¿Estoy en el ámbito de NIS2? El test de 3 preguntas

La pregunta llega casi siempre de la misma manera: un cliente, una aseguradora o un auditor de cuentas pronuncia la palabra «NIS2», y nadie en la empresa sabe decir con certeza si el texto se aplica o no. Las respuestas que se encuentran en internet no ayudan mucho, porque a buena parte de ellas le interesa que usted responda que sí.

La directiva, en cambio, es mucho más estrecha que el ruido que la rodea. Define su propio ámbito de aplicación en un solo artículo, y ese artículo se lee como un test de tres preguntas: el sector, el tamaño, y después los casos en los que el tamaño no cuenta. Si responde que no a las tres, usted no es una entidad regulada en el sentido del texto — y hay que decirlo con claridad, porque es cierto. Eso no significa, sin embargo, que el asunto no vaya a afectarle nunca, y la cuarta sección de este artículo explica por qué.

El texto de referencia es la directiva (UE) 2022/2555, de 14 de diciembre de 2022, «relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión», llamada directiva NIS 2. Es ella, y solo ella, la que se cita aquí en lo que respecta al derecho europeo. Todo lo que corresponde a la transposición nacional — registro, calendario, control — pertenece a la autoridad competente de cada Estado, y este artículo le remite a ella en lugar de inventar fechas.

Pregunta 1: ¿figura su actividad en el anexo I o en el anexo II?#

Es el primer filtro, y el más discriminante. El artículo 2, apartado 1, de la directiva solo se aplica a las «entidades públicas o privadas de un tipo contemplado en el anexo I o II». Esos dos anexos forman una lista cerrada: una empresa cuya actividad no figure en ellos queda fuera del ámbito de aplicación, sea cual sea su tamaño, su volumen de negocio y el grado de dependencia que sus clientes tengan de ella.

El anexo I lleva el título «Sectores de alta criticidad». Contiene once sectores, varios de ellos divididos a su vez en subsectores.

El anexo II lleva el título «Otros sectores críticos». Es más corto, y es el que las empresas industriales olvidan leer con más frecuencia.

Dos precauciones de lectura, antes de concluir demasiado deprisa en un sentido o en otro. La primera: el sector no basta, lo que vale es el tipo de entidad nombrado en la tercera columna de los anexos. Muchas líneas remiten a una definición precisa establecida por otro texto europeo — una «entidad de crédito» en el sentido del Reglamento (UE) n.º 575/2013, un «prestador de asistencia sanitaria» en el sentido de la Directiva 2011/24/UE, y así sucesivamente. Estar «en la salud» en el sentido corriente no significa, por tanto, estar automáticamente contemplado en la línea «Salud» del anexo I.

La segunda: los prestadores informáticos no son un punto ciego del texto. El anexo I nombra expresamente, bajo la gestión de servicios TIC entre empresas, a los proveedores de servicios gestionados y a los proveedores de servicios de seguridad gestionados. Una empresa de servicios gestionados, un MSP o un MSSP responden, por tanto, que sí a la pregunta 1. Eso todavía no los convierte en entidades reguladas — queda la pregunta 2.

Pregunta 2: ¿alcanza su empresa los umbrales de tamaño?#

El segundo filtro es acumulativo con el primero: hay que estar en un anexo y alcanzar un determinado tamaño. El artículo 2, apartado 1, formula esa condición por remisión: la directiva se aplica a las entidades «que se consideren medianas empresas con arreglo al artículo 2 del anexo de la Recomendación 2003/361/CE, o que superen los límites máximos para las medianas empresas establecidos en el apartado 1 de dicho artículo».

Dicho de otro modo: el umbral de entrada en NIS2 no es una cifra inscrita en la directiva, es la frontera entre la pequeña empresa y la mediana empresa en el sentido de la definición europea de pyme. En la práctica, eso equivale a al menos 50 empleados, o más de 10 millones de euros a la vez de volumen de negocio y de balance total anual. Por debajo, la entidad queda fuera del ámbito de aplicación directa — salvo excepciones, que son objeto de la pregunta 3.

La plantilla no basta para zanjarlo: una empresa de menos de 50 personas sigue siendo mediana empresa, y por tanto está dentro del ámbito, si su volumen de negocio y su balance total superan ambos los 10 millones de euros.

