¿Qué sectores entran en la NIS2?
Dieciocho. El anexo I recoge 11 de alta criticidad, de la energía a la Administración pública, y el anexo II otros 7, entre ellos alimentación, química, residuos, mensajería y parte de la fabricación. Estar en un anexo no basta: hace falta ser mediana o grande, salvo las excepciones del artículo 2.2.
| Anexo | Sectores | Si eres mediana | Si eres grande |
|---|---|---|---|
| I · Alta criticidad | Energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua potable, aguas residuales, infraestructura digital, servicios TIC entre empresas, Administración pública y espacio | Importante | Esencial |
| II · Otros sectores críticos | Servicios postales y de mensajería, residuos, sustancias químicas, alimentación, fabricación, servicios digitales e investigación | Importante | Importante |
Cómo se mide ser mediana o grande está en el umbral de la NIS2: 50 personas, o 10 M€ de facturación y 10 M€ de balance a la vez.
¿Cómo se sabe si un CNAE está en la NIS2?
Mirando la actividad, no solo el código. El anexo de la NIS2 solo usa códigos para la farmacia y la fabricación: divisiones 21 y 26 a 30 de la NACE Rev. 2, que en España es la CNAE-2009. El resto se describe por tipo de entidad. El CNAE te dice dónde mirar.
Desde el 16 de enero de 2025 rige la CNAE-2025, que sigue la NACE Rev. 2.1 (Real Decreto 10/2025). Las divisiones 21 y 26 a 30 mantienen su número. Si tu clase cambió, las equivalencias son tarea del INE (artículo 7).
¿Tu CNAE es de las divisiones 21, 26, 27, 28, 29 o 30?
- Sí
- Sigue al paso 4.
- No
- Sigue al paso 2.
¿Tu actividad coincide con un tipo de entidad de las tablas de abajo?
- Sí
- Compruébalo con la definición del anexo y sigue al paso 4.
- No
- Sigue al paso 3.
¿Prestas comunicaciones electrónicas públicas, servicios de confianza o DNS?
- Sí
- Entras sea cual sea tu tamaño (artículo 2.2).
- No
- Tu sector no está en la NIS2.
¿Eres mediana o grande?
- Sí
- Te aplica.
- No
- No te aplica por tamaño.
¿Qué códigos CNAE corresponden al anexo I de la NIS2?
Los de energía (35), agua (36 y 37), ferrocarril, transporte marítimo y aéreo (49.1, 49.2, 50 y 51), banca (64.19), sanidad (86 y la farmacéutica 21), telecomunicaciones, nube y servicios gestionados (61 a 63) y Administración pública (84). La tabla es orientativa: lo que decide es la definición del anexo.
| Sector y tipo de entidad | CNAE-2025 | Ojo |
|---|---|---|
| 1.a Electricidad, incluidos almacenamiento y puntos de recarga | 35.11 a 35.16 y 35.40 | La recarga entra aunque su código sea otro |
| 1.b Calefacción y refrigeración urbanas | 35.30 | — |
| 1.c Crudo | 06.10, 19.20, 49.50 y 52.10 (parte) | — |
| 1.d Gas | 06.20, 35.21 a 35.24 y 49.50 | — |
| 1.e Hidrógeno | 20.11 o 35.21 | Sin clase propia |
| 2.a Aéreo: aerolíneas, aeropuertos y control del tráfico | 51.10, 51.21 y 52.23 | Incluye a quien explota instalaciones en el aeropuerto |
| 2.b Ferrocarril | 49.11, 49.12, 49.20 y 52.21 (parte) | — |
| 2.c Marítimo y fluvial: navieras y puertos | 50.10 a 50.40 y 52.22 | Incluye a quien opera equipos en el puerto |
| 2.d Carretera: autoridades viarias y sistemas de transporte inteligentes | 52.21 (parte) | El transporte de mercancías, 49.41, no está |
| 3 Banca: entidades de crédito | 64.19 | — |
| 4 Infraestructuras de los mercados financieros | 66.11 y 66.19 (parte) | — |
| 5 Sanidad: asistencia, I+D de medicamentos, farmacéuticas y productos sanitarios críticos | 86.10, 86.2, 86.9 (parte), 72.10 (parte), 21.10 y 21.20 | La 21 es el único código que cita el anexo I |
| 6 y 7 Agua potable y aguas residuales | 36.00 y 37.00 | Fuera si es una parte no esencial de tu actividad |
| 8 Infraestructura digital: DNS, nube, centros de datos y telecomunicaciones | 61.10, 61.20, 61.90 y 63.10 | DNS y servicios de confianza entran sin umbral |
| 9 Servicios TIC entre empresas: gestionados y de seguridad gestionados | 62.20, 62.90, 63.10 y 95.10 (parte) | Manda la definición del artículo 6.39 |
| 10 Administración pública central y regional | 84.11 a 84.13 | Sin poder judicial, parlamentos ni bancos centrales |
| 11 Espacio: infraestructura terrestre | Sin clase propia | Decide la actividad |
¿Qué códigos CNAE corresponden al anexo II de la NIS2?
