Quién está dentro de NIS2 y por qué

La Directiva (UE) 2022/2555, conocida como NIS2, fija un criterio uniforme que se llama regla del tope de tamaño: entran las entidades de los sectores que listan sus anexos que sean medianas o mayores. El Anexo I reúne los sectores de alta criticidad (energía, transporte, banca, salud, agua potable, infraestructura digital, administración pública, entre otros) y el Anexo II los otros sectores críticos (fabricación, alimentación, residuos, servicios postales, entre otros).

Cada Estado miembro traspone la Directiva a su propia ley y debe confeccionar la lista de entidades esenciales e importantes de su territorio, y revisarla al menos cada dos años. Quien evalúa una empresa mira, por tanto, la Directiva y la ley nacional que la aplica.

La categoría depende del anexo y del tamaño. Son esenciales, en general, las entidades de tipo del Anexo I que superan los topes de la mediana (es decir, las grandes). Son importantes las demás que entran: las medianas del Anexo I y las medianas o grandes del Anexo II. Esencial no significa más peligrosa, significa que se la supervisa con un régimen más completo.

La excepción se llama «sea cual sea su tamaño»: los prestadores cualificados de servicios de confianza, los registros de nombres de dominio de primer nivel y los proveedores de servicios de DNS son esenciales aunque sean muy pequeños. Esa regla existe porque su caída afecta a muchos otros.

Mira SELECT * FROM umbrales y SELECT * FROM clientes.

Ser grande no basta para ser esencial: hace falta además estar en el Anexo I. Una empresa grande de un sector del Anexo II es entidad importante. La diferencia importa porque cambia la forma en que la autoridad la supervisa y se verá en la sala 6.

Lee la columna del sector de cada cliente y compárala con sus cifras.

Para ser mediana, la empresa tiene que tener menos de 250 personas y, además, no pasar de 50 millones de euros de facturación o de 43 millones de balance. Quien está por debajo de la mediana es pequeña y, salvo excepciones, queda fuera de la regla general. Si una empresa forma parte de un grupo, se pueden sumar las cifras del grupo: aquí cada cliente se evalúa con las cifras que se dan.

Los Estados pueden además identificar como entidades esenciales o importantes a otras que no alcanzan el tamaño, por ejemplo por ser el único proveedor de un servicio en su territorio. Por eso «pequeña» no es el final del análisis: es un resultado provisional que se contrasta con la lista del Estado.