NIS2 (Directiva (UE) 2022/2555) cubre entidades “esenciales” e “importantes” en 18 sectores. Para PYMEs, la prueba práctica es: ¿tiene ≥50 empleados o ≥10 M€ de facturación Y opera en energía, transporte, banca, salud, agua potable, infraestructura digital, gestión de servicios TIC, administración pública, espacio, postal, residuos, química, alimentación, fabricación de dispositivos médicos/ordenadores/electrónica, proveedores digitales, investigación, o es un MSP? Si es así, está dentro del alcance. Las autoridades nacionales competentes (INCIBE en España) mantienen registros — el registro es obligatorio.
NIS2 exige medidas técnicas, operativas y organizativas basadas en riesgos. La lista del Artículo 21(2) es el suelo — los auditores muestrearán evidencias para cada una.
Los incidentes significativos activan un reloj estricto en tres fases que empieza en cuanto se tiene conocimiento. Saltarse cualquier fase es sancionable de forma independiente.
Las multas administrativas máximas alcanzan 10 M€ o el 2% de la facturación global (entidades esenciales) y 7 M€ o el 1,4% (entidades importantes). De forma crítica, NIS2 hace personalmente responsable al órgano de dirección — incluyendo posibles prohibiciones temporales de ejercer funciones directivas en entidades esenciales.
Si no ha empezado, este es el camino mínimo viable. La mayoría de PYMEs que onboardamos lo completan en 60-90 días con 1-2 horas internas por semana más nuestro equipo.
Contáctenos para obtener asistencia personalizada con este problema.