¿Desde cuántos empleados se aplica la NIS2?
Desde 50 personas, contadas en unidades de trabajo anual, si tu actividad está en los anexos I o II de la Directiva (UE) 2022/2555. Con 50 o más ya no eres pequeña empresa y la facturación no te saca. Con menos de 50 deciden la facturación y el balance, a la vez.
La NIS2 no fija un número propio: su artículo 2.1 remite a la definición de mediana empresa de la Recomendación 2003/361/CE y se aplica a todas las que no son micro ni pequeñas. Qué actividades están en los anexos lo cuenta la guía de sectores de la NIS2 por CNAE.
| Categoría | Personas | Límite financiero | ¿Entra en la NIS2 por tamaño? |
|---|---|---|---|
| Microempresa | Menos de 10 | Facturación o balance de hasta 2 M€ | No, salvo el artículo 2.2 |
| Pequeña | Menos de 50 | Facturación o balance de hasta 10 M€ | No, salvo el artículo 2.2 |
| Mediana | Menos de 250 | Facturación de hasta 50 M€ o balance de hasta 43 M€ | Sí: entidad importante |
| Grande | 250 o más | O más de 50 M€ de facturación y 43 M€ de balance | Sí: esencial en el anexo I, importante en el II |
¿Basta con facturar más de 10 millones para entrar en la NIS2?
No. Con menos de 50 personas, una empresa sigue siendo pequeña si su facturación o su balance no pasan de 10 millones de euros. Para entrar en la NIS2 tiene que superar las dos cifras. Con 45 personas, 12 millones de facturación y 8 de balance, queda fuera por tamaño.
El anexo de la Recomendación define la pequeña empresa como la que «ocupa a menos de 50 personas y cuyo volumen de negocios anual o cuyo balance general anual no supera los 10 millones de euros» (artículo 2.2). Ese «o» es la clave. El motivo, según el considerando 4: en el comercio y la distribución la facturación es alta por naturaleza.
| Situación | Menos de 50 personas | De 50 a 249 personas | 250 personas o más |
|---|---|---|---|
| Facturación y balance de hasta 10 M€ | Pequeña: fuera | Mediana: dentro | Grande: dentro |
| Solo una de las dos cifras pasa de 10 M€ | Pequeña: fuera | Mediana: dentro | Grande: dentro |
| Las dos pasan de 10 M€, sin superar a la vez 50 M€ y 43 M€ | Mediana: dentro | Mediana: dentro | Grande: dentro |
| Más de 50 M€ de facturación y más de 43 M€ de balance | Grande: dentro | Grande: dentro | Grande: dentro |
¿Cómo se cuentan los empleados para la NIS2?
En unidades de trabajo anual (UTA): una persona a jornada completa todo el año vale 1; el tiempo parcial, la temporada y quien no estuvo el año entero cuentan en fracciones. Entran asalariados, propietarios que dirigen y socios que trabajan en la empresa. No cuentan aprendices ni permisos de maternidad o parentales.
| Persona | ¿Cuenta? | Cuánto |
|---|---|---|
| Asalariado a jornada completa todo el año | Sí | 1 UTA |
| Asalariado a media jornada todo el año | Sí | 0,5 UTA |
| Contrato de seis meses a jornada completa | Sí | 0,5 UTA |
| Temporada de tres meses a jornada completa | Sí | 0,25 UTA |
| Propietario que dirige la empresa | Sí | Según su dedicación |
| Socio con actividad regular y ventajas financieras de la empresa | Sí | Según su dedicación |
| Aprendiz o alumno con contrato de formación | No | 0 |
| Persona de permiso de maternidad o parental | El permiso no | Solo el tiempo trabajado |
| Profesional externo sin vínculo de subordinación | No | 0 |
Los datos son los del último ejercicio cerrado, y la facturación va sin IVA (artículo 4.1 del anexo). Sin cuentas cerradas, se usan estimaciones fiables del ejercicio (artículo 4.3). La nómina de un mes no sirve: 52 personas en diciembre pueden ser 47 UTA en el año.
¿Cuenta el grupo de empresas para el umbral de la NIS2?
