RegTech · Directiva (UE) 2022/2555
Entidad Esencial vs Entidad Importante en NIS2
Qué distingue a las entidades esenciales de las importantes bajo NIS2, qué sectores entran en cada categoría (Anexo I y Anexo II) y qué diferencias hay en supervisión y sanciones.
€10M / 2%
multa máx. entidad esencial
€7M / 1,4%
multa máx. entidad importante
18
sectores cubiertos (Anexo I+II)
Fuente: Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022
Respuesta directa
Bajo NIS2, la clasificación como entidad esencial o entidad importante depende del sector (Anexo I de alta criticidad vs. Anexo II de otros sectores críticos) y del tamaño de la empresa. Ambas cumplen las mismas 10 medidas de seguridad, pero las esenciales tienen supervisión ex ante y multas de hasta €10M/2%, mientras que las importantes tienen supervisión ex post y multas de hasta €7M/1,4%.
Preguntas frecuentes
¿Cuál es la diferencia entre entidad esencial y entidad importante bajo NIS2?
La diferencia principal es el nivel de supervisión y la cuantía de las sanciones, no las obligaciones de seguridad — ambas categorías deben implementar las mismas 10 medidas de ciberseguridad del art. 21 de NIS2. Las entidades esenciales están sujetas a supervisión ex ante (la autoridad puede auditar e inspeccionar sin que haya un incidente previo) y sus multas llegan hasta €10.000.000 o el 2% de la facturación global anual. Las entidades importantes están sujetas a supervisión ex post (la autoridad actúa solo tras un incidente, denuncia o indicio de incumplimiento) y sus multas llegan hasta €7.000.000 o el 1,4% de la facturación global anual. La clasificación depende de dos factores combinados: el sector de actividad (Anexo I o Anexo II de la Directiva UE 2022/2555) y el tamaño de la empresa (empleados y facturación/balance).
¿Qué sectores del Anexo I hacen que una empresa sea entidad esencial?
El Anexo I de la Directiva (UE) 2022/2555 lista los "sectores de alta criticidad": energía (electricidad, petróleo, gas, hidrógeno, calefacción y refrigeración urbana), transporte (aéreo, ferroviario, por agua, por carretera), banca, infraestructuras de los mercados financieros, sanidad (incluyendo laboratorios de referencia y fabricantes de productos farmacéuticos y sanitarios críticos), agua potable, aguas residuales, infraestructura digital (puntos de intercambio de internet, proveedores DNS, registros de nombres de dominio de primer nivel, proveedores de servicios en la nube, centros de datos, redes de distribución de contenidos, proveedores de servicios de confianza, redes públicas de comunicaciones electrónicas), gestión de servicios TIC B2B (proveedores gestionados y proveedores de seguridad gestionados), administración pública y sector espacial. Una empresa de estos sectores es entidad esencial si además cumple el umbral de tamaño (grande) o si el Estado miembro la designa individualmente por su papel crítico, con independencia de su tamaño.
¿Qué sectores del Anexo II hacen que una empresa sea entidad importante?
El Anexo II de la Directiva (UE) 2022/2555 lista los "otros sectores críticos": servicios postales y de mensajería, gestión de residuos, fabricación, producción y distribución de sustancias y mezclas químicas, producción, transformación y distribución de alimentos, fabricación (dispositivos médicos y sanitarios, productos informáticos, electrónicos y ópticos, equipos eléctricos, maquinaria y equipos n.c.o.p., vehículos de motor, otro material de transporte), proveedores de mercados en línea, motores de búsqueda en línea y plataformas de servicios de redes sociales, y organizaciones de investigación. Una empresa de estos sectores es entidad importante si es mediana o grande (no aplica a microempresas ni, en general, a pequeñas empresas, salvo excepciones específicas previstas en la Directiva).
¿Qué umbrales de tamaño (empleados y facturación) definen cada categoría?
