Entidad Importante

En virtud de la Directiva NIS2, las entidades importantes son organizaciones que operan en los "otros sectores críticos" enumerados en el Anexo II. Estos sectores incluyen los servicios postales y de mensajería, la gestión de residuos, la fabricación, producción y distribución de productos químicos, la producción, transformación y distribución de alimentos, la fabricación (de productos sanitarios, equipos informáticos, productos electrónicos y ópticos, material eléctrico, maquinaria, vehículos de motor y otros equipos de transporte), los proveedores digitales (mercados en línea, motores de búsqueda, plataformas de redes sociales) y las organizaciones de investigación.

Las entidades importantes son típicamente empresas medianas de estos sectores, aquellas con 50 o más empleados, o con un volumen de negocios anual y un balance total superiores a 10 millones de euros, que no alcanzan los umbrales para la clasificación como entidad esencial. No obstante, los Estados miembros también pueden designar entidades adicionales como importantes, independientemente de su tamaño, cuando la interrupción del servicio pueda tener un impacto significativo.

Las entidades importantes deben cumplir las mismas medidas sustantivas de gestión de riesgos de ciberseguridad y obligaciones de notificación de incidentes que las entidades esenciales. La diferencia radica principalmente en el régimen de supervisión: las entidades importantes están sujetas a una supervisión ex post, lo que significa que las autoridades competentes solo intervienen tras recibir evidencias de incumplimiento (por ejemplo, tras un incidente notificado o en base a información de otras fuentes).

El régimen sancionador también es menos severo para las entidades importantes: las multas administrativas pueden alcanzar hasta 7 millones de euros o el 1,4 % del volumen de negocios anual mundial total, lo que sea mayor. A pesar de la supervisión más ligera, las entidades importantes no deberían considerar el cumplimiento como opcional; las consecuencias operativas y reputacionales de un incidente significativo de ciberseguridad pueden superar con creces cualquier sanción regulatoria.