La directiva NIS2 no se aplica a todas las organizaciones: afecta a 18 sectores de actividad, divididos en 11 sectores de alta criticidad (anexo I) y 7 otros sectores críticos (anexo II). Este directorio detalla, para cada sector, los subsectores incluidos, el tipo de entidades afectadas y la categoría (esencial o importante) que se deriva según su tamaño.
En resumen
Un sector del anexo I convierte a su organización en entidad esencial si supera los umbrales de la gran empresa (250 empleados, o 50 M€ de volumen de negocio y 43 M€ de balance), y en entidad importante si es una mediana empresa. Un sector del anexo II convierte a su organización en entidad importante a partir del umbral de la mediana empresa (50 empleados, o 10 M€ de volumen de negocio y de balance). Por debajo de ese umbral, en principio queda fuera del ámbito de aplicación, salvo en el caso de actividades incluidas independientemente de su tamaño.
18 sectores
11 sectores cuyo fallo tendría un impacto importante en la economía o la sociedad. Supervisión proactiva: auditorías y controles periódicos, incluso sin incidentes.
Producción, transporte, distribución y almacenamiento de energía, incluidos los nuevos vectores como el hidrógeno.
Subsectores incluidos
Entidades típicamente afectadas
Gestores de redes de transporte y de distribución, productores, suministradores, operadores designados del mercado de electricidad, explotadores de puntos de recarga, refinerías, operadores de almacenamiento y de oleoductos.
Operadores y gestores de infraestructuras de los cuatro modos de transporte.
Subsectores incluidos
Entidades típicamente afectadas
Compañías aéreas, gestores aeroportuarios y de control del tráfico aéreo, gestores de infraestructuras y empresas ferroviarias, navieras y compañías de transporte fluvial, autoridades portuarias, autoridades viarias y operadores de sistemas de transporte inteligentes.
Entidades de crédito, cuyos requisitos de gestión de riesgos TIC se rigen con carácter prioritario por DORA.
Subsectores incluidos
Entidades típicamente afectadas
Bancos y entidades de crédito autorizadas. Atención: en cuanto a los requisitos de gestión de riesgos TIC y de notificación de incidentes, DORA se aplica como lex specialis.
Operadores de las plataformas y los sistemas que hacen funcionar los mercados.
Subsectores incluidos
Entidades típicamente afectadas
Operadores de mercados regulados, sistemas multilaterales de negociación y cámaras de compensación. También aquí prevalece DORA en lo relativo a las TIC.
Desde la atención sanitaria hasta la fabricación de medicamentos y productos sanitarios críticos.
Subsectores incluidos
Entidades típicamente afectadas
Hospitales y clínicas, centros asistenciales, laboratorios de análisis clínicos y laboratorios de referencia, industria farmacéutica, fabricantes de productos sanitarios considerados críticos en situaciones de emergencia sanitaria y distribuidores mayoristas de medicamentos.
Suministro y distribución de agua destinada al consumo humano.
Subsectores incluidos
Entidades típicamente afectadas
Servicios municipales y concesionarios de producción y distribución de agua potable, excluidas las partes de la distribución que no son esenciales para su actividad principal.
Recogida, evacuación y tratamiento de aguas residuales urbanas, domésticas e industriales.
Subsectores incluidos
Entidades típicamente afectadas
Operadores de redes de saneamiento y de estaciones depuradoras, para quienes esta actividad constituye una parte esencial de su actividad.
Los componentes técnicos que hacen funcionar Internet y la nube: el sector en el que el tamaño importa menos.
Subsectores incluidos
Entidades típicamente afectadas
Operadores de puntos de intercambio, resolutores y registros DNS, proveedores de nube y operadores de centros de datos, operadores de CDN, prestadores de servicios de confianza (firma, sellado de tiempo), operadores de telecomunicaciones y proveedores de acceso. Varias de estas actividades están incluidas sea cual sea su tamaño.
Los proveedores que operan o protegen los sistemas de información de sus clientes.
