La pregunta me la hacen casi cada semana en las primeras reuniones: «¿la NIS2 obliga a mi empresa o no?». Y la respuesta honesta es que depende, pero menos de lo que la gente cree. Mucha pyme da por hecho que esto va de grandes corporaciones o de bancos, se desentiende, y se lleva el susto cuando un cliente grande le manda un cuestionario de seguridad o cuando un proveedor suyo sufre un incidente y la cadena entera queda expuesta.
Vamos a aclararlo sin rodeos. Qué es la NIS2, a quién aplica de verdad, qué plazos hay encima de la mesa y qué tendrías que tener preparado si te toca.
Qué es la NIS2 y por qué debería importarte
La NIS2 es la directiva europea de ciberseguridad que sustituye a la primera NIS de 2016. La idea de fondo es sencilla: subir el listón de seguridad en los sectores que sostienen el funcionamiento del país, y hacer responsables a quienes los gestionan. No es una recomendación de buenas prácticas. Es una obligación legal con sanciones detrás.
En España la transposición aún no está cerrada del todo. Se aprobó una parte mediante el Real Decreto-ley 7/2025 y sigue en tramitación la Ley de Coordinación y Gobernanza de la Ciberseguridad, que terminará de poner orden. Aquí quiero ser claro con algo que oigo a menudo: «como la ley española no está publicada, esto no me afecta todavía». No funciona así. La directiva está en vigor a nivel europeo, las exigencias contractuales de tus clientes ya las estás viendo, y la transposición llegará. Prepararte ahora es mucho más barato que hacerlo a la carrera.
¿Te aplica a ti? El criterio en dos pasos
Para saber si entras hay que mirar dos cosas a la vez: el tamaño de tu empresa y el sector en el que operas.
Por tamaño, el umbral general son 50 o más empleados, o una facturación anual superior a 10 millones de euros. Si te quedas por debajo de ambos, en principio no eres una entidad obligada directa. Y digo «en principio» a propósito, porque hay matices que pillan a mucha gente.
Para salir de dudas en dos minutos, haz el test completo: ¿me aplica NIS2?.
Por sector, la NIS2 cubre 18 ámbitos divididos en dos grupos: sectores de alta criticidad (energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública…) y otros sectores críticos (fabricación, alimentación, gestión de residuos, servicios postales, química, investigación, proveedores digitales como plataformas o marketplaces). Si tu actividad encaja en uno de ellos y superas el umbral de tamaño, eres entidad «esencial» o «importante» según el caso, con obligaciones equivalentes y distinta intensidad de supervisión.
El matiz de la cadena de suministro
Aquí es donde muchas pymes que se creían a salvo entran por la puerta de atrás. Una empresa obligada por NIS2 tiene que controlar la seguridad de sus proveedores. ¿Qué significa eso para ti si eres su proveedor de software, su gestoría, su mantenedor informático o su fabricante de un componente? Que te van a exigir por contrato un nivel de seguridad determinado, aunque tú no llegues al umbral de los 50 empleados. No es teoría: es lo que ya estamos viendo en los cuestionarios de homologación de proveedores.
Mi consejo práctico: aunque creas que no te aplica de forma directa, si vendes a empresas grandes o a la Administración, da por hecho que la NIS2 va a llegarte por vía contractual. Adelantarte es una ventaja comercial, no solo un trámite.
Qué obligaciones trae, en cristiano
La directiva habla de «medidas técnicas y organizativas adecuadas y proporcionadas». Suena vago, así que lo aterrizo en lo que de verdad vas a tener que hacer:
- Análisis y gestión de riesgos. Saber qué activos tienes, qué te puede pasar y qué controles pones. No vale el «ya tenemos antivirus».
- Gestión de incidentes. Tener un procedimiento real para detectar, contener y notificar. Esto enlaza con los plazos de notificación, que te cuento abajo.
- Continuidad de negocio. Copias de seguridad que funcionen de verdad (probadas, no solo programadas) y un plan para seguir operando si caes.
