NIS 2 y los organismos de investigación
El anexo II sector 7 cubre los organismos de investigación que trabajan en investigación aplicada o desarrollo experimental con fines comerciales. Las universidades quedan fuera por defecto. Los Estados miembros pueden ampliar el ámbito.
Por qué existe este artículo
El anexo II de la Directiva NIS 2 ((UE) 2022/2555) enumera los organismos de investigación como sector 7. La categoría se sitúa en el anexo II, por lo que las entidades que cualifican se clasifican como entidades importantes (wichtige Einrichtungen).
El ámbito es más estrecho que el significado cotidiano de investigación. NIS 2 atiende a un tipo específico de actividad: la investigación aplicada o el desarrollo experimental destinados a producir resultados que luego se explotan comercialmente. La investigación básica, el trabajo puramente académico y las actividades educativas no están dentro de ámbito por defecto.
La página expone primero la capa de la UE (anexo II, artículo 6(41), considerando 36, artículo 2(5)(b), prueba de tamaño del artículo 2(1)), después la implementación alemana en el §28 BSIG y las trampas prácticas que vemos con más frecuencia cuando los organismos de investigación ejecutan una comprobación de aplicabilidad.
Anexo II, sector 7 (Directiva (UE) 2022/2555)
Organismos de investigación
El anexo II punto 7 enumera el sector con el único tipo de entidad 'organismos de investigación'. La definición sustantiva reside en el artículo 6(41) y la explica el considerando 36.
Artículo 6(41), considerando 36 (Directiva (UE) 2022/2555)
«organismo de investigación»: una entidad cuyo objetivo principal es llevar a cabo investigación aplicada o desarrollo experimental con vistas a explotar los resultados de dicha investigación con fines comerciales, excluidos los centros de enseñanza.
El considerando 36 explica que los organismos de investigación dedican la parte esencial de sus actividades a la investigación aplicada o al desarrollo experimental, en el sentido del Manual de Frascati de la OCDE, con vistas a explotar los resultados con fines comerciales. La definición excluye los centros de enseñanza. El artículo 2(5)(b) permite a los Estados miembros ampliar la directiva a los 'centros de enseñanza, en particular cuando lleven a cabo actividades críticas de investigación'.
§28 BSIG (NIS2UmsuCG, Alemania)
Forschungseinrichtungen mit Sitz in Deutschland, die die in §28 Absatz 1 BSIG genannten Schwellenwerte erreichen oder überschreiten, gelten als wichtige Einrichtungen.
Alemania transpone el anexo II sector 7 al §28 BSIG. La entidad sigue siendo una entidad importante (wichtige Einrichtung) y entra en la banda de sanciones del §65 BSIG de hasta 7 millones de euros o el 1,4 por ciento del volumen de negocios anual global, la cifra que sea mayor.
Investigación aplicada con un fin comercial
La actividad principal es la investigación aplicada o el desarrollo experimental, con la intención de que los resultados se exploten comercialmente. Las licencias, las escisiones (spin-offs), la investigación por contrato para la industria o la venta de prototipos son señales típicas. La investigación pura motivada por la curiosidad, la docencia y la divulgación no lo son.
De tamaño mediano o superior
El artículo 2(1) NIS 2 aplica el umbral de la Recomendación de la UE 2003/361/CE. La entidad lo alcanza con al menos 50 empleados o un volumen de negocios anual y un balance total superiores a 10 millones de euros. Por debajo del umbral, la entidad no está dentro de ámbito salvo que un Estado miembro aplique un anulamiento con independencia del tamaño.
Ampliación nacional a las universidades
Los Estados miembros pueden decidir incluir a los centros de enseñanza, incluidas las universidades, en el ámbito mediante el Derecho nacional. Sin tal ampliación, las universidades quedan fuera, aunque dirijan grandes unidades de investigación aplicada. Si el país ha ampliado el ámbito es una cuestión que depende del acto nacional de transposición.
Los centros de enseñanza están excluidos por defecto
El artículo 6(41) es explícito: un centro de enseñanza no es un organismo de investigación. Una unidad de investigación universitaria que realiza trabajo por contrato para la industria no queda automáticamente incluida. La exclusión opera en el nivel de la institución, no del proyecto.
