Bajo NIS2, "importante" no es un nivel de seguridad más ligero

Un ejercicio de alcance bajo NIS2 puede terminar con un momento de alivio. El equipo analiza su sector según los Anexos I y II, verifica su número de empleados y facturación frente a los umbrales de tamaño, y concluye que es una entidad "importante" y no "esencial". El hallazgo se transmite como una buena noticia: estamos en un nivel más ligero, por lo que el programa de seguridad puede adaptarse en consecuencia. La lista de controles se recorta, el proceso de incidentes se pospone para una fase posterior, y la junta directiva escucha que NIS2 llega de manera suave.

Esa interpretación de la palabra "importante" es un error. Los niveles esencial e importante no son versiones pesada y ligera de la misma obligación de seguridad. Son dos regímenes de supervisión y aplicación vinculados a la misma obligación. El nivel en el que recae un equipo cambia la forma en que será auditado, qué herramientas adicionales de aplicación puede utilizar la autoridad y el umbral mínimo de las multas nacionales máximas. No modifica las medidas de seguridad que debe implementar.

Las obligaciones que no varían con el nivel

Las obligaciones sustantivas de NIS2 están escritas para ambos niveles al mismo tiempo. El Artículo 21(1) de la Directiva (UE) 2022/2555 (adoptada el 14 de diciembre de 2022) exige a los Estados miembros garantizar que las entidades esenciales e importantes adopten medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar los riesgos que afectan a la seguridad de las redes y sistemas de información que utilizan para sus operaciones o para la prestación de sus servicios, así como para prevenir o minimizar el impacto de los incidentes en los destinatarios de sus servicios y en otros servicios. La lista mínima que sigue en el Artículo 21(2), desde el análisis de riesgos y la gestión de incidentes hasta la seguridad de la cadena de suministro, el control de acceso y el uso de la criptografía, es una única lista. No existe un Anexo más corto de medidas para las entidades importantes ni uno más largo para las esenciales.

La obligación de notificación está redactada de la misma manera. El Artículo 23 exige tanto a las entidades esenciales como a las importantes notificar incidentes significativos al CSIRT o a la autoridad competente: una alerta temprana en 24 horas desde que se toma conciencia del incidente y una notificación de incidente en 72 horas. Para los proveedores de servicios de confianza, este segundo plazo es de 24 horas cuando el incidente significativo afecta a la prestación de sus servicios de confianza. Un informe final debe presentarse en el plazo de un mes desde la notificación del incidente; si el incidente aún está en curso, se debe presentar un informe de progreso, seguido de un informe final en el plazo de un mes tras su resolución. El reloj no se ralentiza para el nivel importante. Una entidad importante que trate la preparación para la notificación de incidentes como algo opcional ha malinterpretado el mismo artículo que una entidad esencial está obligada a cumplir.

Por lo tanto, la primera corrección es factual. Si el ejercicio de alcance concluye con "importante, por lo tanto, menos controles", se ha inventado una distinción que la directiva no establece. El Artículo 21 es la fuente de la obligación, y el Artículo 21 no sabe en qué nivel te encuentras.

La etiqueta ni siquiera es un proxy de la cantidad de trabajo que debes realizar

Existe un segundo error, más silencioso, tras el primero: la suposición de que "importante" equivale a "más pequeño", por lo que un programa más ligero sería proporcionado de todos modos. La clasificación no funciona así. Según el Artículo 3, las entidades esenciales son, en términos generales, aquellas de un tipo incluido en el Anexo I (los sectores de alta criticidad, como energía, transporte, banca, salud e infraestructura digital) que superan los umbrales de las medianas empresas según la Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, junto con tipos específicos que son esenciales independientemente de su tamaño. Los proveedores cualificados de servicios de confianza, los registros de nombres de TLD y los proveedores de servicios DNS son esenciales con independencia de su número de empleados. Las entidades importantes son, como punto de partida, el conjunto residual del Artículo 3(2): entidades de un tipo referido en los Anexos I o II que no califican como esenciales. Leído junto con el Artículo 2, ese conjunto residual no incluye a todas las entidades de los Anexos I o II que no sean esenciales. La regla general cubre a las medianas y grandes empresas; las entidades más pequeñas solo están en el alcance a través de rutas específicas independientes del tamaño. Los Estados miembros también pueden identificar entidades como importantes según el Artículo 2(2)(b) a (e), y una gran entidad del Anexo II puede ser designada como esencial según el Artículo 3(1)(e) o convertirse en esencial mediante la identificación de entidad crítica según el Artículo 3(1)(f).

