Guía de referencia sobre NIS2 para pymes: a quién afecta y cómo prepararse

Un cliente importante con el que llevas años trabajando te envía de repente un correo con un documento adjunto: es un cuestionario de seguridad de ochenta preguntas que debes rellenar y aprobar si quieres renovar el contrato. Esta escena se repite cada semana en miles de empresas españolas por culpa del efecto dominó de la nueva normativa europea. La directiva NIS2 ya está aquí y cambia por completo las reglas del juego, obligando a la dirección a tomarse en serio la protección de sus sistemas. En esta guía vamos a ver qué es exactamente, cómo saber si te afecta y qué pasos dar hoy mismo para que el cumplimiento no paralice tu negocio. Entender este marco legal te permitirá adelantarte a las exigencias del mercado y convertir la ciberseguridad en una ventaja competitiva.

Qué es y por qué importa

La directiva NIS2 (Directiva 2022/2555) es el marco legal unificado de la Unión Europea para garantizar un nivel alto y común de ciberseguridad en todos los Estados miembros. Sustituye a su predecesora, la directiva NIS1 de 2016, que se había quedado corta ante la rápida evolución de las amenazas cibernéticas. Los países tenían hasta el 17 de octubre de 2024 para integrarla en su legislación nacional, quedando la antigua norma derogada oficialmente al día siguiente. Esta actualización eleva el nivel de ambición común mediante un alcance más amplio, reglas más claras y herramientas de supervisión mucho más fuertes.

Importa porque ya no es una simple recomendación técnica, sino una obligación legal que señala directamente a la cúpula de la empresa. La normativa introduce la responsabilidad directa de la alta dirección en caso de que no se apliquen las medidas de gestión de riesgos adecuadas. Si hay un incidente grave y los sistemas no estaban protegidos, los directivos tienen que responder por esa negligencia.

Imagina una pyme española de 60 empleados que fabrica componentes para el sector de la automoción o que gestiona residuos industriales. Hasta ahora, su máxima preocupación tecnológica era que el servidor de contabilidad o el correo no se colgaran. Con NIS2, esta empresa pasa a ser un objetivo regulado que tiene que evaluar sus riesgos y proteger su red de forma proactiva. Si sufre un ciberataque que paralice su producción y no avisa a las autoridades, las consecuencias legales y económicas para el negocio son severas.

¿Afecta a mi empresa? Sectores y tamaño

Saber si estás dentro del radar directo de la directiva requiere mirar a qué te dedicas y qué tamaño tienes. La norma amplía enormemente su alcance respecto a la primera versión, abarcando ahora 18 sectores críticos para la economía y la sociedad.

Sectores regulados

A los sectores clásicos que ya estaban vigilados por la anterior directiva (energía, transporte, sanidad, banca, mercados financieros, agua potable y aguas residuales, e infraestructura digital) se suman otros nuevos. Ahora también entran las comunicaciones electrónicas públicas, las plataformas sociales, la gestión de residuos, la fabricación de productos críticos, los servicios postales, la administración pública y el sector espacial.

El criterio del tamaño

Por regla general, la directiva obliga a cumplir sus requisitos a las medianas y grandes empresas que operan en estos 18 sectores críticos. Es decir, si tienes 50 empleados o más, o facturas más de 10 millones de euros anuales (el umbral de las medianas empresas de la Recomendación 2003/361/CE, a la que remite la directiva), estás dentro.

La Comisión Europea sabe que el tejido empresarial está formado por empresas más pequeñas que también son vitales. Por eso, el 20 de enero de 2026 propuso enmiendas para simplificar el cumplimiento a 28.700 empresas, de las cuales 6.200 son micro y pequeñas empresas. Esto demuestra que nadie es invisible para el regulador y que las exigencias irán permeando hacia abajo.

