Herramienta · NIS2
¿Está su empresa sujeta a NIS2?
Tres preguntas sobre casos especiales, sector y tamaño. Después sabrá si previsiblemente su empresa se considera entidad importante o esencial y qué le espera en ese caso. Sin registro; nada sale de su navegador.
Explicación
Así clasifica la BSIG a las empresas.
Deciden tres cosas: qué hace su empresa, qué tamaño tiene y si se da un caso especial.
Desde el 6 de diciembre de 2025 está en vigor en Alemania la ley alemana de transposición de NIS2 (NIS2UmsuCG). Ha dado una nueva redacción a la ley alemana del BSI (BSIG) y ha ampliado mucho el círculo de empresas afectadas. Antes se trataba sobre todo de operadores de infraestructuras críticas. Hoy se incluyen también muchos fabricantes, empresas de logística, empresas alimentarias y proveedores de servicios de TI de tamaño medio. Esta comprobación se refiere a la normativa alemana; España transpone la Directiva NIS2 mediante su propia ley.
Primera pregunta: ¿qué hace su empresa?
La ley enumera en dos anexos qué actividades están incluidas. El anexo 1 abarca sectores de alta criticidad: energía, transporte, banca e infraestructuras de los mercados financieros, sanidad, agua y aguas residuales, infraestructura digital, proveedores de servicios de TI gestionados y espacio. El anexo 2 recoge otros sectores: servicios postales y de mensajería, residuos, química, alimentación, partes de la industria manufacturera, desde la fabricación de maquinaria hasta la de vehículos, servicios digitales como los mercados en línea, e investigación. Las actividades que apenas pesan en relación con el negocio total pueden no tenerse en cuenta en la clasificación.
Segunda pregunta: ¿qué tamaño tiene?
Por regla general solo se incluyen las medianas y grandes empresas. Se considera entidad importante quien opera en un sector del anexo 1 o 2 y tiene al menos 50 personas empleadas o, a la vez, más de 10 millones de euros de volumen de negocios anual y más de 10 millones de euros de balance general. Una entidad del anexo 1 pasa a ser esencial a partir de 250 personas empleadas o con más de 50 millones de euros de volumen de negocios y, a la vez, más de 43 millones de euros de balance general. El cómputo sigue la Recomendación de la UE sobre la definición de pequeñas y medianas empresas, es decir, incluye las empresas asociadas y vinculadas. La BSIG deja fuera estos datos si su TI es independiente de ellas.
Tercera pregunta: ¿se da un caso especial?
Algunas entidades están incluidas con independencia de su tamaño. Los operadores de instalaciones críticas, los prestadores cualificados de servicios de confianza, los registros de nombres de dominio de primer nivel y los proveedores de DNS se consideran siempre entidades esenciales. Los prestadores no cualificados de servicios de confianza se consideran siempre entidades importantes. Para los proveedores de telecomunicaciones, el umbral de entidad esencial está ya en 50 personas empleadas o más de 10 millones de euros de volumen de negocios y de balance general. Para la Administración federal rigen normas propias. Las administraciones de los estados federados y las locales las regulan los propios estados federados.
Qué se deriva de ello
Las empresas afectadas deben registrarse ante el BSI en un plazo de tres meses. Aplican medidas de gestión de riesgos adecuadas en los diez ámbitos del § 30 y las documentan. Notifican los incidentes significativos según el § 32 en tres fases: una alerta temprana en 24 horas, una notificación con una primera valoración en 72 horas y un informe final al cabo de un mes. La dirección debe aplicar las medidas, supervisar su aplicación y participar periódicamente en formaciones (§ 38). Los incumplimientos pueden salir caros: hasta 10 millones de euros en el caso de entidades esenciales y hasta 7 millones de euros en el de entidades importantes; en las grandes empresas, también un porcentaje del volumen de negocios mundial.
¿Y si su empresa no está afectada?
Entonces la BSIG no se le aplica directamente. Sin embargo, sus clientes pueden estar afectados. Deben tener en cuenta la seguridad de su cadena de suministro y por eso preguntan a sus proveedores y prestadores de servicios. Quien puede mostrar sus medidas de forma ordenada gana tiempo y confianza.
Encontrará más detalles sobre las obligaciones en la página Implantar NIS2. Una lista de trabajo para ir marcando está en la lista de comprobación NIS2.
Preguntas y respuestas
Preguntas sobre la comprobación NIS2
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
¿Hasta qué punto es fiable el resultado de la comprobación?
La comprobación reproduce de forma simplificada las reglas de tamaño y sector del § 28 BSIG. No sustituye un análisis jurídico. Los casos límite surgen sobre todo con actividades mixtas, estructuras de grupo y la cuestión de si una actividad es insignificante. En esos casos conviene una segunda opinión de una persona experta.
¿Cuenta la plantilla de las filiales y empresas hermanas?
En principio, sí. Es determinante la Recomendación de la UE sobre la definición de pequeñas y medianas empresas, que incluye las empresas asociadas y vinculadas. La BSIG deja fuera estos datos si su empresa es independiente en sus sistemas, componentes y procesos de TI. Esto debe poder demostrarse.
No estamos afectados. ¿Tenemos que hacer algo de todos modos?
Jurídicamente, no según la BSIG. En la práctica, a menudo sí: los clientes afectados deben proteger su cadena de suministro y trasladan requisitos mediante contratos, cuestionarios o auditorías. Quien puede acreditar sus medidas responde antes a estas solicitudes.
¿Hasta cuándo tenemos que registrarnos ante el BSI?
A más tardar tres meses después de que su empresa pase a considerarse entidad importante o esencial. Para todas las que ya estaban afectadas al entrar en vigor la ley en diciembre de 2025, este plazo venció en marzo de 2026. Los cambios en los datos comunicados deben notificarse en un plazo de dos semanas.
Somos una entidad financiera. ¿Se nos aplica NIS2?
Para las entidades financieras sujetas a DORA prevalecen las normas de DORA sobre gestión de riesgos, notificación de incidentes y obligaciones de la dirección. Aun así, pueden existir obligaciones concretas de la BSIG, como el registro. Aclárelo con su autoridad supervisora.
¿Se guardan o se transmiten mis datos?
No. La evaluación se realiza íntegramente en su navegador. Si comparte el resultado, sus respuestas figuran solo en el propio enlace, después del signo #. Esa parte de la dirección no se transmite a nuestro servidor.
¿Le afecta? Entonces cuenta la evidencia.
Sightadel le guía por las diez medidas del § 30 BSIG, prepara la cadena de notificación y deja constancia del acuerdo de la dirección. Pruébelo 14 días sin datos de pago.