NIS2: ¿es usted una entidad esencial o una entidad importante?
·
Actualizado el ·
Por 
Bertrand Bucelle · 10 min de lectura
En resumen
- Usted es una entidad esencial si ejerce en uno de los 11 sectores altamente críticos del anexo I de NIS2 y supera los umbrales de la gran empresa (250 empleados, o 50 millones de euros de volumen de negocios y 43 millones de balance). Usted es una entidad importante si es una mediana empresa (50 empleados, o 10 millones de euros de volumen de negocios y de balance) en uno de los 18 sectores de los anexos I y II, o una gran empresa del anexo II. Ciertas actividades están afectadas sea cual sea el tamaño.
Por qué la distinción importa
Las dos categorías tienen las mismas obligaciones sustantivas (medidas de gestión de riesgos del artículo 21, notificación de incidentes del artículo 23, gobernanza del artículo 20). Difieren en tres puntos:
| Entidad esencial | Entidad importante | |
|---|---|---|
| Supervisión | Proactiva: auditorías, inspecciones y controles regulares, incluso sin incidente | Reactiva: controles a posteriori, basados en indicios de incumplimiento |
| Multa máxima | 10 millones de euros o 2 % del volumen de negocios mundial | 7 millones de euros o 1,4 % del volumen de negocios mundial |
| Medidas contra los dirigentes | Prohibición temporal de ejercicio posible (art. 32) | No prevista |
Equivocarse de categoría no es trivial: una entidad esencial que se declara importante se expone a un incumplimiento de la obligación de registro, y a la inversa, una entidad importante que se cree esencial realiza una sobreinversión. Las consecuencias para los dirigentes se detallan en nuestro artículo sobre la responsabilidad del dirigente bajo NIS2.
Pregunta 1: ¿su actividad pertenece a un sector de los anexos I o II?
Anexo I, sectores altamente críticos (11): energía (electricidad, calefacción y refrigeración, petróleo, gas, hidrógeno); transportes (aéreo, ferroviario, por vía fluvial, por carretera); sector bancario; infraestructuras de los mercados financieros; sanidad (centros sanitarios, laboratorios de referencia, fabricantes de dispositivos médicos críticos, industria farmacéutica); agua potable; aguas residuales; infraestructura digital (puntos de intercambio de internet, DNS, registros de nombres de dominio, cloud, centros de datos, CDN, servicios de confianza, redes y servicios de comunicaciones electrónicas); gestión de servicios TIC entre empresas (servicios gestionados y servicios de seguridad gestionados); administración pública; espacio.
Anexo II, otros sectores críticos (7): servicios postales y de mensajería; gestión de residuos; fabricación, producción y distribución de productos químicos; producción, transformación y distribución de alimentos; fabricación (dispositivos médicos, productos informáticos y electrónicos, equipos eléctricos, maquinaria, vehículos de motor, otros equipos de transporte); proveedores digitales (plataformas de mercado en línea, motores de búsqueda, plataformas de redes sociales); investigación.
Si ninguna de sus actividades figura en estas listas, no está directamente sujeto a NIS2 (pero lea la pregunta 5).
Pregunta 2: ¿cuál es su tamaño en el sentido de la recomendación 2003/361/CE?
NIS2 remite a la definición europea de PYME. Los umbrales se aprecian a nivel de la empresa, teniendo en cuenta las empresas asociadas y vinculadas (el grupo), lo que afecta a numerosas filiales.
| Categoría | Plantilla | O volumen de negocios y balance |
|---|---|---|
| Gran empresa | 250 empleados y más | Volumen de negocios superior a 50 millones de euros y balance superior a 43 millones de euros |
| Mediana empresa | 50 a 249 empleados | Volumen de negocios o balance superior a 10 millones de euros |
| Pequeña y micro | menos de 50 empleados | Volumen de negocios y balance inferiores o iguales a 10 millones de euros |
Regla general: gran empresa del anexo I = esencial; mediana empresa del anexo I o II, y gran empresa del anexo II = importante; pequeña y microempresa = fuera del perímetro, salvo el caso de la pregunta 3.
Pregunta 3: ¿ejerce una actividad afectada independientemente del tamaño?
La directiva (artículo 2, apartado 2, y artículo 3) incluye determinadas entidades independientemente de su tamaño:
- prestadores de servicios de confianza cualificados, registros de nombres de dominio de primer nivel y proveedores de servicios DNS (esenciales);
- proveedores de redes o de servicios de comunicaciones electrónicas públicas (esenciales si medianas, importantes en caso contrario);
- entidades de la administración pública central (esenciales);
- entidades que son el único prestador de un servicio esencial en un Estado miembro, o cuya perturbación tendría un impacto importante en la seguridad pública, la seguridad ciudadana o la salud pública, o un riesgo sistémico;
- entidades identificadas como críticas en virtud de la directiva REC (2022/2557).
Pregunta 4: ¿está establecido en Francia o presta allí sus servicios?
El principio es el del Estado miembro de establecimiento. Para los proveedores de servicios digitales (cloud, centros de datos, CDN, servicios gestionados, mercados en línea, motores de búsqueda, redes sociales, DNS), es el establecimiento principal en la Unión el que cuenta; una entidad fuera de la UE que preste estos servicios en la Unión debe designar un representante. Un grupo extranjero con una filial francesa de 60 empleados en el sector químico está por tanto afectado en Francia para dicha filial.
Pregunta 5: ¿es proveedor de una entidad esencial o importante?
Incluso fuera del perímetro, puede verse afectado por contrato. El artículo 21 impone a las entidades reguladas gestionar «la seguridad de la cadena de suministro», incluidas las relaciones con sus proveedores directos. En la práctica, sus clientes regulados le solicitarán garantías de seguridad, cláusulas de notificación de incidentes y auditorías. No es NIS2 quien se lo impone, es su cliente, y negarse puede costar el contrato. Véase también el concepto de ataque a la cadena de suministro en nuestro glosario.
¿Qué hacer una vez determinada la categoría?
- Registrarse ante la agencia francesa de ciberseguridad (ANSSI) a través de MonEspaceNIS2 (preinscripción abierta desde noviembre de 2025), indicando sector, subsector, tamaño y datos de contacto del punto de contacto.
- Informar al órgano de dirección y hacer constar la categoría y las obligaciones derivadas (véase el artículo sobre la responsabilidad del dirigente).
- Cartografiar los sistemas de información que respaldan las actividades afectadas; el perímetro NIS2 no es necesariamente todo el sistema de información.
- Iniciar un diagnóstico de las 10 medidas del artículo 21 y un plan de 12 a 36 meses, en coherencia con el calendario de conformidad de la agencia francesa de ciberseguridad (ANSSI). Nuestra ficha reglamentación NIS2 detalla su contenido.
- Realizar el autodiagnóstico NIS2 para disponer de una primera medida de las desviaciones.
Pase a la acción
Gestione su cumplimiento con Data Comply One: software todo en uno y expertos DPO/CISO externalizados.
Descubrir el software NIS2 →Evaluar mi cumplimiento NIS2 →Fuentes
- Directiva (UE) 2022/2555 (NIS2), artículos 2, 3, 20, 21, 23, 26, 32 a 34 y anexos I y II, EUR-Lex.
- Recomendación 2003/361/CE de la Comisión relativa a la definición de microempresas, pequeñas y medianas empresas.
- Agencia francesa de ciberseguridad (ANSSI), MesServicesCyber, «Directiva NIS 2» y plataforma MonEspaceNIS2.