¿Es tu empresa de informática un «proveedor de servicios gestionados» para la NIS2?
Probablemente sí, si trabajas sobre los sistemas de tus clientes. El artículo 6.39 llama así a quien instala, gestiona, explota o mantiene productos, redes, infraestructuras o aplicaciones informáticas, con asistencia o administración activa, en las instalaciones del cliente o a distancia. El mantenimiento presencial también cuenta.
¿Instalas, gestionas, explotas o mantienes sistemas informáticos de otras empresas?
- Sí
- Sigue.
- No
- No por esta vía. Mira la tabla de abajo.
¿Lo haces con asistencia o administración activa, en sus oficinas o en remoto?
- Sí
- Encajas en el artículo 6.39.
- No
- Si solo vendes equipos o licencias, la definición no encaja.
¿Gestionas además su ciberseguridad: antivirus gestionado, vigilancia o respuesta?
- Sí
- También eres proveedor de seguridad gestionada (art. 6.40).
- No
- Te quedas en servicios gestionados.
¿Tu empresa es mediana o grande?
- Sí
- Mediana: entidad importante. Grande: entidad esencial.
- No
- Te llega por tus clientes.
| Si tu empresa… | Tipo de entidad | Dónde |
|---|---|---|
| Mantiene equipos, redes y servidores de clientes | Proveedor de servicios gestionados (art. 6.39) | Anexo I.9 |
| Da antivirus gestionado, vigilancia de amenazas o respuesta a incidentes | Proveedor de servicios de seguridad gestionados (art. 6.40) | Anexo I.9 |
| Vende servidores o almacenamiento en la nube bajo demanda | Proveedor de servicios de computación en nube (art. 6.30) | Anexo I.8 |
| Aloja equipos de terceros con energía y climatización | Proveedor de servicios de centro de datos (art. 6.31) | Anexo I.8 |
| Resuelve en sus servidores los dominios de sus clientes (DNS autoritativo) | Proveedor de servicios de DNS (art. 6.20) | Anexo I.8, esencial sea cual sea su tamaño (art. 3.1.b) |
| Desarrolla software a medida | No figura, salvo que también lo mantenga o lo explote | Anexo I.9 si lo mantiene |
¿Desde qué tamaño le aplica la NIS2 a una empresa de servicios informáticos?
Desde mediana empresa: 50 personas o más, o más de 10 millones de euros de facturación y también de balance. Una mediana es entidad importante; una grande, desde 250 personas o con más de 50 millones de facturación y 43 de balance, es entidad esencial. Las pequeñas quedan fuera, salvo excepciones.
| Tu empresa | Condición (Recomendación 2003/361/CE) | En la NIS2 |
|---|---|---|
| Pequeña | Menos de 50 personas y facturación o balance de hasta 10 M€ | Fuera, salvo las excepciones del art. 2.2 (DNS, servicios de confianza o proveedor único, entre otras) |
| Mediana | 50 personas o más, o facturación y balance de más de 10 M€, sin llegar a grande | Entidad importante (art. 3.2) |
| Grande | 250 personas o más, o facturación de más de 50 M€ y balance de más de 43 M€ | Entidad esencial (art. 3.1.a) |
Dos ejemplos con esos números. Una empresa de mantenimiento con 45 personas, 12 millones de facturación y 8 de balance es pequeña: el balance no pasa de 10 millones. Con 60 personas sería mediana aunque facturara 4 millones. El cálculo completo, con sus trampas, está en la guía del umbral de la NIS2.
¿Le aplica la NIS2 a un proveedor de nube o de centro de datos?
Sí, con la misma regla de tamaño, pero en otro sector: infraestructura digital (anexo I.8). La nube es la única de estas actividades que el Real Decreto-ley 12/2018 ya regula como tal en España: obliga hoy a los proveedores de computación en nube que no sean micro ni pequeñas empresas.
| Actividad | Hoy en España (RDL 12/2018) | Con la NIS2 |
|---|---|---|
| Mantenimiento y servicios gestionados | No es una categoría del RDL | Anexo I.9: importante si es mediana, esencial si es grande |
| Servicios de seguridad gestionados | No es una categoría del RDL | Anexo I.9: igual |
| Computación en nube | Proveedor de servicios digitales si no es micro ni pequeña (art. 2) | Anexo I.8: importante o esencial según tamaño |
| Centro de datos | No es una categoría del RDL | Anexo I.8: importante o esencial según tamaño |
Para la nube, la autoridad competente hoy es la Secretaría de Estado de Digitalización e Inteligencia Artificial, y el equipo de respuesta de referencia, INCIBE-CERT (arts. 9 y 11 del Real Decreto-ley 12/2018). Lo demás espera a la ley española, que no existe todavía: lo explica el estado de la NIS2 en España.