Sí. Si otra empresa controla la tuya, o la tuya controla otras, se suma el 100 % de sus personas y cifras. Si una tiene el 25 % o más de la otra sin controlarla, se suma en proporción. Una filial de 30 personas en un grupo de 400 no es pequeña para la NIS2.
| Relación | Cuándo | Qué se suma |
|---|---|---|
| Autónoma | Nadie tiene el 25 % o más de tu capital o de tus votos, ni tú de otra | Solo tus cuentas |
| Asociada | Una empresa tiene el 25 % o más de la otra, sin llegar a controlarla | El porcentaje de participación, el mayor entre capital y votos |
| Vinculada | Mayoría de los votos, derecho a nombrar a la mayoría del órgano de administración o influencia dominante por contrato, estatutos o pacto de socios | El 100 % |
- Tu empresa tiene 40 personas y el 30 % de otra con 50: 40 + 15 = 55 UTA. Es mediana.
- Dos sociedades de 30 personas con el mismo dueño mayoritario y el mismo mercado quedan vinculadas por esa persona (artículo 3.3): suman 60.
¿Qué pasa si superas el umbral de la NIS2 un solo año?
Nada todavía. Según el artículo 4.2 del anexo de la Recomendación 2003/361/CE, una empresa solo gana o pierde la condición de pequeña o mediana si rebasa el límite dos ejercicios seguidos. Si cierras un año con 53 personas y el siguiente con 48, sigues siendo pequeña.
Cuentas de 2025
47 UTA y 9 M€ de facturación
Pequeña. Fuera de la NIS2 por tamaño.
Cuentas de 2026
53 UTA
Primer ejercicio por encima. Sigue siendo pequeña.
Cuentas de 2027
55 UTA
Segundo ejercicio seguido por encima. Pasa a mediana: si su sector está en los anexos, entra en la NIS2.
Cuentas de 2028
48 UTA
Sigue siendo mediana. Para volver a pequeña necesita otros dos ejercicios seguidos por debajo.
Fuente: Recomendación 2003/361/CE, anexo, arts. 2 a 6, consultado el .
¿Cuándo eres entidad esencial y cuándo importante en la NIS2?
Eres entidad esencial si tu actividad está en el anexo I y eres grande: 250 personas o más, o más de 50 M€ de facturación y 43 M€ de balance. Las medianas del anexo I y todas las del anexo II son importantes. Las medidas son las mismas; cambian supervisión y multa.
| Qué cambia | Esencial | Importante |
|---|---|---|
| Quién, por tamaño | Grandes del anexo I (artículo 3.1.a) | Medianas del anexo I y medianas o grandes del anexo II (artículo 3.2) |
| Quién, sin mirar el tamaño | Servicios de confianza cualificados, registros de primer nivel y DNS | Las que el Estado identifique como importantes |
| Supervisión | Antes y después de un incidente, con controles aleatorios (artículo 32) | A posteriori, si hay indicios de incumplimiento (artículo 33) |
| Multa máxima por incumplir los artículos 21 o 23 | Como mínimo, 10 M€ o el 2 % del volumen de negocio mundial anual, lo que sea mayor (artículo 34.4) | Como mínimo, 7 M€ o el 1,4 % del volumen de negocio mundial anual, lo que sea mayor (artículo 34.5) |
¿Qué empresas pequeñas están en la NIS2 sea cual sea su tamaño?
Las que el artículo 2.2 de la NIS2 nombra sin umbral: operadores de comunicaciones electrónicas públicas, prestadores de servicios de confianza, registros de dominios de primer nivel y proveedores de DNS. A ellos se suman los agentes de registro de dominios, las entidades críticas y las que el Estado identifique por su importancia.
- Redes o servicios de comunicaciones electrónicas para el público (artículo 2.2.a.i).
- Servicios de confianza, como la firma o el sello electrónicos (artículo 2.2.a.ii).
- Registros de dominios de primer nivel y proveedores de DNS (artículo 2.2.a.iii).
- Servicios de registro de nombres de dominio (artículo 2.4).
- Entidades críticas según la Directiva (UE) 2022/2557 (artículo 2.3).
