Cybersicherheit: eu-regelwerk nis2 – spanien hinkt hinterher
Die digitale Bedrohungslage spitzt sich zu: Angriffe auf Unternehmen, kritische Infrastrukturen und Behörden nehmen in der EU rasant zu. Die neue EU-Richtlinie NIS2 soll das ändern, doch Spanien hat mit der Umsetzung erheblich Zeitverlust.
Nis2: stärkere sicherheitsstandards für unternehmen
Die Richtlinie NIS2 verschärft die Sicherheitsanforderungen und Meldepflichten für Unternehmen in der Europäischen Union. Sie erweitert den Kreis der betroffenen Branchen von kritischer Infrastruktur auf ein breiteres Spektrum wirtschaftlicher Aktivitäten. Kleine und mittlere Unternehmen, die für die Gesellschaft oder Wirtschaft von Bedeutung sind, fallen ebenfalls darunter.
Eine der wichtigsten Änderungen ist die erhöhte Verantwortlichkeit der Unternehmensleitung. Diese müssen die Umsetzung von Cybersicherheitsmaßnahmen aktiv überwachen und riskieren bei Nichterfüllung der Vorgaben empfindliche Strafen.
Die neuen Sanktionen können bis zu 10 Millionen Euro oder 2 % des globalen Jahresumsatzes betragen – für sogenannte „wichtige“ Unternehmen. Die Meldepflicht für schwere Vorfälle wurde ebenfalls verkürzt, was die Notwendigkeit verstärkter Überwachungs- und Reaktionssysteme unterstreicht.
Im Jahr 2025 wurden laut dem spanischen Nationalen Cyber-Sicherheitsinstitut (INCIBE) über 122.000 Sicherheitsvorfälle gemeldet – ein Anstieg von 26 % gegenüber dem Vorjahr. Besonders betroffen waren der Bankensektor (34 %), der Transportsektor (14 %) und der Energiesektor (8 %).
Phishing, Malware, Ransomware und Angriffe auf Unternehmenssysteme sind die häufigsten Bedrohungen. Die Zunahme dieser Angriffe hat die EU dazu veranlasst, ihr regulatorisches Rahmenwerk zu verstärken.
Spanien verzögert die umsetzung
Trotz der Dringlichkeit der Lage hat Spanien die Umsetzung der NIS2-Richtlinie in nationales Recht noch nicht abgeschlossen. Die Europäische Kommission hatte den 17. Oktober 2024 als Frist gesetzt. Ein entsprechendes Gesetzesvorhaben, die Ley de Coordinación y Gobernanza de la Ciberseguridad, wurde zwar vorgelegt, ist aber noch nicht verabschiedet.
Diese Verzögerung ist nicht nur eine Formalität. Sie schafft rechtliche Unsicherheit für Unternehmen, die nicht genau wissen, welche Anforderungen sie erfüllen müssen und wann die neuen Regeln in Kraft treten. Brüssel könnte bei Nichtbeachtung der Fristen sogar Bußgelder verhängen.
Die Zeit drängt. Während andere europäische Länder die Rahmenbedingungen für eine robustere digitale Sicherheit schaffen, hinkt Spanien hinterher. Dieser Rückstand birgt nicht nur wirtschaftliche Risiken, sondern gefährdet auch die Stabilität kritischer Infrastrukturen. Die digitale Sicherheit ist keine Option mehr, sondern eine Notwendigkeit – und Spanien muss sich dieser Realität dringend stellen.