¿Tu empresa
está sujeta a la NIS2?
Responde a cuatro preguntas sobre sector, tamaño y actividad: te diremos si la NIS2 se aplica a tu empresa y como qué tipo de entidad.
Preguntas frecuentes sobre la NIS2.
¿Qué es la directiva NIS2?
La NIS2 es la Directiva UE 2022/2555 sobre la seguridad de las redes y sistemas de información. Cada Estado miembro la ha incorporado a su legislación; en Italia, con el Decreto Legislativo 138/2024. Frente a la primera directiva NIS, abarca muchos más sectores y empresas y endurece las obligaciones de los órganos de dirección.
¿Qué empresas están sujetas a la NIS2?
Por lo general, las medianas y grandes empresas que operan en los sectores del Anexo I (alta criticidad, como energía, transporte, sanidad, banca e infraestructuras digitales) y del Anexo II (otros sectores críticos, como fabricación, alimentación y gestión de residuos). Algunas actividades, como proveedores DNS, registros TLD, servicios de confianza y comunicaciones electrónicas, entran en el ámbito sin importar el tamaño.
¿Qué diferencia hay entre entidad esencial e importante?
Las entidades esenciales suelen ser grandes empresas de los sectores del Anexo I, más algunas categorías específicas; las importantes son el resto de empresas dentro del ámbito. Las obligaciones son similares, pero las esenciales tienen una supervisión preventiva y sanciones más altas, mientras que las importantes se supervisan sobre todo tras un incidente o una denuncia.
¿Qué tengo que hacer si mi empresa está en el ámbito?
Debes registrarte ante la autoridad nacional competente de tu país y mantener tus datos actualizados. Debes adoptar medidas de gestión de riesgos, incluida la seguridad de la cadena de suministro y la formación del personal, y notificar los incidentes significativos: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes. Los órganos de dirección aprueban las medidas y responden de ellas.
¿Cuáles son las sanciones?
La directiva fija multas de hasta 10 millones de euros o el 2% de la facturación mundial anual, la cifra más alta, para las entidades esenciales, y de hasta 7 millones de euros o el 1,4% para las importantes. Los órganos de dirección también pueden responder personalmente por incumplir las obligaciones.
¿El resultado del cuestionario es definitivo?
No. El cuestionario ofrece una estimación preliminar basada en tus respuestas. La clasificación formal depende de tu código de actividad, de las actividades que realizas realmente y de posibles designaciones de la autoridad, así que conviene revisarla con un experto.
Mi empresa no está en el ámbito. ¿Tengo que hacer algo?
Probablemente sí. Las empresas sujetas a la NIS2 deben gestionar la seguridad de su cadena de suministro, por lo que cada vez piden más a sus proveedores requisitos de seguridad, evidencias y certificaciones. Estar preparado es una ventaja con esos clientes.
¿La ISO 27001 ayuda con la NIS2?
Sí. Un sistema de gestión de la seguridad de la información certificado ISO 27001 ya cubre muchas de las medidas de gestión de riesgos que exige la NIS2, como la evaluación de riesgos, el control de accesos, la gestión de incidentes y la seguridad de los proveedores. No sustituye las obligaciones específicas, como el registro y las notificaciones, pero es una base sólida.
