Píldora · ¿Me afecta NIS2?
Paso 1 · Actividad: ¿estás en los anexos?
Cómo hacer este paso
Pulsa Sí en cada actividad que tu organización realiza de verdad, aunque no sea la principal: la directiva habla de «tipos de entidades» por sector, no de la actividad mayoritaria. Una empresa de alimentación que además reparte paquetes de terceros tiene dos marcas que mirar, no una. Si dudas de si una fila te describe, pulsa No lo sé: eso ya es un resultado. Lo que no marques cuenta como «no».
Anexo I · Sectores de alta criticidad
Directiva (UE) 2022/2555, anexo I
Energía. Electricidad (producción, distribución, transporte, suministro, operadores del mercado, agregación, respuesta de la demanda, almacenamiento, puntos de recarga), sistemas urbanos de calefacción y refrigeración, petróleo (oleoductos, producción, refino, almacenamiento, reservas), gas (suministro, distribución, transporte, almacenamiento, GNL) e hidrógeno.
Transporte. Aéreo (compañías, aeropuertos, control del tránsito aéreo), ferroviario (administradores de infraestructuras y empresas ferroviarias), marítimo y fluvial (transporte de pasajeros y mercancías, puertos, servicios de tráfico de buques) y por carretera (autoridades que gestionan el tráfico y operadores de sistemas de transporte inteligentes).
Banca. Entidades de crédito.
Infraestructuras de los mercados financieros. Centros de negociación y entidades de contrapartida central.
Sanidad. Prestadores de asistencia sanitaria (hospitales, clínicas), laboratorios de referencia de la UE, entidades de investigación y desarrollo de medicamentos, fabricantes de productos farmacéuticos de base y especialidades, y fabricantes de productos sanitarios considerados esenciales en una emergencia de salud pública.
Agua potable. Suministradores y distribuidores de agua destinada al consumo humano, salvo que distribuirla sea una parte no esencial de su actividad.
Aguas residuales. Empresas que recogen, eliminan o tratan aguas residuales urbanas, domésticas o industriales, salvo que sea una parte no esencial de su actividad.
Infraestructura digital. Puntos de intercambio de internet, proveedores de servicios de DNS, registros de nombres de dominio de primer nivel, servicios de computación en nube, centros de datos, redes de distribución de contenidos, prestadores de servicios de confianza y proveedores de redes o servicios públicos de comunicaciones electrónicas.
Gestión de servicios de TIC entre empresas. Proveedores de servicios gestionados y proveedores de servicios de seguridad gestionados.
Administración pública. Entidades de la administración central y de la regional, tal como las defina cada Estado. El poder judicial, los parlamentos y los bancos centrales no cuentan.
Espacio. Operadores de infraestructuras terrestres que apoyan la prestación de servicios espaciales.
Anexo II · Otros sectores críticos
Directiva (UE) 2022/2555, anexo II
Servicios postales y de mensajería
Gestión de residuos. Cuando sea la actividad económica principal.
Química. Fabricación y distribución de sustancias y mezclas químicas, y producción de artículos a partir de ellas.
Alimentación. Empresas alimentarias que se dedican a la distribución al por mayor y a la producción y transformación industriales.
Productos sanitarios. Fabricación de productos sanitarios y de productos sanitarios para diagnóstico in vitro.
Informática, electrónica y óptica. Fabricación de productos informáticos, electrónicos y ópticos (NACE Rev. 2, división 26).
Material eléctrico. Fabricación de material y equipo eléctrico (NACE Rev. 2, división 27).
Maquinaria. Fabricación de maquinaria y equipo no clasificado en otra parte (NACE Rev. 2, división 28).
Vehículos de motor. Fabricación de vehículos de motor, remolques y semirremolques (NACE Rev. 2, división 29).
Otro material de transporte. Naval, ferroviario, aeronáutico, entre otros (NACE Rev. 2, división 30).
Proveedores digitales. Mercados en línea, motores de búsqueda en línea y plataformas de redes sociales.
Investigación. Organismos de investigación.
Con lo que has marcado
No has marcado ninguna. Pasa al paso 3: quedan dos entradas que no dependen del sector.
No cuenta para la duración del curso y no entra en la evaluación final.
No por eso. Sanidad son los prestadores de asistencia y los fabricantes y entidades que lista el anexo. Un desarrollador de software mira primero «infraestructura digital» y «gestión de servicios de TIC entre empresas»: si opera el servicio para el cliente (lo aloja, lo administra, lo vigila), puede ser proveedor de servicios gestionados. Si solo entrega el programa, probablemente no está en los anexos por esa vía. Hay que mirarlo con la definición de «proveedor de servicios gestionados» del artículo 6 delante.
La casilla de vehículos de motor remite a la división estadística de la fabricación de vehículos, remolques y semirremolques, que incluye componentes y accesorios. Pulsa «No lo sé» y comprueba el código de actividad: la directiva cita la clasificación NACE, y tu CNAE es su equivalente español.
Tratar datos no es un sector del anexo. Una gestoría, como tal, no está en los anexos. Lo que le obliga es el RGPD y, si trabaja para el sector público, el ENS. No marques nada en este paso y sigue al paso 3.
Vender en tu propia web no te convierte en «mercado en línea». Un mercado en línea permite a terceros vender a través de él. Si solo vendes tus productos, no marques esa fila.
Transporte por carretera, en el anexo, son las autoridades que gestionan el tráfico y los operadores de sistemas de transporte inteligentes, no cualquier empresa con camiones. Si además repartes paquetes de terceros, mira «servicios postales y de mensajería» en el anexo II.
La formación no está en los anexos. Los «organismos de investigación» son los que tienen la investigación como objetivo principal y no incluyen a los centros de enseñanza. Un Estado puede decidir incluir centros de enseñanza (art. 2.5); eso lo dirá la ley española.
Practica con empresas ficticias
Qué hacer: para cada fila, elige en el desplegable lo que le corresponde y pulsa Comprobar.
Cuando termines, sigues con «Paso 2 · Tamaño: ¿mediana o mayor?».