NIS2 para pymes en España: a quién afecta y qué puedes hacer ya

Qué es NIS2

NIS2 es la segunda directiva europea sobre seguridad de redes y sistemas de información. Sustituye a la primera y amplía mucho a quién se aplica y qué se exige. Una directiva no se aplica sola: cada país la traslada a su propia ley, y esa ley nacional fija las obligaciones concretas.

Las medidas de fondo son sensatas para cualquier empresa: gestionar riesgos, tener un plan para incidentes, proteger la cadena de proveedores, usar doble factor y cifrado cuando corresponda, formar a las personas y tener copias y continuidad. Para los incidentes graves, la directiva habla de una alerta temprana en 24 horas y una notificación en 72.

A quién afecta

• Dos categorías: entidades «esenciales» y «importantes», según el sector y el tamaño.
• Sectores: energía, transporte, banca, salud, agua, infraestructura digital y servicios TIC, entre los más críticos. También servicios postales, gestión de residuos, productos químicos, alimentación, fabricación, proveedores digitales e investigación.
• Tamaño: en general, de empresa mediana en adelante. Una microempresa o pequeña empresa suele quedar fuera, con algunas excepciones por su papel crítico.

Si no sabes si te afecta, pregúntalo a tu asesor o consulta la ley española cuando se publique: el listado exacto depende de la norma de cada país.

Aunque no estés obligado: el efecto cadena

NIS2 exige a las empresas obligadas vigilar la seguridad de sus proveedores. En la práctica, si vendes servicios a una empresa grande, a una industria, a un hospital o a una administración, es probable que te pidan un cuestionario de seguridad, cláusulas en el contrato o pruebas de que tomas medidas básicas.

Tener esto ordenado antes de que te lo pidan es una ventaja comercial: contratar contigo da menos trabajo y menos riesgo.

En qué punto está en España

La directiva debía estar traspuesta en la ley de cada país el 17 de octubre de 2024. España la está llevando a su ordenamiento a través del proyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad. A 15 de octubre de 2026, las fuentes que hemos consultado indican que la ley aún no se ha aprobado ni publicado en el BOE. Mientras tanto, sigue aplicándose la normativa anterior a los sectores que ya estaban obligados.

Este punto puede cambiar. Antes de tomar decisiones, consulta el BOE y las webs del INCIBE y del Centro Criptológico Nacional.

Ocho medidas básicas que valen con ley o sin ella

1. Haz una lista de lo que tienes: equipos, programas, cuentas en la nube y quién accede a qué.
2. Activa el doble factor (2FA) en correo, banca, administración de la web y accesos remotos.
3. Ten copias de seguridad probadas y fuera de línea. Aquí tienes la regla 3-2-1.
4. Mantén todo actualizado: equipos, programas, router y web.
5. Ten un plan de incidentes en un papel: quién llama a quién. La guía de ransomware es un buen punto de partida.
6. Revisa a tus proveedores clave: dónde están tus datos y qué pasa si dejan de funcionar.
7. Protege el correo de tu dominio con SPF, DKIM y DMARC, para que nadie pueda suplantarte. Mira también el fraude del falso jefe.
8. Forma a tu equipo con ratos cortos, empezando por cómo detectar un correo falso. Si hay datos personales, recuerda también la brecha de datos.

Preguntas frecuentes

Sigue leyendo

• SPF, DKIM y DMARC: qué son y cómo configurarlos para que nadie suplante tu correo5 min de lectura
• Doble factor de autenticación (2FA) en tu empresa: qué es y cómo activarlo4 min de lectura
• ¿Cuánto cuesta una auditoría de ciberseguridad para una pyme?4 min de lectura

Fuentes y más información

• Directiva (UE) 2022/2555 (NIS2), EUR-Lex
• BOE: Boletín Oficial del Estado
• INCIBE: ciberseguridad para empresas
• Centro Criptológico Nacional (CCN)

Esta guía es orientativa y no sustituye el asesoramiento técnico o legal de un profesional. Se actualiza cuando cambian los hechos.