El efecto dominó en la cadena de suministro

Aquí es donde caen la mayoría de las pymes que, por tamaño, creerían estar exentas. La directiva exige a las grandes empresas reguladas que garanticen la seguridad de toda su cadena de suministro. Si eres un proveedor de servicios informáticos, de limpieza o de logística para una empresa esencial, tu cliente te va a exigir que cumplas unos mínimos de seguridad. Las grandes corporaciones ya están enviando auditorías a sus proveedores para asegurarse de que no son la puerta de entrada de los ciberdelincuentes.

Qué exige exactamente NIS2

La directiva no te dice qué marca de cortafuegos comprar, sino que te obliga a gestionar el riesgo de forma profesional y documentada. Las entidades afectadas deben implementar medidas técnicas, operativas y organizativas, además de notificar a las autoridades nacionales los incidentes significativos.

1. Medidas de gestión de riesgos

El núcleo de la norma es la prevención y la resiliencia. Las empresas deben aplicar un enfoque basado en el riesgo que incluya políticas de análisis de riesgos, seguridad de la cadena de suministro, gestión de vulnerabilidades y educación en ciberseguridad. En la práctica habitual del sector, esto se traduce en implementar soluciones como:

• Políticas claras de análisis de riesgos y seguridad de los sistemas de información.
• Gestión de incidentes para asegurar una prevención, detección y respuesta rápida.
• Continuidad de negocio mediante copias de seguridad fiables y planes de recuperación ante desastres.
• Seguridad de la cadena de suministro, vigilando y auditando a los proveedores externos.
• Seguridad en la adquisición, desarrollo y mantenimiento de redes, incluyendo la gestión constante de vulnerabilidades.
• Prácticas de ciberhigiene básica y formación continua para toda la plantilla.
• Uso de criptografía y cifrado de datos sensibles.
• Control de acceso estricto y seguridad de los recursos humanos.
• Uso de soluciones de autenticación multifactor (MFA, por sus siglas en inglés, que requiere dos o más pruebas para verificar la identidad del usuario) y comunicaciones seguras.

2. Notificación estricta de incidentes

Cuando ocurre un problema grave que puede causar una interrupción importante del servicio o daños económicos, el reloj empieza a correr. La directiva establece una red de Equipos de Respuesta a Incidentes de Seguridad Informática (CSIRT) encargados de intercambiar información sobre ciberamenazas y ofrecer asistencia. Los plazos de notificación son muy cortos:

• Una alerta temprana en un máximo de 24 horas desde que se tiene conocimiento del incidente.
• Una notificación formal del incidente en 72 horas, incluyendo una evaluación inicial de su gravedad y alcance.
• Un informe final detallado en el plazo de un mes.

3. Implicación de la dirección

La directiva introduce la responsabilidad directa de la alta dirección. Los órganos de dirección deben aprobar las medidas de gestión de riesgos, supervisar su aplicación real y recibir formación específica para entender los riesgos cibernéticos. La ciberseguridad pasa del cuarto de los servidores a la mesa del consejo de administración. Si la dirección ignora estas obligaciones, se enfrenta a responsabilidades personales.

4. Sanciones disuasorias

El incumplimiento sale muy caro para las empresas que ignoren la normativa. Aunque las multas dependen de la transposición de cada país, el marco general contempla sanciones de hasta 10 millones de euros o el 2 % de la facturación mundial para entidades esenciales, y de 7 millones o el 1,4 % para entidades importantes (artículo 34 de la directiva). A finales de septiembre de 2026, la ley española que la traspone —la Ley de Coordinación y Gobernanza de la Ciberseguridad, cuyo anteproyecto aprobó el Gobierno en enero de 2025— todavía no se ha publicado en el BOE, así que las cifras definitivas en España pueden variar.

Plan de acción en 5 fases para prepararse

Adaptarse a esta normativa no se hace en una tarde instalando un programa. Requiere un cambio profundo en la forma de gestionar la tecnología de la empresa. Si no sabes por dónde empezar, este es el camino recomendado para construir una defensa sólida y documentada.

