Entidades esenciales e importantes en NIS2

Dos categorías, las mismas obligaciones

NIS2 clasifica a todas las organizaciones dentro de su ámbito en dos categorías: entidades esenciales y entidades importantes. Muchas empresas interpretan esa división como una medida de cuánto trabajo les toca. No lo es. La categoría cambia cómo te supervisa la autoridad nacional y dónde se sitúa el techo de las multas. No cambia lo que tienes que implantar.

Las dos categorías comparten las tres obligaciones centrales. El artículo 20 obliga al órgano de dirección a aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su aplicación y recibir formación en ciberseguridad. El artículo 21 fija las medidas: políticas de análisis de riesgos y de seguridad de la información, gestión de incidentes, continuidad de negocio y copias de seguridad, seguridad de la cadena de suministro, seguridad en la adquisición y el desarrollo, procedimientos para evaluar si las medidas funcionan, ciberhigiene básica y formación, criptografía, seguridad de los recursos humanos con control de acceso y gestión de activos, y autenticación multifactor. El artículo 23 marca los plazos de notificación de incidentes significativos: alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final en el mes siguiente a esa notificación.

Por eso la pregunta útil no es cuánto menos tiene que hacer una entidad importante. Es cómo va a comprobar la autoridad lo que haces y qué evidencias necesitas tener listas cuando lo haga. Si todavía no sabes si NIS2 te aplica, empieza por qué empresas españolas están dentro del alcance de NIS2. Este artículo da por hecho que estás dentro y explica cómo se define cada categoría y qué cambia en supervisión, multas y registro.

Cómo se llega a ser entidad esencial

El artículo 3, apartado 1, de la Directiva (UE) 2022/2555 enumera las vías para entrar en la categoría de esencial. La mayoría de las empresas medianas solo cumplen la primera, pero las demás importan porque alcanzan a organizaciones que se creen demasiado pequeñas.

Grandes entidades de los sectores del anexo I

El anexo I recoge los sectores de alta criticidad: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio. Una entidad de uno de esos tipos es esencial cuando supera los límites de mediana empresa de la Recomendación 2003/361/CE. En la práctica, eso significa 250 personas o más en plantilla, o un volumen de negocio anual superior a 50 millones de euros junto con un balance general superior a 43 millones.

La infraestructura digital y la gestión de servicios TIC son los sectores donde más empresas tecnológicas acaban sin esperarlo. La infraestructura digital incluye a los proveedores de servicios de computación en nube, de centros de datos y de redes de distribución de contenidos. La gestión de servicios TIC abarca a los proveedores de servicios gestionados y de servicios de seguridad gestionados que trabajan para otras empresas. Un gran proveedor de servicios gestionados es entidad esencial aunque se vea a sí mismo como proveedor y no como empresa regulada.

Entidades esenciales con independencia de su tamaño

El artículo 3.1.b) considera esenciales a los prestadores cualificados de servicios de confianza, a los registros de nombres de dominio de primer nivel y a los proveedores de servicios de DNS, sea cual sea su tamaño. El artículo 3.1.c) hace esenciales a los proveedores de redes o servicios públicos de comunicaciones electrónicas en cuanto alcanzan el umbral de mediana empresa, un escalón por debajo del resto de sectores del anexo I.

Hay dos vías más que no dependen de la plantilla. El artículo 3.1.d) incluye a las entidades de la administración pública del Gobierno central. El artículo 3.1.f) incluye a las entidades identificadas como críticas con arreglo a la Directiva (UE) 2022/2557 sobre la resiliencia de las entidades críticas, que son esenciales en NIS2 sea cual sea su tamaño porque las dos directivas están pensadas para funcionar juntas.

Designación por el Estado miembro

El artículo 2.2, letras b) a e), permite a un Estado miembro incluir entidades de cualquier tamaño de los anexos I o II en cuatro casos:

• la entidad es el único proveedor nacional de un servicio esencial para actividades sociales o económicas críticas;
• una interrupción podría afectar de forma significativa a la seguridad pública, la protección pública o la salud pública;
• una interrupción podría generar un riesgo sistémico significativo;
• la entidad es crítica a escala nacional o regional.

El artículo 3.1.e) permite al Estado miembro clasificar esas entidades como esenciales. El artículo 3.1.g) le permite además mantener como esenciales a los operadores de servicios esenciales que identificó con la directiva NIS anterior.

