La Directiva NIS2 es la norma de ciberseguridad con mayor alcance que ha aprobado la Unión Europea hasta la fecha. Saber con precisión NIS2 a quién aplica no es un ejercicio académico: de ello depende si tu empresa tiene obligaciones legales exigibles, quién responde ante el regulador en caso de incidente y a qué sanciones puede enfrentarse el consejo de administración en caso de negligencia. Esta guía responde esa pregunta con rigor técnico y jurídico, sin simplificaciones que luego cuesten un expediente sancionador o una parada no planificada por ransomware.
Solicita diagnóstico de ciberseguridad OT — te ponemos en contacto con una consultora OT verificada adecuada a tu sector. Sin compromiso.
NIS2 a quién aplica: lógica general del ámbito de aplicación
Para entender NIS2 a quién aplica, hay que partir de cómo está construida la norma. La Directiva (UE) 2022/2555 —comúnmente denominada NIS2— articula su ámbito de aplicación en torno a dos variables independientes que deben cumplirse simultáneamente: el sector en el que opera la entidad y el tamaño de la entidad. Solo cuando ambas condiciones concurren se genera la obligación regulatoria; salvo en las excepciones por criticidad que se detallan a continuación.
La regla del doble filtro
Para que una empresa quede dentro de la NIS2 tiene que superar dos filtros consecutivos:
Filtro 1 — Sector: la actividad principal, o una de las actividades relevantes de la entidad, debe encajar en uno de los sectores listados en el Anexo I (“sectores de alta criticidad”) o en el Anexo II (“otros sectores críticos”) de la Directiva (UE) 2022/2555. La asignación al sector correcto no siempre es obvia cuando una empresa opera en subsectores fronterizos —un fabricante de equipos eléctricos para subestaciones, por ejemplo, podría encajar simultáneamente en el Anexo I (energía) y en el Anexo II (fabricación)— y la interpretación incorrecta puede llevar a autoclasificarse fuera del ámbito cuando en realidad se está dentro.
Filtro 2 — Tamaño: la empresa debe superar los umbrales de mediana empresa definidos por la Recomendación (CE) 2003/361. Eso significa cumplir al menos uno de los siguientes criterios:
- 50 o más empleados
- 10 millones de euros o más de ingresos anuales
Si la empresa no supera ninguno de los dos umbrales del filtro 2 y no es una entidad crítica por designación específica, queda fuera del ámbito de la NIS2, independientemente de su sector de actividad.
El escenario más frecuente en el perfil mid-market industrial es la empresa con 80-150 empleados y 15-40 M€ de facturación que opera en manufactura, alimentación o utilities. Pasa ambos filtros sin dudas. El problema no es la clasificación en sí: es que el director de operaciones, el responsable IT o el gerente no lo saben, o asumen que “eso es para empresas grandes”. Si quieres una visión sectorial específica, el artículo NIS2 en la industria detalla cómo la norma aterriza en plantas con SCADA y PLCs.
Excepciones por criticidad: entran sin umbral de tamaño
La Directiva NIS2 reconoce que determinadas entidades son sistémicamente críticas con independencia de su tamaño. Las siguientes quedan incluidas aunque no superen el umbral de mediana empresa:
- Proveedores de servicios de DNS recursivos o autoritativos de carácter público
- Registros de nombres de dominio de nivel superior (TLD)
- Proveedores cualificados de servicios de confianza según el Reglamento (UE) 910/2014 (eIDAS)
- Proveedores de redes públicas de comunicaciones electrónicas de ámbito nacional
- Entidades identificadas como críticas por el Estado miembro con independencia de su tamaño —por ejemplo, una empresa pequeña que sea el único proveedor de un servicio esencial en todo el país
Para la empresa industrial mid-market con líneas de producción, SCADA y PLCs, estas excepciones no son habituales. El criterio aplicable es el doble filtro sector más tamaño. Pero conviene conocerlas porque los proveedores externos de conectividad industrial o de servicios de mantenimiento remoto sí pueden quedar capturados por ellas.
