¿Me aplica NIS2? Sectores esenciales e importantes y umbrales
Antes de plantearte cómo cumplir NIS2, hay una pregunta más básica que resolver primero: ¿te aplica siquiera? La respuesta no depende de si tu empresa «suena» crítica, sino de tres factores concretos que la propia directiva define: el sector en el que operas, tu tamaño y, en algunos casos, el tipo de servicio que prestas. Esta guía te ayuda a situarte con precisión antes de invertir tiempo en un proyecto de cumplimiento que quizá ni siquiera te corresponda todavía, o que sí te corresponde y conviene empezar ya.
Si quieres el panorama completo de NIS2 en España, plazos y régimen sancionador incluidos, puedes empezar por nuestra guía completa sobre NIS2.
La diferencia entre entidad esencial y entidad importante
NIS2 no trata a todas las organizaciones obligadas por igual. Distingue entre entidades esenciales y entidades importantes, y esa distinción determina el nivel de supervisión al que estarás sometido y el techo de las sanciones que te pueden aplicar.
Las entidades esenciales están sujetas a una supervisión más estricta: las autoridades competentes pueden iniciar inspecciones y auditorías de oficio, sin necesidad de que exista un indicio previo de incumplimiento. Las entidades importantes, en cambio, están sujetas a un régimen de supervisión más ligero, generalmente reactivo, es decir, activado cuando hay evidencias o sospechas razonables de que algo no está funcionando bien.
Lo que comparten ambas categorías es el fondo del cumplimiento: las diez agrupaciones de medidas de seguridad del artículo 21 de NIS2 se aplican a las dos por igual, aunque el nivel de exigencia y el rigor de la supervisión cambian. Dicho de otro modo, la etiqueta que te corresponda no cambia qué tienes que hacer, pero sí cambia cuánto se va a fiscalizar que lo hagas.
Los sectores cubiertos: 18 sectores entre el Anexo I y el Anexo II
NIS2 organiza los sectores obligados en dos anexos con distinto nivel de criticidad.
El Anexo I recoge los sectores de alta criticidad, y ahí encontramos energía (electricidad, petróleo, gas, hidrógeno y sistemas urbanos de calefacción y refrigeración), transporte (aéreo, ferroviario, marítimo y por carretera), banca e infraestructuras de los mercados financieros, sanidad, agua potable y agua residual, infraestructura digital (proveedores de servicios en la nube, centros de datos, redes de distribución de contenidos, servicios DNS, registros de nombres de dominio de primer nivel), administraciones públicas centrales y autonómicas, y el sector espacial.
El Anexo II recoge otros sectores críticos, con un nivel de exigencia algo menor pero igualmente obligatorio: servicios postales y de mensajería, gestión de residuos, fabricación e industria química, producción y distribución de alimentos, fabricación de productos sanitarios, informáticos, electrónicos, maquinaria y equipos de transporte, proveedores de servicios digitales y actividades de investigación.
En conjunto, la directiva cubre 18 sectores. Si tu empresa opera en cualquiera de ellos, el siguiente paso es comprobar si superas los umbrales de tamaño que activan la obligación.
Umbrales de tamaño y excepciones para pymes críticas
La regla general de NIS2 es sencilla de enunciar: te aplica si tu organización pertenece a uno de los sectores de los anexos y tiene 50 o más empleados, o una facturación anual superior a 10 millones de euros. Basta con superar uno de los dos criterios, no hace falta cumplir ambos.
Esto deja fuera, en principio, a la mayoría de las microempresas y pequeñas empresas de estos sectores. Pero hay una excepción importante que conviene no pasar por alto: determinadas entidades quedan obligadas por NIS2 independientemente de su tamaño, precisamente porque prestan servicios que la directiva considera críticos por su propia naturaleza. Entran en este grupo, entre otros, los proveedores de servicios de sistema de nombres de dominio, los registros de nombres de dominio de primer nivel, los prestadores cualificados de servicios de confianza y determinadas administraciones públicas.
