NIS2 es la directiva europea de ciberseguridad que amplía mucho el número de empresas obligadas a protegerse y a notificar incidentes. Se habla tanto de ella que muchos gerentes de pymes se preguntan si les toca. La respuesta corta: a la mayoría de pequeñas empresas no les obliga directamente, pero sí les va a llegar a través de sus clientes.
Estado en España
A octubre de 2026, España todavía no ha aprobado la ley que traslada NIS2 a su ordenamiento. El Gobierno aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en enero de 2025. Actualizaremos esta guía cuando la ley se publique en el BOE, porque puede ajustar detalles de lo que se explica aquí.
¿A quién obliga?
La directiva se aplica, con carácter general, a empresas medianas y grandes (a partir de 50 empleados o 10 millones de euros de facturación) que trabajan en determinados sectores:
- Sectores de alta criticidad: energía, transporte, banca, sanidad, agua, infraestructura digital, gestión de servicios TIC entre empresas, administración pública y espacio.
- Otros sectores críticos: servicios postales, gestión de residuos, química, alimentación, fabricación de determinados productos, proveedores digitales e investigación.
Algunas entidades están obligadas sea cual sea su tamaño, como ciertos proveedores de servicios de confianza o de DNS. Pero una gestoría, un despacho o una clínica pequeña, por sí mismas, normalmente quedan fuera.
Por qué te afecta aunque no te obligue
NIS2 obliga a las empresas incluidas a controlar la seguridad de su cadena de suministro, es decir, de sus proveedores. Si trabajas para una empresa obligada, es probable que empiece a pedirte cosas: cuestionarios de seguridad, doble factor en los accesos que te da, cláusulas en los contratos o evidencias de que proteges sus datos.
Además, si tu proveedor informático gestiona servicios para empresas, puede estar dentro del ámbito de NIS2 y cambiar su forma de trabajar contigo.
Qué exige a las empresas obligadas
Aunque no te obligue, la lista de medidas de NIS2 es una buena referencia de lo que se considera razonable hoy:
- Análisis de riesgos y políticas de seguridad.
- Gestión de incidentes y continuidad del negocio, incluidas las copias de seguridad.
- Seguridad de la cadena de suministro.
- Control de accesos y autenticación multifactor.
- Formación en ciberseguridad, también para la dirección.
- Notificación de incidentes graves: un primer aviso en 24 horas, una notificación en 72 horas y un informe final en un mes.
La directiva también hace responsable a la dirección de aprobar y supervisar estas medidas, y fija multas de hasta 10 millones de euros o el 2 % de la facturación mundial para las entidades esenciales, y de hasta 7 millones o el 1,4 % para las importantes.
Qué haría una pyme sensata ahora
- Mirar si alguno de tus clientes grandes está en los sectores de NIS2: son los que te pedirán cosas.
- Tener lo básico en orden: doble factor, copias probadas, equipos actualizados y un equipo formado.
- Poder demostrarlo por escrito cuando llegue el primer cuestionario.
Es exactamente lo que deja hecho un diagnóstico: el estado real de tu empresa, un plan con prioridades y un informe que puedes enseñar a un cliente. Ver cómo es la auditoría.