NIS2: todas las páginas y artículos
Directiva (UE) 2022/2555 · artículo 2, artículo 3, artículo 26
¿Está su empresa bajo NIS2, y es esencial o importante? Cinco preguntas, cada una con el artículo del que procede, y los anexos tal como la Directiva los enumera en su idioma. El resultado es una determinación escrita que puede archivar: si es usted una entidad de la Directiva, de qué tipo, la ley de qué Estado miembro y qué acto, lo que se le aplica directamente, y por dónde empezar. Nada de lo que escribe sale de esta página.
Empresa (opcional, para el título del documento) ¿De qué tipo de entidad del anexo I o II es usted? La Directiva enumera tipos de entidad por sector; una empresa entra en el ámbito por ser uno de ellos, no por ser proveedora de uno. Elija la fila que describe lo que presta. Una empresa de software que opera su producto como servicio suele ser un proveedor de servicios de computación en nube; una que opera los sistemas de sus clientes, un proveedor de servicios gestionados.
¿De qué tipo de entidad del anexo I o II es usted? Elija un tipo de entidad Ninguno de estos nos describe Electricidad: Empresas eléctricas, tal como se definen en el artículo 2, punto 57, de la Directiva (UE) 2019/944 del Parlamento Europeo y del Consejo, que efectúan la función de «suministro», tal como se define en el artículo 2, punto 12, de dicha Directiva Electricidad: Gestores de la red de distribución, tal como se definen en el artículo 2, punto 29, de la Directiva (UE) 2019/944 Electricidad: Gestores de la red de transporte, tal como se definen en el artículo 2, punto 35, de la Directiva (UE) 2019/944 Electricidad: Productores, tal como se definen en el artículo 2, punto 38, de la Directiva (UE) 2019/944 Electricidad: Operadores designados para el mercado eléctrico, tal como se definen en el artículo 2, punto 8, del Reglamento (UE) 2019/943 del Parlamento Europeo y del Consejo Electricidad: Participantes en el mercado de la electricidad, tal como se definen en el artículo 2, punto 25, del Reglamento (UE) 2019/943 que presten servicios de agregación, respuesta de demanda o almacenamiento de energía, tal como se define en el artículo 2, puntos 18, 20 y 59, de la Directiva (UE) 2019/944 Electricidad: Operadores de un punto de recarga que sean responsable de la gestión y explotación de un punto de recarga, que presta un servicio de recarga al usuario final también en nombre y por cuenta de un proveedor de servicios de movilidad Sistemas urbanos de calefacción y de refrigeración: Operadores de sistemas urbanos de calefacción o de refrigeración, tal como se definen en el artículo 2, punto 19, de la Directiva (UE) 2018/2001 del Parlamento Europeo y del Consejo Crudo: Operadores de oleoductos de transporte de crudo Crudo: Operadores de producción de crudo, instalaciones de refinado y tratamiento, almacenamiento y transporte Crudo: Entidades centrales de almacenamiento, tal como se definen en el artículo 2, letra f), de la Directiva 2009/119/CE del Consejo Gas: Empresas suministradoras de gas, tal como se definen en el artículo 2, punto 8, de la Directiva 2009/73/CE del Parlamento Europeo y del Consejo Gas: Gestores de la red de distribución, tal como se definen en el artículo 2, punto 6, de la Directiva 2009/73/CE Gas: Gestores de la red de transporte, tal como se definen en el artículo 2, punto 4, de la Directiva (UE) 2009/73/CE Gas: Gestores de almacenamientos, tal como se definen en el artículo 2, punto 10, de la Directiva 2009/73/CE Gas: Gestores de la red de GNL, tal como se definen en el artículo 2, punto 12, de la Directiva 2009/73/CE Gas: Compañías de gas natural, tal como se definen en el artículo 2, punto 1, de la Directiva 2009/73/CE Gas: Operadores de instalaciones de refinado y tratamiento de gas natural Hidrógeno: Operadores de producción, almacenamiento y transporte de hidrógeno Transporte aéreo: Compañías aéreas, tal como se definen en el artículo 3, punto 4, del Reglamento (CE) n.º 300/2008 utilizadas con fines comerciales Transporte aéreo: Entidades gestoras de aeropuertos, tal como se definen en el artículo 2, punto 2, de la Directiva 2009/12/CE del Parlamento Europeo y del Consejo; aeropuertos, tal como se definen en el artículo 2, punto 1, de dicha Directiva, en particular los aeropuertos de la red básica enumerados en el anexo II, sección 2, del Reglamento (UE) n.