Guía NIS2 · 8 min
¿Quién está sujeto a NIS2? Entidades esenciales e importantes, sectores y umbrales de tamaño
NIS2 se aplica de forma mucho más amplia que la Directiva NIS original, pero no a todo el mundo. Que su organización esté sujeta depende de tres cosas: su sector, su tamaño y un puñado de excepciones independientes del tamaño. Esta guía recorre cada prueba para que pueda determinar su situación, y explica por qué la designación no es la única forma en que la directiva le alcanza. El plazo de transposición (17 de octubre de 2024) ha vencido y los Estados miembros la aplican a medida que finalizan su legislación nacional.
Puntos clave
- NIS2 clasifica a las organizaciones afectadas en entidades esenciales e importantes, según el sector (Anexo I/II) y el tamaño.
- Suele estar dentro del ámbito desde ≥50 empleados o 10 M€ de facturación/balance: más excepciones independientes del tamaño.
- Aunque no esté designado, sus clientes NIS2 le trasladan obligaciones por contrato.
Dos categorías: entidades esenciales e importantes
NIS2 clasifica a las organizaciones sujetas en dos niveles. Ambos deben cumplir las mismas obligaciones básicas de seguridad y notificación; la diferencia está en la intensidad de la supervisión y las sanciones máximas aplicables.
Entidades esenciales
Grandes organizaciones de los sectores de mayor criticidad (anexo I), más ciertas entidades designadas con independencia del tamaño. Sujetas a supervisión proactiva (ex ante): pueden producirse auditorías, inspecciones y solicitudes de información sin un incidente previo.
Entidades importantes
La mayoría del resto de organizaciones sujetas que alcanzan el umbral de tamaño, incluidos los sectores del anexo II. Sujetas a supervisión reactiva (ex post): las autoridades actúan cuando hay indicios de incumplimiento.
¿Qué sectores están cubiertos?
NIS2 enumera los sectores cubiertos en dos anexos. El anexo I cubre los sectores de alta criticidad; el anexo II, otros sectores críticos. Si su actividad principal entra en alguna de las listas y alcanza el umbral de tamaño, es probable que esté sujeto.
Anexo I: sectores de alta criticidad
- Energía (electricidad, petróleo, gas, calefacción urbana, hidrógeno)
- Transporte (aéreo, ferroviario, marítimo, por carretera)
- Banca e infraestructuras de los mercados financieros
- Salud (proveedores, laboratorios de referencia de la UE, medicamentos, productos sanitarios)
- Agua potable y aguas residuales
- Infraestructura digital (DNS, registros de TLD, centros de datos, nube, CDN, servicios de confianza, comunicaciones electrónicas)
- Gestión de servicios TIC, B2B (proveedores de servicios gestionados y de seguridad gestionada)
- Administración pública (central y regional)
- Espacio
Anexo II: otros sectores críticos
- Servicios postales y de mensajería
- Gestión de residuos
- Fabricación, producción y distribución de productos químicos
- Producción, transformación y distribución de alimentos
- Fabricación (productos sanitarios, informática y electrónica, maquinaria, vehículos de motor, otro material de transporte)
- Proveedores digitales (mercados en línea, motores de búsqueda, redes sociales)
- Organizaciones de investigación
El umbral de tamaño
Dentro de un sector cubierto, NIS2 suele aplicarse solo a partir de un tamaño mínimo: la regla del límite de tamaño. Se tienen en cuenta tanto la plantilla como las cifras financieras.
Grande: generalmente 'esencial' (anexo I)
Al menos 250 empleados, o volumen de negocios superior a 50 millones de euros y balance general superior a 43 millones de euros. Las grandes entidades de los sectores del anexo I suelen clasificarse como esenciales. Las grandes entidades de los sectores del anexo II siguen siendo importantes, no esenciales.
Mediana: generalmente 'importante'
Al menos 50 empleados, o volumen de negocios anual o balance general superior a 10 millones de euros. Alcanzar el umbral de tamaño mediano en un sector cubierto suele incorporarle como entidad importante.
