Complass – Navigate compliance Complass – Navigate compliance
Idioma ES
Deutsch English Français Italiano Español Nederlands Polski Português
Probar gratis

NIS2, CRA y más: ¿le afecta a su empresa?

Una primera evaluación sobre NIS2 (§ 28 BSIG), KRITIS, el Cyber Resilience Act y el Reglamento de máquinas, así como sobre ISO 27001, IEC 62443 y TISAX como evidencias voluntarias. Para todos los sectores, con especial profundidad para la industria y la OT. Sin registro, en pocos minutos.

Empresa

Todas las preguntas son voluntarias; las preguntas sin responder las valoramos como «No lo sé». Supuesto de partida: actividad remunerada.

1. ¿Dónde está establecida su empresa?

NIS2 transpone el Derecho de la UE a nivel nacional; esta comprobación evalúa la transposición alemana (BSIG). La Cyber Resilience Act y el Reglamento de máquinas se aplican directamente en toda la UE.

2. Sector

Solo para la clasificación y para las indicaciones no vinculantes de abajo; para las consecuencias jurídicas cuenta la pregunta 3.

Actividad

3. Actividad exacta conforme a NIS2 (anexo 1/2 BSIG)

Elija la actividad que mejor encaje. Los grupos se corresponden con los sectores de los anexos 1 y 2 BSIG.

Lo decisivo es lo que su empresa hace realmente, no el sector. Las actividades que solo representan una parte insignificante de su negocio quedan fuera (§ 28, apdo. 3, BSIG). Si ninguna encaja, elija «Ninguna de ellas».

Tamaño

Se refiere a su empresa como entidad jurídica, por ejemplo la GmbH, con todos los centros en conjunto, no un centro individual. Si las cifras de un grupo empresarial se suman, lo preguntamos en el siguiente paso. Es determinante el último ejercicio anual.

4. Empleados

Los empleados a tiempo completo cuentan 1; los de tiempo parcial y los temporales, de forma proporcional. No se cuentan los aprendices ni el personal en permiso de maternidad o parental. Ejemplo: 40 a tiempo completo y 20 a media jornada dan 50.

5. Volumen de negocios anual

Volumen de negocios sin IVA según la cuenta de pérdidas y ganancias.

6. Total del balance

La suma del activo de su balance. Figura en las cuentas anuales o se la facilita su asesoría fiscal.

A partir de 50 empleados, su empresa se considera mediana empresa. Esto se aplica también si el volumen de negocios y el total del balance superan ambos los 10 M€. Si no está seguro, elija «No lo sé»; el resultado mostrará entonces lo que hay que comprobar.

Grupo empresarial

7. Grupo empresarial

Existe un grupo cuando otra empresa posee al menos el 25 % de su empresa, por ejemplo una matriz, o cuando su empresa posee al menos el 25 % de otra. Si su TI es independiente del grupo, solo cuentan sus propias cifras (§ 28, apdo. 4, BSIG).

Cómo cuentan las participaciones y la TI compartida
  • Más del 50 % o influencia dominante (empresa vinculada): las cifras cuentan íntegramente. Esto se aplica a la matriz, a sus filiales y a las sociedades hermanas bajo la misma matriz.
  • Del 25 al 50 % (empresa asociada): las cifras cuentan de forma proporcional, en la medida de la participación.
  • Menos del 25 %: no cuenta, se considera independiente. Las participaciones de inversores de capital riesgo, business angels o universidades de hasta el 50 % tampoco cuentan en determinadas circunstancias.
  • TI independiente significa separada jurídica, económica y de hecho: sistemas y redes propios, operación de TI propia o un proveedor propio, decisiones propias sobre la seguridad.
  • TI compartida es, por ejemplo, un centro de datos del grupo, una red común o un inicio de sesión común (Active Directory) o un departamento de TI central de la matriz.

Ejemplo: la matriz posee el 100 % de su GmbH, pero su TI funciona completamente separada. Entonces solo cuentan sus propias cifras. Debería poder acreditar la independencia. En caso de duda, elija «TI compartida».

Cumplimentar solo si ha elegido «Parte de un grupo, TI compartida». Entonces cuentan las cifras del grupo: todas las empresas vinculadas en conjunto, incluida la suya, y de forma proporcional en las participaciones de entre el 25 y el 50 %. En caso de duda, consulte a la contabilidad de su grupo.

Empleados del grupo
Volumen de negocios anual del grupo
Total del balance del grupo

Actividades especiales

8. ¿Opera una instalación crítica (KRITIS)?

Las instalaciones críticas abastecen por lo general al menos a 500.000 personas, por ejemplo grandes centrales eléctricas, plantas de agua u hospitales a partir de un determinado número de casos. Los umbrales figuran en el Reglamento BSI-Kritisverordnung. Los operadores suelen saberlo, porque están registrados en la BSI.

9. Casos especiales (opcional, selección múltiple)

Estas actividades están sujetas a NIS2 con independencia del tamaño: firmas, sellos o sellos de tiempo electrónicos (servicios de confianza), servicios DNS o un dominio de primer nivel, redes o servicios públicos de telecomunicaciones. Para bancos, aseguradoras y otras entidades financieras se aplica con carácter prioritario DORA.

