Afecta la directiva NIS2 a la meva empresa?
La NIS2 és la directiva europea de ciberseguretat que amplia els sectors i les empreses obligades a gestionar riscos i notificar incidents. Afecta directament sobretot empreses mitjanes i grans de sectors com energia, transport, salut, aigua, infraestructura digital, gestió de residus o fabricació de determinats productes. A Espanya encara no s'ha aprovat la llei que la transposa. Tot i això, moltes pimes ja la noten indirectament perquè els seus clients obligats els demanen garanties de seguretat com a proveïdors.
Per a qui és rellevant
Rellevant per a empreses industrials, de serveis o tecnològiques que treballen per a clients grans, i per a les que dubten si entren a l'àmbit de la norma.
En quin punt està a Espanya
El termini europeu per transposar la NIS2 va vèncer l'octubre de 2024. El Govern va aprovar l'avantprojecte de Llei de coordinació i governança de la ciberseguretat el gener de 2025, però a l'octubre de 2026 encara no s'ha publicat al BOE. El juliol de 2026 la Comissió Europea va portar Espanya davant del Tribunal de Justícia de la UE per aquest retard.
Mentrestant, continua vigent el Reial decret llei 12/2018, que transposava la directiva anterior. Convé seguir la tramitació perquè els detalls (àmbit, obligacions, sancions) els fixarà la llei espanyola.
Com saber si t'afecta directament
- Comprovar si l'activitat de l'empresa és en un dels sectors dels annexos de la directiva.
- Comprovar la mida: en general queden incloses les empreses mitjanes i grans d'aquests sectors.
- Comprovar les excepcions: alguns serveis digitals i entitats crítiques hi entren sigui quina sigui la mida.
Si després d'aquests passos hi ha dubtes, cal una revisió jurídica i tècnica específica.
L'efecte indirecte en pimes proveïdores
- Qüestionaris de seguretat als proveïdors abans de contractar o renovar.
- Clàusules contractuals sobre notificació d'incidents i mesures mínimes.
- Exigència de verificació en dos passos, còpies, actualitzacions i control d'accessos.
- Preferència per proveïdors amb certificacions o auditories recents.
Criteri Esolvo
Per a la majoria de pimes, la pregunta útil no és si estan obligades sinó si poden respondre amb evidències el qüestionari de seguretat d'un client gran. Això es prepara amb mesures bàsiques ben documentades. Aquesta informació no substitueix l'assessorament jurídic.