Actualités

NIS2 en Espagne : où en est la transposition et que faire dès maintenant

Au 25/10/2026, l’Espagne n’a pas encore transposé la directive NIS2. État de la loi, entités concernées, obligations et mesures possibles dès maintenant.

Publié le Par BDR Group12 min de lecture

Au 25 octobre 2026, l’Espagne n’a pas encore transposé la directive NIS2 (UE) 2022/2555. Le Gouvernement a approuvé l’avant-projet de loi le 14 janvier 2025, mais aucune loi n’a paru au BOE (Boletín Oficial del Estado, journal officiel espagnol) et les Cortes (le Parlement) ont été dissoutes le 5 octobre. Les mesures de la directive peuvent toutefois déjà se préparer.

Où en est la loi espagnole

Le véhicule est l’avant-projet de loi de coordination et de gouvernance de la cybersécurité (anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad). Voici ce qui ressort des sources officielles au 25 octobre 2026 :

  • 17 octobre 2024 : date limite de transposition de la directive (article 41). L’Espagne ne l’a pas respectée.
  • 28 novembre 2024 et 7 mai 2025 : la Commission européenne envoie à l’Espagne la lettre de mise en demeure et l’avis motivé.
  • 14 janvier 2025 : le Conseil des ministres approuve l’avant-projet et décide de le traiter en urgence afin qu’il puisse être approuvé de nouveau, en seconde lecture, dès que possible.
  • 17 mars 2026 : le compte rendu du Conseil des ministres de ce jour indique que la loi est traitée par le ministère de l’Intérieur et que l’avant-projet a été approuvé en janvier.
  • 8 juillet 2026 : la Commission saisit la Cour de justice de l’UE contre l’Espagne, l’Irlande, la France et les Pays-Bas pour défaut de notification de la transposition, et demande des sanctions financières.
  • 5 octobre 2026 : le Real Decreto 806/2026 (décret royal) dissout le Congrès des députés et le Sénat et convoque des élections pour le 29 novembre. Les nouvelles chambres se réuniront le 23 décembre (BOE du 6 octobre).

Nous avons passé en revue les comptes rendus du Conseil des ministres publiés entre le 24 mars et le 13 octobre 2026, et aucun ne mentionne l’approbation du projet de loi. La base de législation consolidée du BOE ne contient aucune loi portant ce titre, et nous n’avons pas trouvé le projet enregistré au Congrès. Il ne faut pas le confondre avec le projet de loi sur la protection et la résilience des entités critiques, que le Gouvernement a approuvé le 17 mars 2026 et qui est une autre norme. Fin septembre, certains médias spécialisés disaient que le Gouvernement était sur le point de franchir l’étape suivante ; nous n’avons pu le confirmer dans aucune source officielle et nous ne le tenons pas pour acquis.

Le résultat est que nous ne pouvons pas dire quand elle deviendra loi. Les Cortes étant dissoutes, la procédure parlementaire ne peut pas commencer avant que de nouvelles chambres soient constituées. En attendant, le régime antérieur reste en vigueur : le Real Decreto-ley 12/2018 (décret-loi royal sur la sécurité des réseaux et des systèmes d’information) et le Real Decreto 43/2021 (décret royal), qui s’appliquent aux opérateurs de services essentiels des secteurs stratégiques et à certains services numériques (places de marché en ligne, moteurs de recherche et informatique en nuage).

Qui sera concerné : entités essentielles et importantes

La directive s’applique, en général, aux entités publiques ou privées de taille moyenne ou supérieure qui relèvent de l’un des secteurs des annexes I ou II (article 2, paragraphe 1). La recommandation 2003/361/CE considère comme petite une entreprise de moins de 50 personnes dont le chiffre d’affaires ou le total du bilan annuel ne dépasse pas 10 millions d’euros. En pratique : à partir de 50 personnes, ou avec un chiffre d’affaires et un bilan supérieurs à 10 millions.

