En este artículo10 min de lectura
La pregunta llega casi siempre igual. Alguien de dirección lee que hay una directiva europea de ciberseguridad, NIS2, que afecta a la industria, o un cliente manda un cuestionario que la menciona, y hay que averiguar si la empresa está dentro.
La respuesta depende de dos cosas: tu actividad y tu tamaño. Las dos tienen trampa. La actividad se mide por unos anexos que no coinciden con lo que uno diría que es su sector, y el tamaño no se cuenta por la plantilla de tu sociedad si formas parte de un grupo.
Esta guía explica las dos reglas, los casos donde falla la intuición y cómo comprobarlo en tu caso concreto.
La regla general de NIS2 deja fuera a las pequeñas y mete a todas las medianas de los anexos
La directiva se aplica a las entidades de los anexos I y II que sean medianas empresas o superen ese tamaño. Las pequeñas y las microempresas quedan fuera por defecto.
Los umbrales vienen de la definición europea de pyme, que está en la Recomendación 2003/361/CE:
| Categoría | Personas | Volumen de negocio o balance |
|---|---|---|
| Mediana | menos de 250 | hasta 50 millones de euros de negocio, o hasta 43 de balance |
| Pequeña | menos de 50 | hasta 10 millones de euros de negocio o de balance |
| Micro | menos de 10 | hasta 2 millones de euros de negocio o de balance |
Una industrial de 100 a 200 empleados es mediana empresa sin discusión. Está por encima del techo de pequeña y por debajo del de grande. Si su actividad está en cualquiera de los dos anexos, entra.
Hay excepciones que meten a una empresa con independencia de su tamaño. Las más relevantes para la industria: ser el único proveedor en España de un servicio esencial, o que una interrupción del servicio pueda tener un impacto significativo en la seguridad o la salud públicas. Una fábrica pequeña que sea proveedor único de un componente crítico puede entrar por ahí.
Si fabricas, estás en el anexo II y serás entidad importante, nunca esencial
Los dos anexos no son una gradación de importancia, son dos listas de sectores. El anexo I recoge los sectores de alta criticidad: energía, transporte, banca, sanidad, agua, infraestructura digital, servicios TIC gestionados, administración pública y espacio. El anexo II recoge los otros sectores críticos, y ahí está la fabricación.
Los subsectores de fabricación que cubre el anexo II son estos seis:
| Subsector del anexo II | División de actividad |
|---|---|
| Productos sanitarios y de diagnóstico in vitro | Identificados por sus reglamentos propios, sin división |
| Fabricación de productos informáticos, electrónicos y ópticos | 26 |
| Fabricación de material y equipo eléctrico | 27 |
| Fabricación de maquinaria y equipo n.c.o.p. | 28 |
| Fabricación de vehículos de motor, remolques y semirremolques | 29 |
| Fabricación de otro material de transporte | 30 |
Las divisiones son las de la clasificación europea de actividades, que en España se corresponden con los dos primeros dígitos del CNAE. Si tu código empieza por 26, 27, 28, 29 o 30, estás en la lista.
Hay dos sectores más del anexo II que tocan a la industria y que no van por código de actividad. La producción, transformación y distribución de alimentos entra si haces producción o transformación industrial, o distribución al por mayor. Y la fabricación, producción y distribución de productos químicos entra por remisión al reglamento europeo de sustancias químicas.
La consecuencia de estar en el anexo II en lugar del I es concreta: una empresa de fabricación no puede ser entidad esencial por tamaño, por grande que sea. Será entidad importante. La categoría de esencial por tamaño está reservada al anexo I.
La excepción que sí sube de categoría: si fabricas productos farmacéuticos de base o preparados farmacéuticos, no estás en el anexo II sino en el anexo I, dentro de sanidad. Y si además superas el tamaño de mediana empresa, eres entidad esencial.
¿Sabes con qué código de actividad estás dado de alta?
No siempre coincide con lo que la empresa fabrica de verdad, y en este caso decide si entras o no. Lo miramos contigo junto con el resto de la comprobación.
El tamaño no se cuenta por tu plantilla si perteneces a un grupo
Aquí es donde falla la intuición de casi todo el mundo, y donde más empresas se equivocan al descartarse.
