Cumplimiento
El sector alimentario está en los anexos de NIS2. Si tu bodega o conservera supera el umbral, te aplica. Por qué, dónde está el riesgo de verdad y qué tienes ya hecho sin saberlo.
El director de una conservera de la Ribera de Navarra asume que las normas de ciberseguridad europeas van con los bancos y las tecnológicas, no con una empresa que envasa pimiento y espárrago. La misma idea tiene el gerente de una bodega de Rioja. Los dos se llevan una sorpresa cuando comprueban que el sector alimentario está en los anexos de la directiva NIS2, y que el tamaño de su empresa la mete de lleno en el alcance.
Es una de las obligaciones que más desapercibida está pasando en la zona. El vino y la conserva vegetal son parte del corazón económico de La Rioja y de la Ribera, y buena parte de esas empresas nunca se han enfrentado a una regulación de ciberseguridad. Conviene entender por qué les aplica, dónde está el riesgo de verdad y qué tienen ya hecho sin saberlo.
NIS2 organiza a las empresas obligadas por sectores, y la producción, transformación y distribución de alimentos figura en su Anexo II. Ahora bien, la directiva no mete dentro a toda la industria alimentaria. Deja fuera el comercio minorista y la producción a pequeña escala, y apunta a las empresas que se dedican a la producción y transformación industrial y a la distribución al por mayor. Una bodega que embotella a escala industrial o una conservera que procesa y distribuye al por mayor encajan en esa descripción.
El segundo filtro es el tamaño. Entran las empresas que superan el umbral de mediana empresa, y basta con rebasar uno de los dos criterios: 50 empleados o 10 millones de euros de facturación o balance anual. No hacen falta los dos. Una empresa de 45 trabajadores que factura 15 millones entra igual, porque supera el umbral por la vía de la facturación.
¿Tu empresa entra en NIS2?
Entra si cumple las dos condiciones a la vez.
Producción y transformación industrial, o distribución al por mayor de alimentos (Anexo II). Fuera: minorista y pequeña escala.
Más de 50 empleados o más de 10 M€ de facturación o balance. Basta con superar uno de los dos.
Si entra, se clasifica como entidad importante (Anexo II): supervisión reactiva y sanción de hasta 7 M€ o el 1,4 % de la facturación mundial.
Como el sector alimentario está en el Anexo II, la empresa que entra se clasifica como entidad importante. En la práctica esto significa una supervisión reactiva, en la que la autoridad actúa si hay un incidente o una denuncia, y un techo de sanción de 7 millones de euros o el 1,4 % de la facturación mundial, la cifra que resulte mayor. Son las mismas medidas de seguridad que para una entidad esencial, con un régimen de vigilancia menos intenso.
La tentación es pensar que esto se resuelve con un antivirus y unas copias de seguridad en administración. En una bodega o una conservera modernas, el riesgo vive en la planta. La producción depende de un ERP que gestiona pedidos y facturación, de sistemas que programan y supervisan las líneas, de la trazabilidad que exige la normativa alimentaria y, en muchos casos, de líneas de embotellado y envasado con control automatizado.
Ahí es donde un incidente hace daño de verdad. Si un ransomware tumba el ERP, no puedes expedir, y en un producto con campaña y caducidad eso se traduce en pérdidas directas. Si se cae o se manipula la monitorización de la cadena de frío, pierdes la capacidad de demostrar que el producto se ha conservado a temperatura segura, que es justo lo que te pide la seguridad alimentaria. Bajo NIS2, esos sistemas de producción y monitorización son activos que hay que inventariar, evaluar y proteger, no un detalle técnico de segunda fila. Es el mismo terreno de la ciberseguridad industrial (OT) que separa un enfoque serio de uno que solo mira los ordenadores de oficina.
Aquí hay una buena noticia que casi nadie cuenta. Una empresa alimentaria que trabaja con HACCP, IFS o BRC ya está acostumbrada a documentar procesos, auditarse con regularidad y registrar acciones correctivas. NIS2 usa esa misma lógica aplicada a la seguridad de la información: análisis de riesgos, medidas de control, monitorización, documentación y revisión periódica. Un equipo de calidad que domina IFS parte con una ventaja real, porque la cultura de proceso que exige la norma ya está instalada en la casa.
Lo que ya haces (HACCP · IFS · BRC)
Lo que pide NIS2
El trabajo, entonces, no consiste en montar desde cero una forma de gestionar que la empresa no conoce. Consiste en extender al ámbito digital una disciplina que ya se aplica a la inocuidad del alimento. Eso acorta plazos y abarata el proyecto frente a una empresa que parte sin ninguna cultura documental.