  • Annexe I (secteurs hautement critiques) : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC (interentreprises), administration publique et espace.
  • Annexe II (autres secteurs critiques) : services postaux et d’expédition, gestion des déchets, produits chimiques, alimentation (distribution en gros et production ou transformation industrielle), fabrication, fournisseurs numériques et recherche.

Certains types d’entité sont inclus quelle que soit leur taille, comme les fournisseurs de services DNS, les registres de noms de domaine de premier niveau ou les prestataires de services de confiance (article 2, paragraphe 2). Les secteurs habituels d’une PME catalane ou andorrane (commerce de détail, hôtellerie-restauration, services professionnels) n’y figurent pas en tant que tels.

Type (article 3)Qui y entreAmende maximale que les États doivent prévoir, au minimum (article 34)
Entité essentielleEntités de l’annexe I qui dépassent les seuils de l’entreprise moyenne, et certains types sans seuil de taille10 millions d’euros ou 2 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu
Entité importanteLes autres entités des annexes I et II7 millions d’euros ou 1,4 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu

L’avant-projet espagnol, d’après le résumé qu’en a fait le Gouvernement le 14 janvier 2025, s’appliquerait aux entités ayant leur résidence fiscale en Espagne ou résidant dans un autre État de l’UE et y offrant des services, oblige à évaluer les risques et à notifier les incidents significatifs, exige de désigner un responsable de la sécurité de l’information (accrédité, dans les entités essentielles) et crée un Centre national de cybersécurité. Ce sont les données d’un texte qui peut changer.

Les obligations de la directive : articles 20, 21 et 23

Direction (article 20). Les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et peuvent en être tenus responsables si elles ne sont pas respectées. Leurs membres doivent suivre une formation en cybersécurité.

Mesures de sécurité (article 21). Elles doivent être proportionnées au risque et couvrir au minimum dix domaines :

  1. Politiques d’analyse des risques et de sécurité des systèmes d’information.
  2. Gestion des incidents.
  3. Continuité : sauvegardes, reprise après sinistre et gestion des crises.
  4. Sécurité de la chaîne d’approvisionnement.
  5. Sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris le traitement des vulnérabilités.
  6. Évaluation de l’efficacité des mesures.
  7. Cyberhygiène de base et formation.
  8. Cryptographie et chiffrement.
  9. Sécurité des ressources humaines, contrôle d’accès et gestion des actifs.
  10. Authentification multifacteur et communications sécurisées.

Notification des incidents (article 23). Un incident est significatif s’il a causé ou peut causer de graves perturbations opérationnelles ou des pertes financières, ou des dommages considérables à des tiers. Il faut envoyer une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification avec une évaluation initiale dans les 72 heures et un rapport final un mois après cette notification, ainsi qu’un rapport intermédiaire si l’autorité le demande.

Et les entreprises andorranes qui fournissent des services à l’Espagne ?

L’Andorre n’est pas dans l’UE. La directive vise les entités qui fournissent des services dans l’Union (article 2, paragraphe 1), mais la compétence revient à l’État membre où l’entité est établie (article 26). L’obligation de désigner un représentant dans l’UE ne s’impose qu’à certains fournisseurs numériques non établis dans l’Union, comme les fournisseurs de DNS, de cloud, de centres de données ou de services gérés. Notre lecture est qu’une entreprise andorrane extérieure à ces catégories ne recevrait pas d’obligation directe d’une loi espagnole, mais le texte définitif tranchera et il convient de le confirmer avec un conseiller juridique.

L’effet réel arrive par un autre chemin. Une entité espagnole concernée doit gérer la sécurité de sa chaîne d’approvisionnement (article 21, paragraphe 2, point d), et paragraphe 3) et demandera à ses fournisseurs des engagements contractuels, des preuves de contrôles et des délais de notification des incidents.