º 1315/2013 del Parlamento Europeo y del Consejo; y entidades que explotan instalaciones anexas dentro de los recintos de los aeropuertos Transporte aéreo: Operadores de control de la gestión del tráfico que prestan servicios de control del tránsito aéreo, tal como se definen en el artículo 2, punto 1, del Reglamento (CE) n.º 549/2004 del Parlamento Europeo y del Consejo Transporte por ferrocarril: Administradores de infraestructuras, tal como se definen en el artículo 3, punto 2, de la Directiva 2012/34/UE del Parlamento Europeo y del Consejo Transporte por ferrocarril: Empresas ferroviarias, tal como se definen en el artículo 3, punto 1, de la Directiva 2012/34/UE, incluidos los explotadores de instalaciones de servicio, tal como se definen en el artículo 3, punto 12 de dicha Directiva Transporte marítimo y fluvial: Empresas de transporte marítimo, fluvial y de cabotaje, tanto de pasajeros como de mercancías, tal como se definen para el transporte marítimo en el anexo I del Reglamento (CE) n.º 725/2004 del Parlamento Europeo y del Consejo, sin incluir los buques particulares explotados por esas empresas Transporte marítimo y fluvial: Organismos gestores de los puertos, tal como se definen en el artículo 3, punto 1, de la Directiva 2005/65/CE del Parlamento Europeo y del Consejo, incluidas sus instalaciones portuarias, tal como se definen en el artículo 2, punto 11, del Reglamento (CE) n.º 725/2004, y entidades que operan obras y equipos que se encuentran en los puertos Transporte marítimo y fluvial: Operadores de servicios de tráfico de buques (STB), tal como se definen en el artículo 3, letra o), de la Directiva 2002/59/CE del Parlamento Europeo y del Consejo Transporte por carretera: Autoridades viarias, tal como se definen en el artículo 2, punto 12, del Reglamento Delegado (UE) 2015/962 de la Comisión responsables del control de la gestión del tráfico, excluidas las entidades públicas para las cuales la gestión del tráfico o la explotación de sistemas de transporte inteligentes sea una parte no esencial de su actividad general Transporte por carretera: Operadores de sistemas de transporte inteligentes, tal como se definen en el artículo 4, punto 1, de la Directiva 2010/40/UE del Parlamento Europeo y del Consejo Entidades de crédito, tal como se definen en el artículo 4, punto 1, del Reglamento (UE) n.º 575/2013 del Parlamento Europeo y del Consejo Gestores de centros de negociación, tal como se definen en el artículo 4, punto 24, de la Directiva 2014/65/UE del Parlamento Europeo y del Consejo Entidades de contrapartida central (ECC), tal como se definen en el artículo 2, punto 1, del Reglamento (UE) n.º 648/2012 del Parlamento Europeo y del Consejo Prestadores de asistencia sanitaria, tal como se definen en el artículo 3, letra g), de la Directiva 2011/24/UE del Parlamento Europeo y del Consejo Laboratorios de referencia de la UE, tal como se definen en el artículo 15, del Reglamento (UE).../...del Parlamento Europeo y del Consejo Entidades que realizan actividades de investigación y desarrollo de medicamentos, tal como se definen en el artículo 1, punto 2, de la Directiva 2001/83/CE del Parlamento Europeo y del Consejo Entidades que fabrican productos farmacéuticos de base y especialidades farmacéuticas a que se refiere la sección C, división 21, de la NACE Rev. 2 Entidades que fabrican productos sanitarios que se consideran esenciales en situaciones de emergencia de salud pública («lista de productos sanitarios esenciales durante la emergencia de salud pública») en el sentido del artículo 22 del Reglamento (UE) 2022/123 del Parlamento Europeo y del Consejo Suministradores y distribuidores de aguas destinadas al consumo humano, tal como se definen en el artículo 2, punto 1, letra a), de la Directiva (UE) 2020/2184 del Parlamento Europeo y del Consejo, excluidos los distribuidores para los que la distribución de aguas destinadas al consumo humano sea una parte no esencial de su actividad general de distribución de otros bienes y productos básicos Empresas dedicadas a la recogida, la eliminación o el tratamiento de aguas residuales urbanas, domésticas o industriales, tal como se definen en el