NIS2 para pymes: qué cambia y qué tienes que hacer

¿Qué es NIS2 y por qué debería importarte?

NIS2 (Directiva UE 2022/2555) es la actualización de la primera directiva europea de ciberseguridad, y amplía de forma notable quién está obligado a cumplirla. La versión anterior se centraba en grandes operadores de infraestructuras críticas —energía, banca, transporte—. NIS2 añade sectores enteros y, sobre todo, baja el umbral de tamaño de empresa afectada: ya no hace falta ser una multinacional para estar dentro del alcance.

La idea de fondo es sencilla: los servicios esenciales de una economía moderna dependen de una red de proveedores, y un eslabón débil en esa cadena puede comprometer a todos los demás. Por eso NIS2 no solo exige proteger tus propios sistemas, sino también gestionar el riesgo que introducen tus proveedores.

¿Quién está obligado?

A grandes rasgos, NIS2 aplica a empresas medianas y grandes (en términos generales, más de 50 empleados o más de 10 millones de euros de facturación anual) que operan en sectores clasificados como esenciales o importantes. Entre ellos:

• Energía, transporte, banca e infraestructuras de mercados financieros
• Sanidad, agua potable y aguas residuales
• Infraestructura digital, proveedores de servicios TIC gestionados y centros de datos
• Administración pública
• Fabricación de productos críticos, alimentación, gestión de residuos y servicios postales
• Proveedores digitales: mercados en línea, motores de búsqueda, redes sociales

Un matiz importante: aunque tu empresa no esté directamente en una de estas categorías, si eres proveedor de una empresa que sí lo está, es muy probable que te pidan garantías de seguridad equivalentes por contrato. NIS2 se propaga por la cadena de suministro, no se queda en el primer eslabón.

Qué exige en la práctica

Más allá del texto legal, NIS2 se traduce en un conjunto de medidas de gestión de riesgo razonablemente concretas:

• Análisis y gestión de riesgos documentado y actualizado, no un ejercicio puntual.
• Notificación de incidentes significativos a la autoridad competente en plazos muy ajustados —una alerta temprana en 24 horas, un informe más detallado en 72 horas—.
• Seguridad de la cadena de suministro: evaluar el riesgo que introducen tus proveedores tecnológicos.
• Medidas técnicas básicas: gestión de vulnerabilidades, cifrado, copias de seguridad probadas, autenticación multifactor en accesos críticos.
• Formación en ciberseguridad para el personal, incluyendo a los órganos de dirección.
• Planes de continuidad y respuesta ante incidentes documentados, no improvisados el día del incidente.
• Gobernanza: la responsabilidad última recae sobre los órganos de dirección, que pueden ser considerados responsables en caso de incumplimiento grave.

Plazos y consecuencias del incumplimiento

Cada estado miembro traspone la directiva a su legislación nacional, por lo que los plazos exactos y el régimen sancionador concreto dependen de la normativa española vigente en cada momento. Lo que sí es consistente en toda la Unión Europea es el enfoque: sanciones significativas para las infracciones graves, en línea con el modelo ya conocido del RGPD, y la posibilidad de que la dirección de la empresa asuma responsabilidad personal por negligencia manifiesta.

Este artículo tiene fines informativos y no sustituye el asesoramiento legal específico sobre tu situación. Si tienes dudas sobre si tu empresa está obligada y en qué plazos, conviene confirmarlo con un asesor legal o con nuestro equipo.

Cómo empezar, en cuatro pasos

1. Determina si estás dentro del alcance, ya sea de forma directa o como proveedor de una empresa obligada.
2. Haz un diagnóstico honesto de dónde estás hoy: qué controles existen, cuáles faltan y qué tan documentado está todo.
3. Prioriza: no hay que resolverlo todo el primer mes. Empieza por lo que reduce más riesgo con menos esfuerzo —MFA, copias de seguridad probadas, un plan de respuesta básico—.
4. Documenta y mantén: NIS2 premia los procesos vivos, no las políticas que se escriben una vez y se archivan.

Nuestro test gratuito de NIS2 traduce estas preguntas en un nivel de riesgo concreto para tu empresa en cinco minutos, y el plan Gobernanza incluye acompañamiento completo en la adecuación.