Para una empresa de 60 personas, esta es la vía que importa. Los umbrales de tamaño marcan un mínimo para la inclusión automática; no garantizan la exclusión. Si una red de hospitales, una empresa de servicios regional o un organismo público depende de un servicio que solo prestas tú, merece la pena preguntarse si podrías ser designado.

Cómo se llega a ser entidad importante

El artículo 3.2 funciona por descarte. Cualquier entidad de un tipo recogido en los anexos I o II que esté dentro del ámbito y no sea esencial es importante. Por eso la categoría de importante es la que corresponde por defecto a la mayoría de las empresas medianas sujetas a NIS2.

Medianas empresas del anexo I

Una mediana empresa de un sector del anexo I es entidad importante. Según la recomendación, es la que tiene 50 personas o más en plantilla, o un volumen de negocio y un balance general ambos superiores a 10 millones de euros, sin llegar a los límites de gran empresa. Un proveedor de servicios gestionados con 120 empleados o un grupo de clínicas privadas con 150 profesionales están aquí. Las excepciones son las entidades que el Estado miembro designe como esenciales y los operadores de telecomunicaciones, que con ese tamaño ya son esenciales.

Medianas y grandes empresas del anexo II

El anexo II recoge otros sectores críticos:

• servicios postales y de mensajería;
• gestión de residuos;
• fabricación y distribución de sustancias químicas;
• producción y distribución de alimentos;
• fabricación de productos sanitarios, electrónica, equipos eléctricos, maquinaria y vehículos;
• proveedores digitales como mercados en línea, motores de búsqueda y plataformas de redes sociales;
• investigación.

Cualquier entidad del anexo II dentro del ámbito es importante, aunque sea muy grande, salvo que el Estado miembro la designe como esencial.

El resultado sorprende a menudo. Un fabricante de alimentos con 3.000 empleados es entidad importante. Un proveedor de servicios gestionados con 260 empleados es entidad esencial. La categoría refleja primero la criticidad del sector y después el tamaño de la empresa.

Cómo se calcula el tamaño

Los umbrales proceden de la Recomendación 2003/361/CE. La plantilla se cuenta en unidades de trabajo anual y las cifras financieras salen de las últimas cuentas aprobadas. Se aplican las reglas de la recomendación sobre empresas asociadas y vinculadas, así que una filial pequeña por sí sola puede superar el umbral al sumar las cifras de su grupo. El artículo 2.1 de NIS2 solo excluye una disposición de esa recomendación: la del artículo 3.4 de su anexo, sobre empresas controladas por organismos públicos.

De ahí salen dos consecuencias. Una empresa que forma parte de un grupo debe calcular con las cifras del grupo antes de dar por hecho que está fuera del ámbito, o que es importante y no esencial. Y la plantilla no lo decide todo: una empresa de 40 empleados con volumen de negocio y balance general ambos superiores a 10 millones de euros cuenta como mediana empresa.

Supervisión: preventiva para las esenciales, a posteriori para las importantes

Esta es la diferencia real entre las dos categorías, y la que debería condicionar cómo organizas tus evidencias.

Artículo 32: a las esenciales se las supervisa antes de que pase nada

Para las entidades esenciales, el artículo 32 da a las autoridades facultades que pueden ejercer en cualquier momento:

• inspecciones in situ y supervisión a distancia con controles aleatorios;
• auditorías de seguridad periódicas y específicas realizadas por un organismo independiente o por la propia autoridad;
• auditorías ad hoc tras un incidente significativo o una infracción;
• análisis de seguridad;
• requerimientos de políticas documentadas y de pruebas de su aplicación, como los resultados de auditorías hechas por un auditor cualificado y las evidencias que las respaldan.

La entidad auditada paga la auditoría específica realizada por un organismo independiente, salvo que la autoridad decida otra cosa.

Las facultades de ejecución van más allá. La autoridad puede dictar instrucciones vinculantes con plazos, ordenar que se apliquen las recomendaciones de una auditoría de seguridad y designar un responsable de supervisión que vigile durante un periodo el cumplimiento de los artículos 21 y 23. Si esas medidas no funcionan, el artículo 32.5 permite suspender temporalmente una certificación o autorización relativa a los servicios de la entidad. También permite solicitar que se prohíba temporalmente al consejero delegado o al representante legal ejercer funciones de dirección.

