Entidad Esencial

En virtud de la Directiva NIS2 (Directiva 2022/2555), las entidades esenciales son organizaciones que operan en sectores de alta criticidad enumerados en el Anexo I. Estos sectores incluyen energía (electricidad, petróleo, gas, calefacción urbana, hidrógeno), transporte (aéreo, ferroviario, marítimo, por carretera), banca, infraestructuras de los mercados financieros, salud, agua potable, aguas residuales, infraestructura digital, gestión de servicios TIC (B2B), administración pública y espacio.

Las entidades esenciales son generalmente grandes empresas de estos sectores, aquellas con 250 o más empleados, o un volumen de negocios anual superior a 50 millones de euros y un balance total superior a 43 millones de euros. Sin embargo, determinadas entidades se clasifican como esenciales independientemente de su tamaño, incluyendo los proveedores de redes públicas de comunicaciones electrónicas, los prestadores de servicios de confianza, los registros de nombres de dominio de primer nivel, los proveedores de servicios DNS y las entidades identificadas como críticas en virtud de la Directiva de Resiliencia de Entidades Críticas (CER).

Las entidades esenciales soportan el peso completo de las obligaciones de la NIS2: deben implementar medidas integrales de gestión de riesgos de ciberseguridad, cumplir con los requisitos de notificación de incidentes y garantizar la seguridad de la cadena de suministro. Sus órganos de dirección deben aprobar las medidas de gestión de riesgos de ciberseguridad y recibir formación en ciberseguridad.

De manera fundamental, las entidades esenciales están sujetas a un régimen de supervisión ex ante, lo que significa que las autoridades competentes pueden realizar inspecciones proactivas, auditorías de seguridad y evaluaciones específicas sin necesidad de esperar a que se produzca un incidente. Las multas administrativas para entidades esenciales pueden alcanzar hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial total, lo que sea mayor, significativamente más severas que las sanciones aplicables a las entidades importantes.