Subsectores incluidos
Entidades típicamente afectadas
Empresas de servicios TI y proveedores de gestión de infraestructuras que administran sistemas de información por cuenta de terceros, SOC externalizados, proveedores de supervisión y respuesta a incidentes, operadores de identidad gestionada.
Entidades públicas, con un tratamiento específico según el nivel de administración.
Subsectores incluidos
Entidades típicamente afectadas
Ministerios, agencias y operadores del Estado, y entidades regionales designadas por la ley de transposición. La administración pública central está incluida sea cual sea su tamaño.
Explotación de las infraestructuras terrestres que dan soporte a los servicios espaciales.
Subsectores incluidos
Entidades típicamente afectadas
Operadores de estaciones terrestres, centros de control de satélites y proveedores de servicios de posicionamiento, navegación y sincronización temporal, ya sean de titularidad o gestión privada o pública.
7 sectores sujetos a una supervisión reactiva: controles a posteriori, ante indicios de incumplimiento.
Transporte de correo y paquetes, incluidos los operadores de mensajería exprés.
Subsectores incluidos
Entidades típicamente afectadas
Operadores postales, empresas de mensajería y transportistas de paquetes, plataformas de clasificación y operadores de última milla.
Recogida, tratamiento y valorización de residuos, cuando constituyen la actividad principal.
Subsectores incluidos
Entidades típicamente afectadas
Recolectores y operadores de centros de clasificación, incineración, metanización y almacenamiento, para quienes la gestión de residuos constituye la actividad principal.
Fabricación, producción y distribución de sustancias y mezclas químicas.
Subsectores incluidos
Entidades típicamente afectadas
Fabricantes de productos químicos básicos y especiales, distribuidores y comerciantes de sustancias y mezclas, incluidos los emplazamientos sujetos a la normativa Seveso.
Producción, transformación y distribución mayorista de productos alimenticios.
Subsectores incluidos
Entidades típicamente afectadas
Empresas agroalimentarias, cooperativas, plataformas logísticas y mayoristas que realizan distribución mayorista y producción industrial.
Industrias manufactureras designadas como críticas por la directiva.
Subsectores incluidos
Entidades típicamente afectadas
Fabricantes de productos sanitarios, empresas de electrónica, fabricantes de equipos eléctricos, constructores de maquinaria, fabricantes de vehículos y proveedores de equipos de automoción, constructores ferroviarios, navales y aeronáuticos.
Las grandes plataformas de la economía digital, excluida la infraestructura.
Subsectores incluidos
Entidades típicamente afectadas
Operadores de marketplaces, motores de búsqueda de consumo, redes sociales y plataformas de intercambio de contenidos. La competencia se determina en función del establecimiento principal en la Unión.
Organismos de investigación, excluidos los centros de enseñanza según las modalidades nacionales.
Subsectores incluidos
Entidades típicamente afectadas
Institutos y centros de investigación cuya actividad principal es la investigación aplicada o el desarrollo experimental con vistas a la explotación comercial de los resultados.
18 sectores en total: 11 sectores de alta criticidad en el anexo I y 7 otros sectores críticos en el anexo II de la Directiva (UE) 2022/2555.
Solo si alcanza el umbral de la mediana empresa (50 empleados, o 10 millones de euros de volumen de negocio y de balance). Una gran empresa del anexo II sigue siendo entidad importante: el anexo II no genera entidades esenciales, salvo en los casos particulares previstos en el artículo 3.
Sí, cuando pertenecen a la infraestructura digital o a la gestión de servicios TIC entre empresas (servicios gestionados, servicios de seguridad gestionados) del anexo I. Fuera de estos casos, sus clientes regulados pueden someterlos contractualmente a requisitos en virtud de la seguridad de la cadena de suministro.
La administración pública figura en el anexo I. Las entidades de la administración pública central son esenciales independientemente de su tamaño; el tratamiento de las entidades locales y territoriales se precisa en la ley francesa de transposición.
Ante la ANSSI, a través de la plataforma MonEspaceNIS2, declarando su sector, su subsector, su tamaño y los datos de contacto de su punto de contacto.
Realice el test de 5 preguntas y mida después su brecha respecto a las 10 medidas del artículo 21.