Qué obligaciones tiene tu empresa con NIS2 si tienes entre 100 y 500 empleados
Resume este artículo con tu IA
Sector, tamaño y cadena de suministro deciden si NIS2 te aplica. Conoce los siete bloques de obligaciones y compruébalo en una tarde con cinco pasos.
Que NIS2 te aplique lo determinan tu sector, tu tamaño y tu papel en la cadena de suministro de otra entidad obligada. A una empresa de 200 empleados puede aplicarle como entidad esencial o como entidad importante, pero también y con mucha más frecuencia de lo que se espera, por arrastre contractual de un cliente que sí que está obligado.
Tu sector y tus clientes deciden si NIS2 te aplica, más que tu plantilla
La directiva parte de los sectores: identifica actividades cuya interrupción tendría un impacto relevante en la sociedad o la economía, y después aplica umbrales de tamaño dentro de esos sectores.
Y aun quedando fuera del ámbito directo, es frecuente terminar cumpliendo requisitos equivalentes por contrato. Esa es la vía que más empresas medianas está alcanzando en la práctica.
Hay tres caminos por los que NIS2 llega a tu empresa
1. Por sector y tamaño. Los anexos I y II de la directiva listan los sectores afectados: energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública, espacio, servicios postales, gestión de residuos, química, alimentación, fabricación, proveedores digitales e investigación. A partir de 50 empleados o 10 millones de euros de volumen de negocio, las entidades de esos sectores entran en ámbito.
2. Por designación de la autoridad, al margen de los umbrales, cuando la entidad presta un servicio considerado crítico o es proveedor único de algo esencial.
3. Por cadena de suministro. NIS2 obliga a identificar a sus proveedores críticos, evaluar sus prácticas de seguridad e incluir cláusulas contractuales.
Los 7 bloques principales a cumplir
La directiva define medidas de gestión de riesgo que hay que implantar y poder demostrar:
- Análisis de riesgos y política de seguridad de los sistemas de información, aprobada por dirección.
- Gestión de incidentes, con procedimiento de notificación a la autoridad en plazos cortos.
- Continuidad de negocio: copias de seguridad, recuperación ante desastres y gestión de crisis.
- Seguridad de la cadena de suministro, incluidas cláusulas con proveedores críticos.
- Higiene básica: control de accesos, autenticación multifactor, cifrado y gestión de vulnerabilidades.
- Formación en seguridad, incluida la del órgano de dirección.
- Evaluación periódica de la eficacia de todo lo anterior, con revisiones recurrentes.
Es decir, la directiva pide un sistema que funcione y se revise.
El cambio de fondo es que la responsabilidad sube al consejo
Esta es la diferencia que más consecuencias tiene respecto a la normativa anterior. NIS2 obliga al órgano de dirección a aprobar las medidas, supervisar su aplicación y formarse en la materia. Y establece responsabilidad personal por el incumplimiento, con posibilidad de suspensión temporal para ejercer funciones directivas.
Mientras la ciberseguridad fue un asunto del departamento de IT, competía por presupuesto con cualquier otro proyecto tecnológico. Con responsabilidad personal sobre la mesa, asciende a materia de gobierno corporativo.
Cómo conocer si te aplica
Un ejercicio que puede hacer cualquier responsable de sistemas con ayuda de dirección:
- Cruza tu CNAE con los anexos I y II de la directiva.
- Comprueba los umbrales: 50 empleados o 10 millones de volumen de negocio.
- Revisa tus diez mayores clientes y pregúntate si alguno está en un sector listado. Si lo está, tú formas parte de su cadena de suministro.
- Repasa los contratos vigentes buscando cláusulas de seguridad, derecho de auditoría u obligación de notificar incidentes.
- Documenta la conclusión, te aplique o no. La decisión razonada, con fecha, es en sí misma una evidencia de diligencia.
Si te aplica, empieza por un diagnóstico
Conviene recordar que NIS2 exige medidas organizativas, técnicas y de gobierno, y que buena parte de ellas se implantan con procesos y decisiones antes que con producto.
La secuencia que funciona empieza por medir: evaluar la distancia entre lo que tienes y lo que la norma exige, priorizar por riesgo real, y ejecutar por fases con evidencias documentadas en cada una. Así, cuando llegue el cuestionario del cliente o la pregunta de la autoridad, hay algo concreto que enseñar.
Preguntas frecuentes
Ayuda mucho y cubre buena parte de los controles. NIS2 añade encima requisitos propios de notificación y de gobierno, así que la certificación es un punto de partida excelente al que conviene sumar esa capa.
Es frecuente y es legítimo: está trasladando su propio riesgo. Se negocia como cualquier requisito contractual, con un plan y fechas.
Lo razonable es documentar un plan con responsables y fechas. Tanto las autoridades como los clientes valoran un plan creíble por encima de una declaración optimista, así que empezar hoy ya mejora tu posición.
