Píldora · ¿Me afecta NIS2?
Paso 2 · Tamaño: ¿mediana o mayor?
Cómo hacer este paso
Solo si marcaste alguna actividad en el paso 1. Necesitas tres datos del último ejercicio cerrado: plantilla media, volumen de negocio y balance. Y una pregunta más: si alguien participa en tu empresa, o tu empresa en otras, en un 25 % o más.
NIS2 usa la definición europea de pyme (Recomendación 2003/361/CE, anexo) y se aplica a las entidades que son medianas o que superan los límites de mediana (art. 2.1). En la práctica, la pregunta es si eres pequeña o microempresa; si no lo eres, entras por tamaño.
| Categoría | Plantilla | Y además, volumen de negocio o balance |
|---|---|---|
| Microempresa | menos de 10 | no superior a 2 millones de euros |
| Pequeña | menos de 50 | no superior a 10 millones de euros |
| Mediana | menos de 250 | volumen no superior a 50 millones o balance no superior a 43 millones |
| Gran empresa | 250 o más, o supera los dos límites financieros de mediana | — |
Fíjate en la fila de «Pequeña»: eres pequeña si tienes menos de 50 personas y, además, tu volumen de negocio o tu balance no superan los 10 millones. Con 50 personas o más ya no eres pequeña, aunque factures poco. Con menos de 50, tampoco lo eres si superas los 10 millones en las dos cifras.
Marca lo que corresponde a tu organización
Recomendación 2003/361/CE, anexo
50 personas o más. Plantilla media del último ejercicio cerrado: 50 personas o más.
Más de 10 millones en las dos cifras. Volumen de negocio superior a 10 millones de euros y balance superior a 10 millones de euros.
Alguien tiene el 25 % o más. Otra empresa, un fondo o una persona tiene el 25 % o más del capital o de los votos de mi organización.
Participo en otra empresa. Mi organización tiene el 25 % o más de otra empresa.
Cuentas consolidadas. Mi organización forma parte de un grupo que presenta cuentas consolidadas.
Cambio reciente de tamaño. Los datos del ejercicio anterior eran distintos: acabamos de superar los umbrales o de dejar de superarlos.
Con lo que has marcado
No has marcado ninguna. Eres pequeña o microempresa autónoma: por la regla general, NIS2 no se te aplica. Pero no cierres todavía: el paso 3 tiene entidades que entran con cualquier tamaño.
Dos trampas frecuentes
La primera: contar solo la plantilla de la sociedad y olvidar el grupo. Una filial de 20 personas de un grupo de 400 puede no ser «pequeña» a estos efectos. La segunda: usar la cifra del año en curso en lugar de la del último ejercicio cerrado. Las dos dan un «no» falso.
Y si entras, ¿esencial o importante?
Con la actividad y el tamaño ya puedes anticipar la categoría, aunque la confirmación llegará con la ley española y con el registro que esta cree. Como regla general: esencial si eres gran empresa de un sector del anexo I; importante si eres mediana de cualquiera de los dos anexos o gran empresa del anexo II (art. 3). Algunas entidades son esenciales por lo que son: los prestadores cualificados de servicios de confianza, los registros de dominios de primer nivel y los proveedores de DNS con cualquier tamaño, los operadores de comunicaciones electrónicas desde mediana, la administración central y las entidades críticas. Las medidas y los plazos de notificación son los mismos para las dos categorías; cambian la supervisión y los máximos de las sanciones. El detalle está en el módulo 1 del curso «Ciberseguridad para órganos de dirección». Para esta píldora basta con la pregunta: ¿entro o no?
Cuando termines, sigues con «Paso 3 · Excepciones».