En el detalle del cálculo se juegan tres cosas, y son ellas las que inclinan los casos límite.

En primer lugar, el cálculo no recae necesariamente sobre la única entidad jurídica que usted tiene en mente. La Recomendación prevé que los datos de una empresa con empresas asociadas o vinculadas se determinen sobre la base de las cuentas consolidadas, o mediante la agregación de los datos de las empresas situadas inmediatamente aguas arriba o aguas abajo. Una filial de 30 personas dentro de un grupo de 400 no cuenta, por tanto, como una empresa de 30 personas.

En segundo lugar, la directiva descarta expresamente una regla de la Recomendación: el artículo 2, apartado 1, precisa que el artículo 3, apartado 4, del anexo de la Recomendación 2003/361/CE no se aplica a los efectos de NIS2. Esa regla es la que normalmente impide considerar pyme a una empresa controlada en un 25 % o más por organismos públicos. La consecuencia es técnica pero real: una entidad de capital público no se trata mecánicamente como una gran empresa a efectos del cálculo del umbral NIS2.

Por último, la directiva fija un suelo, no un techo. El artículo 5 recuerda que «no impedirá a los Estados miembros adoptar o mantener disposiciones que garanticen un nivel de ciberseguridad más elevado». Un Estado miembro puede, por tanto, ir más allá que el texto europeo, y el artículo 2, apartado 5, le autoriza expresamente a extender la aplicación a las administraciones públicas locales y a los centros educativos. El cálculo europeo le da una respuesta sólida, no le da la respuesta definitiva: esa pertenece al derecho nacional y a la autoridad que lo aplica.

¿Soy «entidad esencial» o «entidad importante»?#

Es la pregunta que sigue de inmediato a un «sí» a las dos primeras, y la trata el artículo 3 de la directiva, no el artículo 2. La distinción no cambia las medidas de gestión de riesgos que hay que aplicar — son las mismas — pero sí cambia el régimen de supervisión al que queda sujeta la entidad.

La lectura útil de esa tabla cabe en una frase: «entidad importante» no es una categoría de segunda fila que pueda tratarse más tarde. Es la categoría por defecto de todo lo que entra en el ámbito sin ser esencial, y está mucho más poblada que la otra.

Un punto merece señalarse de paso, porque afecta directamente a los prestadores informáticos: un MSP de al menos 250 personas entra en el anexo I y supera los límites de las medianas empresas, lo que lo convierte en entidad esencial. Un MSP de 80 personas está igualmente dentro del ámbito, pero como entidad importante. La frontera entre ambos no se juega en la criticidad percibida del servicio prestado, se juega en el tamaño.

Pregunta 3: ¿entra usted en alguna de las excepciones de tamaño?#

El artículo 2, apartado 2, abre una serie de casos en los que la directiva se aplica «con independencia de su tamaño». Esos casos no crean sectores nuevos: se aplican a entidades que ya figuran en el anexo I o II y que habrían quedado fuera del ámbito por el mero juego de los umbrales. Es el filtro que las estructuras muy pequeñas olvidan comprobar, cuando es precisamente el que las contempla.

Los puntos b) a e) comparten una característica que hay que entender para no equivocarse: no son casillas que uno marca por sí mismo. Son criterios sobre cuya base un Estado miembro identifica entidades y las inscribe en su lista. Uno no se convierte en «único proveedor en un Estado miembro» porque esté convencido de ello; se convierte en tal porque la autoridad competente lo ha identificado así. La postura correcta, si alguno de esos casos le parece plausible, no es ignorarlo ni autodeclararse: es preguntar a la autoridad nacional.

Los casos del artículo 2, apartado 2, letra a), y de los apartados 3 y 4 funcionan de otro modo: dependen de una calificación objetiva — operar una red pública, ser prestador de servicios de confianza, prestar servicios de registro de nombres de dominio — y no de una decisión discrecional. Si usted está en alguno de ellos, la cuestión del tamaño sencillamente no se plantea.

¿Y si no entro en ninguno de los tres?#

Entonces usted no es una entidad regulada en el sentido de NIS2, y nadie debería decirle lo contrario. Es el caso de la mayoría de las agencias y empresas de servicios gestionados: el sector es efectivamente el del anexo I, pero los umbrales del artículo 2 las dejan fuera del ámbito de aplicación directa.

