¿Está su empresa bajo NIS2, y es esencial o importante?

La Directiva enumera tipos de entidad por sector; una empresa entra en el ámbito por ser uno de ellos, no por ser proveedora de uno. Elija la fila que describe lo que presta. Una empresa de software que opera su producto como servicio suele ser un proveedor de servicios de computación en nube; una que opera los sistemas de sus clientes, un proveedor de servicios gestionados.

Tamaños según los define el anexo de la Recomendación 2003/361/CE, contados para la empresa con sus empresas asociadas y vinculadas. El artículo 2(1) de la Directiva alcanza a las medianas empresas y mayores. Superar un umbral en un solo ejercicio no cambia la condición: con arreglo al artículo 4, apartado 2, del mismo anexo, solo cambia cuando los umbrales se superan, o se dejan de alcanzar, en dos ejercicios consecutivos.

El artículo 2(2) a (4) incluye a algunas entidades sea cual sea su tamaño. Las cuatro primeras se deciden por lo que presta; las dos siguientes requieren un acto de su Estado miembro, que se lo habrá comunicado; la última es una condición bajo la Directiva de entidades críticas.

El artículo 26 asigna a cada entidad un Estado miembro. Para los proveedores de servicios de computación en nube, de centros de datos, de redes de distribución de contenidos, de servicios gestionados, de servicios de seguridad gestionados, de mercados en línea, de motores de búsqueda y de redes sociales es el establecimiento principal en la Unión, el lugar donde se toman predominantemente las decisiones de ciberseguridad; un proveedor no establecido en la Unión designa un representante en un Estado donde ofrece servicios (artículo 26(3)).