¿Qué detalla el Reglamento de Ejecución (UE) 2024/2690 para los proveedores de servicios gestionados?
Convierte las diez medidas del artículo 21.2 en requisitos concretos, en un anexo de 13 apartados, y fija cuándo un incidente es significativo. Es de 17 de octubre de 2024, se aplica a proveedores de servicios gestionados, de seguridad gestionados, nube, centros de datos y otros proveedores digitales, y es directamente aplicable.
| Apartado | Qué exige, en resumen | Prueba típica |
|---|---|---|
| 1 · Política de seguridad | Aprobada por la dirección, con fecha, y revisada al menos una vez al año | Política firmada y fechada |
| 2 · Gestión de riesgos | Análisis de riesgos y plan de tratamiento, revisados como mínimo cada año | Registro de riesgos y plan |
| 3 · Incidentes | Supervisión y registro de eventos, respuesta y revisión posterior | Procedimiento y registros |
| 4 · Continuidad | Plan de continuidad y recuperación, copias de seguridad y redundancias | Prueba de restauración fechada |
| 6 · Mantenimiento de sistemas | Configuraciones, cambios, parches, segmentación de red y protección contra programas maliciosos | Informe de parches y de antivirus gestionado |
| 11 · Control de accesos | Cuentas de administración separadas, privilegios mínimos, revisión periódica y autenticación de múltiples factores | Lista de cuentas privilegiadas revisada y doble factor activo |
Para un proveedor de servicios gestionados, un incidente es significativo, entre otros casos, si el servicio queda totalmente caído más de 30 minutos o si una acción presuntamente maliciosa compromete la integridad o la confidencialidad de los datos (art. 10). También si causa pérdidas directas de más de 500.000 euros o del 5 % de la facturación anual, lo que sea menor (art. 3).
La guía técnica de la ENISA, del 26 de junio de 2025, da ejemplos de evidencias por requisito. Y donde el anexo dice «según proceda», el Reglamento admite justificar por escrito que no procede (art. 2.2).
¿Qué le piden sus clientes a una empresa de informática por la NIS2?
Pruebas de cómo proteges el acceso que tienes a sus sistemas. El artículo 21.3 obliga a cada entidad a valorar las vulnerabilidades de cada proveedor directo, y quien administra sus equipos tiene acceso a lo que deben proteger. Espera preguntas sobre accesos remotos, cuentas privilegiadas, doble factor, registros y aviso de incidentes.
En el contrato (Reglamento 2024/2690, anexo 5.1.4)
- Los requisitos de ciberseguridad que tienes que cumplir
- Formación y, si procede, certificaciones de tu personal
- Aviso sin demora de los incidentes que les afecten
- Derecho de auditoría o a recibir informes de auditoría
- Que corrijas las vulnerabilidades que les pongan en riesgo
- Condiciones para subcontratar
- Devolución y borrado de su información al terminar
En el cuestionario
- Cómo entras en sus sistemas y quién puede hacerlo
- Cuentas de administración nominales, separadas y revisadas
- Doble factor en tu herramienta de acceso remoto
- Registro de lo que haces en sus equipos y cuánto tiempo se guarda
- Tus propias copias de seguridad y su última prueba de restauración
La lista del contrato es la que el Reglamento exige a los proveedores digitales con sus propios proveedores: un buen modelo de lo que pedirá cualquier cliente obligado. Para responder tienes la plantilla de respuesta al cuestionario, las cláusulas del contrato y el anexo de seguridad.
¿Qué le pide la NIS2 a una empresa de informática pequeña?
