Umbrales de tamaño leídos en el Diario Oficial el 4 de octubre de 2026
NIS2 para pequeñas empresas: ¿le afecta?
Normalmente no por tamaño. Algunos servicios quedan incluidos con cualquier tamaño, y los clientes afectados le preguntarán por su seguridad de todos modos.
- Respuesta corta
- Normalmente no
NIS2 empieza en el tamaño mediano. Una empresa con menos de 50 empleados es pequeña salvo que su volumen de negocios y su balance general superen ambos 10 M €, y una empresa pequeña queda fuera salvo que una regla de abajo la incluya con cualquier tamaño.
- Para quién
- Una empresa de menos de 50 personas, contadas con sus empresas asociadas y vinculadas, cuyo servicio es un tipo que enumeran los anexos de NIS2.
- Qué hacer
- Revise la lista de abajo, deje la conclusión por escrito con su fecha, y tenga sus registros de seguridad listos para las preguntas de proveedor de sus clientes.
El umbral de tamaño
| Tamaño | Definición | NIS2 por tamaño |
|---|---|---|
| Micro Fuera | Menos de 10 empleados, y volumen de negocios o balance de como máximo 2 M € | Fuera |
| Pequeña Fuera | Menos de 50 empleados, y volumen de negocios o balance de como máximo 10 M € | Fuera |
| Mediana Dentro, si el tipo figura | Menos de 250 empleados, y volumen de negocios de como máximo 50 M € o balance de como máximo 43 M € | Dentro, si el tipo figura |
| Grande Dentro, si el tipo figura | 250 empleados o más, o volumen de negocios superior a 50 M € y balance superior a 43 M € | Dentro, si el tipo figura |
Artículo 2 del anexo de la Recomendación 2003/361/CE, leído el 4 de octubre de 2026. El artículo 2, apartado 1, de NIS2 abarca las medianas empresas y las mayores.
Incluido con cualquier tamaño
Si una de estas es cierta, el tamaño no importa:
- Prestamos una red pública de comunicaciones electrónicas o un servicio de comunicaciones electrónicas disponible para el público (artículo 2(2)(a)(i))
- Somos un prestador de servicios de confianza con arreglo al Reglamento (UE) n.º 910/2014 (artículo 2(2)(a)(ii))
- Somos un registro de nombres de dominio de primer nivel o un proveedor de servicios DNS (artículo 2(2)(a)(iii))
- Prestamos servicios de registro de nombres de dominio (artículo 2(4))
- Nuestro Estado miembro nos ha identificado como único proveedor de un servicio esencial para el mantenimiento de actividades sociales o económicas críticas (artículo 2(2)(b))
- Nuestro Estado miembro nos ha identificado con arreglo al artículo 2(2)(c) a (e): una perturbación de nuestro servicio tendría repercusiones significativas en la seguridad pública, el orden público o la salud pública, o induciría un riesgo sistémico, o somos críticos para nuestro sector a nivel nacional o regional
- Estamos identificados como entidad crítica con arreglo a la Directiva (UE) 2022/2557 (artículo 2(3))
Hacer la comprobación de ámbito
Lo que le llega de todos modos
Los clientes que son entidades esenciales o importantes deben asegurar su cadena de suministro. El artículo 21, apartado 2, letra d), les pide:
«la seguridad de la cadena de suministro, incluidos los aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos»
El artículo 21, apartado 3, añade que tengan en cuenta las vulnerabilidades y las prácticas de seguridad de cada proveedor directo. De ahí vienen el cuestionario de proveedores y las cláusulas del contrato.
StandardOS mantiene las políticas, el registro de riesgos y las evidencias con las que se responden esas preguntas.
Esta es la lectura de la Directiva que hace StandardOS, con el artículo citado. El derecho de su Estado miembro decide cómo se le aplica.
Preguntas
- ¿Cuenta nuestro grupo?
- Sí. La Recomendación cuenta la empresa junto con sus empresas asociadas y vinculadas, así que una filial pequeña de un grupo grande no es pequeña.
- Este año hemos pasado el umbral. ¿Estamos dentro ya?
- No por un solo año. Según el artículo 4, apartado 2, del mismo anexo, la categoría solo cambia cuando un umbral se supera, o se deja de alcanzar, durante dos ejercicios consecutivos.
- ¿Puede nuestro Estado miembro incluirnos?
- Sí. Un Estado miembro puede identificar a una entidad más pequeña con arreglo al artículo 2, apartado 2, letras b) a e), por ejemplo como único proveedor de un servicio esencial, y se lo comunicaría.
Mantenga los registros que piden sus clientes
Sin tarjeta para empezar · cancele cuando quiera desde la app