La fuente de financiación no decide el ámbito
La definición depende de la actividad (investigación aplicada, explotación comercial), no de quién paga. Una GmbH de investigación de financiación privada y un instituto Fraunhofer de financiación pública están ambos dentro de ámbito si cumplen la definición y la prueba de tamaño. Un instituto de investigación básica de financiación puramente pública no está dentro de ámbito porque la actividad es la que no encaja, no porque la financiación sea pública.
El BSI como autoridad competente
El Bundesamt für Sicherheit in der Informationstechnik (BSI) es la autoridad competente para los organismos de investigación en virtud del §28 BSIG. El registro se realiza a través del portal del BSI; las obligaciones son idénticas a las de otras entidades importantes en virtud de los §§30 a 32 BSIG.
Guía de ENISA
La Guía de Implementación Técnica de ENISA (v1.2, agosto de 2025) trata a los organismos de investigación igual que a las demás entidades del anexo II en cuanto a las medidas de gestión de riesgos del artículo 21. No hay ninguna exclusión específica para la investigación en el reglamento de ejecución. Las particularidades sectoriales aparecen únicamente en los umbrales de notificación de incidentes a través de la práctica supervisora nacional.
No hay ampliación general a las universidades en el §28 BSIG
Alemania no ha hecho, en la NIS2UmsuCG, una ampliación general de NIS 2 a las universidades. Las Hochschulen y los centros de investigación universitarios permanecen, por tanto, fuera del ámbito de NIS 2 a nivel federal, aunque otras leyes federales o estatales (por ejemplo, las leyes de seguridad informática de cada Land) puedan seguir aplicándose.
Las universidades también son investigación, así que deben estar dentro de ámbito.
Por defecto, no. El artículo 6(41) excluye a los centros de enseñanza de la definición de organismo de investigación. Solo están dentro de ámbito si el Estado miembro ha ampliado expresamente NIS 2 a ellos mediante el Derecho nacional (artículo 2(5)(b)). En Alemania, esa ampliación no se ha hecho.
Solo los institutos de investigación de financiación pública están dentro de ámbito.
Dirección equivocada. La definición atiende a la actividad y a la intención de explotación comercial, no a la fuente de financiación. Una empresa privada de investigación por contrato puede estar plenamente dentro de ámbito. Un organismo de investigación básica de financiación puramente pública queda fuera porque la actividad es no comercial, no porque los fondos sean públicos.
Somos una entidad sin ánimo de lucro, así que NIS 2 no se aplica.
La forma jurídica no decide el ámbito. Una gemeinnützige GmbH o un e.V. que realice investigación aplicada con fines de explotación comercial puede cumplir la definición. La prueba es la actividad y el umbral de tamaño, no el régimen fiscal.
En las comprobaciones de aplicabilidad que ejecutamos, el caso límite es casi siempre un brazo de investigación por contrato de una universidad o un instituto de financiación pública con una sólida cartera de transferencia de tecnología. La pregunta correcta no es si la entidad hace investigación, sino si su finalidad principal es la investigación aplicada o el desarrollo experimental con una vía de explotación comercial.
Si la respuesta es sí y la entidad cumple el umbral de tamaño del artículo 2(1), está dentro de NIS 2 como entidad importante, con independencia de si se considera parte del panorama de la investigación pública. La comprobación de aplicabilidad de la plataforma recorre el artículo 6(41) y el artículo 2(1) de forma explícita, para que esto no quede a la interpretación.
- Directiva (UE) 2022/2555 (NIS 2), anexo II punto 7 (Investigación)
- Directiva (UE) 2022/2555 (NIS 2), artículo 6(41), definición de organismo de investigación
- Directiva (UE) 2022/2555 (NIS 2), considerando 36 y artículo 2(5)(b), organismos de investigación y ampliación opcional a los centros de enseñanza
- Directiva (UE) 2022/2555 (NIS 2), artículo 2(1), ámbito y umbral de tamaño a través de la Recomendación 2003/361/CE
- BSIG (Gesetz zur Umsetzung der NIS-2-Richtlinie, NIS2UmsuCG), §28, ámbito sectorial que incluye los organismos de investigación
- BSIG §65, banda de sanciones para entidades importantes (hasta 7 millones de euros o el 1,4 por ciento del volumen de negocios anual global)
- Guía de Implementación Técnica de ENISA para el artículo 21 NIS 2, v1.2 (agosto de 2025)
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