artículo 2, puntos 1 a 3, de la Directiva 91/271/CEE del Consejo, excluidas las empresas para las que la recogida, la eliminación o el tratamiento de aguas residuales urbanas, domésticas o industriales sea una parte no esencial de su actividad general Proveedores de puntos de intercambio de internet Proveedores de servicios de DNS, excluidos los operadores de servidores raíz Registros de nombres de dominio de primer nivel Proveedores de servicios de computación en nube Proveedores de servicios de centro de datos Proveedores de redes de distribución de contenidos Prestadores de servicios de confianza Proveedores de redes públicas de comunicaciones electrónicas Proveedores de servicios de comunicaciones electrónicas disponibles para el público Proveedores de servicios gestionados Proveedores de servicios de seguridad gestionados Entidades de la Administración pública central, tal como se definen en el Estado miembro con arreglo a las disposiciones del Derecho nacional Entidades de la Administración pública a escala regional, según su definición en el Estado miembro con arreglo a las disposiciones del Derecho nacional Operadores de infraestructuras terrestres, cuya propiedad, gestión y explotación descansa en los Estados miembros o en entidades privadas, que apoyan la prestación de servicios espaciales, excepto los proveedores de redes públicas de comunicaciones electrónicas Proveedores de servicios postales, tal como se definen en el artículo 2, punto 1 bis, de la Directiva 97/67/CE, incluidos los proveedores de servicios de mensajería Empresas que realizan la gestión de residuos, tal como se definen en el artículo 3, punto 9, de la Directiva 2008/98/CE del Parlamento Europeo y del Consejo, excepto aquellas para las que la gestión de residuos no es su principal actividad económica Empresas que realizan la fabricación de sustancias y la distribución de sustancias o mezclas, tal como se definen en el artículo 3, puntos 9 y 14, del Reglamento (CE) n.º 1907/2006 del Parlamento Europeo y del Consejo y empresas que realizan la producción de artículos, tal como se definen en el artículo 3, punto 3, de dicho Reglamento, a partir de sustancias y mezclas Empresas alimentarias, tal como se definen en el artículo 3, punto 2, del Reglamento (CE) n.º 178/2002 del Parlamento Europeo y del Consejo, que se dediquen a la distribución al por mayor y a la producción y transformación industriales Fabricación de productos sanitarios y productos sanitarios para diagnóstico in vitro: Entidades que fabrican los productos sanitarios, tal como se definen en el artículo 2, punto 1, del Reglamento (UE) 2017/745 del Parlamento Europeo y del Consejo, y entidades que fabrican los productos sanitarios para diagnóstico in vitro, tal como se definen en el artículo 2, punto 2, del Reglamento (UE) 2017/746 del Parlamento Europeo y del Consejo, excepto las entidades que fabrican productos sanitarios a que se refiere el anexo I, punto 5, quinto guion, de la presente Directiva Fabricación de productos informáticos, electrónicos y ópticos: Empresas que realizan cualquiera de las actividades económicas a que se refiere la sección C, división 26, de la NACE Rev. 2 Fabricación de material eléctrico: Empresas que realizan cualquiera de las actividades económicas a que se refiere la sección C, división 27, de la NACE Rev. 2 Fabricación de maquinaria y equipo n.c.o.p.: Empresas que realizan cualquiera de las actividades económicas a que se refiere la sección C, división 28, de la NACE Rev. 2 Fabricación de vehículos de motor, remolques y semirremolques: Empresas que realizan cualquiera de las actividades económicas a que se refiere la sección C, división 29, de la NACE Rev. 2 Fabricación de otro material de transporte: Empresas que realizan cualquiera de las actividades económicas a que se refiere la sección C, división 30, de la NACE Rev. 2 Proveedores de mercados en línea Proveedores de motores de búsqueda en línea Proveedores de plataformas de servicios de redes sociales Organismos de investigación ¿Qué tamaño tiene la empresa? Tamaños según los define el anexo de la Recomendación 2003/361/CE, contados para la empresa con sus empresas asociadas y vinculadas. El artículo 2(1) de la Directiva alcanza a las medianas empresas y mayores.
