nuestro cliente quiere saber si estamos sujetos a NIS2, qué relleno

Caer uno mismo bajo NIS2 es una pregunta distinta a tener que cumplir con ella

Si tu empresa está sujeta a NIS2 depende del sector y del tamaño — no de si tu cliente lo pregunta. NIS2 funciona con una lista de sectores (anexos I y II de la directiva) y umbrales de tamaño: mediano o grande según la definición de la UE. Si te encuentras en esa categoría, eres una "entidad esencial" o "entidad importante" y las obligaciones del artículo 21 te aplican directamente, independientemente de lo que un cliente ponga en un cuestionario. Si no te encuentras en esa categoría, puedes simplemente indicarlo como "no, no estoy obligado por NIS2 de forma independiente" — esa no es una respuesta evasiva, es la respuesta correcta si es factualmente exacta.

Donde frecuentemente falla: un proveedor que por sí mismo está fuera del ámbito de aplicación, recibe de todas formas los requisitos del artículo 21 a través del contrato, porque su cliente debe hacerlos corresponder con sus propios requisitos de seguridad para proveedores Eso no es entonces una obligación NIS2 para ti, sino una transposición contractual de ella. Por lo tanto, rellena la respuesta a la pregunta tal como la formula: "¿caéis bajo NIS2" es un sí/no sobre tu propio estatus, no sobre si aplicas medidas similares a NIS2. Esas dos cosas frecuentemente se confunden la una con la otra, y marcar "sí" porque ya estás trabajando en ISO 27001 o certificadoes factualmente incorrecto si tú mismo no estás en el ámbito de aplicación.

La transposición nacional se realizará a través de la Ley de Ciberseguridad

La directiva en sí (2022/2555) define los sectores y el umbral de tamaño para entidades esenciales e importantes; la configuración nacional — quiénes exactamente se designan y con qué plazos de supervisión — se lleva a cabo a través de la Ley de Ciberseguridad, que entra en vigor el 15 de agosto de 2026. Hasta esa fecha no hay una designación nacional en la que puedas basarte para decir "sí"; después sí la habrá, en la medida en que tu empresa figure en la lista definitiva. Mientras esa ley no esté en vigor, "aún no aplicable" o "aún por determinar" es la respuesta factualmente correcta, no "no" — eso sugiere una exclusión definitiva que aún no existe.