NIS2 industria alimentaria: qué fabricantes y mayoristas entran en el ámbito

Una envasadora de aceite de oliva de Jaén, con 60 empleados, mantiene su línea de embotellado en un PLC que nadie ha actualizado desde la instalación. Las temperaturas de la cámara frigorífica van a un panel en la nube. Dos cadenas de supermercados envían pedidos por EDI. Pregunte al gerente si NIS2 le aplica y la respuesta suele ser: "Hacemos aceite, no somos un banco."

Esa respuesta es errónea con más frecuencia que acertada. En NIS2 industria alimentaria, el anexo II recoge la producción industrial, la transformación y la distribución al por mayor de alimentos. Si su cliente está ahí y supera el umbral de tamaño, es una entidad importante, con un regulador, un registro y una dirección que responde del resultado.

NIS2 industria alimentaria: a quién alcanza realmente

El anexo II de la Directiva (UE) 2022/2555 incluye la "producción, transformación y distribución de alimentos" entre los demás sectores críticos. Se refiere a las empresas alimentarias, según el artículo 3, punto 2, del Reglamento (CE) n.º 178/2002, que se dedican a la distribución al por mayor y a la producción y transformación industriales.

Quedan fuera, salvo designación como críticas conforme a la Directiva CER, la producción primaria (explotaciones), el comercio minorista y la restauración. La autoridad alimentaria finlandesa lo dice expresamente en su guía sectorial.

La alimentación es un sector del anexo II, de modo que las empresas afectadas son entidades importantes, no esenciales. En la práctica la supervisión es reactiva: la autoridad actúa tras un incidente, una queja o una entidad sin registrar detectada a partir de un listado sectorial.

El tamaño es el segundo filtro. Como regla de trabajo, la empresa debe ser al menos mediana: 50 o más empleados, o un volumen de negocios anual y un balance general ambos superiores a 10 millones de euros.

Tres casos límite que deciden el ámbito

El fabricante con tiendas propias. Una panadería que produce de forma industrial y además explota doce puntos de venta está afectada por la parte de producción. La actividad determina el sector, y el tamaño se evalúa para la entidad en su conjunto. No deje que un cliente se excluya con "la mayor parte de nuestra facturación es venta minorista" sin leer el texto aplicable.

La filial de un grupo mayor. El tamaño se mide según la Recomendación 2003/361/CE de la Comisión, que computa las empresas vinculadas y asociadas. Una filial de envasado de 30 personas dentro de un grupo de 400 puede caer en la categoría mediana o grande. Pida la estructura del grupo antes de aceptar "somos demasiado pequeños".

El mayorista y el maquilador. La distribución al por mayor figura en el texto. Un mayorista de ingredientes o un maquilador que envasa para marcas no es un espectador de este sector: está dentro.

Si un cliente duda, nuestra guía sobre si NIS2 se aplica a su organización recorre la prueba general.

Qué implica en la práctica ser entidad importante

Las entidades importantes deben las mismas medidas de gestión de riesgos del artículo 21 que las esenciales. La diferencia está en la supervisión y las sanciones, no en la obligación en sí.

• Responsabilidad de la dirección. El artículo 20 exige que el órgano de dirección apruebe las medidas y supervise su aplicación. En una empresa familiar es el propietario-gerente, no el proveedor de TI.
• Notificación de incidentes. Un incidente significativo exige una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en un mes. Los detalles están en nuestros plazos de notificación de incidentes.
• Sanciones. La directiva fija para las entidades importantes un máximo de 7 millones de euros o el 1,4 % del volumen de negocios mundial anual, si esta cifra es superior. En España esos importes solo serán aplicables cuando entre en vigor la ley de transposición.
• Registro. La mayoría de los Estados miembros exigen inscribirse ante una autoridad nacional. El registro es binario y lleva sello de tiempo, por lo que es lo más fácil de comprobar para un regulador. Nuestro resumen de obligaciones de registro enumera los portales.

