Directiva NIS2: ¿Es tu empresa una entidad esencial o importante? Guía de autoidentificación
La Directiva NIS2 ha cambiado sustancialmente el mapa europeo de la ciberseguridad empresarial. Frente al modelo anterior, basado en buena medida en la identificación nacional de operadores de servicios esenciales, la nueva regulación amplía los sectores afectados y establece un marco común para la gestión de los riesgos de ciberseguridad y la notificación de incidentes. Una de las principales novedades es precisamente esa ampliación del ámbito de aplicación. La NIS2 ya no se limita a determinados operadores considerados tradicionalmente críticos, sino que incorpora nuevas actividades y tipos de organizaciones de sectores esenciales para la economía y la sociedad, siempre que se cumplan los criterios establecidos en la propia directiva. La clasificación entre Entidad Esencial y Entidad Importante tiene consecuencias relevantes en materia de supervisión, cumplimiento y responsabilidad. Y para los equipos de dirección, Legal, Compliance, CIO y CISO, hacerlo correctamente es el primer paso para transformar NIS2 de una obligación regulatoria en un marco de mejora de la resiliencia empresarial. Por eso, la autoidentificación de las empresas bajo NIS2 debe tener en cuenta al menos cuatro variables: actividad, tamaño, criticidad y régimen nacional aplicable. Entender cómo se combinan permite determinar con mayor claridad si una organización está dentro del ámbito de aplicación y qué obligaciones le corresponden.