NIS2: entidad esencial vs. entidad importante, qué cambia y por qué importa
La cuestión de NIS2 a quién aplica no se cierra con un sí o un no: la norma no establece una frontera binaria “obligado o no obligado”. Dentro del conjunto de entidades afectadas, la NIS2 crea dos categorías con regímenes de supervisión y techos de sanción distintos. La diferencia práctica no está tanto en las obligaciones técnicas —que son en gran medida equivalentes— como en cuándo y cómo puede actuar el regulador.
Entidad esencial
Son entidades esenciales:
- Las grandes empresas que operan en sectores del Anexo I. Una empresa es grande si tiene 250 o más empleados, o si tiene ingresos anuales iguales o superiores a 50 M€ y balance total igual o superior a 43 M€ (ambas condiciones económicas deben cumplirse simultáneamente).
- Las entidades críticas por designación específica (proveedores DNS, TLD, servicios de confianza cualificados) con independencia del tamaño.
El régimen de supervisión de las entidades esenciales es activo y a priori: el regulador nacional designado puede realizar inspecciones programadas, auditorías, revisiones de documentación y requerir evidencias de cumplimiento sin que exista un incidente previo. No hay que esperar a que algo falle para que el inspector llame.
Las sanciones máximas para entidades esenciales alcanzan los 10 millones de euros o el 2 % de la facturación mundial anual total, la cifra que resulte más elevada.
Entidad importante
Son entidades importantes:
- Las medianas empresas (50-250 empleados o 10-50 M€ de ingresos) que operan en sectores del Anexo I.
- Las medianas y grandes empresas que operan en sectores del Anexo II, con independencia del tamaño concreto dentro de esa banda.
El régimen de supervisión de las entidades importantes es reactivo y a posteriori: el regulador actúa a partir de indicios de incumplimiento, reclamaciones recibidas o notificaciones de incidentes. No hay auditorías a priori sistemáticas, pero la entidad debe mantener la misma documentación técnica y organizativa que una esencial y puede ser inspeccionada en cualquier momento ante un indicio fundado.
Las sanciones máximas para entidades importantes alcanzan los 7 millones de euros o el 1,4 % de la facturación mundial anual, la cifra más elevada.
Responsabilidad personal de la dirección bajo la NIS2
Este punto es el que más sorprende a los gerentes y directores financieros cuando lo leen por primera vez. La NIS2 establece que los órganos de dirección —consejo de administración, comité ejecutivo o equivalente— son responsables de aprobar y supervisar las medidas de gestión de riesgos de ciberseguridad adoptadas por la entidad. No es una responsabilidad delegable al departamento IT ni al proveedor de mantenimiento del SCADA.
Además, la Directiva (UE) 2022/2555 habilita a los Estados miembros a imponer inhabilitaciones temporales para ejercer funciones directivas a personas físicas responsables de una entidad esencial cuando se acredite negligencia grave que haya dado lugar a un incumplimiento grave. Esta posibilidad convierte la ciberseguridad OT en un asunto de agenda del consejo de administración, no en una cuestión técnica de segundo orden.
Para el director financiero que lee esto calculando si el coste de la evaluación NIS2 se justifica: la sanción máxima para una entidad importante con 30 M€ de facturación es 1,4 % × 30 M€ = 420.000 €. A eso hay que sumar el coste operativo del incidente que desencadena la sanción —parada de planta, pérdida de producción, recuperación de sistemas— y el coste reputacional con clientes industriales que exigen certificaciones de seguridad a sus proveedores. El diagnóstico previo cuesta mucho menos.
Sectores NIS2: Anexo I y Anexo II de la Directiva NIS2
Una vez claro el doble filtro, la pregunta de NIS2 a quién aplica se concreta en una lista de sectores. La Directiva los reparte en dos anexos.