Los de mensajería (53), residuos (38), química (20 y 46.85), alimentación industrial y mayorista (10, 11 y 46.3), productos sanitarios (32.50) y las divisiones 26 a 30, que el anexo cita por número. También mercados en línea, buscadores, redes sociales e investigación (72). Como en el anexo I, decide la actividad.
| Sector y tipo de entidad | CNAE-2025 | Ojo |
|---|---|---|
| 1 Servicios postales, incluida la mensajería | 53.10 y 53.20 | La intermediación, 53.30, según el caso |
| 2 Gestión de residuos | 38.11 a 38.33 y 39.00 (parte) | Solo si es tu actividad principal |
| 3 Sustancias y mezclas químicas | 20.11 a 20.60 y 46.85 | Producir artículos con ellas va más allá de la 20 |
| 4 Alimentación industrial y mayorista | 10.11 a 10.89, 11.01 a 11.07 y 46.31 a 46.39 | Los piensos, 10.91 y 10.92, no son alimento |
| 5.a Productos sanitarios y de diagnóstico in vitro | 32.50 | Los críticos van al anexo I |
| 5.b Productos informáticos, electrónicos y ópticos | División 26 | Citada en el anexo |
| 5.c Material eléctrico | División 27 | Citada en el anexo |
| 5.d Maquinaria y equipo | División 28 | Instalar y reparar maquinaria, 33, no está |
| 5.e Vehículos de motor, remolques y semirremolques | División 29 | Incluye componentes: 29.31 y 29.32 |
| 5.f Otro material de transporte | División 30 | Citada en el anexo |
| 6 Mercados en línea, buscadores y redes sociales | 47.91, 47.92 y 63.91 (parte) | Decide el servicio |
| 7 Investigación con fines comerciales | 72.10 y 72.20 (parte) | Sin los centros de enseñanza |
¿Está una empresa de transporte por carretera en la NIS2?
Como transportista, no por su sector. En carretera, el anexo I de la NIS2 solo incluye a las autoridades viarias que gestionan el tráfico y a los operadores de sistemas de transporte inteligentes. El transporte de mercancías (CNAE 49.41) no aparece. Sí entran, si son medianas o grandes, las empresas postales y de mensajería.
| Actividad | CNAE-2025 | ¿En la NIS2 por sector? |
|---|---|---|
| Transporte de mercancías por carretera | 49.41 | No |
| Autobús regular de viajeros | 49.31 | No |
| Almacén y operador logístico | 52.10 y 52.25 | No, salvo si opera instalaciones en un aeropuerto o equipos en un puerto |
| Mensajería | 53.20 | Sí, anexo II.1 |
| Empresa ferroviaria | 49.11 a 49.20 | Sí, anexo I.2.b |
| Naviera | 50.10 a 50.40 | Sí, anexo I.2.c |
| Aerolínea comercial | 51.10 y 51.21 | Sí, anexo I.2.a |
Que el transportista no esté obligado no le libra de las preguntas: sus clientes industriales y de distribución sí pueden estarlo. Más en ciberseguridad para transporte y logística.
¿Entra una clínica privada en la NIS2?
Sí, si es mediana o grande. El anexo I de la NIS2 incluye a los prestadores de asistencia sanitaria de la Directiva 2011/24/UE: toda persona física o jurídica que la dispense legalmente, pública o privada. Una clínica de 30 personas y 4 M€ queda fuera por tamaño; una de 80 entra como importante.
| Entidad | CNAE-2025 | Resultado |
|---|---|---|
| Hospital privado de 300 personas | 86.10 | Esencial |
| Clínica de 80 personas | 86.22 | Importante |
| Clínica dental de 25 personas y 3 M€ | 86.23 | Fuera por tamaño |
| Laboratorio de análisis de 60 personas | 86.91 | Importante |
| Fabricante de medicamentos mediano | 21.20 | Importante |
| Mayorista de productos farmacéuticos | 46.46 | No aparece en el anexo I.5 |
Qué cambia en el día a día de una clínica, esté o no en la NIS2, lo cuenta ciberseguridad para clínicas.
¿Entra una empresa de servicios informáticos en la NIS2?
