La Directiva NIS2 ha ampliado el número de organizaciones sujetas a obligaciones de ciberseguridad. Por eso, muchas empresas se preguntan ahora cómo saber si la NIS2 les afecta.
Para comprobarlo, hay que analizar principalmente tres aspectos: el sector al que pertenece la empresa, su tamaño y la importancia del servicio que presta. En este artículo, te explicamos cómo hacerlo.
1. Comprueba si tu actividad está incluida en la NIS2
El primer paso es identificar si la actividad de tu empresa se encuentra entre las contempladas en los anexos I y II de la Directiva.
- El anexo I recoge sectores considerados de alta criticidad, como energía, transporte, banca, sanidad, agua, infraestructuras digitales, gestión de servicios TIC, Administración pública o espacio.
- El anexo II incluye otros sectores críticos, como servicios postales y de mensajería, gestión de residuos, industria química y alimentaria, determinadas actividades de fabricación, proveedores de servicios digitales o investigación.
Sin embargo, no basta con que tu empresa pertenezca de forma genérica a uno de estos sectores. Hay que comprobar si la actividad concreta que desarrolla coincide con las categorías definidas por la Directiva.
Puedes consultar los sectores y entidades afectados con más detalle en nuestro artículo sobre qué es la Directiva NIS2 y cuál es su ámbito de aplicación.
2. Revisa el tamaño de tu empresa
Como regla general, la NIS2 se aplica a medianas y grandes empresas que desarrollan alguna de las actividades que figuran en sus anexos. Y, para determinar el tamaño, no debemos fijarnos únicamente en la plantilla. También se tienen en cuenta criterios económicos como el volumen de negocio y el balance general anual y, en determinados casos, la relación con empresas asociadas o vinculadas.
Aunque con carácter general las pequeñas empresas no están obligadas a cumplir la NIS2, tener pocos trabajadores no significa automáticamente estar fuera de su ámbito de aplicación.
3. Comprueba si estás dentro de alguna excepción
El tamaño también deja de ser determinante si la organización presta un servicio especialmente crítico. Por ejemplo, si es el único proveedor de un servicio esencial o si una interrupción de su actividad puede tener consecuencias significativas para la seguridad o la salud públicas.
Aparte, existen ciertos tipos de entidades sujetas a reglas específicas independientemente de su tamaño, entre ellas algunos proveedores relacionados con las comunicaciones electrónicas, los servicios de confianza o los servicios DNS.
4. ¿Eres una entidad esencial o importante?
Si tu organización está incluida en el ámbito de aplicación, también habrá que determinar si se considera entidad esencial o entidad importante. Esta clasificación depende del sector, el tamaño y el tipo de actividad, y tiene consecuencias especialmente en el régimen de supervisión y sanciones.
En ambos casos, las empresas afectadas deben adoptar medidas para gestionar sus riesgos de ciberseguridad y cumplir las obligaciones de notificación de incidentes establecidas por la normativa.
5. ¿Qué ocurre si eres proveedor de una empresa afectada?
Tu empresa puede no estar directamente obligada por la NIS2 y, aun así, notar sus efectos. La Directiva exige a las entidades afectadas prestar atención a la seguridad de su cadena de suministro. Esto puede traducirse en nuevos requisitos para sus proveedores: medidas de seguridad, cuestionarios, auditorías, cláusulas contractuales o procedimientos para comunicar incidentes.
En resumen: ¿cómo saber si mi empresa debe cumplir la NIS2?
Hazte estas 4 preguntas:
- ¿Mi actividad se menciona en los anexos I o II?
- ¿Mi empresa cumple los criterios de tamaño establecidos?
- ¿Presto un servicio crítico que puede hacer que la NIS2 me afecte independientemente de mi tamaño?
- ¿Trabajo como proveedor para una organización sujeta a la NIS2?
Responder a estas preguntas te permite realizar una primera valoración, pero determinar la aplicación de la NIS2 requiere analizar las características concretas de cada organización.
En APDTIC podemos ayudarte a comprobar si tu empresa está afectada, identificar las obligaciones que le corresponden y preparar las medidas necesarias para adaptarte a los nuevos requisitos de ciberseguridad.
