Quins sectors estan coberts?

NIS2 utilitza dos annexos per definir l'abast. L'Annex I cobreix els sectors d'alta criticitat, on els grans operadors es classifiquen com a Entitats Essencials: Energia (electricitat, calefacció de districte, petroli, gas, hidrogen), Transport (aeri, ferroviari, marítim, per carretera), Banca, Infraestructura dels mercats financers, Sanitat, Aigua potable, Aigues residuals, Infraestructura digital (IXPs, DNS, registres de TLD, computació en núvol, centres de dades, CDNs, serveis de confiança, comunicacions electròniques), Gestió de serveis TIC (serveis gestionats, serveis de seguretat gestionats), Espai i Administració pública.

L'Annex II cobreix altres sectors crítics on les organitzacions es classifiquen generalment com a Entitats Importants independentment de la seva mida: Serveis postals i de missatgeria, Gestió de residus, Fabricació, producció i distribució de productes químics, Producció, processament i distribució d'aliments, Fabricació (dispositius mèdics, ordinadors, equips elèctrics, maquinària, vehicles de motor, equips de transport), Proveïdors digitals (mercats en línia, motors de cerca en línia, plataformes de xarxes socials) i Organitzacions d'investigació.

La regla de llindar de mida i les excepcions crítiques

La regla de mida general de NIS2 és directa. Als sectors de l'Annex I: les organitzacions que siguin grans empreses (250 o més empleats, o facturació anual superior a 50 M€ i balanç anual superior a 43 M€) es classifiquen com a Entitats Essencials. Les organitzacions que siguin mitjanes empreses (50–249 empleats) en els mateixos sectors es classifiquen com a Entitats Importants.

Als sectors de l'Annex II: les empreses mitjanes i grans es classifiquen com a Entitats Importants independentment de quin Annex hi caiguin.

Que han d'implementar les Entitats Essencials? Art. 21 NIS2

L'article 21 de NIS2 estableix deu categories de mesures de gestió del risc de ciberseguretat. Tant les Entitats Essencials com les Importants han d'implementar les deu, però s'espera que les EE les implementin a un estàndard més alt i seran auditades proactivament per verificar el compliment:

Responsabilitat de la direcció en virtut de l'art. 20 NIS2

L'article 20 de NIS2 introdueix un canvi significatiu respecte a NIS1: la direcció superior és personalment responsable dels incompliments de NIS2. Els òrgans de govern tant de les Entitats Essencials com de les Importants han d'aprovar les mesures de gestió del risc de ciberseguretat, supervisar la seva implementació i poden ser declarats personalment responsables si l'entitat incompleix.

De manera crítica, els membres de la direcció de les Entitats Essencials estan obligats a completar formació en ciberseguretat per adquirir coneixements i habilitats suficients per identificar riscos i avaluar pràctiques de ciberseguretat. Aquesta responsabilitat no es pot delegar completament al CISO o al departament de TI. Els consells d'administració que assumien que la ciberseguretat és purament un assumpte tècnic estan exposats a responsabilitat personal en virtut de NIS2.

L'obligació de registre

Totes les Entitats Essencials i Importants han de registrar-se davant l'autoritat nacional competent. A Espanya, la plataforma de registre és operada pel CCN-CERT (per a entitats del sector públic i infraestructures crítiques de l'Annex I) i l'INCIBE-CERT (per a entitats del sector privat). El termini de registre a Espanya en virtut del RDL 3/2025 va ser el 17 d'abril de 2025 per a la majoria de les entitats. No registrar-se és en si mateix un incompliment sancionable, independentment de qualsevol incompliment substantiu de ciberseguretat.

Termini de notificació d'incidents (art. 23 NIS2)

L'article 23 de NIS2 estableix un procés de notificació en tres etapes per a incidents significatius:

• Avís previ — en 24 hores: Notificar al CSIRT nacional o l'autoritat competent que s'ha produït un incident significatiu. Indicar si se sospita que és maliciós i si pot tenir impacte transfronterer.
• Notificació de l'incident — en 72 hores: Proporcionar una avaluació inicial de l'incident incloent la seva gravetat, impacte i indicadors de compromís.
• Informe final — en 1 mes: Presentar un informe detallat amb anàlisi de causa arrel, mesures de mitigació aplicades, avaluació de l'impacte transfronterer i lliçons apreses.

Preguntes freqüents

Si la meva organització estava regulada en virtut de NIS1, es converteix automàticament en Entitat Essencial en virtut de NIS2?

No automàticament. Els antics Operadors de Serveis Essencials (OES) en virtut de NIS1 són candidats sòlids per a la designació d'Entitat Essencial, i molts estats membres els han designat com a tals per defecte. No obstant, la classificació final depèn dels llindars de mida i les definicions de sector de NIS2, a més de qualsevol designació addicional per l'autoritat nacional competent. Has de verificar proactivament la teva classificació amb el CCN-CERT (Espanya) o l'autoritat sectorial pertinent.

Quin és el termini per complir les mesures de gestió de riscos de l'art. 21 NIS2?

L'obligació d'implementar les mesures de l'art. 21 s'aplicava des de la data de la transposició nacional — el 17 d'octubre de 2024 als estats membres que van transposar a temps, i a Espanya des de l'entrada en vigor del RDL 3/2025 el març del 2025. No existeix un període de gràcia formal. Les autoritats nacionals tenen discreció sobre els terminis d'execució, però les organitzacions que no han començat a implementar les mesures de l'art. 21 ja estan en incompliment. Cal actuar immediatament.

Pot un CEO ser declarat personalment responsable d'un incompliment de ciberseguretat NIS2?

Sí. L'art. 20 NIS2 disposa explícitament que els òrgans de govern de les Entitats Essencials i Importants poden ser declarats personalment responsables dels incompliments. Això inclou els CEOs i els membres del consell d'administració. Alguns estats membres (inclosos Alemanya i els Països Baixos) han implementat disposicions que permeten a les autoritats nacionals prohibir temporalment a individus de la direcció específics exercir funcions de gestió en entitats que siguin reincidents o infractors greus de NIS2.

Com ajuda IgeraRegTech les organitzacions a gestionar el compliment continu de NIS2?

IgeraRegTech proporciona una capa d'intel·ligència regulatòria actualitzada contínuament que mapeja el perfil de la teva organització contra els requisits de NIS2, rastreja els canvis en les transposicions nacionals i les directrius de l'ENISA, i genera documentació d'evidència per a les mesures de l'art. 21. Quan el text regulatori canvia — com un acte d'implementació nacional o noves directrius de l'ENISA — IgeraRegTech assenyala automàticament l'impacte en la teva postura de compliment i actualitza el teu registre d'obligacions. Els responsables de compliment reben alertes de terminis per a finestres de notificació d'incidents i renovacions de registre, eliminant el risc d'incompliments procedimentals.