Artículo 33: a las importantes se las supervisa cuando hay un motivo

Para las entidades importantes, el artículo 33 establece que la autoridad actúa a posteriori, cuando recibe pruebas, indicios o información de que la entidad podría no cumplir, en particular los artículos 21 y 23. Las herramientas se parecen, con inspecciones, auditorías específicas, análisis de seguridad y requerimientos de información. La diferencia es que las activa una señal: una notificación de incidente, una denuncia o un hallazgo de otra investigación.

En la lista de las entidades importantes faltan dos facultades. No hay responsable de supervisión ni suspensión temporal de certificaciones o directivos. El artículo 33.5 sí aplica a las entidades importantes la regla de responsabilidad personal del artículo 32.6, así que las personas que representan o controlan la entidad pueden responder por incumplir su deber de garantizar el cumplimiento.

Qué significa para las evidencias que guardas

Una entidad esencial debe asumir que la inspección puede llegar en cualquier momento, así que sus evidencias tienen que estar al día siempre:

• el análisis de riesgos;
• las políticas aprobadas por la dirección;
• el registro de incidentes;
• las evaluaciones de proveedores;
• los registros de formación;
• los resultados de las pruebas de copias de seguridad y de controles.

Una entidad importante tiene más probabilidades de encontrarse con la autoridad después de que algo haya ido mal, que es el peor momento para reconstruir pruebas.

El modelo de supervisión cambia; la necesidad de tener evidencias que ya existan, no. Para las dos categorías, lo más útil es lo mismo: un registro que demuestre que las medidas del artículo 21 funcionan de forma continua, con responsables, fechas y resultados, y no una carpeta preparada para la auditoría. La forma en que una plataforma de cumplimiento recoge y traza las evidencias está pensada justo para ese registro.

Multas y responsabilidad de la dirección

El artículo 34 fija los máximos de las multas por infringir los artículos 21 y 23. Las entidades esenciales se enfrentan a multas máximas de al menos 10 millones de euros o del 2 % del volumen de negocio anual total a escala mundial de la empresa a la que pertenecen, la cifra que sea mayor. Para las entidades importantes, las cifras son al menos 7 millones de euros o el 1,4 %. La redacción importa: son niveles mínimos para el máximo, y la ley nacional puede fijar techos más altos.

El volumen de negocio es el de la empresa a la que pertenece la entidad, así que la cifra del grupo puede marcar el límite. Las multas se suman a las demás medidas de ejecución, no las sustituyen. La autoridad debe valorar factores como:

• la gravedad y la duración de la infracción;
• las infracciones anteriores;
• los daños causados y las medidas adoptadas para limitarlos;
• el nivel de cooperación.

La responsabilidad de la dirección es la misma en las dos categorías. Según el artículo 20, el órgano de dirección aprueba las medidas, supervisa su aplicación y debe formarse, y el artículo 20.1 permite que responda por las infracciones del artículo 21. Junto con las reglas de responsabilidad de los artículos 32.6 y 33.5, esto significa que un consejo no puede delegar NIS2 en el equipo de sistemas y tratarlo como un problema ajeno.

Quién decide tu categoría y el paso del registro

NIS2 no deja la clasificación solo en manos de la empresa. El artículo 3.3 obligaba a los Estados miembros a elaborar una lista de entidades esenciales e importantes antes del 17 de abril de 2025 y a revisarla al menos cada dos años. Para elaborarla, el artículo 3.4 exige a las entidades que comuniquen:

• su nombre, dirección y datos de contacto, incluidos sus rangos de IP;
• su sector y subsector;
• los Estados miembros donde prestan servicios.

Las entidades deben notificar cualquier cambio en un plazo de dos semanas. Los Estados miembros pueden crear mecanismos nacionales para que las entidades se registren por sí mismas.

En la práctica, primero te clasificas tú, con los anexos y las reglas de tamaño, y después la autoridad confirma o corrige esa clasificación a través de su lista y de las designaciones. Una empresa que se registra en la categoría equivocada, o que no se registra cuando existe un mecanismo, empieza su relación con el regulador en una posición débil.

