Toda explicación de la Directiva (UE) 2022/2555 dice que NIS2 divide sus entidades en esenciales e importantes, y la mayoría se detiene ahí. La división merece entenderse bien porque es la división entre el artículo 32 y el artículo 33, entre un supervisor que puede auditarle antes de que nada haya salido mal y uno que actúa sobre pruebas, y entre un tope de multa de 10 000 000 EUR y uno de 7 000 000 EUR. La deciden dos artículos leídos en orden: el artículo 2 dice si está usted dentro siquiera, el artículo 3 de qué clase es. Ambos citan una prueba de tamaño de una Recomendación de 2003 que se cuenta de una manera que la mayoría de las empresas fallan la primera vez. Este artículo toma los dos en orden, con el texto, y termina donde empieza la determinación gratuita del ámbito.
Artículo 2: es usted una entidad de la Directiva
El artículo 2(1) aplica la Directiva a «las entidades públicas o privadas de alguno de los tipos mencionados en los anexos I o II que sean consideradas medianas empresas con arreglo al artículo 2 del anexo de la Recomendación 2003/361/CE, o que superen los límites máximos para las medianas empresas previstos en el apartado 1 de dicho artículo, y que presten sus servicios o lleven a cabo sus actividades en la Unión». Tres condiciones, y la primera es la que hay que comprobar primero: ser de un tipo que enumeran los anexos. El anexo I son los sectores de alta criticidad, 11 en total, y el anexo II los otros sectores críticos, 7 más; entre ambos describen 67 tipos de entidad, y una empresa entra en el ámbito por ser uno de ellos, no por venderle a uno. Una empresa de software suele mirar cuatro filas: proveedores de servicios de computación en nube, proveedores de servicios gestionados y proveedores de servicios de seguridad gestionados en el anexo I, y proveedores de mercados en línea, de motores de búsqueda en línea y de plataformas de servicios de redes sociales en el anexo II. Las 67 filas están en la herramienta de ámbito en seis idiomas, palabra por palabra.
La segunda condición es el tamaño. El anexo de la Recomendación define una mediana empresa como la que tiene menos de 250 empleados y bien un volumen de negocios anual que no supera los 50 millones de EUR, bien un balance que no supera los 43 millones de EUR; una pequeña empresa tiene menos de 50 empleados y un volumen de negocios o balance que no supera los 10 millones de EUR; una microempresa menos de 10 empleados y 2 millones de EUR. NIS2 toma las medianas empresas y todo lo mayor, de modo que el suelo es el techo de las pequeñas: 50 empleados, o más de 10 millones de EUR tanto de volumen de negocios como de balance. Dos cosas sobre el cómputo. El artículo 3 de la Recomendación cuenta la empresa junto con sus empresas asociadas y sus empresas vinculadas, de modo que una filial de 30 personas de un grupo de 400 personas no es pequeña. Y NIS2 excluye el artículo 3(4) de ese anexo, la regla que deja fuera de las clases de pyme a una empresa participada en un 25 % o más por organismos públicos, de modo que una empresa de capital público se mide como cualquier otra.
El artículo 2(2) incluye después a algunas entidades «independientemente de su tamaño»: proveedores de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles para el público, prestadores de servicios de confianza, registros de nombres de dominio de primer nivel y proveedores de servicios DNS, por lo que prestan; el único proveedor en un Estado miembro de un servicio esencial para el mantenimiento de actividades sociales o económicas críticas, una entidad cuya perturbación afectaría significativamente a la seguridad pública, el orden público o la salud pública o induciría un riesgo sistémico, y una entidad crítica para su sector a nivel nacional o regional, cada una por un acto del Estado miembro; y la Administración central, con la Administración regional tras una evaluación basada en el riesgo. El artículo 2(3) añade las entidades identificadas como críticas con arreglo a la Directiva (UE) 2022/2557, y el artículo 2(4) las entidades que prestan servicios de registro de nombres de dominio. Un registrador es una categoría propia: el artículo 3(3) enumera a los registradores junto a las entidades esenciales e importantes, y su obligación es el artículo 28.