NIS2 usa la definición de PYME de la Recomendación 2003/361/CE de la Comisión Europea. Empresa grande: 250 o más empleados, o facturación anual superior a €50 millones, o balance general superior a €43 millones. Empresa mediana: entre 50 y 249 empleados, o facturación entre €10 y €50 millones, o balance entre €10 y €43 millones. Regla general: empresas grandes de sectores del Anexo I son entidades esenciales; empresas grandes de sectores del Anexo II y empresas medianas de cualquiera de los dos anexos son entidades importantes. Las microempresas y pequeñas empresas quedan generalmente fuera del ámbito de NIS2, salvo excepciones expresas (por ejemplo, proveedores de servicios de confianza cualificados, registros de nombres de dominio de primer nivel, proveedores de redes públicas de comunicaciones electrónicas, o entidades designadas individualmente por un Estado miembro por ser el único proveedor de un servicio esencial en su territorio).
¿Una empresa puede ser designada entidad esencial aunque no cumpla el umbral de tamaño?
Sí. El art. 2.2 de la Directiva (UE) 2022/2555 permite a los Estados miembros designar como entidades esenciales, con independencia de su tamaño, a empresas que sean el único proveedor de un servicio crítico en el Estado miembro, cuya interrupción pudiera tener un impacto significativo en la seguridad pública, la seguridad ciudadana o la salud pública, cuya interrupción pudiera generar un riesgo sistémico significativo (especialmente en sectores donde la interrupción podría tener efectos transfronterizos), o que sean crítica por su importancia específica a nivel regional o nacional para el sector o tipo de servicio en cuestión. En España, esta designación individual corresponde a la autoridad nacional competente en el proceso de transposición y registro de entidades obligadas.
¿Cómo afecta la clasificación a la supervisión y las inspecciones?
Las entidades esenciales están sujetas a un régimen de supervisión ex ante: la autoridad competente puede realizar inspecciones in situ, auditorías de seguridad periódicas y específicas, controles de seguridad basados en evaluaciones de riesgo, y solicitar pruebas del cumplimiento en cualquier momento, sin necesidad de que exista un incidente o indicio previo. Las entidades importantes están sujetas a un régimen de supervisión ex post: la autoridad actúa cuando tiene indicios, pruebas o información de que la entidad incumple NIS2 (por ejemplo, tras un incidente, una denuncia o una alerta de otra autoridad), pero no realiza controles rutinarios sin motivo. En la práctica esto significa que las entidades esenciales deben mantener evidencia documental de cumplimiento permanentemente actualizada, mientras que las importantes pueden auditar su cumplimiento de forma periódica sin la misma presión de inspección continua.
¿Las obligaciones de notificación de incidentes son distintas entre esenciales e importantes?
No. El régimen de notificación de incidentes del art. 23 de NIS2 (alerta temprana en 24 horas, notificación de incidente en 72 horas, informe final en 1 mes) se aplica por igual a entidades esenciales e importantes. Lo que cambia entre ambas categorías no son las obligaciones sustantivas de seguridad ni de notificación, sino el régimen de supervisión (ex ante vs. ex post) y el techo de las sanciones económicas y no económicas que puede imponer la autoridad competente en caso de incumplimiento.
¿Qué pasa si mi empresa no está segura de si es esencial, importante o queda fuera del ámbito de NIS2?
El primer paso es identificar el sector principal de actividad de la empresa y comprobar si aparece en el Anexo I o el Anexo II de la Directiva (UE) 2022/2555. El segundo paso es comprobar el tamaño de la empresa (empleados, facturación, balance) según los umbrales de PYME de la Recomendación 2003/361/CE. El tercer paso es revisar si la empresa encaja en alguna de las excepciones que obligan con independencia del tamaño (proveedores de confianza cualificados, registros TLD, redes públicas de comunicaciones, designación individual por parte del Estado miembro). Igera Solutions ofrece una calculadora gratuita de ámbito NIS2 que determina automáticamente la clasificación a partir del sector y el tamaño declarados.
Comparativa rápida
| Entidad esencial | Entidad importante | |
|---|---|---|
| Sectores | Anexo I (alta criticidad) | Anexo II (otros sectores críticos) + grandes del Anexo II |
| Tamaño típico | Grandes empresas | Medianas y algunas grandes |
| Supervisión | Ex ante (proactiva) | Ex post (reactiva) |
| Multa máxima | €10M o 2% facturación global | €7M o 1,4% facturación global |
¿Eres entidad esencial o importante bajo NIS2?
Calcula gratis tu clasificación según sector y tamaño con la calculadora de IgeraRegTech.
Usar la calculadora NIS2 →