El sector de la instalación no está sujeto en su conjunto a la Directiva NIS2. No existe un sector «instalación» en los anexos que utiliza la directiva para designar a las entidades esenciales e importantes. Con todo, las empresas de instalación reciben cada vez más esta pregunta, y hay una razón concreta: muchos de sus clientes sí están sujetos a la obligación de diligencia debida, y esa obligación los obliga a examinar también a sus proveedores.
El que NIS2 afecte a su empresa de instalación depende, pues, de tres factores simultáneamente: el sector en el que usted mismo trabaja, el tamaño de su empresa, y la cuestión de si a través de sus clientes entra en la cadena de una organización sujeta a obligaciones. Esa tercera vía es a menudo la más probable para los instaladores, y merece por tanto atención especial.
Sector: ¿está la instalación comprendida en el anexo I o II?
La directiva designa los sectores en dos anexos: el anexo I para sectores esenciales como energía, agua potable, sanidad e infraestructura digital, y el anexo II para sectores importantes como determinadas industrias y tratamiento de aguas residuales. Una empresa de instalación general que instala sistemas de calefacción, electricidad o seguridad no figura como tal en esos anexos. Son posibles excepciones: un instalador que es en sí mismo parte de una red energética, o que gestiona infraestructura crítica para un sector designado, puede aproximarse más al ámbito de aplicación directo. Se trata de una evaluación caso por caso, no de un resultado general para el sector.
Tamaño: ¿cuenta usted como micro, pequeña, mediana o gran empresa?
La directiva vincula la obligación directa al tamaño: en esencia se trata de medianas y grandes empresas dentro de los sectores designados, con excepciones que pueden variar según el sector. Muchas empresas de instalación son pequeñas o medianas en cuanto a personal y facturación, y por esa razón a menudo quedan fuera de la obligación directa, incluso si el sector tuviera alguna conexión. Sin embargo, el tamaño nunca es por sí solo el resultado completo; hay que considerar conjuntamente el sector y el tamaño, y la transposición nacional puede divergir en aspectos de la directiva en sí.
Posición en la cadena: acceso a edificios y sistemas de los clientes
Aquí está el punto clave de atención para los instaladores. Una empresa de instalación que trabaja para un hospital, una compañía de energía, un organismo de agua o una gran empresa logística a menudo entra literalmente: en edificios, en cuadros de distribución, en sistemas de gestión de edificios, a veces con su propio acceso a sistemas del cliente. Para el cliente que a su vez está sujeto a la obligación de diligencia debida, ese es precisamente el tipo de acceso al que mira el artículo 21 de la directiva: los riesgos que surgen a través de proveedores y prestadores de servicios forman parte de la seguridad propia de esa organización. Por eso las empresas de instalación reciben cuestionarios de seguridad, cláusulas contractuales u obligaciones sobre control de acceso, incluso sin estar sujetas a obligaciones directas.
¿Qué significa concretamente estar «en la cadena» para usted?
Estar en la cadena significa que usted mismo no está sujeto a la obligación de notificación ni de registro, pero un cliente sí puede pedirle que demuestre cómo gestiona el acceso, contraseñas, actualizaciones e incidentes. Esto suele ocurrir a través de un cuestionario de seguridad o una enmienda al contrato. Quien no pueda ofrecer nada al respecto corre el riesgo de que el trabajo se adjudique a un competidor que pueda responder rápida y convincentemente. No es pues una obligación legal que recaiga directamente sobre su empresa, pero sí una realidad comercial que se deriva de la obligación de su cliente. leer la explicación por cada situación ofrece una visión de cómo esos dos aspectos — directamente sujeto a obligaciones y en la cadena — se diferencian en la práctica.
¿Qué puede hacer ahora?
El primer paso es aclarar cuál de las tres categorías es aplicable a su empresa: entidad esencial, entidad importante, afectada por la cadena de suministro, o no afectada. Para eso es precisamente para lo que sirve la verificación NIS2: algunas preguntas sobre sector, tamaño y los clientes para los que trabaja, con una indicación y una explicación del por qué. en unas pocas preguntas, ver dónde se encuentra su empresa no requiere cuenta ni tiene costos. Si el resultado es afectada por la cadena de suministro, la siguiente pregunta es práctica: qué cuestionarios de seguridad y requisitos contractuales puede esperar, y cómo documenta las respuestas para no tener que volver a elaborarlas cada vez. ver las preguntas frecuentes sobre la verificación y el dossier da una primera impresión de ello, y leer de dónde procede la información en la plataforma muestra cómo los resultados se vinculan a la Directiva y a la ley nacional.
¿Desea saber ya ahora si su empresa instaladora tiende hacia entidad esencial, entidad importante, afectada por la cadena de suministro, o no afectada? Realice la verificación NIS2 gratuita, o lea primero la base de conocimientos para repasar los conceptos a su propio ritmo.