Cada vegada més pimes reben d'un client un qüestionari de seguretat o una clàusula nova al contracte que esmenta «NIS2». Encara que la directiva no s'adreça a totes les empreses, el seu efecte en la cadena de subministrament arriba a moltes més de les que hi estan directament obligades. T'expliquem què és NIS2, a qui afecta, com saber si et toca i quines mesures convé tenir preparades.
Què és NIS2
NIS2 és la Directiva (UE) 2022/2555, la norma europea que eleva el nivell mínim de ciberseguretat en els sectors més importants per a l'economia i la societat. Substitueix la primera directiva NIS, amplia molt els sectors inclosos i obliga les entitats afectades a gestionar els seus riscos, notificar els incidents greus i respondre davant de les autoritats. Cada país l'ha d'incorporar a la seva legislació nacional.
A Espanya, la transposició s'està tramitant a través de la Ley de Coordinación y Gobernanza de la Ciberseguridad. El seu estat canvia ràpidament, així que convé consultar en quina fase de tramitació es troba en el moment en què llegeixis aquest article abans de donar res per fet, en especial terminis i règim sancionador.
M'afecta? Els criteris bàsics
La directiva s'aplica, com a regla general, a entitats mitjanes i grans que operen en els sectors dels seus annexos. Es considera mitjana una empresa a partir de 50 empleats o amb més de 10 milions d'euros de facturació. Hi ha, a més, algunes excepcions en què s'inclouen entitats més petites.
| La teva situació | T'afecta directament? | Què pot passar? |
|---|---|---|
| Empresa de 50 o més empleats, o amb més de 10 M€ de facturació, en un sector dels annexos I o II | Sí, probablement | Obligacions de gestió de riscos i notificació d'incidents |
| Empresa mitjana o gran d'un sector no inclòs als annexos | No directament | Pots rebre exigències de clients que sí que hi estan obligats |
| Pime de menys de 50 empleats en un sector dels annexos | Normalment no | Algunes excepcions: proveïdors de DNS, de serveis de confiança o administració pública, entre d'altres |
| Pime proveïdora d'una entitat regulada (programari, TI, logística, fabricació…) | No directament, però sí per contracte | Requisits de seguretat, qüestionaris i auditories dels teus clients |
Els sectors dels annexos inclouen, entre d'altres, energia, transport, banca, sanitat, aigua, infraestructura digital, gestió de serveis TIC per a empreses, administració pública, serveis postals, gestió de residus, indústria química, alimentació, determinades indústries de fabricació i proveïdors digitals. Si la teva activitat és en un d'aquests i superes el llindar de mida, el prudent és revisar el cas amb un assessor.
L'efecte per a les pimes: la cadena de subministrament
La part que més preocupa les petites empreses és aquesta: l'article 21 de la directiva obliga les entitats regulades a gestionar la seguretat de la seva cadena de subministrament. A la pràctica, un hospital, un distribuïdor, un fabricant o un operador de transport haurà d'assegurar-se que els seus proveïdors es prenen seriosament la seguretat. Per això una pime que ni tan sols és dins de l'àmbit de la norma es pot trobar amb:
Quines mesures demana la directiva
La directiva no imposa una llista de productes, sinó mesures de gestió del risc «adequades i proporcionades». Aquestes són les àrees principals:
| Àrea | En paraules senzilles | Exemple en una pime |
|---|---|---|
| Gestió de riscos | Saber quins actius tens i quines amenaces els afecten | Inventari d'equips i serveis, i una revisió anual de riscos |
| Gestió d'incidents | Detectar, respondre i notificar | Procediment escrit: a qui s'avisa i qui decideix |
| Continuïtat i còpies de seguretat | Poder continuar funcionant i recuperar-te | Còpies 3-2-1 amb proves de restauració i un pla de recuperació |
| Seguretat de la cadena de subministrament | Exigir i vigilar la seguretat dels teus proveïdors | Clàusules contractuals i revisió de proveïdors crítics |
| Control d'accés i MFA | Que només hi entri qui ha d'entrar, i amb doble verificació | MFA al correu i als accessos remots; permisos mínims |
| Formació | Que el personal sàpiga reconèixer els riscos | Sessions periòdiques sobre phishing i bones pràctiques |
La directiva preveu també un calendari de notificació d'incidents significatius: un avís primerenc en 24 hores, una notificació més completa en 72 hores i un informe final en el termini d'un mes. A més, fa responsables la direcció de les entitats afectades d'aprovar i supervisar aquestes mesures. Com es concretarà tot plegat a Espanya dependrà del text final de la llei.
