Responsable de Compliance Industrial. Normativa de todas tus plantas en una sola consulta.

La Directiva NIS2 (UE 2022/2555) clasifica a las entidades como «esenciales» (Anexo I) o «importantes» (Anexo II) a nivel de entidad legal, no de planta individual. Cuando un grupo industrial tiene varias plantas bajo la misma razón social, la clasificación y las obligaciones del artículo 21 (gestión de riesgos) y del artículo 23 (notificación de incidentes en 24h/72h/1 mes) aplican al conjunto. El responsable de compliance debe mantener un inventario único de activos OT/ICS por planta, pero con políticas de seguridad de la cadena de suministro y de gestión de incidentes homogéneas a nivel de grupo, documentando las particularidades técnicas de cada instalación (SCADA, PLCs, segmentación de red) como anexos al marco corporativo común.

El Reglamento (UE) 2024/1689 (AI Act) clasifica como alto riesgo, entre otros, los sistemas de IA integrados como componente de seguridad en maquinaria regulada por el Reglamento de Máquinas (UE) 2023/1230, los sistemas usados para gestión y funcionamiento de infraestructuras críticas, y los que determinan decisiones sobre trabajadores (selección, evaluación de rendimiento). En un grupo multi-planta, esto obliga a inventariar qué sistemas de visión artificial, mantenimiento predictivo o control de calidad basados en IA están embebidos en líneas de producción de cada instalación, evaluar si actúan como componente de seguridad y aplicar los requisitos de gestión de riesgos, calidad de datos, documentación técnica y supervisión humana antes de la puesta en servicio.

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, obliga a las empresas de más de 50 empleados a disponer de un canal interno de denuncias. En grupos con varias plantas, el canal puede ser único y compartido para todo el grupo (artículo 5.2) siempre que se garantice la confidencialidad, la independencia en la gestión y que el plazo máximo de respuesta de 3 meses se cumpla por caso, con independencia de la planta de origen. El responsable de compliance debe poder trazar qué denuncias afectan a qué centro de trabajo sin comprometer el anonimato del denunciante ni la confidencialidad exigida por la ley.

La CSRD (Directiva 2022/2464/UE) y los estándares ESRS exigen un análisis de doble materialidad: impacto de la empresa en personas y medio ambiente, e impacto de los asuntos de sostenibilidad en el rendimiento financiero. En un grupo con múltiples plantas, el análisis de materialidad debe agregarse a nivel de grupo para el informe consolidado, pero las emisiones (ESRS E1), el consumo de agua (ESRS E3) o los indicadores sociales (ESRS S1) deben poder desglosarse por planta para identificar dónde se concentran los impactos materiales y priorizar las acciones de mitigación.

Una matriz de cumplimiento normativo cruza cada planta o centro de trabajo con las normativas que le aplican según su actividad, ubicación y tamaño: NIS2, AI Act, ISO 9001/14001/45001/27001, PRTR, Seveso (si almacena sustancias peligrosas por encima del umbral), normativa autonómica ambiental y convenios colectivos locales. Se mantiene actualizada revisando trimestralmente cambios normativos, altas o bajas de actividades reguladas en cada planta, y resultados de auditorías internas que puedan modificar el nivel de riesgo asignado a cada centro.

Bajo NIS2, la multa administrativa máxima para entidades importantes es de 7 millones de euros o el 1,4% de la facturación global anual del grupo (lo que sea mayor); para entidades esenciales, hasta 10 millones de euros o el 2%. Bajo el AI Act, las infracciones relativas a sistemas de alto riesgo pueden alcanzar hasta 15 millones de euros o el 3% de la facturación global anual. En ambos casos, la base de cálculo de la sanción suele referirse a la facturación del grupo consolidado, no solo de la planta donde ocurrió el incumplimiento, lo que hace crítico un seguimiento homogéneo entre centros.