Anexo I — Sectores de alta criticidad
| Sector NIS2 | Subsectores y actividades relevantes |
|---|---|
| Energía | Electricidad (generación, transmisión, distribución, almacenamiento); gas natural (transmisión, distribución, almacenamiento, suministro GNL); petróleo (oleoductos, almacenamiento, instalaciones de producción); calefacción y refrigeración urbanas; hidrógeno |
| Transporte | Aéreo (aerolíneas, aeropuertos, operadores de gestión del tráfico aéreo); ferroviario (administradores de infraestructura, empresas ferroviarias); marítimo y fluvial (compañías navieras, operadores de terminales portuarias); por carretera (operadores de gestión del tráfico, excluyendo autoridades públicas) |
| Banca | Entidades de crédito según la Directiva 2013/36/UE |
| Infraestructura de los mercados financieros | Plataformas de negociación, entidades de contrapartida central (ECC) |
| Sanidad | Prestadores de asistencia sanitaria; laboratorios de referencia de la UE; fabricantes de productos farmacéuticos, incluidas las vacunas; fabricantes de equipos y dispositivos médicos críticos |
| Agua potable | Proveedores y distribuidores de agua destinada al consumo humano con más de 50.000 abonados |
| Aguas residuales | Empresas de recogida, tratamiento y vertido de aguas residuales urbanas e industriales que superen el umbral de tamaño |
| Infraestructura digital | Puntos de intercambio de Internet (IXP), proveedores de servicios DNS, registros de nombres de dominio de primer nivel (TLD), proveedores de servicios de computación en nube, proveedores de centros de datos, redes de distribución de contenidos (CDN), proveedores de servicios de confianza, proveedores de redes públicas de comunicaciones electrónicas y de servicios de comunicaciones electrónicas accesibles al público |
| Gestión de servicios TIC (B2B) | Proveedores de servicios gestionados (MSP) y proveedores de servicios de seguridad gestionados (MSSP) para clientes empresariales |
| Administración Pública | Administración central del Estado y, en los términos que fije la transposición nacional, el nivel regional |
| Espacio | Operadores de infraestructuras terrestres relacionadas con el espacio que estén en posesión y gestionadas por los Estados miembros (estaciones de control, comunicaciones por satélite) |
Anexo II — Otros sectores críticos
| Sector NIS2 | Subsectores y actividades relevantes |
|---|---|
| Servicios postales y de mensajería | Operadores postales y de paquetería en los términos del Reglamento postal europeo |
| Gestión de residuos | Recogida, tratamiento y valorización de residuos peligrosos y no peligrosos; excluye distribución minorista |
| Fabricación, producción y distribución de productos químicos | Fabricantes y distribuidores mayoristas sujetos al Reglamento (CE) 1907/2006 (REACH) o al Reglamento (CE) 1272/2008 (CLP) |
| Producción, transformación y distribución de alimentos | Empresas alimentarias de tamaño mediano o grande según el Reglamento (CE) 178/2002 |
| Fabricación (manufactura crítica) | Fabricantes de dispositivos médicos y de diagnóstico in vitro; fabricantes de ordenadores y periféricos; fabricantes de equipos de comunicaciones; fabricantes de electrónica de consumo; fabricantes de maquinaria; fabricantes de vehículos de motor, remolques y semirremolques; fabricantes de otro material de transporte |
| Proveedores digitales | Mercados en línea; motores de búsqueda en línea; plataformas de redes sociales |
| Investigación | Organismos de investigación, según los criterios que fije cada Estado miembro |
La empresa industrial mid-market: cómo encaja en los sectores NIS2
Un fabricante de maquinaria industrial con 110 empleados y 22 M€ de facturación opera en el Anexo II (manufactura crítica, subsector “fabricantes de maquinaria”). Supera los 50 empleados: entidad importante desde la vigencia de la transposición nacional. El responsable IT que gestiona también la red OT es ahora, de facto, el punto de falla regulatoria de la empresa.
Una depuradora de aguas residuales municipalizada con 65 empleados gestiona infraestructura del Anexo I (aguas residuales). Supera los 50 empleados: entidad importante. No hay CISO industrial. El director de explotación firma los PLC de control del proceso biológico. La NIS2 le exige a esa persona medidas de gestión de riesgos documentadas, política de acceso, plan de continuidad y notificación de incidentes en 24 horas.
Una empresa de alimentación con 200 empleados y 38 M€ de facturación entra por el Anexo II (producción y transformación de alimentos). Entidad importante. Su arquitectura OT son líneas de envasado con PLCs que controlan la temperatura de pasteurización, sin segmentación entre la red IT corporativa y los sistemas de proceso.