Lo primero es determinar con criterio si estás dentro y con qué papel. El análisis cruza dos cosas: si tu actividad encaja en la producción y transformación industrial o en la distribución al por mayor, y si superas el umbral de tamaño. A partir de ahí, un diagnóstico ordena qué tienes resuelto, qué falta y qué es urgente.
Conviene mirar también aguas arriba y aguas abajo. Aunque tu empresa no llegue al umbral, si suministras a una gran distribuidora o a una cadena que sí está obligada, es probable que te trasladen requisitos de seguridad por contrato, igual que ocurre cuando NIS2 desciende por la cadena de suministro de automoción. El tamaño te deja fuera de la obligación directa, pero no de la exigencia comercial.
Por lo que vemos al trabajar con empresas alimentarias de la zona, el punto de partida suele ser dispar: una gestión de calidad muy madura conviviendo con una parte de OT que nadie ha mirado nunca desde la seguridad. Ese contraste es el que marca las prioridades del plan. Para una empresa de cien a doscientos empleados que parte de cero en lo digital, alcanzar una base sólida lleva de tres a seis meses, y menos si el sistema de calidad ya está rodado.
Un apunte sobre el calendario legal. La transposición de NIS2 en España aún no está cerrada, pero eso no es motivo para esperar. Los umbrales y las obligaciones ya están definidos y son conocidos, y quien empiece cuando la ley se publique en el BOE llegará tarde a un proyecto que necesita meses.
Así lo estamos viendo ahora mismo en un proyecto. Acompañamos a una conservera y congeladora a la que le aplica NIS2 y que llegó sin saber muy bien por dónde empezar. Lo primero no fue montar nada, fue un gap analysis de cumplimiento, porque sus dudas no se quedaban en NIS2: querían saber también cómo estaban en protección de datos y acababan de empezar a usar inteligencia artificial de forma intensiva, con lo que eso supone en gobierno del dato. Con ese diagnóstico sobre la mesa, en lugar de abrir un proyecto por cada norma, estamos desplegando un sistema de gestión integrado, de seguridad de la información y de inteligencia artificial, apoyado en ENS, ISO 27001 e ISO 42001. Y la parte de planta, que es donde esta empresa se juega la producción, la estamos alineando con la 62443, el estándar de ciberseguridad industrial. Un solo proyecto ordenado, que aprovecha además la cultura de auditoría que ya tenían por su sistema de calidad, en vez de cinco frentes inconexos que se pisan entre sí.
En Meta-Data acompañamos a bodegas, conserveras y empresas alimentarias de La Rioja y Navarra a situarse frente a la adecuación a NIS2, con especial atención a la parte industrial que suele quedar fuera del radar. Empezamos con un diagnóstico que aprovecha lo que ya tienes montado en calidad y deja el resto ordenado por prioridad.
Cuéntanos a qué te dedicas y tu tamaño. Determinamos si NIS2 te aplica y con qué papel, aprovechamos lo que ya tienes en calidad (IFS, BRC, HACCP) y te dejamos un plan ordenado por coste e impacto, sin olvidar la parte de planta. Sin compromiso.
Solicita tu diagnóstico gratuitoO escríbenos a [email protected].
Guía práctica · descarga gratuitaDirectiva NIS2: la guía para saber si tu empresa está obligadaDescargar la guía (PDF) →
Guía práctica · descarga gratuitaCiberseguridad industrial y OT: protege tu planta sin parar la producciónDescargar la guía (PDF) →
Dudas
Depende del tamaño y de la actividad. La directiva deja fuera la venta al por menor y la producción a pequeña escala, y se centra en la producción y transformación industrial y en la distribución al por mayor. Una empresa por debajo de 50 empleados y de 10 millones de euros, sin un papel crítico en el abastecimiento, en principio queda fuera del alcance directo.
Directamente puede que no. En la práctica, si tu cliente está obligado, te trasladará requisitos de seguridad por contrato para poder cumplir con su propia obligación sobre la cadena de suministro. Prepararte te mantiene como proveedor homologado.
Para una empresa alimentaria de cien a doscientos empleados que parte de cero, entre tres y seis meses hasta una base sólida. Si ya trabajas con IFS o BRC, el camino es más corto porque la disciplina de procesos y auditoría ya está instalada.
