Complass – Navigate compliance Complass – Navigate compliance
Idioma ES
Deutsch English Français Italiano Español Nederlands Polski Português
Probar gratis

NIS2, CRA y más: ¿le afecta a su empresa?

Una primera evaluación sobre NIS2 (§ 28 BSIG), KRITIS, el Cyber Resilience Act y el Reglamento de máquinas, así como sobre ISO 27001, IEC 62443 y TISAX como evidencias voluntarias. Para todos los sectores, con especial profundidad para la industria y la OT. Sin registro, en pocos minutos.

Empresa

Todas las preguntas son voluntarias; las preguntas sin responder las valoramos como «No lo sé». Supuesto de partida: actividad remunerada.

1. ¿Dónde está establecida su empresa?

NIS2 transpone el Derecho de la UE a nivel nacional; esta comprobación evalúa la transposición alemana (BSIG). La Cyber Resilience Act y el Reglamento de máquinas se aplican directamente en toda la UE.

2. Sector

Solo para la clasificación y para las indicaciones no vinculantes de abajo; para las consecuencias jurídicas cuenta la pregunta 3.

Actividad

3. Actividad exacta conforme a NIS2 (anexo 1/2 BSIG)

Elija la actividad que mejor encaje. Los grupos se corresponden con los sectores de los anexos 1 y 2 BSIG.

Lo decisivo es lo que su empresa hace realmente, no el sector. Las actividades que solo representan una parte insignificante de su negocio quedan fuera (§ 28, apdo. 3, BSIG). Si ninguna encaja, elija «Ninguna de ellas».

Tamaño

Se refiere a su empresa como entidad jurídica, por ejemplo la GmbH, con todos los centros en conjunto, no un centro individual. Si las cifras de un grupo empresarial se suman, lo preguntamos en el siguiente paso. Es determinante el último ejercicio anual.

4. Empleados

Los empleados a tiempo completo cuentan 1; los de tiempo parcial y los temporales, de forma proporcional. No se cuentan los aprendices ni el personal en permiso de maternidad o parental. Ejemplo: 40 a tiempo completo y 20 a media jornada dan 50.

5. Volumen de negocios anual

Volumen de negocios sin IVA según la cuenta de pérdidas y ganancias.

6. Total del balance

La suma del activo de su balance. Figura en las cuentas anuales o se la facilita su asesoría fiscal.

A partir de 50 empleados, su empresa se considera mediana empresa. Esto se aplica también si el volumen de negocios y el total del balance superan ambos los 10 M€. Si no está seguro, elija «No lo sé»; el resultado mostrará entonces lo que hay que comprobar.

Grupo empresarial

7. Grupo empresarial

Existe un grupo cuando otra empresa posee al menos el 25 % de su empresa, por ejemplo una matriz, o cuando su empresa posee al menos el 25 % de otra. Si su TI es independiente del grupo, solo cuentan sus propias cifras (§ 28, apdo. 4, BSIG).

Cómo cuentan las participaciones y la TI compartida
  • Más del 50 % o influencia dominante (empresa vinculada): las cifras cuentan íntegramente. Esto se aplica a la matriz, a sus filiales y a las sociedades hermanas bajo la misma matriz.
  • Del 25 al 50 % (empresa asociada): las cifras cuentan de forma proporcional, en la medida de la participación.
  • Menos del 25 %: no cuenta, se considera independiente. Las participaciones de inversores de capital riesgo, business angels o universidades de hasta el 50 % tampoco cuentan en determinadas circunstancias.
  • TI independiente significa separada jurídica, económica y de hecho: sistemas y redes propios, operación de TI propia o un proveedor propio, decisiones propias sobre la seguridad.
  • TI compartida es, por ejemplo, un centro de datos del grupo, una red común o un inicio de sesión común (Active Directory) o un departamento de TI central de la matriz.

Ejemplo: la matriz posee el 100 % de su GmbH, pero su TI funciona completamente separada. Entonces solo cuentan sus propias cifras. Debería poder acreditar la independencia. En caso de duda, elija «TI compartida».

