¿Cae mi empresa bajo NIS2?
Que su empresa esté sujeta directamente a la Directiva NIS2 depende de dos cosas: el sector en el que opera y el tamaño de su organización. La Directiva identifica en dos anexos sectores que considera importantes para la sociedad o la economía, desde energía y transporte hasta infraestructura digital y gestión de aguas residuales. Si su empresa se encuentra dentro de uno de estos sectores Y dentro del tamaño que establece la Directiva, es probable que sea una entidad «esencial» o «importante», con todas las obligaciones que ello conlleva.
Pero la respuesta no termina ahí. Muchas más empresas quedan fuera del ámbito de sector y tamaño, pero aun así se les aplican los requisitos: como proveedor, instalador o prestador de servicios de una empresa que sí está obligada. Estas organizaciones obligadas deben evaluar su propia cadena de suministro, lo que se traduce en cuestionarios de seguridad y requisitos contractuales para empresas que nunca tendrán que registrarse ante una autoridad supervisora.
Sector: anexos I y II
La Directiva enumera sectores en dos anexos. El anexo I identifica los sectores considerados esenciales: entre otros, energía, transporte, banca, agua potable, infraestructura digital y administración pública. El anexo II identifica sectores considerados importantes, como servicios postales y de mensajería, gestión de residuos, química, alimentación y determinados servicios digitales. Una empresa de instalación, un proveedor de servicios informáticos o una consultoría generalmente no aparecen por nombre en estos anexos, pero las descripciones son más amplias que lo que el nombre sugiere. Quien tenga dudas sobre si su actividad se engloba en uno de estos sectores, haría bien en leer la descripción en el texto oficial mismo, no solo el nombre del sector.
Tamaño: cuándo cuenta su empresa
Además del sector, la Directiva considera el tamaño de la organización, utilizando la clasificación estándar de la UE en microempresas, pequeñas, medianas y grandes empresas basada en personal, ingresos o total del balance. Para la mayoría de sectores se aplica: cuanto mayor la empresa, antes entra en el ámbito de aplicación. También existen excepciones en las que el tamaño importa menos, por ejemplo cuando una organización es el único proveedor de un servicio determinado en un país. Estas excepciones están descritas con precisión en la Directiva y en la ley nacional en la que se transpone; corresponde a usted, su asesor legal o la autoridad supervisora hacer una evaluación exacta de su situación.
El grupo más grande queda fuera, pero aun así le aplican los requisitos
La parte de la Directiva que más atención genera trata sobre la diligencia debida: las organizaciones obligadas deben adoptar medidas apropiadas y también evaluar a sus proveedores. Aquí es donde se ve afectado el grupo más grande de empresas. Una empresa de instalación que mantiene sistemas de control de edificios para una empresa energética, una empresa de limpieza que trabaja para un hospital, o un socio informático de un municipio: ninguno de ellos tiene que registrarse por su cuenta, pero todos podrían recibir un cuestionario. En la práctica, esto se denomina frecuentemente «afectado por la cadena»: usted no está directamente sujeto a la Directiva, pero un cliente que sí lo está le pide que demuestre que su seguridad está en orden.
Que esto afecte a su empresa depende de quiénes sean sus clientes y cuán importante sea su servicio para ellos. Es difícil de estimar sin tener una visión general del sector, tamaño y rol en la cadena simultáneamente. En unas pocas preguntas verá dónde se sitúa aproximadamente su empresa, con una explicación de por qué y una sugerencia para el siguiente paso.
Instituciones financieras: una regulación aparte
Los bancos, aseguradoras y otras instituciones financieras no están sujetos a NIS2 sino a un reglamento aparte sobre resiliencia operativa digital, dirigido específicamente al sector financiero. Quienes operan en ese sector generalmente ya lo identifican en la primera pregunta de admisión sobre el sector.
Qué hacer si la respuesta no es clara
El sector y tamaño juntos dan una buena primera indicación, pero la línea exacta entre «esencial», «importante», «afectado por la cadena» y «no afectado» requiere un análisis personalizado. La base de conocimientos con todos los temas por situación proporciona una explicación para cada concepto y remite a su ubicación en el texto oficial. Si después de leerlo aún tiene dudas, un abogado o la autoridad competente de su país es la parte indicada para evaluar su situación específica; secria.eu se abstiene deliberadamente de pronunciarse al respecto.
¿Desea saber primero de dónde procede la información en esta plataforma y cómo se mantiene actualizada? Lea aquí cómo mantenemos las fuentes. Las respuestas a preguntas prácticas sobre el uso de la plataforma las encontrará en el resumen de preguntas frecuentes.
Así pues, la respuesta breve a 'mi empresa ¿está sujeta a la Directiva (UE) 2022/2555' la obtiene comparando sector, tamaño y función en la cadena de suministro. Realice la comprobación gratuita y lea la base de conocimientos; sin necesidad de cuenta, ya le proporcionan una visión inicial y fundamentada de la situación de su empresa.