Por debajo del umbral mediano, las microorganizaciones y pequeñas organizaciones suelen quedar fuera del ámbito, salvo que se aplique una excepción independiente del tamaño.
Vea cómo puntúan realmente sus proveedores
7 días gratuitos · sin tarjeta de crédito · cancele cuando quiera
Excepciones independientes del tamaño: sujeto con independencia del tamaño
Algunas entidades están cubiertas con independencia de su tamaño debido a su función. Entre ellas figuran los prestadores cualificados de servicios de confianza, los registros de nombres de dominio de primer nivel y los proveedores de servicios DNS, los proveedores de redes o servicios públicos de comunicaciones electrónicas, y las entidades que sean el único proveedor de un servicio esencial para la actividad social o económica de un Estado miembro.
Las entidades de la administración pública y las organizaciones identificadas como críticas en virtud de la Directiva sobre la resiliencia de las entidades críticas (CER) también pueden estar sujetas con independencia del tamaño, y los Estados miembros pueden designar entidades de forma individual. Si opera infraestructura crítica o un servicio sin sustituto, consulte la lista de designación de su autoridad nacional en lugar de basarse solo en la prueba de tamaño.
¿No designado? Aun así pueden incorporarle a través de la cadena de suministro
Aunque no esté sujeto directamente, NIS2 le alcanza de forma indirecta. Las organizaciones sujetas deben gestionar el riesgo de ciberseguridad de sus proveedores y prestadores de servicios (art. 21.2.d). En la práctica, eso significa que sus clientes (bancos, hospitales, energéticas, organismos públicos) exigirán cada vez más pruebas de su nivel de seguridad como condición para hacer negocios.
Por eso la pregunta práctica rara vez es solo '¿estoy designado?'. También es '¿están mis clientes sujetos a NIS2?'. Si lo están, sus obligaciones le llegan a través de contratos, cuestionarios y supervisión continua, sea o no formalmente una entidad esencial o importante.
Qué significa estar sujeto en la práctica
Si está sujeto, las obligaciones principales son:
- Medidas de gestión de riesgos: la base del art. 21: análisis de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro, cifrado, control de acceso y más.
- Notificación de incidentes: una alerta temprana a su CSIRT nacional en un plazo de 24 horas tras un incidente significativo, una notificación más completa en 72 horas y un informe final en un mes (art. 23).
- Gobernanza y responsabilidad: los órganos de dirección deben aprobar y supervisar las medidas y pueden ser considerados responsables; se espera formación del personal.
- Registro: muchas entidades deben registrarse ante su autoridad nacional, aportando datos de contacto y de sector.
Las entidades esenciales e importantes cumplen la misma base; el nivel afecta sobre todo a cómo se supervisan y a las sanciones máximas aplicables: hasta 10 millones € o el 2 % del volumen de negocios anual mundial total (el importe que sea mayor) para las entidades esenciales, y hasta 7 millones € o el 1,4 % para las entidades importantes (art. 34). Los órganos de dirección deben aprobar las medidas y pueden ser considerados personalmente responsables (art. 20).
Fuente: Directiva (UE) 2022/2555 (NIS2), artículos 2 y 3 y anexos I y II — consulte su ley nacional de transposición y su autoridad de supervisión para los detalles vinculantes en su país.
Cómo ayuda norppa.io
Una vez que sabe que sus proveedores están sujetos, o que sus clientes esperan garantías de nivel NIS2, norppa.io aporta la evidencia continua que ambas direcciones necesitan. Cada dominio de proveedor monitorizado se comprueba en más de 100 puntos de control a diario, los eventos críticos cada seis horas, con los hallazgos mapeados automáticamente a artículos de NIS2.
Los cuestionarios de autoevaluación (SAQ) se envían a los proveedores directamente desde norppa.io y se combinan con el perfil técnico de riesgo, de modo que la evidencia de proceso y técnica están en un solo lugar, listas para la diligencia debida de sus clientes o una auditoría de supervisión.