Si seguimos este razonamiento, la etiqueta se desvincula del tamaño. Por ejemplo, una gran multinacional que opera en un sector del Anexo II especificado, como la producción industrial de alimentos o productos químicos, o un proveedor digital como una plataforma de comercio electrónico, puede ser una entidad "importante" incluso con decenas de miles de empleados, porque el tamaño por sí solo no eleva un sector del Anexo II al nivel esencial. Mientras tanto, un pequeño proveedor de DNS es esencial con independencia de su tamaño. Las medidas proporcionadas para ese gran fabricante importante no son modestas, porque la proporcionalidad en el Artículo 21(1) se establece en función de la exposición al riesgo de la entidad, su tamaño, la probabilidad y gravedad de los incidentes y el estado de la técnica, no en función de su nivel. No puedes deducir tu carga de trabajo a partir de la palabra "importante". Una empresa que lo haga probablemente infravalorará sus necesidades. Esta última afirmación es un juicio profesional, no una estadística.

Qué cambia realmente el nivel

El nivel hace tres cosas que merece la pena mencionar porque son reales.

En primer lugar, establece la postura de supervisión. El Artículo 32, que rige las entidades esenciales, otorga a las autoridades competentes un conjunto de herramientas proactivas: auditorías de seguridad periódicas y dirigidas, inspecciones in situ, supervisión remota que incluye controles aleatorios y escaneos de seguridad. Una entidad esencial puede ser auditada porque es el momento de hacerlo, sin necesidad de que haya ocurrido un incidente. Las auditorías dirigidas pueden ser financiadas por la propia entidad y pueden derivar en acciones de aplicación; no son un ensayo gratuito. El Artículo 33, que rige las entidades importantes, está redactado en torno a un disparador reactivo. Sus medidas de supervisión y aplicación se aplican "cuando dispongan de pruebas, indicios o información de que una entidad importante presuntamente no cumple". El Artículo 33 es explícito al señalar que se trata de una supervisión ex post. La información derivada de un incidente o de su notificación según el Artículo 23 puede suministrar ese disparador si indica un posible incumplimiento. También pueden hacerlo una denuncia, un informe en los medios o información de otra autoridad. Un incidente, por sí solo, no es prueba de incumplimiento.

En segundo lugar, establece herramientas adicionales de aplicación para las entidades esenciales. El Artículo 32(5) permite a la autoridad, como último recurso, suspender una certificación o autorización relativa a las partes relevantes del servicio, o solicitar que una persona física que ejerce funciones directivas a nivel de director ejecutivo o representante legal sea temporalmente prohibida de ejercer esas funciones. Estas herramientas están escritas para las entidades esenciales, no para las importantes.

En tercer lugar, establece el umbral mínimo de las multas nacionales máximas por infracciones de los Artículos 21 o 23. El Artículo 34(4) exige que las entidades esenciales estén sujetas a multas administrativas de un máximo de al menos 10.000.000 EUR o al menos 2 % del volumen de negocios anual mundial total, el que sea mayor. El Artículo 34(5) establece un umbral mínimo menor para las entidades importantes, de un máximo de al menos 7.000.000 EUR o al menos 1,4 % del volumen de negocios anual mundial total. Estas cifras son el nivel mínimo que cada Estado miembro debe establecer como multa máxima para esas infracciones. No son un límite máximo a nivel de la UE, ni una fórmula para cada multa individual.

Estas tres diferencias modifican tu relación operativa con el regulador. Ninguna de ellas implica una reducción de la seguridad que debes implementar.

La supervisión reactiva es una razón para ser más riguroso, no menos

Aquí está el giro que un equipo de alcance puede pasar por alto. La supervisión más ligera del nivel importante se interpreta fácilmente como una menor presión. Operativamente, puede funcionar al revés. Una entidad esencial tiene más probabilidades de encontrarse con la autoridad en una auditoría programada según el Artículo 32, mientras los sistemas funcionan con normalidad. Esa reunión aún puede generar hallazgos y costes. Lo que sí proporciona es una oportunidad para cerrar brechas antes de que ocurra un incidente. Una entidad importante está sujeta a acciones de supervisión según el Artículo 33 una vez que hay indicios de incumplimiento. Todavía puede tener otras interacciones regulatorias, incluidas notificaciones de incidentes según el Artículo 23. El Considerando 122 de la misma directiva señala que a las entidades importantes no se les debe exigir que documenten sistemáticamente el cumplimiento de las medidas de gestión de riesgos de ciberseguridad. Eso no es una licencia para no tener pruebas. Es una razón, como consejo profesional y no como obligación legal, para mantener las decisiones de riesgo, el proceso de incidentes y los registros que realmente necesitarías si la primera conversación con la autoridad es una investigación y no una auditoría.