Artículo 3: esencial, o importante
El artículo 3(1) enumera las entidades esenciales en siete letras, y el artículo 3(2) hace importante a cualquier otra entidad de un tipo de los anexos I o II. Las siete, citadas:
| Letra | El texto | Quién es, en la práctica |
|---|---|---|
| (a) | «entidades de alguno de los tipos mencionados en el anexo I que superen los límites máximos previstos en el artículo 2, apartado 1, del anexo de la Recomendación 2003/361/CE para las medianas empresas» | Toda gran entidad del anexo I: un proveedor de nube o de servicios gestionados con 250 empleados o más, o más de 50 millones de EUR de volumen de negocios y 43 millones de EUR de balance |
| (b) | «prestadores cualificados de servicios de confianza y registros de nombres de dominio de primer nivel, así como proveedores de servicios de DNS, independientemente de su tamaño» | Tres clases esenciales a cualquier tamaño; un prestador de servicios de confianza no cualificado es importante salvo que sea grande |
| (c) | «proveedores de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles para el público que sean consideradas medianas empresas con arreglo al artículo 2 del anexo de la Recomendación 2003/361/CE» | Operadores de telecomunicaciones medianos; los grandes son esenciales por (a), los pequeños importantes |
| (d) | «entidades de la Administración pública a que se refiere el artículo 2, apartado 2, letra f) inciso i)» | La Administración central |
| (e) | «cualquier otra entidad de uno de los tipos mencionados en los anexos I o II que un Estado miembro identifique como entidad esencial en virtud del artículo 2, apartado 2, letras b) a e)» | Una entidad que el Estado ha identificado y ha decidido hacer esencial en lugar de importante |
| (f) | «entidades identificadas como entidades críticas con arreglo a la Directiva (UE) 2022/2557 a que se refiere el artículo 2, apartado 3, letra f), de la presente Directiva» | Las entidades críticas bajo la Directiva de resiliencia, sea cual sea su fila sectorial |
| (g) | «si así lo dispone el Estado miembro, las entidades identificadas por dicho Estado miembro antes del 16 de enero de 2023 como operadores de servicios esenciales de conformidad con la Directiva (UE) 2016/1148 o el Derecho nacional» | Los antiguos operadores de servicios esenciales de la primera Directiva NIS, donde el Estado los mantiene esenciales |
Leída frente a una empresa de software, la tabla dice tres cosas. Un tipo del anexo II nunca es esencial por tamaño: un gran fabricante de maquinaria, de productos sanitarios o de electrónica, un gran mercado en línea o un gran motor de búsqueda es importante con arreglo al artículo 3(2) por grande que sea, salvo que un Estado lo identifique con arreglo a (e) o sea una entidad crítica con arreglo a (f). Un tipo del anexo I es esencial solo por tamaño, lo que sitúa a un proveedor de nube, de centro de datos, de CDN, de servicios gestionados o de servicios de seguridad gestionados que supera los límites de las medianas empresas bajo la supervisión del artículo 32 sin acto de nadie. Y las tres clases de la letra (b) son esenciales a cualquier tamaño, por lo que un proveedor DNS de dos personas es una entidad esencial y un proveedor de nube de dos personas no es una entidad en absoluto, salvo que un Estado lo identifique.
Cuál es la diferencia
Las medidas son las mismas. El artículo 21 se aplica a las entidades esenciales e importantes por igual, y para los proveedores digitales de su artículo 1 el Reglamento de Ejecución (UE) 2024/2690 fija el detalle técnico de esas medidas y los umbrales de incidente de forma idéntica para ambas. Los relojes del artículo 23 son los mismos. Lo que difiere es la supervisión, las multas y la lectura de la proporcionalidad.
La supervisión de las entidades esenciales es ex ante y ex post (artículo 32): la autoridad competente puede realizar inspecciones in situ y supervisión a distancia, auditorías periódicas y específicas, auditorías ad hoc cuando un incidente significativo o una infracción las justifique, escaneos de seguridad y solicitudes de información y pruebas, en cualquier momento; cuando no se cumplan sus órdenes puede, como último recurso, suspender una certificación o autorización y pedir a un tribunal que prohíba a la dirección ejercer funciones directivas (artículo 32(5)). La supervisión de las entidades importantes es ex post (artículo 33): los mismos instrumentos, pero «cuando reciban pruebas, indicios o información de que una entidad importante presuntamente no cumple». Las multas siguen el artículo 34: para las entidades esenciales «un máximo de al menos 10 000 000 EUR o un máximo de al menos el 2 % del volumen de negocios anual mundial total» (artículo 34(4)), para las entidades importantes «un máximo de al menos 7 000 000 EUR o un máximo de al menos el 1,4 %» (artículo 34(5)), en cada caso la cifra que sea superior, quedando el Estado miembro libre de fijar sus topes por encima. Ambas clases tienen un órgano de dirección que debe aprobar las medidas, supervisar su aplicación y puede ser considerado responsable, y cuyos miembros deben seguir formación (artículo 20).
