NIS2 — entidades esenciales e importantes

• Directive (EU) 2022/2555 — NIS2, Art. 26

Quién debe designarlo

Proveedores de DNS, registros de TLD, servicios de computación en la nube y centros de datos, CDNs, proveedores de servicios gestionados y de seguridad gestionada, mercados en línea, motores de búsqueda y plataformas sociales que no están establecidas en la Unión pero ofrecen servicios en ella.

Umbrales y exenciones

Generalmente entidades con 50 o más empleados o 10 millones de euros de facturación, pero algunos proveedores de infraestructura digital están cubiertos independientemente de su tamaño.

Qué debe figurar en la etiqueta

No es una obligación de etiquetado. La entidad debe estar registrada ante la autoridad del estado miembro donde se establece el representante.

Campos en los marketplaces

No aplicable, pero la adquisición empresarial ahora pregunta rutinariamente si el proveedor está registrado en NIS2.

Documentación que debes conservar

Medidas de gestión de riesgos, procedimientos de manejo de incidentes, política de seguridad de la cadena de suministro, plan de continuidad del negocio y el registro de inscripción.

Normas y ensayos

No aplicable, aunque se pueden imponer auditorías a las entidades esenciales.

Requisitos lingüísticos

Informe en el idioma aceptado por el CSIRT correspondiente.

Desde cuándo se aplica

Advertencia temprana dentro de las 24 horas de un incidente significativo, notificación de incidente dentro de las 72 horas y un informe final dentro de un mes.

Cuánto se conservan los documentos

Durante la duración de la inscripción.

Qué ocurre si no cumples

Hasta 10 millones de euros o el 2% de la facturación mundial para entidades esenciales, y la dirección puede ser considerada personalmente responsable en varios estados miembros.

Quién lo controla

Autoridades competentes nacionales y CSIRTs.

Dónde está el límite

Los informes NIS2 y el informe del Artículo 14 de la CRA son obligaciones separadas con diferentes desencadenantes: NIS2 se refiere a incidentes que afectan su servicio, CRA se refiere a vulnerabilidades en su producto.

Las preguntas que nos hacen

Somos un pequeño SaaS con clientes de la UE — ¿estamos dentro del alcance?

Solo si caen en uno de los sectores listados y cumplen con los criterios de tamaño, o son un proveedor de infraestructura digital cubierto independientemente de su tamaño.