Si presta servicios gestionados y es mediana o grande, sí: anexo I.9. La NIS2 llama así a quien instala, gestiona, explota o mantiene sistemas de sus clientes, en sus instalaciones o a distancia. La nube y los centros de datos entran por el anexo I.8. El código 62.20 orienta; decide el servicio que prestas.
- Soporte y administración continuada de equipos y redes de clientes: encaja en el artículo 6.39.
- Centro de vigilancia de seguridad o antivirus gestionado (EDR) para terceros: servicios de seguridad gestionados (artículo 6.40).
- Alojamiento, nube o centro de datos: infraestructura digital, anexo I.8.
- Software a medida entregado sin mantenimiento ni gestión posterior: en principio, fuera de la definición.
Para estos proveedores, el Reglamento de Ejecución (UE) 2024/2690 detalla las medidas del artículo 21 punto por punto. Lo desarrolla la guía de NIS2 para empresas de servicios informáticos.
¿Entra la industria alimentaria en la NIS2?
Entra la empresa alimentaria mediana o grande que se dedica a la producción y transformación industriales o a la distribución al por mayor: anexo II.4 de la NIS2. Una tienda o un restaurante no entran por este sector. Una distribuidora mayorista de alimentos de 60 personas, sí, como entidad importante.
La definición viene del Reglamento (CE) 178/2002: empresa alimentaria es la que interviene en cualquier etapa de la producción, la transformación o la distribución de alimentos, y alimento incluye las bebidas. Los piensos no son alimento: una fábrica de piensos (10.91 o 10.92) no entra por este sector. Para el día a día, ciberseguridad para distribución e industria.
¿Qué pasa si tu sector no está en la NIS2 pero tus clientes sí?
Te llega por contrato. El artículo 21.2.d obliga a las entidades de la NIS2 a cuidar la seguridad de su cadena de suministro y de sus proveedores directos, y el 21.3 les pide valorar las prácticas de cada uno. Por eso un taller de 20 personas recibe cuestionarios aunque la directiva no lo nombre.
| Situación | ¿Obligada? | Qué te pedirán | Por dónde empezar |
|---|---|---|---|
| Sector del anexo I y grande | Sí, esencial | Supervisión previa y auditorías | Las diez medidas del artículo 21 |
| Sector de los anexos y mediana | Sí, importante | Medidas y avisos de incidentes | Las diez medidas del artículo 21 |
| Sector de los anexos y pequeña | No, salvo el artículo 2.2 | Lo que pidan tus clientes | Pruebas para cada respuesta |
| Sector fuera, clientes dentro | No | Cuestionarios, cláusulas y homologaciones | Pruebas para cada respuesta |
En los dos primeros casos, empieza por el checklist de la NIS2. En los dos últimos, por contestar con pruebas: cómo responder un cuestionario de seguridad y el dossier de evidencias. Tu sector, en las guías por sector; cómo lo llevamos, en la página de la NIS2.
Lo que esta guía no cubre
- No es una correspondencia oficial: la elaboramos con los anexos y la CNAE-2025. Solo los códigos de farmacia y fabricación los cita el anexo.
- Las actividades mixtas: con varias líneas de negocio, revisa cada una con su definición.
- La ley española, aún sin publicar, podrá añadir entidades, como la Administración local o los centros de enseñanza (artículo 2.5).
Preguntas frecuentes
¿Qué CNAE tiene mi empresa?
El que comunicaste a la Seguridad Social. Las empresas que ya constaban en sus registros tenían que comunicar su código CNAE-2025 antes del 30 de junio de 2025, según el Real Decreto 10/2025.
¿Entra la construcción en la NIS2?
No como sector: la construcción (CNAE 41 a 43) no aparece en los anexos I ni II. Sí puede llegarte por clientes obligados, como una eléctrica o una autoridad portuaria, en forma de cuestionario o cláusula.
¿Y una asesoría, un despacho o una agencia de publicidad?
Tampoco aparecen en los anexos: las actividades jurídicas, contables y de publicidad (CNAE 69 y 73) no son sectores de la NIS2. Les llega a través de clientes obligados, que tienen que revisar a sus proveedores directos.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), anexos I y II y arts. 2, 3, 6 y 21, consultado el
- BOE, Real Decreto 10/2025, por el que se aprueba la CNAE-2025, consultado el
- INE, Clasificación Nacional de Actividades Económicas (CNAE-2025), consultado el
- Directiva 2011/24/UE, art. 3, prestador de asistencia sanitaria, consultado el
- Reglamento (CE) 178/2002, arts. 2 y 3, alimento y empresa alimentaria, consultado el
- Reglamento de Ejecución (UE) 2024/2690, art. 1, consultado el
Registro de cambios
- : Publicación.