Por lo tanto, el nivel que está sujeto a una supervisión más ligera es el que debe supervisarse a sí mismo. Una supervisión más ligera no implica un riesgo menor. Es un riesgo pospuesto a un momento peor.

La objeción honesta

El argumento en contra más sólido es la palabra "proporcionado" en el Artículo 21(1). Una pequeña entidad importante puede, y debe, implementar un conjunto más ligero de medidas que un gran operador esencial del sector energético, y la directiva tiene exactamente esa intención. Esto es cierto. Pero hay que fijarse en qué está haciendo el trabajo: el tamaño y la exposición al riesgo, no la etiqueta del nivel. La proporcionalidad reduciría también el programa de una pequeña entidad esencial, y aumentaría el de un gran fabricante del Anexo II a pesar de su estatus como entidad importante. (Un gran banco no es el ejemplo adecuado aquí: el Reglamento (UE) 2022/2554 (DORA) es lex specialis para las entidades financieras cubiertas y desplaza los Artículos 21 y 23 de NIS2, así como las disposiciones relacionadas de supervisión y aplicación, según el Artículo 4 y el Considerando 28 de la Directiva NIS2.) El nivel y la evaluación de proporcionalidad son ejes diferentes. Interpretar el nivel como un atajo para la evaluación de proporcionalidad es la forma en que una gran entidad importante termina con los controles de una entidad pequeña.

La regla que merece la pena recordar

Trata la clasificación de esencial e importante como una línea de supervisión, aplicación y sanción, no como una línea de alcance de seguridad. Deriva tus obligaciones del Artículo 21 y de tu propia evaluación de riesgos, ajusta tus medidas según la proporcionalidad frente a ese riesgo, y deja que el nivel te indique cómo serás auditado, qué herramientas adicionales de aplicación existen y cuál es el umbral mínimo de las multas nacionales máximas. Cuando el nivel es importante, interpreta la supervisión reactiva del Artículo 33 como una señal para mantener las pruebas que necesitarías en una investigación, no para posponer el trabajo.

Hay un matiz jurisdiccional que importa a lo largo de todo el proceso. NIS2 es una directiva, por lo que las obligaciones operativas vinculan a través de la ley de transposición de cada Estado miembro. La fecha límite de transposición del 17 de octubre de 2024 (Artículo 41 de la Directiva (UE) 2022/2555) no se ha cumplido de manera uniforme. La Comisión Europea inició procedimientos de infracción contra 23 Estados miembros el 28 de noviembre de 2024 y, el 8 de julio de 2026, remitió a Irlanda, España, Francia y Países Bajos al Tribunal de Justicia por no haber notificado la transposición completa (comunicado de prensa IP/26/1499). La arquitectura de clasificación básica y los criterios de tamaño provienen de la directiva y de la Recomendación 2003/361/CE. La ley nacional hace operativas las obligaciones y puede añadir requisitos adicionales (gold-plating); no inventa de manera independiente los umbrales de la UE. Una empresa en un Estado que aún está terminando la transposición debe leer la arquitectura desde la directiva y confirmar los detalles en función de la ley nacional a medida que se aprueba.

Separar las obligaciones que te acompañan independientemente del nivel de las que cambian con él, y mapear ambas frente a los artículos y tu ley de transposición nacional, es el tipo de análisis cruzado que ISMS Copilot está diseñado para respaldar. El nivel merece la pena entenderlo correctamente por tu exposición a sanciones y por tus interacciones con el regulador. Es la variable equivocada para que moldee el tamaño de tu programa de seguridad.

Este es un análisis práctico de cumplimiento, no un asesoramiento legal. Confirma la clasificación y obligaciones de tu entidad frente a la ley de transposición de tu Estado miembro y, cuando sea relevante, con tu autoridad competente o asesoría legal.