¿A quién se aplica NIS2? Sectores, tamaño y tipos de entidad

Lo que es

NIS2 (Directiva (UE) 2022/2555) enumera los sectores cubiertos en dos anexos. El anexo I abarca los sectores de alta criticidad: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC (entre empresas), administración pública y espacio. El anexo II abarca otros sectores críticos: servicios postales y de mensajería, gestión de residuos, fabricación y distribución de sustancias químicas, producción y distribución de alimentos, fabricación de determinados productos (como productos sanitarios, ordenadores y productos electrónicos, equipos eléctricos, maquinaria y vehículos), proveedores de servicios digitales (mercados en línea, motores de búsqueda y plataformas de redes sociales) e investigación. Como regla general, la directiva se aplica a las organizaciones medianas y grandes de estos sectores; según la definición de pyme de la UE, una organización es, en términos generales, al menos mediana si tiene 50 o más empleados, o si tanto su volumen de negocios anual como su balance general anual superan los 10 millones de euros. Algunas entidades están cubiertas con independencia de su tamaño, como determinados proveedores de comunicaciones electrónicas públicas, los prestadores de servicios de confianza, los proveedores de servicios de DNS y los registros de nombres de dominio de primer nivel, y los Estados miembros pueden designar otras. Las organizaciones cubiertas se clasifican como entidades esenciales o importantes. En términos generales, las grandes organizaciones de los sectores del anexo I son esenciales, mientras que las organizaciones medianas del anexo I y las del anexo II son importantes, sin perjuicio de las normas independientes del tamaño y de la designación nacional. La clasificación afecta a la supervisión y a las sanciones, más que a las medidas básicas esperadas.

Para quién es

Esta guía es útil para:

• Directivos de medianas empresas de la industria manufacturera, la logística, los servicios digitales, la alimentación, la química o las cadenas de suministro relacionadas con la salud
• Proveedores de servicios gestionados y de TIC que trabajan para clientes empresariales
• Proveedores de entidades cubiertas que reciben cuestionarios de seguridad
• Grupos que operan en varios Estados miembros de la UE y necesitan una visión coherente

Qué ayuda a aclarar

Revisar la estructura del ámbito de aplicación ayuda a aclarar:

• Si alguna de sus actividades corresponde a un sector del anexo I o del anexo II
• Si alcanza el umbral de tamaño o pertenece a una categoría cubierta con independencia del tamaño
• Qué legislaciones nacionales y qué autoridades de los Estados miembros son pertinentes
• Si sus obligaciones son directas o se derivan indirectamente de los contratos con clientes

Qué se incluye

• Enumere todas las actividades y líneas de servicio, no solo la descripción principal del negocio
• Compare cada actividad con las descripciones de los sectores de los anexos I y II
• Compruebe la plantilla, el volumen de negocios y el balance, teniendo en cuenta la estructura del grupo y las empresas asociadas o vinculadas, tal como exige la definición de pyme de la UE
• Identifique todos los Estados miembros en los que presta servicios cubiertos o tiene establecimientos
• Consulte la ley nacional de transposición y las directrices de la autoridad en cada país pertinente
• Registre el resultado, el razonamiento y la fecha, y revíselos cuando su negocio cambie
• Si queda fuera del ámbito de aplicación, enumere los clientes que sí están dentro y los requisitos de seguridad que le trasladan

Qué no se incluye

• Una determinación legal de si NIS2 se aplica a su organización
• La interpretación de una ley nacional de transposición concreta
• El registro ante las autoridades en su nombre
• Certificación o aprobación de cumplimiento

Cuándo elegirlo

Utilice esta guía al principio, antes de invertir en un programa de gran envergadura, y de nuevo cada vez que entre en un nuevo sector o país, adquiera una empresa o supere un umbral de tamaño. Si la respuesta no está clara, por ejemplo porque una actividad se sitúa en el límite de la descripción de un sector, busque asesoramiento legal en lugar de dar nada por supuesto. Incluso las organizaciones que quedan fuera del ámbito de aplicación directo suelen beneficiarse de prepararse, porque los clientes cubiertos deben gestionar los riesgos de su cadena de suministro. Este artículo es información general y no constituye asesoramiento legal.

Nuestro enfoque

Aborde el ámbito de aplicación como una decisión documentada y no como un rápido sí o no. Reúna primero los hechos: actividades, datos de tamaño, estructura del grupo y países. Después, plantee la cuestión a sus asesores legales con esa evidencia. Paralelamente, examine las medidas de seguridad que espera NIS2; reflejan buenas prácticas ampliamente reconocidas, por lo que mejorarlas es útil sea cual sea la respuesta sobre el ámbito de aplicación. Nuestro servicio Security Baseline Review puede ofrecerle una visión escrita de los activos acordados y observaciones clasificadas por severidad, con observaciones sobre brechas de preparación frente a una referencia acordada cuando se incluyan en el alcance confirmado. Esa evidencia puede respaldar las conversaciones con clientes, dirección y asesores. Es material de apoyo a la toma de decisiones que le ayuda a llevar preguntas concretas a sus asesores legales y, cuando proceda, a los organismos de certificación. Si usted es proveedor, pregunte a sus clientes cubiertos qué controles concretos necesitan que usted demuestre y priorícelos.

Security Baseline Review

Preguntas frecuentes

Artículos relacionados