La respuesta breve
La industria metalúrgica y manufacturera no aparece como tal en los anexos de la Directiva NIS2. Eso no significa que el sector quede fuera. Parte de la industria manufacturera sí cae bajo la directiva, a saber, donde la actividad coincide con uno de los sectores mencionados —piense en la fabricación de ciertos dispositivos médicos, máquinas, equipos eléctricos o componentes de vehículos, que figuran en el anexo II como sector de fabricación. Un taller de construcción ordinario o un contratista de chapa metálica normalmente no están incluidos ahí.
Si su empresa encaja exactamente en esa enumeración no es algo que se pueda determinar de una sola mirada: la directiva funciona con códigos NACE y descripciones más precisas que "metalúrgica" o "industria manufacturera" como término genérico. Además, el tamaño y la posición en la cadena también juegan un papel, y esos tres factores debe considerarlos simultáneamente antes de llegar a una conclusión. en unas pocas preguntas, ver dónde se encuentra su empresa proporciona una primera orientación en esto, sin que usted tenga que buscar por todo el texto completo.
Sector: qué parte de la industria manufacturera sí aparece mencionada
El anexo I contiene los sectores considerados "esenciales", como la energía, el agua potable y el transporte —los servicios públicos clásicos. El anexo II añade sectores considerados "importantes", y ahí también está incluida parte de la industria manufacturera: la fabricación de ciertos dispositivos médicos y diagnósticos in vitro, ordenadores y productos electrónicos, equipos eléctricos, máquinas y aparatos, y vehículos de motor y componentes. Un proveedor que encaje exactamente en ese grupo de productos puede efectivamente caer bajo la directiva, incluso si la empresa nunca se ha visto a sí misma como "infraestructura crítica".
Para empresas que quedan fuera de esa enumeración —piense en trabajo general de metales, chapa metálica, soldadura o construcción sin un producto final específicamente mencionado— la condición de sector no se cumple. Eso no excluye una obligación a través de la cadena, y volvemos a esto más adelante.
Tamaño: el límite entre mediano y grande
Si el sector sí encaja, el siguiente factor es el tamaño de la empresa. La directiva utiliza la clasificación europea de micro-, pequeñas, medianas y grandes empresas, basada en el número de empleados combinado con facturación o activos totales. Las empresas pequeñas y medianas generalmente quedan fuera de la obligación directa, con excepciones que el legislador nacional puede designar. Los umbrales exactos y las posibles excepciones figuran en el texto de la directiva y la transposición nacional; esas cifras no las inventamos aquí, sino que se encuentran a través de la fuente oficial.
Para una empresa familiar con quince empleados que encaja exactamente en un grupo de productos mencionado, el sector no es por tanto una obligación automática —el tamaño puede ser determinante para que no surja una obligación directa. Para el constructor de máquinas más grande y exportador con cientos de empleados, esa misma clasificación de sector puede sí dar lugar a una obligación.
Posición en la cadena: también se ve afectado sin obligación propia
La mayor parte de la industria metalúrgica y manufacturera no se ve afectada a través de la lista de sectores, sino a través del cliente. Una entidad esencial o importante —una empresa energética, una junta de agua, un gran fabricante de equipos médicos— debe bajo la obligación de cuidado también evaluar los riesgos en su propia cadena de suministro. En la práctica, eso se traduce en cuestionarios de seguridad, requisitos contractuales y en ocasiones un procedimiento obligatorio para informar al cliente de incidentes, mientras que la empresa proveedora queda fuera de la ley. Quien como tornero CNC, taller de soldadura o proveedor de componentes a tal parte suministra, así se ve afectado antes a través del contrato que a través de la ley en sí. Cómo leer y responder ese cuestionario es un asunto aparte; la explicación por tema pone lado a lado las situaciones más frecuentes.
Sistemas de producción conectados a la red
Una razón por la que los clientes en la industria manufacturera profundizan en este punto es el vínculo entre la automatización de oficinas y la producción. Máquinas, autómatas programables y líneas de producción que en su día funcionaban aisladas se encuentran ahora conectadas a la misma red que la planificación, la facturación y el correo electrónico en muchas empresas. Un cliente que evalúa su propia cadena de suministro no solo examina los sistemas de oficina, sino también cómo están protegidos esos sistemas de producción, quién tiene acceso a ellos y qué ocurre en caso de una avería o caída. Esto explica por qué los cuestionarios en este sector frecuentemente van más allá de «¿tiene una política de contraseñas?» y preguntacilios específicamente sobre la segmentación de redes entre oficina y producción.
Qué hacer si aún hay incertidumbre
Dado que la clasificación sectorial, el tamaño y la posición en la cadena son independientes entre sí, es perfectamente posible que una empresa metalúrgica no encaje precisamente en ninguna de las tres, que encaje en una o que encaje en todas a la vez. Una respuesta clara requiere examinar conjuntamente el código NACE propio, las últimas cifras de negocio y una visión de los principales clientes. cómo se obtiene el resultado de la verificación muestra qué fuentes se utilizan para ello, incluida la fecha en que se han consultado. Para la situación propia y definitiva, un abogado o la autoridad competente designada sigue siendo el interlocutor más adecuado.
¿Desea obtener una orientación inicial para su propio negocio sin dedicar medio día a ello: la verificación NIS2 es gratuita y solo requiere información sobre su sector, tamaño y algunas preguntas acerca de sus principales clientes. preguntas frecuentes sobre NIS2 y la industria manufacturera responde a varias preguntas que surgen con frecuencia en este sector, incluso antes de que usted tenga que ponerse en contacto con nosotros.