Productos y máquinas

10. Productos con elementos digitales

Se trata de hardware y software que puede conectarse a un dispositivo o a una red, por ejemplo controladores, dispositivos conectados, aplicaciones o firmware. Quien vende un producto con su propio nombre se considera fabricante, aunque lo haya construido otro.

11. Máquinas

Una máquina está sustancialmente modificada cuando una transformación genera nuevos peligros que el fabricante no había previsto. Quien lo hace se considera él mismo fabricante. Esto se aplica también a las máquinas que construye para su propia explotación.

Evidencias voluntarias

12. Requisitos de los clientes (opcional, selección múltiple)

Elija lo que los clientes le exigen en contratos, solicitudes o auditorías de proveedores. TISAX lo exige sobre todo la industria del automóvil. Aunque NIS2 o la CRA no se apliquen directamente a usted, los clientes afectados suelen trasladar sus obligaciones por contrato a proveedores y prestadores de servicios.

13. Inteligencia artificial

Ya el uso de herramientas de IA como ChatGPT o Copilot en la empresa conlleva obligaciones, por ejemplo sobre la alfabetización en IA de los empleados. Quien desarrolla sistemas de IA o los distribuye con su propio nombre tiene considerablemente más obligaciones.

¿Qué significan los marcos normativos?

NIS2 (transpuesta en la ley BSI alemana) obliga a los operadores de determinados sectores, a partir de un tamaño mínimo, a la gestión de riesgos, el registro y las notificaciones. Más sobre NIS2

KRITIS (KRITIS-Dachgesetz) afecta a los operadores de instalaciones críticas con independencia del tamaño y exige medidas de resiliencia. Más sobre el KRITIS-Dachgesetz

Cyber Resilience Act exige a fabricantes, importadores y distribuidores de productos con elementos digitales ciberseguridad durante todo el ciclo de vida, en toda la UE. Más sobre la CRA

Reglamento de máquinas completa el marcado CE de las máquinas con requisitos de ciberseguridad para los controladores, en toda la UE. Más sobre el Reglamento de máquinas

ISO 27001, IEC 62443 y TISAX no son obligaciones legales, pero sí evidencias que a menudo exigen los clientes o los contratos. Más sobre ISO 27001 · Más sobre IEC 62443

Primera valoración no vinculante, no es asesoramiento jurídico. El resultado se basa exclusivamente en sus datos y en reglas estandarizadas; no sustituye ni la propia comprobación ni la autoidentificación ante las autoridades. Archivo de reglas 2026.10.3, A fecha de 2026-10-10.
Protección de datos: el RGPD se aplica a casi toda empresa que trate datos personales. No forma parte de esta comprobación. Con el módulo RGPD aplica la protección de datos en Complass de forma acreditable. Más sobre el RGPD

Preguntas frecuentes sobre la comprobación de afectación

¿Es jurídicamente vinculante el resultado?

No. Es una primera valoración no vinculante basada en sus datos y en reglas estandarizadas, no asesoramiento jurídico.

¿Se almacenan mis datos?

No. La evaluación se realiza solo en la memoria de trabajo y no se guarda ni se registra en ninguna parte, salvo que usted envíe expresamente el resultado con una solicitud de demostración.

¿De dónde proceden los umbrales?

Del § 28 BSIG, del Reglamento BSI-Kritisverordnung, de la Cyber Resilience Act y del Reglamento de máquinas; las referencias figuran en cada resultado.

¿Qué significa «Revisión pendiente»?

Con sus datos todavía no puede responderse la pregunta de forma concluyente; un dato ausente nunca conduce automáticamente a «no afectado».

Mi empresa no está establecida en Alemania. ¿Se aplica igualmente la comprobación?

La Cyber Resilience Act y el Reglamento de máquinas, como reglamentos de la UE, se aplican directamente en todos los Estados miembros (Reglamento de máquinas a partir del 20.01.2027). Para NIS2, cada Estado miembro transpone la directiva a nivel nacional; esta comprobación evalúa solo la transposición alemana (BSIG) y muestra para ello «Revisión pendiente».

¿Qué pasa con el RGPD?

El RGPD se aplica a casi toda empresa que trate datos personales. No forma parte de esta comprobación. Con el módulo RGPD aplica la protección de datos en Complass de forma acreditable.

¿Se nos aplica el Reglamento de IA?

Quien utiliza IA en la empresa debe adoptar medidas para fomentar la alfabetización en IA de los empleados (art. 4 del Reglamento de IA, en la versión vigente desde el 27.07.2026). No se prescribe un nivel ni un certificado determinados, pero debería poder acreditar las medidas. Otras obligaciones dependen de la finalidad de uso y se aplican de forma escalonada; compruebe la situación actual.

¿Puedo guardar o imprimir el resultado?

Sí, mediante la función de impresión de su navegador; no hay exportación a PDF en el servidor.

¿Qué hago con el resultado?

Encontrará para cada marco normativo los primeros pasos y, al final, una propuesta de plan adecuada; una demo le muestra Complass con su propio ejemplo.

Pruebe Complass con sus propios datos

Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.

Probar gratis Solicitar una demo