Actualitzacions, antivirus, còpies i suport en remot, amb un sol interlocutor.
Què et recomanem fer
- Esbrina la teva posició: ets en un sector dels annexos i superes la mida? O ets proveïdor d'una entitat que sí que hi és?
- Fes un inventari d'equips, servidors, aplicacions i serveis al núvol, amb qui és responsable de cadascun.
- Reforça el que és bàsic: còpies de seguretat provades, actualitzacions al dia, MFA i control d'accessos. És el que més demanen els clients i el que més risc redueix. Consulta la nostra guia contra el ransomware.
- Redacta un procediment d'incidents: qui avisa qui, com s'aïllen els equips i com es restaura.
- Revisa els teus propis proveïdors, sobretot els que tenen accés a les teves dades o als teus sistemes.
- Documenta el que fas: polítiques, registres de formació i proves de restauració. És el que et demanaran quan arribi el qüestionari.
Errors habituals davant de NIS2
- Ignorar-ho per ser petit: encara que no hi estiguis obligat, els teus clients sí que poden estar-hi i traslladar-te les exigències.
- Donar per fet que ja hi ha una obligació concreta a Espanya sense comprovar l'estat actual de la llei.
- Comprar un producte «NIS2»: el compliment depèn de processos, persones i mesures, no d'una sola eina.
- Confiar en còpies que mai no s'han restaurat i no revisar si cobreixen Microsoft 365 o la base de dades de l'ERP.
- Deixar la ciberseguretat només a mans de «l'informàtic» sense que la direcció la conegui ni l'aprovi.
Preguntes freqüents sobre NIS2
Què és NIS2?
És la Directiva (UE) 2022/2555, que estableix requisits mínims de ciberseguretat i notificació d'incidents per a entitats de sectors essencials i importants de la Unió Europea.
NIS2 afecta les pimes?
Directament, només a mitjanes i grans entitats dels sectors dels seus annexos, amb algunes excepcions d'entitats més petites. Però moltes pimes se'n veuen afectades de manera indirecta perquè els seus clients regulats els exigeixen seguretat al contracte.
Quan és obligatòria a Espanya?
La transposició es tramita mitjançant la Ley de Coordinación y Gobernanza de la Ciberseguridad. Comprova a les fonts oficials quin és el seu estat actual, perquè canvia amb el temps.
El meu client m'ha demanat complir NIS2: què faig?
Pregunta-li quines mesures concretes necessita i comença per les bàsiques: còpies provades, MFA, actualitzacions, control d'accessos i un procediment d'incidents. Un proveïdor informàtic et pot ajudar a documentar-les.
Quina relació té NIS2 amb les còpies de seguretat?
La continuïtat de negoci i la recuperació davant d'incidents formen part de les mesures de gestió de riscos. Una estratègia com la regla 3-2-1, amb proves de restauració, és una bona base.
Cal una certificació per complir?
La directiva no exigeix una certificació concreta a totes les entitats. L'important és aplicar mesures adequades i poder demostrar-ho; alguns clients poden demanar, a més, certificats específics.
CSI t'ajuda a preparar-te
A CSI, amb més de 1.000 clients des del 1988, ajudem les empreses a posar ordre a la seva seguretat: ciberseguretat, còpies de seguretat, Microsoft 365 al núvol i manteniment preventiu, amb suport en català i castellà. Si un client t'ha demanat garanties de seguretat, explica'ns el teu cas.
Article informatiu actualitzat a l'octubre de 2026. No substitueix l'assessorament jurídic; l'estat de la normativa espanyola s'ha de consultar a les fonts oficials.