L’Andorre a en outre sa propre loi : la Llei 22/2022, du 9 juin, sur les mesures de sécurité des réseaux et des systèmes d’information (BOPA n° 76, du 22 juin 2022 ; le BOPA, Butlletí Oficial del Principat d’Andorra, est le journal officiel andorran), avec des entités essentielles et importantes et, dans la rédaction publiée, un champ qui inclut celles qui occupent 50 personnes ou plus ou dépassent 10 millions d’euros de chiffre d’affaires ou de total du bilan. Il faut vérifier la version en vigueur avant d’agir.

Que faire maintenant

Il n’est pas nécessaire d’attendre la loi pour commencer : les mesures de l’article 21 sont de bonnes pratiques de sécurité que, en partie, le RGPD exige déjà (article 32).

  1. Déterminez si vous êtes concerné, directement ou par un client. Vérifiez votre secteur, votre taille et si un grand client des secteurs des annexes va vous demander des garanties. L’INCIBE publie un tableau des entités par secteur et par taille sur sa page consacrée à NIS2.
  2. Portez le sujet devant la direction. Que la direction approuve les mesures, désigne un responsable et suive une formation, comme le demande l’article 20.
  3. Comparez-vous aux dix mesures. Faites une analyse des écarts et classez-la par priorité : vérification en deux étapes, sauvegardes et récupération testées, gestion des incidents et sécurité des fournisseurs sont en général les premières failles.
  4. Préparez la procédure de notification. Qui décide qu’un incident est significatif, qui alerte, avec quelles données et dans quel délai. Les 24 et 72 heures ne laissent aucune marge d’improvisation, et le RGPD exige déjà de notifier les violations de données personnelles à l’autorité dans les 72 heures (article 33).
  5. Revoyez vos contrats. Ceux de vos fournisseurs et de vos clients : quelles obligations de sécurité et de notification ils contiennent, et quelles preuves vous pouvez fournir.

Là où nous avons un intérêt, et là où nous n’en avons pas

Soyons clairs : BDR Group fait du conseil en cybersécurité à travers TutumSec, et nous avons donc un intérêt sur ce sujet. Selon notre fiche de service, nous proposons un diagnostic initial avec audit technique, tests d’intrusion et analyse des écarts par rapport à NIS2 et à ISO 27001, du conseil de CISO externalisé et un bureau technique de sécurité de l’information pour soutenir la mise en conformité à NIS2. Cela ne veut pas dire que toutes les entreprises en ont besoin : savoir si vous entrez dans le champ ne demande aucun prestataire.

Questions fréquentes

Suis-je déjà tenu de me conformer à NIS2 ?

En principe, pas directement. La directive s’adresse aux États membres (article 46), et les obligations des entreprises seront fixées par la loi espagnole, qui n’existe pas encore. Tant qu’il n’y a pas de loi, le régime antérieur s’applique aux opérateurs essentiels et à certains services numériques. C’est une lecture générale ; pour un cas concret, il faut consulter un conseiller juridique.

Les PME seront-elles concernées ?

La règle générale de la directive est que oui, si elles sont moyennes ou grandes et relèvent d’un secteur des annexes. Le texte espagnol peut ajouter des nuances, et la Commission a proposé le 20 janvier 2026 des modifications ponctuelles de la directive ; il s’agit d’une proposition et nous n’avons pas vérifié qu’elles aient été adoptées.

Que se passe-t-il si je ne suis que fournisseur d’une entité concernée ?

Vous n’aurez pas nécessairement d’obligation légale propre, mais vous aurez une obligation contractuelle : l’entité concernée doit sécuriser sa chaîne d’approvisionnement et la répercutera dans les contrats.

Quand sera-t-elle loi ?

Nous ne le savons pas. Il faut encore que le Gouvernement approuve le projet, puis la procédure parlementaire et la publication au BOE, et les Cortes sont dissoutes jusqu’après les élections du 29 novembre 2026.

Sources

Vous voulez savoir si NIS2 vous concerne ?

Si vous voulez examiner où en est la cybersécurité de votre entreprise par rapport à NIS2 et par où commencer, consultez la fiche du service : Cybersécurité pour les entreprises. Tous les services sont chez TutumSec.

Retour aux actualités

Actualités

Articles liés