El vector común: ninguna de estas empresas tiene CISO industrial dedicado. Tienen un responsable IT o un director de operaciones que cubre también la ciberseguridad OT sin formación específica en ese ámbito. La NIS2 impone un estándar de gestión de riesgos que ese perfil no puede cubrir solo, y ese vacío es exactamente el que la consultora OT especializada está diseñada para cerrar. El punto de partida habitual es un diagnóstico de ciberseguridad OT que sitúe la planta frente a los requisitos de la Directiva.
NIS2 en España: estado de transposición y plazos reales
La Directiva (UE) 2022/2555 fijó el 17 de octubre de 2024 como fecha límite para que los Estados miembros transpusieran la norma a su ordenamiento jurídico nacional. España no completó la transposición en esa fecha.
El marco normativo previo —el Real Decreto-ley 12/2018— recogió la transposición de la primera Directiva NIS (2016/1148). La NIS2 supone un salto cualitativo y cuantitativo respecto a su predecesora: amplía el ámbito de aplicación a nuevos sectores, endurece el régimen sancionador, introduce la responsabilidad de la dirección y crea obligaciones de notificación de incidentes más estrictas. Todo ello requería nueva legislación nacional, no una enmienda del RDL 12/2018. El estado del proyecto legislativo se sigue en detalle en el artículo sobre el anteproyecto de ley NIS2.
Por qué el retraso no exime de prepararse para la NIS2
Tres razones concretas por las que la falta de transposición en España no es una coartada para posponer la evaluación de cumplimiento NIS2:
Primera razón: efecto directo parcial de la Directiva. A partir del vencimiento del plazo de transposición, el texto de la Directiva puede ser invocado directamente por particulares y por autoridades administrativas ante los órganos jurisdiccionales nacionales, en los términos establecidos por la jurisprudencia del Tribunal de Justicia de la Unión Europea sobre directivas no transpuestas. El alcance del efecto directo en esta Directiva está siendo analizado por los operadores jurídicos, pero el riesgo de interpretación adversa existe desde octubre de 2024.
Segunda razón: procedimiento de infracción europeo. La Comisión Europea inició procedimientos de infracción contra los Estados miembros que incumplieron el plazo de transposición de la NIS2. La presión política y jurídica sobre España para aprobar la norma nacional es alta. La experiencia con la primera Directiva NIS indica que los plazos de aprobación de la legislación nacional, una vez iniciado el procedimiento de infracción, se acortan significativamente. Cuando la norma se aprueba y entra en vigor, las obligaciones son exigibles desde esa fecha sin período de adaptación adicional salvo que el propio legislador español lo contemple expresamente.
Tercera razón: los incidentes no esperan al BOE. Un ransomware que cifre el HMI de la planta de tratamiento de agua o los sistemas de gestión de energía de una subestación no consulta el calendario legislativo antes de actuar. Las empresas que inicien la evaluación de su postura de seguridad OT frente a los requisitos NIS2 antes de la aprobación de la norma nacional estarán en mejor posición operativa cuando llegue el regulador y, sobre todo, si llega un incidente.
El plazo real de la NIS2: sin período de gracia tras la transposición
A diferencia de algunos reglamentos europeos que incorporan plazos de aplicación diferidos, la Directiva NIS2 no fija un período de adaptación adicional para las entidades afectadas una vez que la norma nacional entre en vigor. La exigibilidad arranca desde la fecha de publicación y entrada en vigor de la legislación de transposición española. El texto completo oficial de la Directiva está disponible en el Diario Oficial de la Unión Europea: Directiva (UE) 2022/2555, EUR-Lex.
Esto tiene una implicación directa para el planning empresarial: si la norma nacional se aprueba en los próximos meses, la empresa que no haya iniciado la evaluación de madurez llegará tarde. El scoping, la evaluación de riesgos (IEC 62443-3-2) y la implementación de medidas compensatorias en entornos OT requieren plazos que oscilan entre 3 y 12 meses según el alcance y el estado inicial de la planta. El plazo concreto lo confirma la consultora seleccionada tras el diagnóstico preliminar. El detalle del proceso legislativo y los plazos esperados se desarrolla en la transposición de NIS2 en España.
