NIS2 sector químico: quién entra en el Anexo II y en REACH

Un distribuidor de productos químicos cerca de Tarragona, con 80 empleados, controla el almacenamiento en tanques mediante un sistema conectado y recibe pedidos por un portal web. Su mayor cliente le envía un cuestionario de proveedores con una línea: «Confirme su situación respecto a NIS2.» En logística nadie sabe qué contestar.

Esa conversación la tendrá pronto con muchos clientes, como consultor TI o MSP. Para NIS2 en el sector químico, la química es un «otro sector crítico» del Anexo II de la Directiva (UE) 2022/2555, y el texto es más amplio de lo que esperan los clientes.

Qué cubre realmente el punto 3 del Anexo II

El Anexo II enumera siete sectores. El punto 3 es «Fabricación, producción y distribución de sustancias y mezclas químicas». El texto remite al Reglamento REACH ((CE) n.º 1907/2006) y abarca:

• empresas que fabrican sustancias (REACH artículo 3, punto 9);
• empresas que distribuyen sustancias o mezclas (REACH artículo 3, punto 14);
• empresas que producen artículos a partir de sustancias o mezclas (REACH artículo 3, punto 3).

Dos grupos no se mencionan: los importadores y los usuarios intermedios como tales. Una empresa que solo importa una sustancia no entra en este punto. Un formulador es usuario intermedio según REACH, pero el texto del Anexo II sobre la distribución de sustancias o mezclas y sobre la producción de artículos puede alcanzarlo igualmente. No descarte a un mezclador solo por sus etiquetas REACH.

El tercer guion es donde se estira el ámbito. Un fabricante de piezas de plástico o de productos metálicos recubiertos puede entrar en el punto 3 y, a la vez, en el sector «Fabricación» del Anexo II. Compruebe ambas entradas antes de decir a un cliente que queda fuera.

El tamaño decide si la directiva se aplica

NIS2 se aplica a entidades medianas y mayores de los sectores listados (artículo 2, apartado 1). Mediana significa al menos 50 empleados, o volumen de negocios y balance total superiores a 10 millones de euros. Un mezclador de especialidades con 30 empleados y 6 millones de facturación queda por debajo, salvo que un Estado miembro haya incluido entidades menores con un papel clave (artículo 2, apartado 2).

Las entidades del Anexo II son entidades importantes por defecto. Solo pasan a esenciales si cumplen otro criterio del artículo 3, por ejemplo por operar también en un sector del Anexo I.

Por qué los clientes químicos son más difíciles de lo que parecen

Las plantas químicas están en la frontera entre TI y OT. La dosificación, los procesos por lotes, la medición de nivel en tanques y los sistemas de seguridad están en red. Nuestra guía de segmentación TI/OT para fabricantes describe la arquitectura. En química, tres puntos merecen atención especial en un análisis de brechas:

1. Un inventario de activos que incluya OT. Si el registro termina en portátiles y servidores, no se cumple el artículo 21, apartado 2, letra i.
2. Una gestión de incidentes que incluya el impacto en el proceso. Un ransomware que detiene un proceso por lotes es un incidente significativo con consecuencias más allá de los datos.
3. La cadena de suministro. El artículo 21, apartado 2, letra d exige atender a proveedores y prestadores directos. Las empresas químicas dependen de plataformas logísticas, ERP alojado y accesos remotos de fabricantes. Véase los contratos con proveedores bajo el artículo 21.

Los distribuidores tienen otro perfil: ERP, portales de pedidos y sistemas de almacén. Son las mismas diez medidas del artículo 21, apartado 2, sobre una superficie de ataque menor.

Qué sanciones se prevén

Para las entidades importantes, el máximo del artículo 34, apartado 5 es la cifra más alta entre 7 millones de euros y el 1,4 % del volumen de negocios mundial anual. Las entidades esenciales se exponen a hasta 10 millones o el 2 %. Nuestro artículo sobre multas NIS2 y responsabilidad de la dirección explica cómo aplican esos techos los regímenes nacionales.

La situación en España: sin ley de transposición

España no ha completado la transposición. El Consejo de Ministros presentó el anteproyecto de ley el 14 de enero de 2025 y se sometió a consulta pública, pero no consta una ley publicada en el BOE. España ha sido además remitida al Tribunal de Justicia de la Unión Europea por no notificar la transposición completa.

Mientras tanto siguen vigentes los marcos actuales: el CCN-CERT y el INCIBE-CERT operan al amparo del Real Decreto-ley 12/2018 y del Real Decreto 43/2021, con sus canales de notificación. Un cliente químico español no queda obligado directamente por la directiva, pero sus clientes en países ya transpuestos trasladan los requisitos por contrato. Verifique la autoridad aplicable a cada cliente con el régimen nacional vigente, no con la estructura prevista.

En otros países la situación es distinta:

• Alemania: la reforma de la BSIG rige desde el 6 de diciembre de 2025, sin periodo transitorio.
• Países Bajos: la Cyberbeveiligingswet se aplica desde el 15 de agosto de 2026.
• Italia: el decreto legislativo 138/2024 se aplica desde el 16 de octubre de 2024; las medidas básicas deben estar operativas en octubre de 2026.
• Polonia: la ley KSC modificada entró en vigor el 3 de abril de 2026 y añade la producción química.
• Francia: transposición inacabada.

Para el panorama completo, consulte el calendario de implementación en la UE.

Cómo delimitar a un cliente químico en una hora

Repase estas cuatro preguntas, en orden:

1. ¿Qué papel REACH tiene el cliente en cada línea: fabricante, distribuidor, productor de artículos, solo importador o usuario intermedio?
2. ¿En qué Estados miembros opera? Cada ley nacional fija sus propias reglas de registro y notificación.
3. ¿Supera el umbral de empresa mediana, o una norma nacional lo alcanza igualmente?
4. ¿Qué sistemas OT gobiernan la producción o la seguridad, y quién tiene acceso remoto?

Empiece por la primera. La mayoría de los errores parte de suponer que «solo mezclamos» significa «estamos fuera». Contraste esa suposición con el texto del Anexo II y la normativa nacional antes de aceptarla.

Para un punto de partida estructurado, haga pasar al cliente por el quick scan de NIS2Certify gratuito. Genera una evaluación de preparación con la que abrir la conversación.

Conclusión: no se fíe del nombre del sector. El ámbito de aplicación sigue el papel REACH, el tamaño y el país, en ese orden.