Si tu empresa es una pyme tecnológica que cree estar a salvo solo por su tamaño, merece la pena revisar si encaja en alguna de estas excepciones antes de descartar NIS2 por completo.
Quién queda excluido de NIS2
No todo el sector público ni todas las actividades quedan dentro del alcance de la directiva. Quedan expresamente excluidos el poder judicial, los parlamentos y los bancos centrales, así como las entidades que actúan en los ámbitos de seguridad nacional, seguridad pública, defensa o aplicación de la ley, incluida la prevención, investigación, detección y enjuiciamiento de infracciones penales.
Para el sector público institucional español, la clasificación entre esencial e importante sigue además una lógica territorial concreta: la Administración General del Estado y su sector público institucional, la administración autonómica y su sector público institucional, y las diputaciones, cabildos, consejos insulares y municipios de gran población junto con su sector público institucional se consideran entidades esenciales. Los municipios de más de 20.000 habitantes que no tengan la consideración de gran población se consideran entidades importantes.
Esta distinción territorial es relevante si tu empresa presta servicios a administraciones públicas: el nivel de exigencia que te trasladen contractualmente puede depender de si tu cliente es una entidad esencial o importante según esta clasificación. Si prestas servicios al sector público y quieres entender cómo se traduce esto en tus propios requisitos de seguridad, puedes revisar nuestra guía sobre ENS para empresas privadas que venden al sector público.
Cómo saber tu caso concreto
Con estos criterios ya tienes un primer diagnóstico rápido: identifica tu sector, comprueba si superas los 50 empleados o los 10 millones de euros de facturación, y revisa si encajas en alguna de las excepciones que aplican con independencia del tamaño. Si tu organización presta servicios a una administración pública, añade una comprobación más: qué tipo de entidad es tu cliente y qué nivel de exigencia te puede trasladar contractualmente.
Dicho esto, la aplicabilidad real de NIS2 no siempre es tan lineal como parece sobre el papel. Hay matices de encuadre sectorial, de grupos empresariales y de servicios mixtos que conviene revisar caso por caso antes de dar por cerrada la respuesta. Si tienes dudas concretas sobre tu situación, podemos confirmarte en una primera llamada sin compromiso si NIS2 te aplica y, si es el caso, qué plazos y prioridades tiene sentido manejar, a través de nuestra consultoría NIS2.
Una vez confirmada la aplicabilidad, el paso natural es entender qué tienes que hacer para cumplir. Si tu organización ya trabaja o podría trabajar con el Esquema Nacional de Seguridad, esa es habitualmente la vía más eficiente: puedes verla en detalle en nuestra guía sobre cómo cumplir NIS2 a través del ENS.
Preguntas frecuentes sobre a quién aplica NIS2
Como regla general, no estarías obligada por NIS2, salvo que prestes uno de los servicios que quedan obligados con independencia del tamaño, como servicios de sistema de nombres de dominio, registro de nombres de dominio de primer nivel o servicios de confianza cualificados.
La clasificación depende de tu propia actividad y tamaño, no cambia contrato a contrato. Lo que sí puede variar es el nivel de exigencia contractual que te traslade cada cliente, especialmente si trabajas con distintas administraciones públicas con diferente clasificación.
Los municipios de más de 20.000 habitantes que no sean de gran población se consideran entidades importantes. Los municipios más pequeños, en principio, quedan fuera del ámbito directo de NIS2, sin perjuicio de las obligaciones que sí les alcancen a través del Esquema Nacional de Seguridad si prestan servicios a otras administraciones.
Sí. NIS2 se aplica a nivel de cada entidad y cada Estado miembro, no de forma corporativa global. Una filial española de un grupo internacional debe evaluar su propia aplicabilidad conforme a los sectores y umbrales vigentes en España, con independencia de lo que ocurra en otras filiales del grupo.
Es habitual que la duda surja en actividades mixtas o de frontera entre sectores. En estos casos lo más eficiente es una revisión puntual con alguien que conozca el detalle de los anexos de la directiva, en lugar de asumir por defecto que no te aplica.