Sectores críticos y entidades afectadas

Para cumplir su objetivo, la Directiva NIS2 se centra en las organizaciones que operan en sectores críticos, ya que son esenciales para el buen funcionamiento de la sociedad y, por este motivo, suelen ser el objetivo principal de los ciberataques.

Se calcula que la Directiva NIS2 afectará a más de 100.000 organizaciones de toda la UE, además de las que ya entran en el scope de la primera Directiva NIS.

Criterios que determinan qué empresas deben cumplir la norma NIS2

Hay tres criterios generales que definen qué organizaciones deben cumplir la norma NIS 2:

1. Ubicación: Si prestan servicios o realizan actividades en cualquier país de la Unión Europea (no importa si tienen su sede en la UE o no).
2. Tamaño: Si se clasifican como organizaciones medianas o grandes. Es decir:
   • Medianas empresas (de 50 a 250 empleados y de 10 a 50 millones de euros de ingresos anuales).
   • Grandes (más de 250 empleados y 50 millones de euros de ingresos anuales).
3. Sector: Si operan en alguno de los 18 sectores enumerados a continuación.

Sectores críticos esenciales:

1. Energía
2. Transporte
3. Banca
4. Infraestructuras de los mercados financieros
5. Salud
6. Beber agua
7. Aguas residuales
8. Infraestructura digital
9. Gestión de servicios TIC (empresa a empresa)
10. Administración pública
11. Espacio

Otros sectores críticos:

1. Servicios postales y de mensajería
2. Gestión de residuos
3. Fabricación, producción y distribución de productos químicos
4. Producción, transformación y distribución de alimentos
5. Fabricación
6. Proveedores digitales
7. Investigación

¿Cuáles son las entidades esenciales e importantes?

"Entidades esenciales" y "entidades importantes" es como NIS 2 denomina a las empresas y otras organizaciones que deben cumplir con NIS 2.

La NIS 2 define las entidades esenciales del siguiente modo:

• Empresas clasificadas como grandes y pertenecientes a uno de los 11 sectores críticos esenciales.
• Proveedores de servicios de confianza/ Proveedores de servicios DNS/ Redes públicas de comunicaciones electrónicas/ Entidades de la administración pública/ Otras entidades especificadas por los Estados miembros

Las entidades importantes son todas las demás organizaciones que no están clasificadas como entidades esenciales, pero que entran dentro de los 3 criterios de ubicación, tamaño e Industria.

A más tardar el 17 de abril de 2025, los Estados miembros elaborarán una lista de entidades esenciales e importantes, así como de entidades que presten servicios de registro de nombres de dominio. Los Estados miembros revisarán y, en su caso, actualizarán dicha lista de forma periódica y, posteriormente, al menos cada dos años.