Entidad importante en pocas palabras

¿Qué es una entidad importante?

Las entidades importantes (en inglés important entities) proceden de sectores como los servicios postales y de mensajería, la gestión de residuos, la producción y el comercio de productos químicos, la alimentación o la industria manufacturera. Están plenamente sujetas a NIS2, pero se consideran algo menos críticas para el sistema que las entidades esenciales. La categoría es la segunda de las dos clases de entidades y afecta a muchísimas empresas medianas que hasta ahora no conocían ninguna regulación sectorial de ciberseguridad.

¿Qué sectores entran? (anexo II)

El núcleo de las entidades importantes son los «otros sectores críticos» del anexo II de la Directiva NIS2. Quien opera en ellos por encima de los umbrales correspondientes —por regla general, medianas empresas a partir de 50 empleados o 10 millones de euros de facturación— entra normalmente en esta clase:

• Servicios postales y de mensajería
• Gestión de residuos
• Fabricación, producción y comercio de productos químicos
• Producción, transformación y distribución de alimentos
• Industria manufacturera y fabricación de bienes — por ejemplo, productos sanitarios, equipos informáticos, electrónica, maquinaria, vehículos de motor
• Proveedores de servicios digitales — mercados en línea, motores de búsqueda, redes sociales
• Organizaciones de investigación

Mismas obligaciones, otra supervisión. La pertenencia sectorial decide la clasificación, no el alcance de las medidas de seguridad. Un fabricante de alimentación del anexo II debe adoptar las mismas precauciones técnicas y organizativas que una empresa energética del anexo I; lo único distinto es que se le controla por causa concreta en lugar de por rutina. Los sectores de alta criticidad del anexo I llevan en cambio, por lo común, a la clasificación como entidad esencial, donde la supervisión es proactiva y el marco sancionador más alto.

Mismas obligaciones, otra supervisión

Las obligaciones materiales — gestión de riesgos, obligaciones de notificación según la cadena de 24 horas, 72 horas y un mes, y gobernanza a cargo de los órganos de dirección — son prácticamente idénticas a las de las entidades esenciales. También la obligación de inscribirse ante la autoridad que se designe y la de formar a la dirección se mantienen sin cambios. La diferencia central está en la supervisión: las entidades importantes se supervisan de forma reactiva y no proactiva: por causa concreta tras un incidente o ante indicios claros, no mediante inspecciones rutinarias anunciadas de antemano. La autoridad competente actúa, por tanto, cuando hay un indicio de incumplimiento.

Un marco sancionador más bajo

El marco sancionador también es más bajo: al menos 7 millones de euros o el 1,4 % del volumen de negocios anual mundial, frente a los 10 millones de euros o el 2 % de las entidades esenciales. Cuenta en cada caso el importe más alto, y los Estados miembros pueden ir más allá. Pese al marco más suave, las sanciones pueden ser severas y la dirección sigue siendo responsable de las medidas.

No lo subestime

«Importante» no significa «menos obligada». Las medidas técnicas y organizativas deben aplicarse por completo; lo único menor es la densidad del control. El enfoque reactivo de la supervisión lleva a algunas empresas a suponer que pueden aplazar las medidas hasta que alguien las revise, pero quien empieza con la documentación, el análisis de riesgos y los procesos de notificación después de un incidente ya ha perdido la prueba de una diligencia ordenada, y se expone a una sanción justo cuando la administración mira de cerca por causa concreta.

Un ejemplo lo aclara. Una empresa de gestión de residuos con 90 empleados se clasifica como entidad importante y reúne ya los datos que exigirá la obligación de registro cuando llegue, aunque en España no exista todavía ni registro ni plazo. Implanta el mismo análisis de riesgos y el mismo proceso de notificación que una entidad esencial y documenta sus medidas con cuidado, pero no cuenta con auditorías sin previo aviso, sino con inspecciones solo cuando haya un motivo concreto.

Siguientes pasos

En concreto, una entidad importante debería cerrar estos puntos:

• Compruebe su clasificación: contraste el sector (anexo II) y la clase de tamaño; ¿encaja «importante» o más bien «esencial»?
• Prepare los datos del futuro registro: en España no existe todavía ni registro ni plazo, pero los datos identificativos y los contactos pueden reunirse desde ahora.
• Ponga en marcha la gestión de riesgos: implante medidas técnicas y organizativas y documéntelas de forma auditable.
• Monte la cadena de notificación: defina los procesos para los plazos de 24 horas, 72 horas y un mes del artículo 23.
• Implique a la dirección: complete la formación; la responsabilidad de los órganos de dirección se mantiene.

Más información: INCIBE-CERT – NIS2: lo que necesita saber