Nada directamente, si es pequeña y no entra en las excepciones del artículo 2.2. Pero si mantiene sistemas de entidades obligadas, esas entidades tienen que cuidar su cadena de suministro y pueden trasladarle requisitos por contrato. A la pequeña empresa de informática la NIS2 le llega a través de sus clientes.
Tienes un argumento: el artículo 21.1 de la NIS2 pide medidas proporcionadas a la exposición, al tamaño y a la probabilidad y gravedad de los incidentes. Si un cliente te exige lo mismo que a un proveedor de 500 personas, ese criterio sirve para negociar.
Si no cumples un control, dilo con un plan y una fecha: lo cuenta qué responder si no cumples un control. Y lo que tu cliente pide a sus proveedores, visto desde su lado, está en seguridad de proveedores.
¿Por dónde empieza una empresa de servicios informáticos de 20 a 80 personas?
Por lo que tus clientes ya pueden pedirte: asegurar tus accesos a sus sistemas, tener copias probadas y un plan de incidentes, y poder enseñar las pruebas. Después, comprobar si tu tamaño te hace entidad importante y, si es así, preparar la política y el análisis de riesgos que pide el Reglamento 2024/2690.
- Calcula tu tamaño: personal, facturación y balance, con tu grupo si lo tienes.
- Asegura tu herramienta de acceso remoto: doble factor, cuentas nominales y registro de sesiones.
- Separa las cuentas de administración de las de uso diario, también en tus clientes.
- Prueba la restauración de tus copias y guarda la prueba con fecha.
- Escribe cómo avisas de un incidente: a quién, en cuánto tiempo y con qué datos.
- Reúne en una carpeta las evidencias que puedas enseñar a cada cliente.
- Si eres mediana o grande, redacta la política y el análisis de riesgos con el anexo del Reglamento 2024/2690, y que los apruebe la dirección.
Lo que se pide a quien dirige está en la responsabilidad de la dirección. Si no quieres montarlo con tu equipo, Talvit cubre tu plantilla por puesto y mes: antivirus gestionado y copia con restauración probada en la cuota de 29 €, y el dossier de evidencias con presupuesto aparte.
Lo que esta guía no cubre
- Cómo se aplica el Reglamento 2024/2690 en España mientras no hay ley que identifique a las entidades: es una cuestión jurídica abierta.
- El cálculo del tamaño de un grupo de empresas, paso a paso.
- DORA, si tus clientes son bancos o aseguradoras: tiene su propio régimen de proveedores.
- Los registros de dominios y los servicios de confianza, con reglas propias.
Preguntas frecuentes
¿Tengo que registrarme en algún sitio por ser proveedor de servicios gestionados?
La directiva prevé un registro de la ENISA para estos proveedores, con los datos que cada Estado debía pedirles antes del 17 de enero de 2025 (art. 27). En España todavía no hay ley que lo exija: lo concretará la de transposición.
¿Qué país me supervisa si doy servicio en varios Estados de la UE?
El de tu establecimiento principal: donde se toman sobre todo las decisiones de ciberseguridad; si no se puede saber, donde se hacen las operaciones de ciberseguridad, y si tampoco, donde tienes más trabajadores (art. 26).
¿Un revendedor de licencias de Microsoft 365 es proveedor de servicios gestionados?
Si solo revende la licencia, la definición no encaja: habla de instalar, gestionar, explotar o mantener. Si además administra el entorno del cliente, sí puede encajar.
¿Tener la ISO 27001 me sirve para la NIS2?
Ayuda, pero no la sustituye: el artículo 21.1 manda tener en cuenta las normas internacionales, y la guía de la ENISA trae una tabla de correspondencias. Más en ISO 27001 para pymes.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), arts. 2, 3 y 6 y anexo I, consultado el
- Directiva (UE) 2022/2555, art. 6 (definiciones), consultado el
- Directiva (UE) 2022/2555, art. 21, consultado el
- Reglamento de Ejecución (UE) 2024/2690, consultado el
- Recomendación 2003/361/CE, definición de pyme, consultado el
- Real Decreto-ley 12/2018, arts. 2, 9 y 11, consultado el
- ENISA, guía técnica de aplicación del Reglamento 2024/2690 (26-06-2025), consultado el
Registro de cambios
- : Publicación.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