- El único proveedor de un servicio esencial en el país, o aquel cuya caída afectaría a la seguridad o la salud públicas, si el Estado lo identifica (artículo 2.2, letras b a e).
Las letras b) a e) exigen que el Estado identifique a la entidad (artículos 3.1.e y 3.2). Encajar en la descripción no te obliga, pero sí justifica preguntarlo a tu asesoría.
¿Qué hacer si tu empresa está justo en el límite de la NIS2?
Calcula con las cuentas del último ejercicio cerrado, no con la nómina de hoy: unidades de trabajo anual, facturación sin IVA y balance, sumando el grupo si lo hay. Deja el cálculo por escrito, con fecha, y repítelo al cerrar cada ejercicio. Y prepara las medidas igualmente: tus clientes no miran tu plantilla.
¿Tu actividad está en los anexos I o II de la NIS2?
- Sí
- Sigue al paso 2.
- No
- No te aplica, aunque te llegue por tus clientes.
¿Prestas comunicaciones electrónicas públicas, servicios de confianza o DNS?
- Sí
- Te aplica sea cual sea tu tamaño.
- No
- Sigue al paso 3.
¿Tienes 50 personas o más en UTA, sumando el grupo?
- Sí
- Eres mediana o grande: te aplica.
- No
- Sigue al paso 4.
¿Superas a la vez 10 M€ de facturación y 10 M€ de balance?
- Sí
- Eres mediana: te aplica.
- No
- Eres pequeña: no te aplica por tamaño.
¿Ha pasado dos ejercicios seguidos?
- Sí
- El cambio de categoría es firme.
- No
- Mantienes la categoría del año anterior.
¿Eres grande y tu actividad es del anexo I?
- Sí
- Entidad esencial.
- No
- Entidad importante.
Para una respuesta rápida está el test de la NIS2. Qué exige la directiva, en qué es la NIS2 y, medida a medida, en el checklist de la NIS2. Si te quedas fuera por poco, tus clientes obligados te revisarán igual (artículo 21.2.d) con un cuestionario de seguridad. Cómo lo llevamos, en la página de la NIS2; el resto del tema, en normativa.
Lo que esta guía no cubre
- La ley española de transposición, que a 18 de octubre de 2026 no está publicada y podrá concretar el cálculo del grupo.
- Tu caso con las cuentas delante: con socios comunes, participaciones cruzadas o fondos de inversión, confírmalo con tu asesoría.
- Qué actividades están en los anexos: lo cubre la guía de sectores de la NIS2 por CNAE.
Preguntas frecuentes
¿El umbral de la NIS2 se mide por centro de trabajo o por empresa?
Por empresa, y sumando el grupo cuando lo hay. Para la Recomendación 2003/361/CE, empresa es toda entidad que ejerce una actividad económica, sea cual sea su forma jurídica, no cada centro o sede.
¿Puede un autónomo estar en la NIS2?
Por tamaño, casi nunca: un autónomo es una microempresa. Entraría por el artículo 2.2, por ejemplo si presta servicios de confianza o de DNS, o si el Estado lo identifica como único proveedor de un servicio esencial.
¿Si estoy por debajo del umbral, puedo olvidarme de la NIS2?
De la obligación legal, sí; de la comercial, no. Las entidades obligadas tienen que revisar la seguridad de sus proveedores directos (artículos 21.2.d y 21.3), y eso te llega como cuestionario, cláusula u homologación.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), arts. 2, 3, 32, 33 y 34 y considerando 16, consultado el
- Recomendación 2003/361/CE, anexo, arts. 2 a 6, consultado el
- Comisión Europea, propuesta COM(2026) 13, de 20 de enero de 2026, consultado el
- Recomendación (UE) 2025/1099, pequeña empresa de mediana capitalización, consultado el
- Parlamento Europeo, Observatorio Legislativo, procedimiento 2026/0012(COD), consultado el
- BOE, Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información (vigente), consultado el
Registro de cambios
- : Publicación.
- : Las multas máximas, dichas como el artículo 34: «como mínimo» y «lo que sea mayor».