Solicita diagnóstico de ciberseguridad OT — coordinamos el contacto con la consultora verificada adecuada a tu sector y tamaño. Sin compromiso.
Cumplimiento NIS2: obligaciones técnicas y régimen sancionador
Medidas de gestión de riesgos de ciberseguridad que exige la NIS2
La NIS2 no prescribe soluciones técnicas concretas ni obliga a comprar ningún producto específico. Establece que las entidades afectadas deben adoptar medidas técnicas, operativas y organizativas apropiadas y proporcionadas para gestionar los riesgos de ciberseguridad de sus redes y sistemas de información. El estándar que de forma coherente permite acreditar el cumplimiento de esos requisitos en entornos OT industriales es la familia IEC 62443, en particular la IEC 62443-2-1 (sistema de gestión de seguridad) y la IEC 62443-3-2 (evaluación de riesgos por zonas y conductos). Cómo se relacionan la Directiva y esa familia de normas se explica en la guía sobre IEC 62443.
Las medidas mínimas que la Directiva enumera explícitamente incluyen:
- Política de análisis de riesgos y seguridad de los sistemas de información, documentada y aprobada por la dirección.
- Gestión de incidentes: procedimientos documentados de detección, clasificación, respuesta y notificación, incluyendo los roles y responsabilidades de cada función.
- Continuidad de negocio: copias de seguridad verificadas, recuperación de desastres con objetivos de tiempo de recuperación (RTO) y objetivos de punto de recuperación (RPO) definidos, gestión de crisis.
- Seguridad de la cadena de suministro: evaluación formal de los proveedores y subcontratistas que accedan a los sistemas de información, incluyendo los proveedores de servicios de mantenimiento remoto de PLCs y SCADA.
- Seguridad en la adquisición, desarrollo y mantenimiento de sistemas, incluida la gestión de vulnerabilidades y los parches de seguridad.
- Políticas de criptografía y cifrado donde resulte técnicamente viable y pertinente para los riesgos identificados.
- Seguridad de los recursos humanos, control de acceso basado en roles, principio de mínimo privilegio, gestión de activos.
- Autenticación multifactor o autenticación continua, comunicaciones cifradas cuando proceda.
En la práctica OT, varios de estos requisitos chocan con la realidad heredada de las plantas: PLCs de 2002 sin soporte de parches, protocolos industriales sin cifrado nativo (Modbus, Profinet, DNP3), arquitecturas sin segmentación entre la red IT corporativa y la red de proceso. La respuesta técnica documentada en estas situaciones no es ignorar el requisito: es implementar controles compensatorios —segmentación de red, monitorización pasiva mediante port mirroring o network TAP, jump server para acceso remoto, control de acceso físico a armarios de control— y documentar el análisis de riesgo residual que justifica que los controles compensatorios son suficientes para el nivel de riesgo del proceso.
La consultora OT especializada es quien evalúa qué combinación de controles compensatorios es adecuada para cada entorno de planta específico. No existe una respuesta genérica aplicable a todos los sectores ni a todas las arquitecturas.
Notificación de incidentes en OT industrial bajo la NIS2
La NIS2 establece plazos de notificación estrictos ante el CSIRT nacional (INCIBE-CERT para el sector privado no estratégico de defensa) o ante la autoridad competente designada en la transposición española:
- 24 horas desde que la entidad tiene conocimiento del incidente: alerta inicial. No requiere análisis completo; basta con indicar que se está produciendo un incidente de ciberseguridad significativo con estimación preliminar de impacto.
- 72 horas: notificación más detallada con evaluación de gravedad, estimación de impacto en la continuidad del servicio y, si se dispone de ellos, indicadores de compromiso (IOCs).
- 30 días: informe final con análisis de causa raíz, impacto real cuantificado y descripción de las medidas correctoras adoptadas.