Y, sin embargo, el cuestionario de seguridad de proveedor va a llegar igualmente. No por error, ni por exceso de celo: por la cadena de suministro. El artículo 21 de la directiva impone a las entidades reguladas tratar la seguridad de su cadena de suministro como un ámbito de gestión de riesgos de pleno derecho, teniendo en cuenta las vulnerabilidades propias de cada uno de sus proveedores directos y la calidad de sus prácticas de ciberseguridad. Un prestador informático, que tiene accesos de administrador sobre la infraestructura de su cliente, es exactamente el proveedor al que apunta esa obligación.

Es una distinción, no un matiz de vocabulario. Su cliente no le pide que se conforme a NIS2 — la directiva no se dirige a usted. Le pide que le aporte la prueba de que usted no va a ser el eslabón débil del que depende su conformidad. El mecanismo completo, y lo que los clientes regulados piden en concreto, son objeto de un artículo dedicado a la cadena de suministro.

La consecuencia práctica es incómoda para quien esperaba un «no» liberador: responder que no a las tres preguntas le libra de obligaciones normativas, no de preguntas de clientes. Y la experiencia sobre el terreno es que la segunda categoría llega antes que la primera.

¿Dónde comprobar oficialmente si estoy afectado?#

Ante la autoridad nacional, y en ningún otro sitio. La directiva fija un marco europeo, pero es el derecho nacional el que la transpone, el que establece la lista de entidades esenciales e importantes y el que organiza el registro. Dos empresas idénticas en dos Estados miembros pueden verse sujetas a modalidades distintas, porque el artículo 5 autoriza a cada Estado a ir más allá del suelo europeo.

En Francia, el punto de entrada es el portal de la ANSSI MonEspaceNIS2, en el que la ANSSI invita a las futuras entidades afectadas a darse a conocer a la espera del final de la transposición. El resto de los recursos públicos útiles — guías, referenciales, documentación técnica — está reunido en MesServicesCyber. Son esas fuentes las que tienen autoridad sobre el calendario francés, los trámites y los criterios adoptados; este artículo no las sustituye ni las resume, porque el detalle nacional se mueve y una fecha copiada en una entrada de blog envejece mal.

Un consejo de método, antes de lanzarse a la comprobación: documente su razonamiento en el momento en que lo hace. El sector adoptado, el tipo de entidad del anexo al que se adscribe o no, la plantilla y las cifras utilizadas, la fecha del cálculo. Una conclusión de «no estamos afectados» sin rastro del razonamiento que lleva a ella es muy difícil de defender dos años después, ante un cliente, una aseguradora o un comprador — y habrá que rehacerla entera cada vez que alguien vuelva a plantear la pregunta.

¿Qué hacer con la respuesta, en uno u otro caso?#

El trabajo que hay que hacer es sorprendentemente parecido a ambos lados de la frontera, y eso es lo que hace que la cuestión del ámbito sea menos dramática de lo que parece.

Si está dentro del ámbito, la respuesta la estructura el texto: medidas de gestión de riesgos, obligaciones de notificación de incidentes, responsabilidad de los órganos de dirección, supervisión por la autoridad nacional. La guía del prestador informático detalla esas obligaciones y los plazos que las acompañan.

Si está fuera, la respuesta la estructuran sus clientes, y exige la misma base: saber en qué punto está, poder demostrarlo y poder volver a demostrarlo dentro de seis meses. Es exactamente el tema de demostrar la conformidad en el tiempo — un estado constatado en una fecha solo tiene valor si se mantiene al día, y la ausencia de registro es una ausencia de prueba, no una prueba favorable.

En ambos casos, el punto de partida razonable es un diagnóstico de su propia madurez y no un proyecto de conformidad. Las 42 medidas de higiene informática de la ANSSI constituyen una base pública y gratuita, y el referencial ReCyF da a ese diagnóstico una estructura por objetivos, reutilizable de un cliente a otro y de un año para otro.

Vigicap ofrece ese diagnóstico — los mismos objetivos que usted pasa a sus clientes, aplicados esta vez a su propia estructura, durante el periodo de prueba gratuito.