1. Introduction et contexte
La cybersécurité est devenue un élément central de la stabilité des infrastructures critiques et de la protection des données en Europe. Dans ce contexte, la directive NIS2, officiellement directive (UE) 2022/2555 du Parlement européen et du Conseil, met à jour la directive NIS1 (directive (UE) 2016/1148) afin d’améliorer la résilience et la sécurité des réseaux et des systèmes d’information des États membres. Cette mise à jour répond à la complexité et à la fréquence croissantes des cybermenaces qui touchent des secteurs essentiels pour l’économie et la société européennes.
La directive NIS2 a été formellement adoptée en décembre 2022 et est entrée en vigueur en janvier 2023, avec un délai de transposition pour les États membres expirant le 17 octobre 2024 et une application effective à compter du 18 octobre 2024.
Nous allons analyser l’état de la transposition de cette directive en Espagne, le cadre normatif existant et la procédure législative à suivre pour garantir sa bonne mise en œuvre.
2. Cadre juridique préexistant en Espagne :
Avant la directive NIS2, l’Espagne disposait déjà d’un cadre réglementaire de cybersécurité adapté à la directive NIS1 :
** Décret-loi royal (Real Decreto-ley) 12/2018 du 7 septembre : il a transposé la directive NIS1 en droit espagnol en établissant un ensemble de mesures de cybersécurité pour les opérateurs de services essentiels et les fournisseurs de services numériques. Le RDL 12/2018 définissait les catégories de services ainsi que les obligations de sécurité et de notification des incidents.
** Décret royal (Real Decreto) 311/2022 du 3 mai : il régit le Schéma national de sécurité (Esquema Nacional de Seguridad, ENS), un instrument qui harmonise les exigences minimales de sécurité dans le secteur public et qui, à bien des égards, était déjà aligné sur les nouvelles exigences de la NIS2. L’ENS s’applique obligatoirement à toutes les entités du secteur public et aux prestataires qui fournissent des services à ces entités.
Pourquoi la directive NIS1 et l’ENS coexistaient-ils ?
L’ENS a été créé avant la directive NIS1 dans le but d’unifier et de normaliser les mesures de sécurité applicables aux entités du secteur public espagnol. Son existence répond à la nécessité pour les administrations publiques de maintenir un niveau minimal de cybersécurité et de protection de l’information. C’est pourquoi, alors que la directive NIS1 visait les opérateurs de services essentiels et les fournisseurs de services numériques, l’ENS couvrait exclusivement les entités du secteur public et leurs prestataires.
Lors de la mise en œuvre de la NIS1 en 2018, il a fallu créer un cadre spécifique pour couvrir les opérateurs privés essentiels qui n’étaient pas soumis à l’ENS. Ainsi, les obligations de la directive NIS1 et celles de l’ENS coexistaient, mais s’appliquaient à des sujets différents. Avec l’arrivée de la NIS2, l’ENS est en cours de mise à jour afin d’harmoniser ses exigences et d’étendre son champ d’application aux entités privées des secteurs critiques, ce qui supprime une partie de cette segmentation.
Le cadre préexistant jette donc les bases de l’intégration de la NIS2, qui élargit et redéfinit les catégories d’entités soumises à la réglementation et établit des obligations de sécurité plus rigoureuses ainsi qu’un régime de sanctions plus strict.
3. Objectifs et champ d’application de la directive NIS2 :
La NIS2 a pour objectif d’instaurer un niveau élevé commun de cybersécurité dans l’Union européenne. Pour ce faire, elle s’articule autour des principes suivants :
Élargissement du champ d’application : elle inclut de nouveaux secteurs considérés comme hautement critiques (énergie, transports, santé, infrastructures numériques) et d’importance critique (gestion des déchets, fabrication de produits chimiques et alimentaires).
Classification des entités en entités essentielles et entités importantes : elle repose sur la criticité du secteur et sur la taille de l’entité. Les obligations de sécurité et de notification sont plus strictes pour les entités essentielles.
Obligations renforcées : elle introduit des obligations plus exigeantes en matière de gestion des risques, de gouvernance et de résilience. Des exigences spécifiques sont établies pour la sécurité de la chaîne d’approvisionnement et la gestion des crises.
Régime de sanctions plus sévère : les sanctions en cas de manquement peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel pour les entités essentielles, et 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel pour les entités importantes.
4. Processus de transposition de la directive NIS2 en Espagne :
La transposition de la directive NIS2 en Espagne est en cours au moyen d’un décret-loi royal, qui permettra au Gouvernement de respecter le délai fixé par l’UE (17 octobre 2024). Le recours au RDL se justifie par l’extraordinaire et urgente nécessité d’adapter la réglementation dans les délais et les formes requis, afin d’éviter des sanctions de la part de la Commission européenne et de garantir la sécurité des infrastructures critiques.
Le décret-loi royal (RDL) : il permet l’entrée en vigueur immédiate des mesures de la NIS2, mais doit être ratifié par le Parlement dans un délai de 30 jours. Cet instrument législatif est utilisé pour respecter le calendrier européen en assurant la transposition formelle dans les délais, mais il n’implique pas l’adoption définitive du texte en tant que loi.
Débat et adoption par les Cortes Generales (Parlement espagnol) : une fois ratifié, le RDL fera l’objet d’un débat parlementaire complet pour devenir une loi définitive ; à ce stade, des ajustements et modifications pourront être introduits en fonction des observations des groupes parlementaires et des acteurs sociaux concernés. Ce processus permet une participation et une transparence accrues, mais expose le contenu du RDL à d’éventuelles modifications.
5. État actuel de la transposition :
Actuellement, la transposition de la directive NIS2 est à un stade avancé : la rédaction du décret-loi royal est presque achevée et son adoption en Conseil des ministres est prévue avant la date limite (17 octobre 2024). Selon des sources non officielles et l’analyse du cadre normatif, les principales modifications devraient porter sur :
La mise à jour des exigences de cybersécurité pour le secteur public et le secteur privé.
L’extension de la couverture de l’ENS afin d’inclure de nouveaux secteurs et de nouvelles entités importantes selon la classification de la NIS2.
La coordination entre autorités : le Centre cryptologique national (Centro Criptológico Nacional, CCN), conjointement avec le ministère espagnol des Affaires économiques et de la Transformation numérique, sera chargé de superviser le respect de la réglementation et d’assurer la coordination avec les CSIRT (centres de réponse aux incidents de sécurité informatique) compétents.
6. Problèmes potentiels et défis de la transposition :
Approbation parlementaire : bien que le RDL garantisse l’entrée en vigueur des obligations de la NIS2, l’absence de consensus parlementaire pourrait retarder l’adoption définitive de la loi et créer une incertitude réglementaire.
Adaptation des entités concernées : les entités qui n’étaient pas soumises auparavant à la NIS1 (par exemple, les services de gestion des déchets et la fabrication de produits alimentaires) devront s’adapter rapidement aux nouvelles exigences.
Mise en œuvre effective du régime de sanctions : garantir que les sanctions soient proportionnées et efficaces exigera une coordination solide entre les organismes de régulation et les autorités compétentes.
Cette analyse vise à offrir une vision d’ensemble de la situation actuelle et du processus de mise en œuvre de la directive NIS2 dans le contexte législatif espagnol.
