NIS 2: sabe en tres preguntas si te aplica y con qué intensidad

La primera pregunta ante NIS 2 no es qué medidas implantar, sino si la directiva te aplica y con qué intensidad. Se puede responder en tres preguntas y evita meses de reuniones estériles.

Las tres preguntas que definen tu situación

1. ¿En qué sector operas? La norma distingue sectores de alta criticidad (energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública, espacio) y otros sectores críticos (servicios postales, gestión de residuos, química, alimentación, fabricación, plataformas digitales, investigación).
2. ¿Cuántas personas trabajan en la empresa? El umbral general separa a las medianas empresas (a partir de 50 personas) del resto.
3. ¿Cuál es tu facturación o balance anual? El otro umbral relevante son los 10 millones de euros.

Cruzando las tres respuestas, tu empresa queda como entidad esencial, entidad importante o fuera del ámbito.

Qué implica cada categoría

• Entidad esencial: supervisión proactiva. La autoridad puede inspeccionar sin que haya ocurrido nada, y las sanciones son más altas.
• Entidad importante: supervisión reactiva. La revisión llega cuando hay indicios de incumplimiento o un incidente.
• Fuera del ámbito: no hay obligación directa… hasta que un cliente que sí está dentro te exija las mismas medidas por contrato. Es lo que está pasando ya con muchos proveedores tecnológicos.

El efecto cadena de suministro

Aquí está el punto que más empresas pasan por alto. NIS 2 obliga a las entidades afectadas a gestionar el riesgo de sus proveedores. Si tu cliente es un hospital, una eléctrica o un banco, la directiva llega a tu empresa por vía contractual aunque no te aplique por tamaño. Y llega en forma de cuestionario, cláusula y auditoría.

Responsabilidad de la dirección

NIS 2 sitúa la obligación en el órgano de administración: aprobar las medidas, supervisarlas y formarse. No es delegable en el informático ni en el proveedor. Es una responsabilidad de gobierno, con consecuencias personales para los administradores.

Qué hacer con el resultado del autodiagnóstico

Si sales dentro del ámbito, el siguiente paso es traducir las medidas exigidas en acciones concretas y asignar responsable y fecha a cada una. Si sales fuera, guarda el resultado: es la respuesta documentada para el primer cliente que te pregunte.

Nuestra herramienta

Ponemos a disposición de cualquier empresa una herramienta gratuita de autodiagnóstico y cumplimiento NIS 2: resuelve la elegibilidad en tres preguntas y, a partir de ahí, despliega el plan de acción en tu panel.

Es gratuita y no requiere contratar nada. Escríbenos y te damos acceso.