En un entorno OT, estos plazos operan en paralelo con la gestión técnica del incidente —contención, recuperación del proceso— lo que crea una tensión operativa real. El director de operaciones que está gestionando la parada de planta tiene que, simultáneamente, notificar al regulador. Esto requiere que el proceso de notificación esté documentado y ensayado antes de que ocurra el incidente, no durante. Es uno de los entregables del plan de respuesta a incidentes OT que la consultora especializada incluye en el alcance del diagnóstico.
Régimen sancionador de la NIS2
| Categoría de entidad | Sanción máxima |
|---|---|
| Entidad esencial | 10 M€ o 2 % de la facturación mundial anual (la cifra más elevada) |
| Entidad importante | 7 M€ o 1,4 % de la facturación mundial anual (la cifra más elevada) |
Además de las sanciones económicas, la Directiva habilita medidas complementarias:
- Suspensión temporal de la certificación o autorización para prestar el servicio.
- Emisión de avisos públicos sobre la entidad y la naturaleza del incumplimiento.
- Inhabilitación temporal de personas físicas en cargos directivos cuando se acredite negligencia grave (aplicable a entidades esenciales principalmente).
El consejo de administración que no apruebe formalmente una política de gestión de riesgos de ciberseguridad —o que no pueda acreditar que la ha revisado— está asumiendo un riesgo personal que va más allá de la responsabilidad corporativa de la empresa. Traducir estas obligaciones en un plan de trabajo concreto es la finalidad de la consultoría de ciberseguridad OT orientada a cumplimiento NIS2.
Preguntas frecuentes sobre NIS2 a quién aplica
¿Quién tiene que cumplir el NIS2?
Deben cumplir la NIS2 las empresas medianas y grandes que operan en sectores listados en el Anexo I o el Anexo II de la Directiva (UE) 2022/2555. El umbral mínimo de tamaño es 50 empleados o 10 M€ de facturación anual. Por debajo de ese umbral, la empresa queda fuera del ámbito salvo que sea designada crítica por el Estado miembro con independencia de su tamaño.
Dentro de las obligadas, las grandes empresas (≥250 empleados o ≥50 M€ ingresos y ≥43 M€ balance) en sectores del Anexo I son clasificadas como entidades esenciales. Las medianas empresas en Anexo I y las medianas y grandes en Anexo II son entidades importantes.
La verificación concreta exige cruzar tres datos: actividad CNAE o equivalente sectorial, número de empleados y facturación. Es un proceso de scoping de 30-60 minutos si se dispone de los datos correctos, pero las consecuencias de no hacerlo bien son sanciones de hasta siete cifras.
¿Cuáles son los sectores esenciales que deben cumplir con la NIS2?
Los once sectores del Anexo I —denominados “de alta criticidad”— son: energía, transporte, banca, infraestructura de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC B2B, Administración Pública y espacio.
En el ámbito industrial español mid-market, los de mayor impacto son: el subsector eléctrico (distribución, almacenamiento, subestaciones), el agua potable y las aguas residuales. En el Anexo II, los más presentes en el tejido industrial español son manufactura crítica (maquinaria, equipos eléctricos, vehículos) y producción de alimentos.
¿Qué tipo de personal debe recibir formación según la NIS2?
La Directiva obliga explícitamente a los órganos de dirección a recibir formación periódica suficiente para poder evaluar los riesgos de ciberseguridad y supervisar las medidas adoptadas. El consejero delegado, el director general y los miembros del consejo de administración no pueden delegar esa responsabilidad al departamento IT y desentenderse.
Adicionalmente, el personal técnico y operativo con acceso a sistemas de información críticos —operadores de SCADA, administradores de redes OT, responsables de mantenimiento de PLCs e instrumentación— debe recibir formación específica en ciberseguridad adaptada a su función y al tipo de sistemas que opera. La formación genérica de concienciación en ciberseguridad IT no sustituye a la formación OT-específica cuando el riesgo está en el proceso industrial.
La responsabilidad de diseñar y ejecutar ese plan de formación recae en la consultora OT contratada, no en el proveedor del sistema de control industrial.
¿Cuándo entra en vigor el NIS2 en España?