Algunos proveedores digitales tienen un paso más. El artículo 27 exige a los siguientes proveedores que comuniquen sus datos, incluidos su establecimiento principal y sus rangos de IP, para un registro que mantiene ENISA:

• proveedores de servicios de DNS, registros de nombres de dominio de primer nivel y servicios de registro de dominios;
• proveedores de computación en nube y de centros de datos;
• redes de distribución de contenidos;
• proveedores de servicios gestionados y de seguridad gestionada;
• mercados en línea, motores de búsqueda y plataformas de redes sociales.

Los cambios en esa información deben notificarse en un plazo de tres meses.

En qué punto está España

España todavía no ha transpuesto NIS2. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025. El texto transpondría la directiva y crearía un Centro Nacional de Ciberseguridad como autoridad nacional, pero no se ha publicado ninguna ley de transposición en el BOE.

El 8 de julio de 2026, la Comisión Europea decidió llevar a España, junto con Irlanda, Francia y los Países Bajos, ante el Tribunal de Justicia de la UE por no haber notificado la transposición completa. Pidió que se impongan una suma a tanto alzado y multas coercitivas diarias. Después, el Real Decreto 806/2026 disolvió las Cortes Generales y convocó elecciones generales para el 29 de noviembre de 2026, con la constitución de las nuevas Cámaras prevista para el 23 de diciembre. Cualquier ley española de transposición depende ahora del nuevo Parlamento.

Hasta que esa ley exista, quedan abiertos varios detalles nacionales:

• qué autoridad supervisa cada sector;
• cómo funcionará el registro en la práctica;
• si España fijará techos de multa por encima de los mínimos de la directiva.

La lógica de clasificación de los artículos 2 y 3 y las obligaciones centrales de los artículos 20, 21 y 23 vienen de la propia directiva. La seguridad de la cadena de suministro es una de las medidas del artículo 21, así que las empresas que esperan quedar dentro del ámbito tienen motivos para preguntar ya a sus proveedores por estas medidas, mediante cuestionarios y cláusulas contractuales, al margen del calendario español. Nuestra guía sobre gestión de riesgos de terceros en DORA y NIS2 explica qué suelen incluir esas peticiones, y la página temática de NIS2 reúne el resto de nuestros artículos.

Cómo prepararte si tu categoría aún no está clara

Empieza por estimar tu categoría probable con los datos que ya tienes:

• tu sector frente a los anexos I y II;
• tu plantilla y tus cifras financieras a nivel de grupo;
• si alguna de las vías que no dependen del tamaño podría alcanzarte.

Deja el razonamiento por escrito. Si la clasificación cambia cuando llegue la ley española, sabrás exactamente qué supuesto se ha movido.

Después, construye sobre las obligaciones que no dependen de la categoría. Los artículos 20, 21 y 23 se aplican a las dos. Una entidad que los cumple bien está preparada para la supervisión preventiva si resulta ser esencial. Si es importante, ya tiene las evidencias archivadas cuando la autoridad pregunte tras un incidente. Los plazos de notificación del artículo 23 son lo que más empresas subestiman; nuestro artículo sobre los plazos de notificación de incidentes en NIS2 y DORA explica cuándo empieza a correr el reloj.

Aprovecha lo que ya tienes. Una empresa certificada en ISO 27001 o en el ENS ya aplica la mayoría de las medidas del artículo 21: análisis de riesgos, políticas, gestión de incidentes, continuidad, seguridad de proveedores, control de acceso, criptografía y formación. Las carencias suelen ser tres:

• el procedimiento de alerta temprana en 24 horas;
• la formación obligatoria de la dirección;
• una evaluación de proveedores con la profundidad que espera NIS2.

Tratar NIS2 como un proyecto aparte duplica ese trabajo; integrarlo en el sistema de gestión que ya tienes no, como explicamos en cómo gestionar ISO 27001 y el ENS con un único sistema.

Así trabaja Qalea. La plataforma de Qalea reutiliza un mismo conjunto de controles y evidencias entre marcos como ISO 27001, el ENS y SOC 2, y asigna las medidas de NIS2 a esos mismos controles, de modo que una medida implantada una vez cuenta para todos los marcos que la exigen. El equipo de Qalea guía el trabajo de cerrar las carencias. La monitorización continua con EDR, un SIEM y un SOC genera las evidencias de funcionamiento que pedirá una inspección del artículo 32 o un requerimiento de información del artículo 33.