¿Le aplica NIS2 a su empresa? Estado, obligaciones y plazos
Responda a unas 20 preguntas breves sobre su actividad, sector, tamaño y clientes. Vea si probablemente es una entidad esencial o importante, qué significa eso, qué plazos le aplican y dónde están sus carencias de seguridad.
Comprobar mi estado
No es asesoramiento jurídico
Esta es una evaluación preliminar y automatizada basada en sus respuestas. NIS2 es una directiva: cada Estado miembro la transpone a su legislación nacional, y esa legislación decide quién está cubierto, cómo registrarse y cuáles son los plazos. Use el resultado para preparar una conversación con un asesor jurídico o con su autoridad nacional.
Cuestionario
Cómo funciona la comprobación
Alcance. NIS2 cubre a las organizaciones que prestan servicios o realizan actividades en la UE, pertenecen a uno de los tipos de entidad del anexo I o II, y tienen al menos tamaño mediano. Algunos tipos quedan cubiertos independientemente de su tamaño: prestadores cualificados de servicios de confianza, registros de TLD, proveedores de DNS, proveedores de comunicaciones electrónicas públicas y organismos de la administración central.
Tamaño. Aplicamos los umbrales de la Recomendación 2003/361/CE de la Comisión: menos de 50 personas y un volumen de negocio o balance de hasta 10 millones de € es pequeña; menos de 250 personas y un volumen de negocio de hasta 50 millones de € o un balance de hasta 43 millones de € es mediana; por encima de eso es grande. El volumen de negocio y el balance se vinculan con «o», por lo que una empresa de 49 personas con 60 millones de € de volumen de negocio y 50 millones de € de balance es grande.
Categoría. Las entidades grandes de los sectores del anexo I son esenciales; las entidades medianas del anexo I y las entidades medianas o grandes del anexo II son importantes. Las entidades esenciales están sujetas a supervisión antes y después de los incidentes; las importantes, a posteriori. Las obligaciones son las mismas.
Sus medidas. Doce comprobaciones siguen las diez áreas del art. 21, apdo. 2, la responsabilidad de la dirección (art. 20) y la notificación de incidentes (art. 23). Sí = 2 puntos, parcialmente = 1, no o no lo sé = 0. Los grupos tienen ponderación; si la gobernanza puntúa cero, la etapa no puede ser superior a Inicial.
Cada regla, artículo y fecha se encuentra en un archivo de reglas publicado (nis2-rules.v1.json). El cálculo se ejecuta en su navegador; sus respuestas no se envían a ningún sitio hasta que solicite el informe.
Lo que esta herramienta no cubre
- Actos sectoriales específicos que sustituyen partes de NIS2 para algunas entidades, como DORA para las entidades financieras.
- La Directiva REC sobre la resiliencia física de las entidades críticas, más allá de preguntar si ha sido identificado conforme a ella.
- Ampliaciones nacionales: algunos Estados miembros cubren a más entidades o fijan plazos más cortos que la Directiva.
- Agregación de cifras de grupos, empresas asociadas y vinculadas: la señalamos pero no la calculamos.
Fuentes
| Fuente | Qué utilizamos |
|---|---|
| Directiva (UE) 2022/2555 (NIS2), EUR-Lex | Art. 2, 3, 20, 21, 23, 26–28, 32–34; anexos I y II |
| Recomendación 2003/361/CE de la Comisión, EUR-Lex | Clases de tamaño: micro, pequeña, mediana |
| Directiva (UE) 2022/2557 (REC), EUR-Lex | Entidades críticas |
| Reglamento (UE) 2022/2554 (DORA), EUR-Lex | Lex specialis del sector financiero |
FAQ
¿Le aplica NIS2 a mi empresa?
Es probable que le aplique si presta servicios o realiza actividades en la UE, su organización coincide con uno de los tipos de entidad del anexo I o II de la Directiva, y tiene al menos tamaño mediano (50 personas o más, o más de 10 millones de € tanto de volumen de negocio como de balance). Algunos tipos quedan cubiertos independientemente de su tamaño. El comprobador anterior le guía por estas pruebas en unos cinco minutos.
¿Cuál es la diferencia entre entidades esenciales e importantes?
Las obligaciones son las mismas: medidas de gestión de riesgos, responsabilidad de la dirección y notificación de incidentes. La diferencia está en la supervisión y las sanciones. Las entidades esenciales están sujetas a supervisión proactiva (ex ante y ex post) y a multas máximas de al menos 10 millones de € o el 2 % del volumen de negocio mundial; las entidades importantes están sujetas a supervisión a posteriori (ex post) y a multas máximas de al menos 7 millones de € o el 1,4 %.
¿Cuáles son las sanciones de NIS2?
La Directiva fija máximos mínimos: para las entidades esenciales, al menos 10 millones de € o el 2 % del volumen de negocio anual total a nivel mundial, el que sea más elevado; para las entidades importantes, al menos 7 millones de € o el 1,4 %. Los Estados miembros fijan las sanciones exactas en su legislación nacional y pueden establecer importes más altos. La dirección también puede ser considerada personalmente responsable.
¿Qué debo notificar y cuándo?
Ante un incidente significativo: una alerta temprana en el plazo de 24 horas desde que se tenga conocimiento de él, una notificación del incidente en el plazo de 72 horas y un informe final a más tardar un mes después de la notificación. Las notificaciones se envían a su CSIRT nacional o autoridad competente.
Soy proveedor de software. ¿Me afecta NIS2 si mis clientes están regulados?
Aunque usted mismo no esté dentro del ámbito de aplicación, sus clientes regulados deben gestionar la seguridad de la cadena de suministro conforme al art. 21, apdo. 2, letra d. Puede esperar cuestionarios de seguridad, auditorías y cláusulas contractuales. Los proveedores de servicios gestionados, los proveedores de seguridad gestionada y los proveedores de nube están directamente dentro del ámbito de aplicación si tienen al menos tamaño mediano.
¿Ya se aplica la ley NIS2 de mi país?
El plazo de transposición fue el 17 de octubre de 2024, pero los Estados miembros adoptaron sus leyes en momentos distintos. El resultado muestra la autoridad nacional para los países que seguimos; mostramos un estado de transposición solo después de que una persona lo haya verificado con la fuente oficial, con la fecha de esa verificación.
¿Es esto asesoramiento jurídico?
No. Es una evaluación preliminar y automatizada basada en sus respuestas y en la versión de reglas mostrada en la página. La legislación nacional decide; confirme el resultado con un asesor jurídico o con su autoridad nacional.
¿Puede YuSMP ayudar con una evaluación de carencias?
Sí. Mapeamos sus medidas actuales con el art. 21, realizamos pruebas de penetración y auditorías de seguridad, preparamos evidencias para SOC 2 e ISO 27001 y creamos prácticas de desarrollo seguro. Use el formulario que aparece bajo su resultado.
Servicios y sectores
Pruebas de penetración y auditorías de seguridad
Comprobamos si sus medidas funcionan, con un informe que puede mostrar a clientes y auditores.
Preparación para SOC 2 e ISO 27001
Políticas, controles y evidencias que también cubren la mayor parte del art. 21.
Nube y DevOps
Registro, copias de seguridad, recuperación y acceso multifactor en su nube.
Consultoría de cumplimiento del RGPD
Los incidentes de datos personales y los incidentes NIS2 a menudo se superponen.
Cumplimiento del Reglamento de IA de la UE
Cuando su producto incluye funciones de IA.