Fase 1: Evaluación y compromiso

Lo primero es saber dónde estás pisando revisando si tu sector principal o secundario está en la lista de los 18 sectores críticos. Analiza tu volumen de empleados y facturación para confirmar si estás obligado directamente. A continuación, nombra a un responsable del proyecto de adecuación y asegúrate de que la dirección aprueba un presupuesto inicial. Sin el apoyo de arriba, cualquier iniciativa fracasará, por lo que este compromiso debe quedar reflejado en un documento oficial.

Fase 2: Inventario y análisis de riesgos

No puedes proteger lo que no sabes que tienes. Haz un inventario exhaustivo de todos tus activos, incluyendo ordenadores, servidores, teléfonos móviles, aplicaciones en la nube y proveedores externos con acceso a tus datos. Una vez sepas qué tienes, analiza los riesgos preguntándote qué pasaría si un ransomware (código malicioso que secuestra los datos pidiendo un rescate) cifra tu servidor principal. Identifica qué procesos son vitales para la supervivencia de la empresa y clasifica la información según su nivel de criticidad.

Fase 3: Despliegue de medidas técnicas

Empieza por cubrir lo básico, que es lo que frena la inmensa mayoría de los ataques comunes. Activa la autenticación multifactor en todas las cuentas de la empresa y configura un sistema de copias de seguridad que siga la regla 3-2-1 (tres copias, en dos soportes distintos, una de ellas externa). Asegúrate de que las copias están desconectadas de la red principal para que un virus no pueda borrarlas. Instala herramientas de protección avanzada en los equipos (EDR, sistemas que detectan y responden a comportamientos anómalos) y mantén todos los sistemas actualizados.

Fase 4: Procesos y cadena de suministro

Redacta un plan de respuesta a incidentes para que tu equipo sepa a quién llamar, qué sistemas aislar y cómo cumplir con los plazos de notificación. Además, revisa los contratos con tus proveedores exigiéndoles que demuestren cómo protegen la información que compartes con ellos. Limita sus accesos estrictamente a lo que necesitan para hacer su trabajo. Pídeles que rellenen cuestionarios de seguridad periódicos para verificar que mantienen el nivel exigido.

Fase 5: Formación y mejora continua

La tecnología no sirve de nada si un empleado con prisas hace clic donde no debe. Implanta un programa de concienciación continua sobre ciberseguridad, enseñando a detectar correos fraudulentos (phishing) y a manejar la información con cuidado. Documenta todo lo que haces, guardando registros de las políticas aprobadas, de las pruebas de recuperación y de la formación impartida. Revisa este plan al menos una vez al año para adaptarlo a las nuevas amenazas y a los cambios de tu negocio.

Errores habituales

Al enfrentarse a normativas de este calibre, hay varios tropiezos que se repiten constantemente. Conocerlos te ahorrará tiempo, dinero y disgustos a largo plazo.

• Pensar que es un problema exclusivo de IT: La directiva exige que la dirección asuma la responsabilidad, por lo que desentenderse implica incumplir la norma desde el primer minuto.
• Comprar herramientas en lugar de procesos: La normativa exige gestión de riesgos, y una herramienta no sirve de nada si no hay una política que obligue a usarla correctamente.
• Olvidarse de los proveedores: No auditar a la cadena de suministro es un fallo crítico que la normativa castiga severamente, ya que eres responsable de los datos que compartes.
• Hacer copias de seguridad que nunca se prueban: Tener copias automáticas da una falsa sensación de seguridad si nunca has intentado restaurarlas para comprobar que funcionan.
• Creer que la nube ya es segura por defecto: El proveedor protege su infraestructura física, pero tú eres responsable de configurar bien los accesos y hacer copias de tus propios datos.
• Ocultar los incidentes por miedo: Con los plazos estrictos de notificación y las multas millonarias, intentar ocultar un incidente significativo es la peor decisión de negocio posible.