- Seguridad de la cadena de suministro. Evaluar a tus proveedores críticos, igual que a ti te evalúan.
- Higiene básica y formación. Doble factor de autenticación, gestión de parches, control de accesos y, sobre todo, formar a la gente. El correo sigue siendo la puerta de entrada favorita.
- Cifrado y control de accesos. Donde haya información sensible, cifrado y el mínimo privilegio necesario.
Y hay un punto que conviene subrayar porque es nuevo respecto a la NIS anterior: la responsabilidad de la dirección. Los órganos de gestión tienen que aprobar las medidas, supervisarlas y formarse. Si hay un incumplimiento grave, la autoridad competente puede llegar a inhabilitar temporalmente a directivos. La seguridad deja de ser «cosa de informática» para sentarse en el consejo.
Los plazos de notificación: 24 horas, 72 horas, un mes
Si sufres un incidente significativo, el reloj corre. La NIS2 marca tres hitos:
- 24 horas: alerta temprana a la autoridad competente.
- 72 horas: notificación con una primera evaluación del incidente.
- 1 mes: informe final con causas, impacto y medidas tomadas.
Cumplir esto en mitad de una crisis, con los sistemas caídos y el teléfono echando humo, es muy difícil si no lo tienes preparado de antes. Por eso insisto tanto en el procedimiento de incidentes. La diferencia entre una empresa que notifica bien en 24 horas y otra que improvisa no es la suerte: es haberlo ensayado.
Las sanciones: cuánto duele equivocarse
Las multas escalan según seas entidad esencial o importante, pero el techo asusta: hasta 10 millones de euros o el 2% de la facturación anual mundial para las esenciales, lo que sea mayor. A eso se suma la posible responsabilidad personal de los directivos. No lo cuento para meter miedo barato, sino porque el cálculo cambia: invertir en seguridad deja de compararse con «lo que cuesta el ataque» y pasa a compararse también con «lo que cuesta la sanción por no haberte preparado».
Por dónde empezar si crees que te toca
Cuando una pyme nos llama agobiada con esto, lo primero que hacemos no es vender tecnología. Es ordenar. Un camino realista es este:
- Determinar si estás obligado, directa o contractualmente. Diez minutos de análisis te ahorran meses de dudas.
- Hacer un análisis de riesgos sobre tu entorno real, no una plantilla genérica. Qué activos son críticos y qué te dejaría parado.
- Cerrar la higiene básica: doble factor, copias probadas, parches al día, control de accesos. Es lo que más reduce el riesgo por menos dinero.
- Montar el procedimiento de incidentes con los plazos de notificación metidos dentro y los responsables claros.
- Revisar tu cadena de proveedores y, de paso, prepararte para responder a los cuestionarios de tus clientes.
Para una pyme sin equipo de seguridad propio, la figura del CISO externo o virtual resuelve gran parte de esto sin tener que contratar a una persona a jornada completa. No hace falta montar un departamento; hace falta tener criterio y un plan que se cumpla.
En resumen
La NIS2 no es un papel más. Es un cambio en cómo Europa entiende la ciberseguridad de las empresas que sostienen servicios importantes, y su efecto se nota hacia abajo en toda la cadena. Si superas los 50 empleados o los 10 millones y estás en uno de los sectores cubiertos, te aplica de forma directa. Si eres proveedor de alguien que sí entra, te va a llegar igual. En ambos casos, llegar con los deberes hechos es más barato y mucho menos estresante que esperar a la primera inspección o al primer cliente que te pida garantías.
Si no tienes claro en qué grupo cae tu empresa, esa es justo la primera conversación que merece la pena tener.
Cómo te ayudamos en CiberPYME
Fuentes oficiales
Si tu empresa está en la Comunitat, en la página de ciberseguridad para empresas en Valencia explicamos los umbrales de NIS2 con el estado real de la transposición y cómo llega el efecto cascada a la auxiliar de Almussafes y a los operadores del puerto.