El umbral se aplica a nivel de grupo. Para calcular el tamaño de una empresa no se miran solo sus empleados y su facturación, sino también los de sus empresas vinculadas y asociadas. El método está en la propia definición europea de pyme:
- El 100 % de tus datos.
- El 100 % de los datos de las empresas vinculadas, que son aquellas con las que hay control mayoritario de votos, derecho a nombrar a la mayoría de administradores o influencia dominante. Y de las vinculadas de esas.
- Los datos a prorrata de las empresas asociadas, que son aquellas en las que hay una participación del 25 % o más del capital o de los derechos de voto, según el porcentaje de control.
Las asociadas de las asociadas no se cuentan. Los datos son los del último ejercicio cerrado, y los empleados se miden en unidades de trabajo anual, sin contar aprendices ni contratos de formación.
Esto funciona en las dos direcciones. Una planta catalana de 140 personas que sea filial de un grupo internacional puede cruzar el umbral de gran empresa al consolidar. Y una fábrica de 40 empleados, que por sí sola quedaría fuera, entra si el grupo al que pertenece supera el tamaño de mediana.
Entidad importante no significa menos obligaciones, significa menos vigilancia
Las obligaciones de fondo son las mismas para las dos categorías. Las diez medidas mínimas de gestión de riesgos y los plazos de notificación de incidentes no cambian.
Lo que cambia es cómo te supervisan y cuánto te pueden multar:
| Entidad esencial | Entidad importante | |
|---|---|---|
| Supervisión | Puede haber inspecciones y auditorías periódicas sin que haya indicio previo de incumplimiento | La autoridad actúa cuando recibe pruebas o indicios de que algo se incumple |
| Multa máxima | 10 millones de euros o el 2 % del volumen de negocio mundial, la cantidad que sea mayor | 7 millones de euros o el 1,4 % del volumen de negocio mundial, la cantidad que sea mayor |
Dos matices que conviene tener claros. El porcentaje se calcula sobre el volumen de negocio mundial del grupo, no sobre el de la filial española, así que para una empresa que forma parte de un grupo internacional la exposición es mayor de lo que sugiere su tamaño local.
Y la responsabilidad de la dirección aplica igual a las dos categorías. NIS2 exige que el órgano de dirección apruebe las medidas, supervise su aplicación y pueda responder por los incumplimientos, y obliga a que sus miembros reciban formación.
El packaging y buena parte del tier 2 catalán se quedan fuera por su código de actividad
Y aquí viene el caso frontera más común en Cataluña.
Un fabricante de envases de plástico tiene código 22. Uno de envases metálicos ligeros, 25. Uno de papel y cartón, 17. Ninguno de esos números está entre el 26 y el 30, así que ninguno entra por el sector de fabricación del anexo II.
Lo mismo pasa con parte del tier 2 de automoción. Una empresa que estampa piezas metálicas o inyecta plástico para el sector del automóvil se considera a sí misma automoción, pero su código de actividad es 25 o 22, no 29. Por clasificación queda fuera.
Y aquí hay una discusión abierta que puede cambiar todo eso. El sector de productos químicos del anexo II no habla solo de fabricantes de productos químicos: incluye a quien produce artículos a partir de sustancias o mezclas. Leído literalmente, eso puede alcanzar a cualquier fabricante que use una sustancia química en algún paso de producción, un lubricante incluido. La asociación alemana de fabricantes de maquinaria y un despacho jurídico publicaron un documento de trabajo señalando esta contradicción y cifrando el impacto en Alemania en unas 22.646 empresas, el 49 % del sector manufacturero.
No está resuelto. No hay pronunciamiento de la Comisión Europea, ni de INCIBE, ni del Centro Criptológico Nacional que lo aclare en un sentido u otro. Si estás en ese margen, la posición prudente es prepararte como si entraras.
Nadie te va a avisar de que entras en NIS2
No existe ninguna autoridad que revise el registro mercantil y mande una carta. La calificación es automática por sector y tamaño, y la carga de identificarse es de la empresa.
Hay un registro europeo centralizado, pero no cubre a la industria: es solo para proveedores de servicios digitales, nube, centros de datos, servicios gestionados y similares. La vía de una industrial es la lista nacional que cada Estado tiene que elaborar, y en España esa lista depende de una ley que todavía no existe.
