Píldora · ¿Me afecta NIS2?
Paso 3 · Excepciones
Cómo hacer este paso
Este paso lo hacen todos, también quienes no marcaron nada en los dos anteriores. Son tres listas cortas: las que entran con cualquier tamaño, las que quedan fuera o dependen de la ley española, y las que tienen otra norma. Pulsa Sí en lo que te describa.
Lista A · Entran sin importar el tamaño
Directiva (UE) 2022/2555, art. 2.2 a 2.4
Comunicaciones electrónicas. Proveedor de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles para el público.
Servicios de confianza. Prestador de servicios de confianza: certificados, firma electrónica, sellos de tiempo.
Dominios de primer nivel y DNS. Registro de nombres de dominio de primer nivel o proveedor de servicios de DNS.
Registro de nombres de dominio. Entidad que presta servicios de registro de nombres de dominio: un registrador o quien actúa en su nombre, como un revendedor.
Entidad crítica. Mi organización ha sido identificada como entidad crítica con arreglo a la Directiva (UE) 2022/2557, de resiliencia de las entidades críticas.
Administración central. Entidad de la administración pública central.
Administración regional. Entidad de la administración pública regional.
Único proveedor. Soy el único proveedor en España de un servicio esencial para el mantenimiento de actividades sociales o económicas críticas.
Seguridad, orden o salud públicos. Una perturbación de mi servicio podría tener repercusiones significativas sobre la seguridad pública, el orden público o la salud pública.
Riesgo sistémico. Una perturbación de mi servicio podría inducir riesgos sistémicos significativos, en particular con repercusiones transfronterizas.
Importancia específica. Mi organización es crítica por su importancia específica, nacional o regional, para su sector o tipo de servicio o para otros sectores interdependientes.
Lista B · Quedan fuera, pueden quedar exentas o dependen de la ley española
art. 2.5, 2.7, 2.8 y 6.35
Administración de seguridad, defensa o justicia penal. Entidad de la administración pública que lleva a cabo sus actividades en los ámbitos de la seguridad nacional, la seguridad pública, la defensa o la garantía del cumplimiento de la ley, incluidas la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales.
Defensa o seguridad: actividad o cliente exclusivo. Mi organización trabaja en los ámbitos de la defensa, la seguridad nacional, la seguridad pública o el cumplimiento de la ley, o presta servicios exclusivamente a administraciones de esos ámbitos.
Poder judicial, parlamento o banco central
Administración local o centro de enseñanza. Ayuntamiento, diputación u otra entidad local; colegio, universidad u otro centro de enseñanza.
Lista C · Otra norma se aplica en lugar de NIS2
art. 4
Entidad financiera sujeta a DORA. Entidad de crédito, empresa de servicios de inversión, entidad de pago o de dinero electrónico, aseguradora, gestora de fondos o proveedor de servicios de criptoactivos, entre otras (Reglamento (UE) 2022/2554).
Otra norma sectorial de la UE. Mi organización está sujeta a otra norma sectorial de la UE que exige medidas de gestión de riesgos de ciberseguridad o notificación de incidentes con un efecto al menos equivalente.
Con lo que has marcado
No has marcado ninguna. No te alcanza ninguna excepción: tu resultado sale de los pasos 1 y 2.
Tres casos que no son excepciones, pero lo parecen
No entras por eso. Entra tu cliente, y él tiene que gestionar la seguridad de su cadena de suministro (art. 21.2.d). Lo que recibes es un contrato: cuestionarios, cláusulas de aviso de incidentes, derecho de auditoría. No es NIS2 aplicado a ti; es NIS2 aplicado a él, trasladado por contrato. Resultado: no por NIS2, y una conversación pendiente con tu cliente.
Cuando termines, sigues con «Tu resultado y el estado en España».