NIS 2: ¿está mi empresa afectada y por qué exactamente?

NIS 2 amplía considerablemente el número de entidades reguladas e introduce un mecanismo de proporcionalidad. Distingue dos categorías según la criticidad: entidades esenciales y entidades importantes. Las obligaciones y el régimen de control difieren, pero ambas están reguladas.

Se combinan dos criterios. Primero el sector: la directiva enumera sectores altamente críticos y críticos en sus anexos. Después el tamaño: la entidad debe alcanzar al menos el umbral de mediana empresa según la definición europea, o superar los límites previstos. Las entidades esenciales suelen operar en sectores altamente críticos con más de 250 empleados a tiempo completo equivalente.

Una vez que la entidad ha evaluado que entra en el ámbito, debe registrarse ante la ANSSI, la agencia francesa de ciberseguridad. El registro se realiza en línea, en la plataforma MonEspaceNIS2. Es un trámite declarativo: el análisis corresponde a la empresa.

Desde el 17 de marzo de 2026, la ANSSI publica el marco cibernético francés (ReCyF), que recoge las medidas recomendadas para alcanzar los objetivos de seguridad de NIS 2. Es el documento de referencia con el que contrastar su situación actual.

En la práctica los frentes suelen ser los mismos: saber quién accede a qué y poder demostrarlo, disponer de autenticación fuerte, saber detectar y registrar un incidente, tener copias de seguridad probadas y no solo configuradas, y poder declarar un incidente en plazo. En un entorno Microsoft, buena parte de estas piezas ya existe en las licencias contratadas y simplemente no está activada.

Empiece por el análisis de ámbito, escrito y fechado, aunque la conclusión sea que no le afecta: ese documento es el que le protege si la pregunta vuelve. Si está dentro, mida después la brecha entre el marco y lo existente. Esa brecha da el plan de trabajo.