Micro o pequeña: menos de 50 empleados y un volumen de negocios o balance de 10 millones de EUR o menos Mediana: al menos 50 y menos de 250 empleados, o más de 10 millones de EUR tanto de volumen de negocios como de balance, y no más de 50 millones de EUR de volumen de negocios o 43 millones de EUR de balance Grande: 250 empleados o más, o más de 50 millones de EUR de volumen de negocios y más de 43 millones de EUR de balance
¿Se aplica alguna de las reglas sin condición de tamaño? El artículo 2(2) a (4) incluye a algunas entidades sea cual sea su tamaño. Las cuatro primeras se deciden por lo que presta; las dos siguientes requieren un acto de su Estado miembro, que se lo habrá comunicado; la última es una condición bajo la Directiva de entidades críticas.
Ninguna de estas Prestamos una red pública de comunicaciones electrónicas o un servicio de comunicaciones electrónicas disponible para el público (artículo 2(2)(a)(i)) Somos un prestador de servicios de confianza con arreglo al Reglamento (UE) n.º 910/2014 (artículo 2(2)(a)(ii)) Somos un registro de nombres de dominio de primer nivel o un proveedor de servicios DNS (artículo 2(2)(a)(iii)) Prestamos servicios de registro de nombres de dominio (artículo 2(4)) Nuestro Estado miembro nos ha identificado como único proveedor de un servicio esencial para el mantenimiento de actividades sociales o económicas críticas (artículo 2(2)(b)) Nuestro Estado miembro nos ha identificado con arreglo al artículo 2(2)(c) a (e): una perturbación de nuestro servicio tendría repercusiones significativas en la seguridad pública, el orden público o la salud pública, o induciría un riesgo sistémico, o somos críticos para nuestro sector a nivel nacional o regional Estamos identificados como entidad crítica con arreglo a la Directiva (UE) 2022/2557 (artículo 2(3))
¿Dónde está establecida la empresa? El artículo 26 asigna a cada entidad un Estado miembro. Para los proveedores de servicios de computación en nube, de centros de datos, de redes de distribución de contenidos, de servicios gestionados, de servicios de seguridad gestionados, de mercados en línea, de motores de búsqueda y de redes sociales es el establecimiento principal en la Unión, el lugar donde se toman predominantemente las decisiones de ciberseguridad; un proveedor no establecido en la Unión designa un representante en un Estado donde ofrece servicios (artículo 26(3)).
En un Estado miembro (para los proveedores digitales anteriores: nuestro establecimiento principal en la Unión) Fuera de la Unión, con un representante designado en un Estado miembro Fuera de la Unión, sin representante designado
La determinación Responda a las tres primeras preguntas y la determinación se escribe aquí.
Esencial o importante: las reglas, leídas en orden El registro de transposición, Estado por Estado NIS2 correspondida con ISO 27001 Los relojes del artículo 23 junto a los del CRA