¿Cae mi empresa bajo NIS2?

## ¿Cae mi empresa bajo NIS2? Si su empresa cae o no bajo la Directiva NIS2 depende de dos cosas: el sector en el que opera y el tamaño de su organización. La directiva señala en dos anexos sectores que considera importantes para la sociedad o la economía, desde la energía y el transporte hasta la infraestructura digital y la gestión de aguas residuales. Si su empresa se encuentra dentro de uno de esos sectores Y dentro del tamaño que maneja la directiva, es probable que sea una entidad 'esencial' o 'importante', con todas las obligaciones que ello conlleva. Pero la respuesta no termina ahí. Muchas más empresas caen fuera del sector y el tamaño, y aún así reciben los requisitos: como proveedor, instalador o prestador de servicios de una empresa que sí es obligada. Estas organizaciones obligadas deben evaluar su propia cadena de suministro, y eso se traduce en cuestionarios y requisitos contractuales en empresas que nunca tendrán que registrarse ante una autoridad supervisora. ### Sector: anexo I y II La directiva enumera sectores en dos anexos. El anexo I menciona los sectores considerados esenciales: entre otros, energía, transporte, banca, agua potable, infraestructura digital y administración pública. El anexo II menciona sectores considerados importantes, como servicios postales y de mensajería, gestión de residuos, química, alimentación y ciertos servicios digitales. Una empresa de instalación, un proveedor de servicios de TI o una consultoría generalmente no aparecen por nombre en esos anexos, pero las descripciones son más amplias de lo que sugiere el nombre. Si duda si su actividad cae bajo uno de estos sectores, es aconsejable leer la descripción en el texto oficial, no solo el nombre del sector. ### Tamaño: cuándo cuenta su empresa Además del sector, la directiva observa el tamaño de la organización, utilizando la clasificación estándar de la UE de pequeñas, medianas y grandes empresas basada en personal e ingresos o total del balance. Para la mayoría de sectores, la regla es: cuanto mayor sea la empresa, antes entra en el ámbito de aplicación. También existen excepciones donde el tamaño importa menos, por ejemplo cuando una organización es el único proveedor de un servicio determinado en un país. Estas excepciones se describen con precisión en la directiva y en la ley nacional en que se basa; una estimación exacta para su situación específica corresponde a usted, su abogado o la autoridad supervisora. ### El grupo más grande cae fuera, y aún así recibe los requisitos La parte de la directiva que atrae más atención se refiere a la obligación de diligencia debida: las organizaciones obligadas deben tomar medidas apropiadas e incluir también la evaluación de sus proveedores. Esto es precisamente lo que afecta al grupo más grande de empresas. Una empresa de instalación que mantiene sistemas de gestión de edificios para una compañía de energía, una empresa de limpieza que trabaja para un hospital, o un socio de TI de un municipio: ninguno de ellos necesita registrarse, pero todos pueden recibir un cuestionario. Esto se denomina en la práctica 'afectado por la cadena': no cae bajo la directiva, pero un cliente que sí lo hace le pregunta de todas formas si puede demostrar que su seguridad está en orden. Si esto le afecta, depende de quiénes sean sus clientes y cuán importante sea su servicio para ellos. Es difícil de evaluar sin tener una visión general del sector, tamaño y rol en la cadena simultáneamente. [[LINK:/nis2-check|En un par de preguntas ve dónde se encuentra aproximadamente su empresa]], con una explicación del por qué y una propuesta para el siguiente paso. ### Instituciones financieras: una regulación separada Los bancos, aseguradoras y otras instituciones financieras no caen bajo NIS2 sino bajo una regulación separada de resiliencia operativa digital, dirigida específicamente al sector financiero. Quien opera en ese sector suele reconocerlo ya en la primera pregunta de evaluación sobre el sector. ### Qué hacer si la respuesta no está clara El sector y tamaño juntos dan una buena indicación inicial, pero la línea exacta entre 'esencial', 'importante', 'afectado por la cadena' y 'no afectado' requiere un análisis personalizado. [[LINK:/onderwerpen|La base de conocimientos con todos los temas por situación]] proporciona por cada concepto una explicación y remite a la fuente en el texto oficial. Si aún tiene dudas después de leer eso, un abogado o la autoridad supervisora de su país es la parte indicada para evaluar su situación específica; secria.eu deliberadamente no se pronuncia al respecto. ¿Desea saber primero de dónde proviene la información en esta plataforma y cómo se mantiene actualizada? [[LINK:/hoe-het-werkt|Lea aquí cómo mantenemos las fuentes]]. Las respuestas a preguntas prácticas sobre el uso de la plataforma las encontrará en [[LINK:/veelgestelde-vragen|la descripción general de preguntas frecuentes]]. La respuesta corta a '¿cae mi empresa bajo NIS2' la obtiene colocando lado a lado el sector, tamaño y rol en la cadena. Realice la comprobación gratuita y lea la base de conocimientos; ya le dan sin cuenta una imagen inicial fundada de dónde se encuentra su empresa.