NIS2 y productos sanitarios: fabricantes esenciales o importantes

Un cliente le envía su certificado ISO 13485 y pregunta: «Entonces estamos cubiertos, ¿no?». Es un fabricante de productos sanitarios para diagnóstico in vitro de Cataluña, con 180 empleados. El certificado no dice nada de NIS2.

La normativa de producto y la ciberseguridad de la organización son dos regímenes distintos. El MDR y el IVDR regulan el producto. NIS2 regula a la empresa que lo fabrica. Si asesora a fabricantes de productos sanitarios bajo NIS2, debe saber, cliente por cliente, en qué anexo se encuentra. Eso fija el modelo de supervisión, el techo de las multas y la presión de auditoría.

Farma y productos sanitarios: dos anexos

NIS2 (Directiva (UE) 2022/2555) coloca a las entidades de ciencias de la vida en dos lugares.

Anexo I, sector 5 (sanidad) incluye, entre otros:

• fabricantes de productos farmacéuticos de base y de preparados farmacéuticos;
• entidades que realizan actividades de investigación y desarrollo de medicamentos;
• laboratorios de referencia de la UE;
• fabricantes de productos sanitarios considerados críticos durante una emergencia de salud pública, es decir, los de la lista prevista en el artículo 22 del Reglamento (UE) 2022/123.

Anexo II, sector 5 (fabricación de determinados productos críticos) incluye a los fabricantes de productos sanitarios y de productos sanitarios para diagnóstico in vitro que no figuran en esa lista de emergencia.

Esencial o importante: decide el tamaño

Según el artículo 3, una entidad grande de un sector del anexo I es esencial. Una entidad mediana del anexo I es importante. Toda entidad incluida del anexo II es importante.

Cliente	Anexo	Clasificación habitual
Gran fabricante farmacéutico	I	Esencial
Empresa mediana de I+D de medicamentos	I	Importante
Gran fabricante de productos de la lista de emergencia	I	Esencial
Fabricante mediano de diagnóstico in vitro	II	Importante
Gran fabricante de productos sanitarios generales	II	Importante

El tamaño sale de la Recomendación 2003/361/CE: mediana significa al menos 50 empleados o más de 10 millones de euros de facturación o balance. Las pequeñas y microempresas quedan fuera por regla general, con excepciones acotadas.

No dé por hecho que un fabricante de productos sanitarios está en el anexo I. La mayoría no. La lista de emergencia solo cobra relevancia tras declararse una emergencia de salud pública; el cliente típico está en el anexo II.

España: sin transposición completa y ante el TJUE

España no ha completado la transposición de NIS2. La Comisión Europea la remitió al Tribunal de Justicia de la UE el 8 de julio de 2026. Puede leer el contexto en NIS2 en España: sin transponer y ya ante el Tribunal de Justicia.

Eso no deja a su cliente sin obligaciones. Primero, un fabricante español que suministra a una entidad sujeta a NIS2 en otro Estado miembro recibe los requisitos por contrato, como parte de la cadena de suministro. Segundo, un grupo con planta en Alemania o Italia ya está directamente afectado allí. Tercero, el marco de referencia de los artículos 21 y 23 es el mismo cuando llegue la ley española, así que adelantarse reduce el coste. Las categorías comparten deberes; cambian la supervisión y las sanciones. Las entidades esenciales tienen supervisión proactiva; las importantes, reactiva. El artículo 34 fija hasta 10 millones de euros o el 2 % de la facturación mundial para las esenciales, y 7 millones o el 1,4 % para las importantes. Estas cifras son las de la Directiva; las sanciones españolas dependerán de la ley que se apruebe.

Supervisión reactiva no es supervisión relajada. Cuando el fabricante de una bomba de infusión conectada sufre un ransomware, «importante» consuela poco.

Qué encuentra una auditoría en un cliente de ciencias de la vida

Los sistemas de calidad son maduros. La gobernanza de seguridad, rara vez.

Redes OT y de laboratorio. Líneas de producción, salas blancas e instrumentos funcionan sobre sistemas heredados que no se pueden parchear al ritmo de TI. La segmentación es la medida realista. Vea NIS2 para fabricantes: la frontera TI/OT.

Sistemas validados. La validación de sistemas informatizados congela versiones de software. Los equipos lo toman como motivo para no parchear. NIS2 exige un proceso documentado de gestión de vulnerabilidades con medidas compensatorias, no silencio.

Riesgo de proveedores. Fabricantes por contrato, CRO, LIMS en la nube y proveedores de software entran en el artículo 21, apartado 2, letra d). Un acuerdo de calidad no es una evaluación de seguridad.

Responsabilidad de la dirección. El artículo 20 hace responsable al órgano de dirección de aprobar y supervisar las medidas. El responsable de calidad no puede firmarlo en su nombre.

Seguridad de producto no es seguridad corporativa. Los requisitos de ciberseguridad del MDR y el IVDR cubren el ciclo de vida del producto. No dan un proceso de incidentes para la red de la empresa, ni registro, ni alerta temprana en 24 horas.

La notificación corre junto a la vigilancia de productos

Un incidente significativo exige una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en un mes. Estos plazos son independientes de las comunicaciones de vigilancia de productos sanitarios. Un mismo suceso puede activar ambos.

Cree un único playbook: quién decide que algo es significativo, quién notifica a la autoridad o al CSIRT, quién presenta la comunicación de vigilancia. Pruébelo una vez. Los plazos completos están en NIS2: plazos de 24 horas, 72 horas y 1 mes.

Fabricantes con sedes en varios países

Alemania, Italia, Polonia y los Países Bajos tienen leyes en vigor; Francia y España fueron remitidas al TJUE en julio de 2026. Un fabricante multinacional puede estar bajo varios regímenes a la vez.

Confirme por persona jurídica qué ley se aplica y qué autoridad supervisa. Vea el artículo 26.

Qué hacer este mes

1. Liste las personas jurídicas. NIS2 se aplica por entidad, no por marca del grupo.
2. Clasifique cada entidad según los anexos I y II y aplique el criterio de tamaño.
3. Compruebe si algún producto figura en la lista de emergencia.
4. Confirme el registro en cada país donde opera la entidad.
5. Contraste las brechas con las diez medidas del artículo 21, empezando por cadena de suministro y gestión de vulnerabilidades.

¿Necesita un punto de partida rápido y defendible? Empiece con una evaluación de preparación. Inicie el Quick Scan NIS2 gratuito y obtendrá un análisis de brechas para presentar a la dirección.

Clasifique al cliente, encuentre las brechas y corrija primero cadena de suministro y vulnerabilidades. Ahí pierden más puntos los fabricantes.