La fecha límite de transposición fue el 17 de octubre de 2024. España no la cumplió. La legislación de transposición estaba en elaboración al momento de redactar esta guía. La consulta actualizada del estado normativo debe realizarse en el BOE y en las publicaciones de INCIBE sobre la implantación de la NIS2 en España.
Lo que está claro es que la Directiva tiene efecto directo parcial desde el vencimiento del plazo de transposición, que la Comisión Europea mantiene abiertos los procedimientos de infracción contra los Estados morosos y que una vez aprobada la norma española, las obligaciones son exigibles sin período de adaptación adicional salvo mención expresa del legislador. Esperar al BOE para empezar la evaluación es la estrategia de mayor riesgo operativo y regulatorio disponible.
¿Cuál es la diferencia entre entidad esencial y entidad importante?
La distinción principal afecta al régimen de supervisión y al techo de sanción, no a las obligaciones técnicas de fondo.
Las entidades esenciales están sujetas a supervisión proactiva: el regulador puede auditar, inspeccionar y requerir documentación sin necesidad de que exista un incidente previo. Las sanciones máximas son 10 M€ o el 2 % de la facturación mundial.
Las entidades importantes se supervisan de forma reactiva: el regulador actúa a partir de indicios fundados, reclamaciones o notificaciones de incidentes. Las sanciones máximas son 7 M€ o el 1,4 % de la facturación mundial.
Desde el punto de vista práctico para el director industrial o el responsable IT que cubre OT, la diferencia más relevante es esta: como entidad importante, el regulador probablemente no llamará a tu puerta hasta que haya un incidente. Si hay un incidente y no tienes la documentación de gestión de riesgos en orden, la sanción llega sobre la crisis operativa. La postura de seguridad preventiva —evaluada y documentada antes del incidente— es la que determina la diferencia entre una sanción máxima y una sanción reducida o inexistente.
NIS2 a quién aplica: árbol de decisión para tu empresa
El proceso de autoclasificación —resolver para tu caso concreto NIS2 a quién aplica— es directo si se aplica en el orden correcto:
Paso 1 — Sector: ¿Opera tu empresa en alguno de los sectores del Anexo I o del Anexo II de la Directiva (UE) 2022/2555? Si la respuesta es no, tu empresa queda fuera del ámbito NIS2 (sin perjuicio de otras normativas sectoriales).
Paso 2 — Tamaño: ¿Tiene tu empresa 50 o más empleados, o 10 M€ o más de ingresos anuales? Si la respuesta es no, queda fuera del ámbito, salvo que sea designada crítica por el Estado miembro.
Paso 3 — Categoría: Si has pasado los pasos 1 y 2, ¿tienes 250 o más empleados, o simultáneamente 50 M€ o más de ingresos y 43 M€ o más de balance, y operas en el Anexo I? Entonces eres entidad esencial. En cualquier otro caso que pase los filtros 1 y 2: entidad importante.
La evaluación formal del alcance (scoping NIS2) cruza la actividad CNAE, el tamaño y el mapa de sistemas de información críticos de la empresa para determinar exactamente qué activos y procesos quedan dentro del ámbito y cuáles pueden quedar excluidos. En entornos industriales con múltiples líneas de proceso, varios sitios y arquitecturas OT heterogéneas, ese scoping puede no ser trivial. La consultora OT verificada realiza ese trabajo con criterio metodológico y lo documenta de forma que sea auditable por el regulador.
Si después de aplicar el árbol de decisión tu empresa queda claramente dentro del ámbito NIS2 como entidad importante —el caso más frecuente en el tejido industrial mid-market español—, el siguiente paso es una evaluación de madurez frente a los requisitos de la Directiva. Ese diagnóstico identifica los gaps concretos entre la postura actual y el nivel de cumplimiento requerido, prioriza las acciones correctoras por impacto y urgencia, y permite planificar la inversión de forma fundada en lugar de reactiva. Para las entidades obligadas, el servicio de cumplimiento NIS2 industrial cubre ese recorrido completo.
Solicita diagnóstico de ciberseguridad OT — te ponemos en contacto con la consultora OT verificada adecuada a tu sector y tamaño. Sin compromiso.