NIS2 gestión de residuos y servicios postales: ¿quién entra?

Un gestor de residuos de 90 empleados en la Comunidad de Madrid lleva rutas, báscula y facturación en tres sistemas conectados. El almacén de un operador de mensajería en Zaragoza depende de una única plataforma de clasificación y de un portal en la nube para el seguimiento. Ninguno de los dos propietarios ha notificado nunca un incidente al CCN-CERT. Ambos pertenecen ya a un sector que la UE considera "crítico", y sus clientes ya preguntan.

Esa es la pregunta detrás de NIS2 y la gestión de residuos, y de los servicios postales. Ambos sectores figuran en el anexo II de la Directiva (UE) 2022/2555, los "otros sectores críticos". El texto es más estrecho de lo que temen los clientes y más amplio de lo que esperan.

Qué cubre realmente el anexo II

El punto 1 del anexo II son los servicios postales y de mensajería: los proveedores de servicios postales conforme al artículo 2, punto 1 bis, de la Directiva 97/67/CE, "incluidos los proveedores de servicios de mensajería". Los operadores de mensajería aparecen, por tanto, de forma expresa. Redes de paquetería, mensajería de última milla y operadores postales clásicos entran en la misma categoría.

El punto 3 es la gestión de residuos: las empresas que realizan gestión de residuos según el artículo 3, punto 9, de la Directiva 2008/98/CE. Eso abarca la recogida, el transporte, la valorización y la eliminación de residuos. Un recolector, un transportista, una planta de clasificación y un gestor de vertedero pueden quedar incluidos.

La excepción que decide la mayoría de los casos de residuos

La entrada de residuos excluye a las empresas "para las que la gestión de residuos no sea su principal actividad económica". Es la frase más útil para sus conversaciones con clientes.

Un fabricante que trata sus propios residuos de producción no entra por este motivo. Un chatarrero cuyo negocio principal es recoger y tratar residuos, quizá sí. Plantee una sola pregunta: ¿gana esta empresa su dinero sobre todo con la gestión de residuos? Documente la respuesta y las pruebas.

Los servicios postales no tienen una excepción equivalente. Si una empresa presta servicios postales o de mensajería como negocio, se contrasta directamente con los umbrales de tamaño.

El umbral de tamaño: mediana y mayor

NIS2 se aplica a entidades medianas y grandes de los sectores listados. En la práctica: al menos 50 empleados o más de 10 millones de euros de volumen de negocios anual o de balance. Las microempresas y pequeñas empresas quedan, en principio, fuera.

Las entidades del anexo II son entidades importantes, no esenciales. Eso afecta a la supervisión: la autoridad puede actuar tras un incidente o una queja, en lugar de inspeccionar de forma rutinaria. Las obligaciones no se aligeran por ello.

Dónde está España: la ley aún no existe

El dato decisivo para sus clientes españoles: la transposición no está completa. El Consejo de Ministros presentó el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, pero no consta una ley aprobada y publicada en el BOE. El 8 de julio de 2026, la Comisión remitió a España al Tribunal de Justicia de la UE por no haber notificado la transposición completa.

Mientras tanto siguen vigentes el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, además del RGPD y el Esquema Nacional de Seguridad (ENS) cuando procede. Los canales de notificación actuales siguen siendo el CCN-CERT y el INCIBE-CERT según el sector. No prometa a ningún cliente un estatus de "entidad importante" confirmado ni un registro NIS2 que todavía no existe.

Esto no vuelve cómoda la espera. Clientes, contratantes y aseguradoras ya usan NIS2 como referencia en sus cuestionarios a proveedores. El trabajo se prepara ahora.

Qué tendrá que hacer una entidad importante

En lo esencial, la directiva exige medidas de gestión de riesgos conforme al artículo 21, con diez ámbitos: política de análisis de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro, adquisición y mantenimiento seguros, evaluación de la eficacia, ciberhigiene y formación, criptografía, control de acceso y gestión de activos, y autenticación multifactor o comunicaciones seguras. Vea nuestra guía de las diez medidas del artículo 21.

Los órganos de dirección deberán aprobar esas medidas, responder de ellas y formarse. Para una empresa familiar de transporte o un operador postal regional, suele ser la primera vez que un directivo responde formalmente del riesgo informático.

Dónde están expuestos estos sectores

La tecnología operativa en el tratamiento de residuos se olvida con facilidad. Básculas, controles de compactadoras, monitorización de gas de vertedero y telemática de flota están en red. Un ransomware que paraliza la facturación de la báscula detiene ese mismo día los ingresos de la recogida.

En correos y mensajería, el punto de presión es la plataforma de clasificación y seguimiento. Muchas empresas de mensajería dependen de un único proveedor SaaS. Si cae, se para el almacén. Es una cuestión de cadena de suministro del artículo 21, apartado 2, letra d, y lo primero que sondeará un cuestionario de cliente.

Ambos sectores dependen también de subcontratistas: mensajeros autónomos, socios de transporte, herramientas externas de planificación de rutas. Un inventario escrito de esos proveedores, con cláusulas de seguridad en el contrato, cuesta poco y casi nunca existe. Nuestro artículo sobre la seguridad de la cadena de suministro NIS2 muestra cómo construirlo.

La notificación de incidentes funciona igual

Un incidente significativo exige una alerta temprana en 24 horas, una notificación del incidente en 72 horas y un informe final en un mes (artículo 23). Los clientes no suelen tener un proceso para la primera hora, y menos para el primer día. Un breve ejercicio de mesa sobre los plazos de notificación da resultado inmediato.

Sanciones para entidades importantes

El artículo 34 de la directiva fija para las entidades importantes un máximo de al menos 7 millones de euros o al menos el 1,4 % del volumen de negocios mundial anual, aplicándose el importe más alto. Son techos de la directiva; la ley nacional fijará las cifras definitivas. El cuadro completo está en nuestro artículo sobre las multas NIS2.

La situación cambia según el país

La directiva es la misma en todas partes, pero las obligaciones de su cliente dependen de la ley nacional y del regulador. Algunos Estados miembros ya la han transpuesto, otros van tarde, entre ellos España. Si su cliente tiene sedes en Portugal, Francia o Alemania, compruebe la situación actual por país. El calendario de implementación en la UE es un buen punto de partida.

Un orden de trabajo práctico para estos clientes

Empiece por el alcance. Redacte una nota de una página con la entrada sectorial, la prueba de la actividad principal para residuos, las cifras de tamaño y la conclusión. Autoridades y clientes piden exactamente eso.

Después realice un análisis de brechas sobre las diez medidas y priorice el inventario de proveedores, los contactos de incidentes y las pruebas de copias de seguridad. Ahí es donde la mayoría de los clientes de residuos y postal flaquean. Para una base rápida, el quick scan de NIS2Certify ofrece una evaluación de preparación que puede repasar con el cliente en una reunión.

Por último, ponga por escrito el reloj del incidente: quién decide qué es significativo, quién llama a la autoridad y quién redacta la notificación de 72 horas. Un plan de una página probado vale más que una política de 40 páginas que nadie lee.

El alcance depende de la entidad, del país y de los hechos. Su trabajo es hacer la decisión defendible. Si el sector químico enseñó algo a los consultores, es que las cuestiones de alcance del anexo II se ganan con documentación, no con suposiciones. Para una primera comprobación general: ¿se aplica NIS2 a mi organización?