Cuando exista, el anteproyecto prevé que las entidades comuniquen sus datos a la autoridad de control: nombre, dirección, contacto, rangos de IP, sector y subsector, datos del responsable de seguridad de la información, y los cambios en dos semanas.
Si no entras, puedes acabar cumpliendo igual por el contrato de tu cliente
Una empresa que no está en ningún anexo, o que es demasiado pequeña, no adquiere obligaciones frente a la autoridad por ser proveedora de una que sí entra. No hay sanción posible contra ella.
Lo que sí ocurre es que la empresa que está dentro tiene la obligación de gestionar la seguridad de su cadena de suministro, y en concreto de tener en cuenta las vulnerabilidades de cada proveedor directo y la calidad de sus prácticas de ciberseguridad. Como esa obligación es suya y su incumplimiento se sanciona, la traslada por la única vía que tiene: el contrato. Cuestionarios, cláusulas, homologaciones y certificaciones exigidas en pliegos.
Un límite que conviene conocer: la directiva habla de proveedores directos. No impone diligencia sobre el segundo nivel de la cadena, aunque en la práctica muchos clientes la extiendan por su cuenta.
Cómo comprobar en cuatro pasos si te aplica NIS2
1. Mira tu código de actividad. Si empieza por 26, 27, 28, 29 o 30, estás en el sector de fabricación del anexo II. Si produces o transformas alimentos, o fabricas o distribuyes productos químicos, mira esos dos sectores. Si haces productos farmacéuticos, estás en el anexo I.
2. Cuenta el tamaño del grupo, no el de tu sociedad. Suma el 100 % de las vinculadas y la parte proporcional de las asociadas. Si el resultado llega a mediana empresa, entras.
3. Determina tu categoría. Anexo II es siempre entidad importante. Anexo I con tamaño de grande es entidad esencial. Anexo I con tamaño de mediana es importante.
4. Si no entras por ninguna vía, mira a tus clientes. Si vendes a una entidad que sí está dentro, o a una empresa de un país que ya ha transpuesto, el requisito te va a llegar por contrato igualmente.
Preguntas frecuentes
Tengo 120 empleados y facturo 18 millones. ¿Entro?
Si tu actividad está en alguno de los anexos, sí: eres mediana empresa. Y si perteneces a un grupo, el cálculo se hace sobre el grupo, no sobre tu sociedad.
Fabrico piezas de plástico para automoción. ¿Soy automoción a efectos de NIS2?
Por código de actividad, no. La fabricación de productos de plástico es la división 22 y el anexo cubre la 29. Queda la duda de si entras por el sector de productos químicos, que es una cuestión abierta a nivel europeo.
¿Ser entidad importante en lugar de esencial me ahorra trabajo?
No en las medidas ni en la notificación de incidentes, que son iguales. Sí en la supervisión: a una entidad importante no la auditan de rutina, solo cuando hay un indicio de incumplimiento.
¿Cómo sé si estoy en la lista de entidades?
Hoy no hay lista en España, porque depende de una ley que aún no está aprobada. Cuando la haya, la comunicación de datos la tendrá que hacer la empresa, no la autoridad.
¿Me afecta si mi matriz está en Alemania?
De dos maneras. Para el cálculo de tamaño se consolidan los datos del grupo. Y tu matriz alemana ya está sujeta a la ley alemana, en vigor desde diciembre de 2025, así que es probable que el requisito te llegue por vía interna antes que por la ley española.
¿Y si no entro? ¿Puedo olvidarme?
Solo frente a la autoridad. Si vendes a empresas que sí están dentro, la exigencia te llega por contrato, y ahí no hay umbral de tamaño que te proteja.
La comprobación se hace una vez y conviene tenerla por escrito
Determinar si entras no es un proyecto, es una comprobación de código de actividad, tamaño consolidado y sector. Lo que sí conviene es dejarla documentada, con la fecha y el criterio aplicado, porque es lo primero que te va a preguntar un cliente que te mande un cuestionario y lo primero que hará falta el día que la ley española se publique.
Te decimos si entras, por qué vía y qué categoría te corresponde
Revisamos código de actividad, tamaño consolidado del grupo y contratos con clientes europeos, y te lo dejamos por escrito con el criterio aplicado.
Escribe sobre ciberseguridad, protección del dato e infraestructura IT a partir de lo que plantean las empresas y administraciones con las que trabaja ITGLOBAL.