Cumplimentar solo si ha elegido «Parte de un grupo, TI compartida». Entonces cuentan las cifras del grupo: todas las empresas vinculadas en conjunto, incluida la suya, y de forma proporcional en las participaciones de entre el 25 y el 50 %. En caso de duda, consulte a la contabilidad de su grupo.

Empleados del grupo
Volumen de negocios anual del grupo
Total del balance del grupo

Actividades especiales

8. ¿Opera una instalación crítica (KRITIS)?

Las instalaciones críticas abastecen por lo general al menos a 500.000 personas, por ejemplo grandes centrales eléctricas, plantas de agua u hospitales a partir de un determinado número de casos. Los umbrales figuran en el Reglamento BSI-Kritisverordnung. Los operadores suelen saberlo, porque están registrados en la BSI.

9. Casos especiales (opcional, selección múltiple)

Estas actividades están sujetas a NIS2 con independencia del tamaño: firmas, sellos o sellos de tiempo electrónicos (servicios de confianza), servicios DNS o un dominio de primer nivel, redes o servicios públicos de telecomunicaciones. Para bancos, aseguradoras y otras entidades financieras se aplica con carácter prioritario DORA.

Productos y máquinas

10. Productos con elementos digitales

Se trata de hardware y software que puede conectarse a un dispositivo o a una red, por ejemplo controladores, dispositivos conectados, aplicaciones o firmware. Quien vende un producto con su propio nombre se considera fabricante, aunque lo haya construido otro.

11. Máquinas

Una máquina está sustancialmente modificada cuando una transformación genera nuevos peligros que el fabricante no había previsto. Quien lo hace se considera él mismo fabricante. Esto se aplica también a las máquinas que construye para su propia explotación.

Evidencias voluntarias

12. Requisitos de los clientes (opcional, selección múltiple)

Elija lo que los clientes le exigen en contratos, solicitudes o auditorías de proveedores. TISAX lo exige sobre todo la industria del automóvil. Aunque NIS2 o la CRA no se apliquen directamente a usted, los clientes afectados suelen trasladar sus obligaciones por contrato a proveedores y prestadores de servicios.

13. Inteligencia artificial

Ya el uso de herramientas de IA como ChatGPT o Copilot en la empresa conlleva obligaciones, por ejemplo sobre la alfabetización en IA de los empleados. Quien desarrolla sistemas de IA o los distribuye con su propio nombre tiene considerablemente más obligaciones.

What is counted (se abre en una pestaña nueva)

Switzerland, product safety and pharma

These questions concern further frameworks. Skip them if they do not fit; we then do not assess these frameworks.

14. Do you process personal data of people in Switzerland, or does your processing have an effect in Switzerland?

The Swiss Federal Act on Data Protection (FADP) applies to situations that have an effect in Switzerland, even if they are initiated abroad (Art. 3 para. 1 FADP).

15. Do you place consumer products on the EU market or offer them online, also as a distributor, fulfilment service provider or online marketplace?

General Product Safety Regulation (EU) 2023/988 (GPSR). Consumer products are products intended for consumers or likely to be used by them.

Your role under the GPSR (selección múltiple)

Only fill in if you answered question 15 with “Yes” or “Don’t know”. Fulfilment service providers carry out at least two of warehousing, packaging, addressing and dispatching goods they do not own.

16. Pharma, biotech and medical devices (selección múltiple)

Legal basis: Annex 11 of the EU GMP Guide for computerised systems and FDA 21 CFR Part 11 for electronic records and signatures.

¿Qué significan los marcos normativos?

