NIS2 para proveedores de nube: cuándo está afectado un proveedor de servicios de computación en nube
Quien ofrece un servicio en la nube a terceros, ya sea infraestructura, plataforma o software, es entidad importante a partir de 50 empleados o con más de 10 millones de euros tanto de facturación como de balance, y entidad esencial a partir de 250 empleados (§ 28 BSIG). Usar servicios en la nube no le hace quedar afectado por esta línea. A los proveedores de nube se les aplica además el Reglamento de Ejecución (UE) 2024/2690.
Qué es un servicio de computación en nube
Cuatro rasgos sostienen la definición: el cliente obtiene recursos a demanda, accede a ellos por la red, el conjunto crece y se reduce con la demanda, y varios clientes comparten los recursos.
Eso encaja con la capacidad de cálculo y el almacenamiento como servicio (IaaS), con plataformas como las bases de datos como servicio (PaaS) y con el software que muchos clientes usan por la red (SaaS).
Un único servidor con capacidad fija que usted opera para un cliente no suele tener estos rasgos. Aun así, puede entrar en otra línea, como servicio de centro de datos o servicio gestionado.
§ 2 n.º 4 BSIG · Art. 6(30) NIS 2
‘cloud computing service’ means a digital service that enables on-demand administration and broad remote access to a scalable and elastic pool of shareable computing resources, including where such resources are distributed across several locations;
A partir de qué tamaño está afectado un proveedor
Entidad importante: al menos 50 empleados, o una facturación anual y un balance de más de 10 millones de euros cada uno.
Entidad esencial: al menos 250 empleados, o más de 50 millones de euros de facturación y más de 43 millones de euros de balance. Esto es posible porque los proveedores de nube figuran en el Anexo 1.
A diferencia, por ejemplo, de los servicios DNS o de los servicios de confianza cualificados, los proveedores de nube no están incluidos con independencia de su tamaño.
El cómputo sigue la Recomendación 2003/361/CE. También pueden contar las empresas asociadas y vinculadas.
§ 28(1), (2) y (4) BSIG
Qué no cuenta
Usar servicios en la nube, como el correo, la contabilidad o el almacenamiento de un proveedor, no es ofrecer un servicio en la nube. Por esta línea del Anexo 1, su empresa no queda afectada. El proveedor es uno de sus proveedores, que usted tiene en cuenta en sus medidas si su empresa está afectada por otro motivo.
Una nube que su empresa opera solo para sí misma tampoco es un servicio ofrecido. Si una empresa la opera a cambio de una remuneración para otras empresas del mismo grupo, conviene comprobarlo caso por caso.
Normas más detalladas para los proveedores de nube
A los proveedores de servicios de computación en nube se les aplica además el Reglamento de Ejecución (UE) 2024/2690. Describe con más detalle los requisitos técnicos de los diez ámbitos y, en esa medida, prevalece sobre el BSIG. Como reglamento, se aplica con la misma redacción en todos los países de la UE.
También fija cuándo un incidente en estos proveedores es significativo y debe notificarse.
Para los proveedores de nube, el establecimiento principal en la UE decide qué país es competente: el país en el que se toman principalmente las decisiones sobre ciberseguridad. Así que se registra en un solo país de la UE, aunque ofrezca su servicio en varios.
§ 30(3) BSIG · Reglamento de Ejecución (UE) 2024/2690 · Art. 26 NIS 2
¿Y el catálogo C5 del BSI?
C5 es un catálogo de criterios del BSI para servicios en la nube. NIS2 no exige una atestación C5. Aun así, muchos clientes la piden, y una atestación existente puede servir como prueba de sus medidas.
Un ejemplo
Una empresa inventada: un proveedor de software de recursos humanos que usan por la red unos 900 clientes. 60 empleados, 12 millones de euros de facturación.
El software funciona para todos los clientes en una plataforma compartida que crece con la demanda. Es un servicio de computación en nube.
Con 60 empleados, la empresa es entidad importante.
Se registra ante el BSI, porque las decisiones sobre ciberseguridad se toman en Alemania.
Implementa las medidas del § 30 BSIG, con la profundidad que exige el Reglamento de Ejecución (UE) 2024/2690.
La lista de sus activos abarca la aplicación, las bases de datos, las cuentas de alojamiento, el inicio de sesión de los clientes y los proveedores, como el operador del centro de datos.
Cómo lo hace el recorrido guiado
En el recorrido guiado de nisd2.eu, el trabajo empieza por la lista de aquello con lo que trabaja su empresa.
Un paso pregunta por procesos, software, dispositivos, salas y redes, y por quién los suministra. Así se obtiene la lista de sus activos.
Un paso muestra en qué país de la UE se registra, con la regla para proveedores digitales como la nube.
Junto a cada paso está la norma, explicada con palabras sencillas.
Al final, la dirección aprueba los documentos en la app, con su propia cuenta.
Preguntas frecuentes
¿Es el SaaS un servicio de computación en nube según NIS2?
Normalmente sí, si muchos clientes usan el software por la red en una plataforma compartida y escalable. Eso coincide con la definición del art. 6(30) NIS 2 y del § 2 n.º 4 BSIG.
Solo usamos servicios en la nube. ¿Somos proveedor de nube?
No. Usar servicios en la nube no es ofrecerlos. Su empresa puede estar afectada por otro motivo; entonces el proveedor de nube es uno de sus proveedores.
¿A partir de qué tamaño está afectado un proveedor de nube?
A partir de 50 empleados o con una facturación anual y un balance de más de 10 millones de euros cada uno (§ 28(2) BSIG). A partir de 250 empleados, o con más de 50 millones de euros de facturación y más de 43 millones de euros de balance, es entidad esencial.
¿Dónde se registra un proveedor de nube activo en varios países de la UE?
En el país de la UE de su establecimiento principal, donde se toman principalmente las decisiones sobre ciberseguridad (art. 26 NIS 2).
Fuentes
- Ley del BSI (BSIG) § 2 n.º 4, §§ 28 y 30, Anexo 1, gesetze-im-internet.de/bsig_2025
- Directiva (UE) 2022/2555 (NIS 2), art. 6(30), art. 26 y Anexo I, EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690, EUR-Lex
- Recomendación 2003/361/CE de la Comisión, EUR-Lex
- BSI: catálogo de criterios C5, bsi.bund.de
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