Dónde fallan las alimentarias: el suelo OT y la cadena de frío

Una fábrica de alimentos es un entorno OT con una red de oficina alrededor. Ahí es donde las auditorías encuentran los huecos.

Los sistemas que importan son los que paran la producción o echan a perder el producto: PLC y SCADA en las líneas de llenado y envasado, MES para la trazabilidad de lotes, monitorización de la cadena de frío, sistemas de laboratorio (LIMS) que liberan lotes y el ERP que gobierna los pedidos. Si cae alguno, la planta se detiene o, peor, expide producto cuyos registros de seguridad ya no son fiables.

Cuatro medidas soportan la mayor parte del peso:

1. Segmentación entre TI de oficina y producción. El patrón de nuestra guía de segmentación OT/TI en la industria se aplica directamente: una red plana convierte un correo de phishing en una línea parada.
2. Acceso remoto con autenticación fuerte. Los fabricantes de maquinaria suelen mantener acceso remoto permanente a los PLC. Cada uno de esos caminos es un acceso de proveedor en el sentido del artículo 21, apartado 2, letra d.
3. Copias de seguridad que se pueden restaurar, incluidos programas de PLC y recetas. El artículo 21, apartado 2, letra c trata de recuperar la actividad. Una copia del servidor de archivos sin la configuración de los controladores de línea no levanta una planta.
4. Integridad de los registros de seguridad alimentaria. Los registros de cadena de frío y las liberaciones de lote son prueba tanto para la autoridad de seguridad alimentaria como para el supervisor NIS2.

La seguridad de la cadena de suministro funciona en ambos sentidos. Los distribuidores que compran a su cliente empezarán a pedir pruebas, y los contratos con proveedores ya forman parte del cumplimiento de NIS2.

El mismo sector, puntos de partida distintos en la UE

La directiva es un solo texto, las obligaciones dependen del derecho nacional. Situación en septiembre de 2026:

• España. Sin transponer. El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad sigue sin publicarse en el BOE, y la Comisión llevó a España ante el Tribunal de Justicia de la UE el 8 de julio de 2026. Mientras no haya ley, no hay registro NIS2 español ni sanciones NIS2 españolas, pero sus clientes en otros países ya exigen cumplimiento a sus proveedores.
• Francia. Tampoco tiene ley de transposición. Su proyecto de ley de resiliencia sigue en el Parlamento, y la ANSSI ha publicado su marco ReCyF.
• Alemania. La ley de transposición modificó la BSIG. Los fabricantes medianos son entidades importantes según el § 28, apartado 2 BSIG, y el BSI gestiona el registro. Una filial alemana debe registrarse allí por separado.
• Países Bajos. La Cyberbeveiligingswet se aplica desde el 15 de agosto de 2026, con registro ante el NCSC.
• Finlandia. La Cybersecurity Act 124/2025 se aplica desde el 8 de abril de 2025, con la autoridad alimentaria finlandesa como supervisor.
• Polonia e Italia. Ambas han transpuesto.

Qué hacer este mes con un cliente de alimentación

Haga primero la prueba de ámbito, por escrito: actividad, tamaño incluido el grupo, y país. Deje constancia del resultado aunque sea "fuera de ámbito", porque un regulador preguntará cómo lo decidió.

Si el cliente está dentro, o tiene compradores en un país ya transpuesto, inventaríe los activos OT que paran la producción. Averigüe quién tiene acceso remoto, pruebe una restauración de un controlador de línea y documente la vía de aviso de las 24 horas con un nombre asignado.

Un readiness assessment muestra las brechas frente al artículo 21 de forma estructurada, y puede empezar con el quick scan de NIS2Certify. A las empresas alimentarias rara vez les falta esfuerzo. Les falta un mapa documentado de qué sistemas importan, y eso es lo primero que pide un supervisor.