NIS2
(transpuesta en la ley BSI alemana) obliga a los operadores de determinados sectores, a partir de un tamaño mínimo, a la gestión de riesgos, el registro y las notificaciones.
Más sobre NIS2
KRITIS
(KRITIS-Dachgesetz) afecta a los operadores de instalaciones críticas con independencia del tamaño y exige medidas de resiliencia.
Más sobre el KRITIS-Dachgesetz
Cyber Resilience Act
Exige a fabricantes, importadores y distribuidores de productos con elementos digitales ciberseguridad durante todo el ciclo de vida, en toda la UE.
Más sobre la CRA
Reglamento de Máquinas
Completa el marcado CE de las máquinas con requisitos de ciberseguridad para los controladores, en toda la UE.
Más sobre el Reglamento de máquinas
ISO 27001, IEC 62443 y TISAX
No son obligaciones legales, pero sí evidencias que a menudo exigen los clientes o los contratos.
Más sobre ISO 27001 · Más sobre IEC 62443
FADP, GPSR, EU GMP Annex 11 and 21 CFR Part 11
The check assesses the Swiss data protection act, the EU General Product Safety Regulation and the GMP and FDA rules for computerised systems and electronic records if you answer questions 14 to 16.
RGPD
Protección de datos: el RGPD se aplica a casi toda empresa que trate datos personales. No forma parte de esta comprobación. Con el módulo RGPD aplica la protección de datos en Complass de forma acreditable.
Más sobre el RGPD

Primera valoración no vinculante, no es asesoramiento jurídico. El resultado se basa exclusivamente en sus datos y en reglas estandarizadas; no sustituye ni la propia comprobación ni la autoidentificación ante las autoridades. Archivo de reglas 2026.11.2, Estado a 2026-11-03.

Preguntas frecuentes sobre la comprobación de afectación

¿Es jurídicamente vinculante el resultado?

No. Es una primera valoración no vinculante basada en sus datos y en reglas estandarizadas, no asesoramiento jurídico.

¿Se almacenan mis datos?

Not with anything that identifies you. The evaluation happens in working memory. We only count anonymously which answer options and results are chosen, never who chose them; you can opt out of this in the form. Your answers only reach us if you explicitly send the result along with a demo request. Details in the privacy policy.

¿De dónde proceden los umbrales?

Del § 28 BSIG, del Reglamento BSI-Kritisverordnung, de la Cyber Resilience Act y del Reglamento de máquinas; las referencias figuran en cada resultado.

¿Basta el resultado como base para una decisión?

Para empezar, sí: ve qué marcos se aplican probablemente según sus respuestas y por qué. Para presupuestos, contratos o comunicaciones a las autoridades, compruebe el resultado con sus documentos y, en casos límite, con ayuda técnica o jurídica.

¿Qué significa «Revisión pendiente»?

Con sus datos todavía no puede responderse la pregunta de forma concluyente; un dato ausente nunca conduce automáticamente a «no afectado».

Mi empresa no está establecida en Alemania. ¿Se aplica igualmente la comprobación?

La Cyber Resilience Act y el Reglamento de máquinas, como reglamentos de la UE, se aplican directamente en todos los Estados miembros (Reglamento de máquinas a partir del 20.01.2027). Para NIS2, cada Estado miembro transpone la directiva a nivel nacional; esta comprobación evalúa solo la transposición alemana (BSIG) y muestra para ello «Revisión pendiente».

¿Qué pasa con el RGPD?

El RGPD se aplica a casi toda empresa que trate datos personales. No forma parte de esta comprobación. Con el módulo RGPD aplica la protección de datos en Complass de forma acreditable.

¿Se nos aplica el Reglamento de IA?

Quien utiliza IA en la empresa debe adoptar medidas para fomentar la alfabetización en IA de los empleados (art. 4 del Reglamento de IA, en la versión vigente desde el 27.07.2026). No se prescribe un nivel ni un certificado determinados, pero debería poder acreditar las medidas. Otras obligaciones dependen de la finalidad de uso y se aplican de forma escalonada; compruebe la situación actual.

¿Puedo guardar o imprimir el resultado?

Sí, mediante la función de impresión de su navegador; no hay exportación a PDF en el servidor.

¿Qué hago con el resultado?

Encontrará para cada marco normativo los primeros pasos y, al final, una propuesta de plan adecuada; una demo le muestra Complass con su propio ejemplo.

Pruebe Complass con sus propios datos

Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.

Probar gratis Solicitar una demo