La lista, el registro y el Estado
De la condición se derivan dos registros, y son distintos. El artículo 3(3) obligaba a cada Estado miembro a elaborar, a más tardar el 17 de abril de 2025, una lista de sus entidades esenciales e importantes y de los registradores, a partir de la información que las entidades presentan con arreglo al artículo 3(4): nombre, dirección y datos de contacto, sector y subsector, y los Estados miembros donde prestan servicios. El artículo 27 es un segundo registro, más estrecho, que lleva la ENISA, para los proveedores DNS, los registros de primer nivel, los registradores, los proveedores de nube, de centros de datos, de CDN, de servicios gestionados, de servicios de seguridad gestionados, de mercados en línea, de motores de búsqueda y de redes sociales, que tenían que presentar su nombre, sector, direcciones, datos de contacto, Estados miembros atendidos y rangos de IP a su autoridad competente a más tardar el 17 de enero de 2025.
En la lista de qué Estado figura usted es el artículo 26. Una entidad está bajo la jurisdicción del Estado miembro en que está establecida, salvo que los proveedores digitales recién enumerados están bajo el Estado miembro de su establecimiento principal en la Unión, «el Estado miembro en el que se tomen predominantemente las decisiones relacionadas con las medidas para la gestión de riesgos de ciberseguridad» (artículo 26(2)), y una no establecida en la Unión bajo el Estado donde designe a su representante (artículo 26(3)). El acto del Estado, tal como se comunicó a la Comisión, está en el registro de transposición; cuál de ellos tiene uno siquiera, el día de la lectura, es un artículo propio.
Cuatro casos que una empresa de software falla
Un proveedor de nube con 40 empleados y 8 millones de EUR de volumen de negocios, independiente, no es una entidad de la Directiva: un tipo del anexo I, por debajo del techo de las pequeñas, y ninguna de las reglas sin condición de tamaño se aplica. Aun así, cada cliente esencial e importante le pedirá que demuestre la seguridad de la cadena de suministro que el artículo 21(2)(d) hace gestionar a esos clientes. El mismo proveedor participado por un grupo de 300 personas es mediana empresa por el artículo 3 de la Recomendación e importante; el mismo proveedor con 250 empleados es esencial.
Un fabricante de maquinaria con 2 000 empleados es importante, no esencial: anexo II, y el artículo 3(1)(a) solo alcanza al anexo I.
Un registrador sin otra fila está en el ámbito con arreglo al artículo 2(4) a cualquier tamaño, con el artículo 28 como obligación y un lugar en la lista del artículo 3(3) y en el registro del artículo 27, pero no es ni esencial ni importante salvo que sea también de un tipo de los anexos.
Un proveedor de servicios gestionados establecido en Estados Unidos, con clientes en tres Estados miembros y sin establecimiento en la Unión, debe designar un representante en uno de los Estados donde ofrece servicios, y está bajo la ley de ese Estado; sin representante, cualquiera de los tres puede actuar contra él.
La determinación del ámbito aplica estas reglas a sus respuestas y escribe el resultado con los artículos citados; la correspondencia de NIS2 con ISO 27001 es adonde van después las medidas del artículo 21, y los relojes del artículo 23 son lo que la condición lleva a un incidente. Si NIS2 o el CRA es su ley siquiera viene antes que ambos.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), artículo 2(1) a (4), artículo 3(1) a (4), artículo 20, artículo 21(1) y (2), artículo 26(1) a (3), artículo 27, artículo 28, artículos 32 a 34, anexos I y II, leídos en EUR-Lex en seis idiomas.
- Recomendación 2003/361/CE de la Comisión, anexo, artículos 2 y 3.
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión, artículo 1.
Esto no es asesoramiento jurídico. El acto del Estado miembro puede añadir a las categorías de la Directiva con arreglo al artículo 2(2)(b) a (e), al artículo 2(5) y al artículo 3(1)(g), y la determinación del Estado es la que cuenta.