridad de las TIC), auf den das ENS bei der Auswahl von Sicherheitskomponenten verweist – relevant für die öffentliche Beschaffung

Merkmal	INCIBE / INCIBE-CERT	CCN / CCN-CERT
Zuständigkeit	Privatsektor, Bürger, Anbieter digitaler Dienste (als CSIRT, nicht als Aufsicht)	Öffentlicher Sektor (Gesetz 40/2015)
Unterstellung	Ministerium für digitale Transformation und öffentlichen Dienst	Leitung durch den CNI (Verteidigungsministerium)
Sitz	León	Madrid
Rolle heute (NIS1)	Referenz-CSIRT; keine Aufsichtsbefugnisse	CCN: zuständige Behörde für den öffentlichen Sektor; CCN-CERT: Referenz-CSIRT
Rolle laut NIS2-Entwurf	Referenz-CSIRT für Einrichtungen außerhalb des öffentlichen Sektors	Kontrollbehörde und Referenz-CSIRT für den öffentlichen Sektor
Rechtsrahmen	Real Decreto-ley 12/2018, Real Decreto 43/2021	Real Decreto-ley 12/2018, ENS (Real Decreto 311/2022)
Kostenpflichtig?	Nein – u. a. kostenlose Hotline 017	Leistungen richten sich an öffentliche Stellen

Betroffene Einrichtungen und Sicherheitspflichten

Nach geltendem Recht sind in Spanien nur behördlich bestimmte Betreiber wesentlicher Dienste sowie Anbieter digitaler Dienste erfasst. Mit der NIS2-Umsetzung würde die europäische Zweistufenstruktur gelten: wesentliche Einrichtungen (entidades esenciales) und wichtige Einrichtungen (entidades importantes). Der Vorentwurf übernimmt die europäischen Größenschwellen:

• Wesentliche Einrichtungen: grundsätzlich große Unternehmen – mindestens 250 Beschäftigte oder ein Jahresumsatz von mehr als 50 Millionen Euro und eine Jahresbilanzsumme von mehr als 43 Millionen Euro – in einem der Sektoren mit hoher Kritikalität aus Anhang I der NIS2-Richtlinie (u. a. Energie, Verkehr, Gesundheit, Bankwesen, digitale Infrastruktur)
• Wichtige Einrichtungen: mittlere Unternehmen (mindestens 50 Beschäftigte oder Jahresumsatz bzw. Jahresbilanz über 10 Millionen Euro) in Sektoren nach Anhang I und II sowie große Unternehmen in Anhang-II-Sektoren (u. a. Chemie, Lebensmittel, verarbeitendes Gewerbe, Post- und Kurierdienste)
• Größenunabhängige Sonderfälle: Bestimmte Einrichtungen sind unabhängig von ihrer Größe erfasst – darunter qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter sowie Einrichtungen, die als kritische Einrichtungen eingestuft sind

Die materiellen Sicherheitspflichten würden sich nach Artikel 21 NIS2 richten. Dazu gehören unter anderem Konzepte für Risikoanalyse und Informationssicherheit, die Bewältigung von Sicherheitsvorfällen, Business Continuity und Krisenmanagement, die Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich des Umgangs mit Schwachstellen, die Bewertung der Wirksamkeit der Maßnahmen, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit, Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Nach dem Vorentwurf wäre zudem ein Verantwortlicher für Informationssicherheit zu benennen; in wesentlichen Einrichtungen soll diese Person eine Akkreditierung erlangen. Einrichtungen, die bereits das ENS (Esquema Nacional de Seguridad) anwenden, dürften einen Vorsprung haben: Der ENS in der Fassung von 2022 deckt viele dieser Themen ab und eignet sich als Ausgangspunkt für eine Gap-Analyse.

Meldepflichten: INCIBE-CERT und CCN-CERT als Anlaufstellen

Nach geltendem Recht melden Betreiber wesentlicher Dienste und Anbieter digitaler Dienste Vorfälle mit erheblichen störenden Auswirkungen an die zuständige Behörde – und zwar über ihr Referenz-CSIRT: INCIBE-CERT für Einrichtungen außerhalb des öffentlichen Sektors, CCN-CERT für den öffentlichen Sektor (Artikel 19 des Real Decreto-ley 12/2018). Die Fristen ergeben sich aus der nationalen Meldeanweisung im Anhang des Real Decreto 43/2021 und hängen von der Gefährlichkeits- bzw. Auswirkungsstufe des Vorfalls ab:

• Erstmeldung (sofort): Bei Vorfällen der Stufen „kritisch“, „sehr hoch“ und „hoch“ ist die Erstmeldung unverzüglich abzugeben, gerechnet ab Kenntnis des Vorfalls
• Zwischenmeldung: 24 bzw. 48 Stunden (Stufe „kritisch“) oder 72 Stunden (Stufe „sehr hoch“) nach der Erstmeldung; weitere Aktualisierungen, solange der Vorfall nicht gelöst ist
• Abschlussmeldung: 20 Tage (Stufe „kritisch“) bzw. 40 Tage (Stufe „sehr hoch“) nach der Erstmeldung, mit Verlauf, Wiederholungswahrscheinlichkeit und geplanten Korrekturmaßnahmen

Der Vorentwurf würde dieses System an Artikel 23 NIS2 angleichen: Frühwarnung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls; Vorfallmeldung innerhalb von 72 Stunden (bei Vertrauensdiensteanbietern 24 Stunden); auf Anforderung ein Zwischenbericht; Abschlussbericht spätestens einen Monat nach der Vorfallmeldung. Als erheblich gilt ein Vorfall nach Artikel 23 Absatz 3 NIS2, wenn er schwerwiegende Betriebsstörungen, finanzielle Verluste oder erhebliche Schäden für Dritte verursacht hat oder verursachen kann. Bei grenzüberschreitenden Vorfällen stimmen sich die spanischen Referenz-CSIRTs mit den CSIRTs anderer Mitgliedstaaten ab, für Deutschland mit dem BSI.

Was deutsche Unternehmen mit Spanien-Bezug beachten sollten

Für deutsche Unternehmensgruppen mit Präsenz in Spanien ergeben sich aus der Übergangslage zwei Ebenen: die heute geltenden NIS1-Pflichten und die Vorbereitung auf das künftige spanische NIS2-Gesetz. Beide treten neben die Pflichten aus dem deutschen NIS2UmsuCG. Deutsche Unternehmen sind in Spanien unter anderem in der Automobilzulieferung, im Maschinen- und Anlagenbau, in der Energieversorgung, der Logistik und bei digitalen Diensten aktiv – Bereiche, die in den NIS2-Anwendungsbereich fallen können.

Besonders relevant sind folgende Konstellationen:

• Spanische Tochtergesellschaften: Heute bestehen NIS-Pflichten in Spanien nur, wenn die Tochter als Betreiber wesentlicher Dienste bestimmt wurde oder einen erfassten digitalen Dienst anbietet; eine NIS2-Registrierung bei INCIBE oder einer anderen Stelle gibt es derzeit nicht. Nach dem Vorentwurf wäre eine Tochter, die Größenschwellen und Sektorzuordnung erfüllt, eigenständig erfasst – unabhängig davon, wie die deutsche Muttergesellschaft gegenüber dem BSI eingeordnet ist. Vorgesehen ist eine Selbstregistrierung, die von sektoralen Kontaktstellen begleitet wird
• Niederlassungen und Filialen: Das geltende Recht erfasst auch wesentliche Dienste, die ein ausländischer Betreiber über eine Betriebsstätte in Spanien erbringt. Der Vorentwurf knüpft an die steuerliche Ansässigkeit in Spanien bzw. an Dienstleistungen und Tätigkeiten in Spanien an; wie sich diese Formulierung zu den Zuständigkeitsregeln des Artikels 26 NIS2 verhält, bleibt im weiteren Verfahren zu klären
• Kritische Lieferketten: Deutsche Unternehmen, die Dienste oder Produkte für spanische Einrichtungen erbringen, können über die Lieferkettenanforderungen nach Artikel 21 Absatz 2 Buchstabe d NIS2 mittelbar betroffen sein; spanische Auftraggeber dürften Sicherheitsanforderungen zunehmend vertraglich weitergeben – öffentliche Auftraggeber schon heute über das ENS
• Digitale Dienstleister: Für DNS-Diensteanbieter, TLD-Namenregister, Cloud- und Rechenzentrumsdienste, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen und soziale Netzwerke sieht Artikel 26 NIS2 grundsätzlich die Zuständigkeit des Mitgliedstaats der Hauptniederlassung in der EU vor. Ein Anbieter mit Hauptniederlassung in Deutschland unterliegt insoweit in erster Linie der deutschen Aufsicht, auch wenn er Kunden in Spanien betreut

Was sich jetzt sinnvoll vorbereiten lässt: prüfen, ob spanische Gesellschaften heute als Betreiber wesentlicher Dienste oder kritische Betreiber bestimmt sind; eine vorläufige Einordnung nach den Kriterien des Vorentwurfs vornehmen; einen Ansprechpartner für Informationssicherheit festlegen; die Meldewege zu INCIBE-CERT bzw. CCN-CERT dokumentieren und konzernweite Incident-Response-Prozesse an den NIS2-Fristen von 24 und 72 Stunden ausrichten. Die neu gewählten Kammern treten am 23. Dezember 2026 zusammen; ein Gesetzgebungsverfahren kann erst danach und nach der Regierungsbildung beginnen, sodass mit einem spanischen NIS2-Gesetz voraussichtlich frühestens 2027 zu rechnen ist. Einen direkten Vergleich mit der deutschen Umsetzung bietet der Leitfaden zu NIS2 in Deutschland.