Lista de comprobación

Usa esta lista para evaluar rápidamente el estado inicial de tu empresa frente a los requisitos de la normativa. Marcar estas casillas te dará una idea clara de los deberes pendientes.

• Hemos comprobado si nuestro sector y tamaño nos incluyen en el ámbito de aplicación de la directiva.
• La dirección de la empresa conoce su responsabilidad legal y ha aprobado un plan de adecuación con presupuesto asignado.
• Tenemos un inventario actualizado de todos nuestros equipos, programas y servicios en la nube.
• Hemos identificado a nuestros proveedores críticos y revisado sus medidas de seguridad mediante auditorías o cuestionarios.
• Todas las cuentas corporativas tienen activada la autenticación multifactor (MFA).
• Realizamos copias de seguridad periódicas, aisladas de la red principal, y probamos su restauración al menos una vez al trimestre.
• Contamos con un procedimiento escrito que detalla qué hacer y a quién avisar en caso de sufrir un ciberataque.
• Toda la plantilla recibe formación regular sobre cómo detectar fraudes y manejar la información de forma segura.

Preguntas frecuentes

¿NIS2 obliga a certificarse con algún sello oficial?

No, la directiva no exige una certificación concreta. Sin embargo, contar con certificaciones reconocidas como la ISO 27001 o cumplir con el Esquema Nacional de Seguridad (ENS) facilita enormemente demostrar ante las autoridades que estás aplicando las medidas exigidas.

¿Qué pasa si soy una microempresa pero trabajo para un sector crítico?

Aunque la norma general apunta a medianas y grandes empresas, tu cliente regulado está obligado a proteger su cadena de suministro. Esto significa que te exigirá por contrato cumplir con estándares de seguridad similares. Si no lo haces, el riesgo no es una multa europea, sino perder a ese cliente de forma fulminante.

¿Tengo que notificar cualquier virus que entre en un ordenador?

No, la obligación de notificar en plazos cortos se aplica solo a los incidentes significativos. Es decir, aquellos que causen o puedan causar una interrupción grave del servicio, pérdidas financieras importantes o daños considerables a otras personas o empresas. Un virus aislado que el antivirus bloquea automáticamente no requiere notificación.

¿Por dónde empiezo si mi presupuesto es muy ajustado?

Empieza por las medidas de ciberhigiene básica que más reducen el riesgo con menor inversión. Activa el doble factor de autenticación en todo, asegúrate de que los sistemas se actualizan automáticamente y aísla tus copias de seguridad. Además, dedica tiempo a formar a tus empleados para que no caigan en engaños por correo electrónico.

¿Cómo afecta a la protección de datos personales?

NIS2 y el Reglamento General de Protección de Datos (RGPD) conviven en paralelo. Si sufres un incidente de seguridad que expone datos personales, tendrás que cumplir con las obligaciones de notificación de ambas normativas. Esto implica avisar tanto a la autoridad de ciberseguridad competente como a la Agencia Española de Protección de Datos (el RGPD fija 72 horas para notificar una brecha de datos personales).

En resumen

• La directiva NIS2 amplía los sectores obligados a 18 áreas críticas y exige medidas estrictas de gestión de riesgos cibernéticos.
• La alta dirección asume la responsabilidad directa de aprobar y supervisar la estrategia de ciberseguridad, enfrentándose a posibles sanciones.
• Las pymes no reguladas también se ven afectadas por el efecto dominó, ya que las grandes empresas deben auditar la seguridad de sus proveedores.
• Ante un incidente grave, los plazos de notificación son muy exigentes: alerta en 24 horas, notificación en 72 horas e informe en un mes.
• El cumplimiento no se basa en comprar herramientas caras, sino en establecer procesos sólidos de prevención, respuesta a incidentes y continuidad de negocio.