Häufig gestellte Fragen

Hat Spanien NIS2 bereits vollständig umgesetzt?

Nein. Stand Oktober 2026 hat Spanien die NIS2-Richtlinie nicht umgesetzt. Der Ministerrat billigte am 14. Januar 2025 einen Vorentwurf, der jedoch nie ins Parlament eingebracht wurde. Die Kommission hat Spanien am 8. Juli 2026 vor dem EuGH verklagt und finanzielle Sanktionen beantragt. Nach der Auflösung der Cortes und den Wahlen am 29. November 2026 müsste eine neue Regierung das Vorhaben erneut aufgreifen. Bis dahin gelten das Real Decreto-ley 12/2018 und das Real Decreto 43/2021 (NIS1). Aus der Richtlinie selbst ergeben sich für Unternehmen keine unmittelbaren Pflichten.

Was ist der Unterschied zwischen INCIBE und CCN-CERT?

INCIBE betreibt mit INCIBE-CERT das Referenz-CSIRT für Unternehmen, Bürger und Anbieter digitaler Dienste außerhalb des öffentlichen Sektors; eine Aufsichtsbehörde wie das BSI ist INCIBE nicht. Das CCN, das vom Direktor des Nachrichtendienstes CNI geleitet wird, ist zuständige Behörde für den öffentlichen Sektor; CCN-CERT ist dessen Referenz-CSIRT, und das CCN unterstützt die Anwendung des nationalen Sicherheitsrahmens ENS. Spanische Tochtergesellschaften deutscher Unternehmen melden Vorfälle in der Regel über INCIBE-CERT; die Aufsicht liegt je nach Einstufung beim CNPIC, bei der Fachbehörde des Sektors oder beim Staatssekretariat für Digitalisierung.

Welche Meldepflichten gelten für spanische Einrichtungen nach NIS2?

Derzeit gelten die NIS1-Regeln: Betreiber wesentlicher Dienste und Anbieter digitaler Dienste melden erhebliche Vorfälle über INCIBE-CERT bzw. CCN-CERT – mit sofortiger Erstmeldung und, je nach Schweregrad, Zwischen- und Abschlussmeldungen nach den Fristen der Meldeanweisung im Real Decreto 43/2021. Der NIS2-Vorentwurf sieht das dreistufige Modell aus Artikel 23 NIS2 vor: Frühwarnung innerhalb von 24 Stunden, Vorfallmeldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats.

Müssen deutsche Unternehmen mit spanischen Tochtergesellschaften zweifach Compliance betreiben?

Heute nur dann, wenn die spanische Gesellschaft als Betreiber wesentlicher Dienste bestimmt ist oder einen erfassten digitalen Dienst anbietet. Nach einer spanischen NIS2-Umsetzung dürfte eine Tochtergesellschaft, die die Kriterien erfüllt, eigenständig dem spanischen Regime unterliegen – unabhängig von den Pflichten der deutschen Muttergesellschaft gegenüber dem BSI. Da die materiellen Anforderungen nach Artikel 21 NIS2 EU-weit angeglichen sind, entstehen voraussichtlich weniger inhaltliche als formale Doppelpflichten: Registrierung, Meldungen und Dokumentation nach spanischem Verfahren. Standardisierte Konzernrichtlinien und eine zentral verwaltete Dokumentation können hier Synergien heben.

Quellen

1. Spanien: Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, BOE Nr. 218, 8. September 2018 (konsolidierte Fassung): boe.es
2. Spanien: Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el Real Decreto-ley 12/2018, BOE Nr. 24, 28. Januar 2021: boe.es
3. Ministerio del Interior: El Consejo de Ministros aprueba el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, 14. Januar 2025: interior.gob.es
4. Europäische Kommission, TRIS: Notifizierung 2025/0104/ES, Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (Entwurfstext): technical-regulation-information-system.ec.europa.eu
5. Europäische Kommission: Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity, 8. Juli 2026: digital-strategy.ec.europa.eu
6. Spanien: Real Decreto 806/2026, de 5 de octubre, de disolución del Congreso de los Diputados y del Senado y de convocatoria de elecciones, BOE vom 6. Oktober 2026: boe.es
7. Spanien: Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad: boe.es
8. INCIBE: El Gobierno reorganiza la estrategia digital: INCIBE pasa a depender de la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales, 29. November 2024: incibe.es
9. Europäisches Parlament und Rat der EU: Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2), 14. Dezember 2022: eur-lex.europa.eu

Rechtshinweis: Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche Aussagen zur NIS2-Compliance empfehlen wir die Konsultation eines qualifizierten Rechtsanwalts oder Datenschutzbeauftragten.