Cada vez más pymes reciben de un cliente un cuestionario de seguridad o una cláusula nueva en el contrato que menciona «NIS2». Aunque la directiva no se dirige a todas las empresas, su efecto en la cadena de suministro sí llega a muchas más de las que están directamente obligadas. Te explicamos qué es NIS2, a quién afecta, cómo saber si te toca y qué medidas conviene tener preparadas.
Qué es NIS2
NIS2 es la Directiva (UE) 2022/2555, la norma europea que eleva el nivel mínimo de ciberseguridad en los sectores más importantes para la economía y la sociedad. Sustituye a la primera directiva NIS, amplía mucho los sectores incluidos y obliga a las entidades afectadas a gestionar sus riesgos, notificar los incidentes graves y responder ante las autoridades. Cada país debe incorporarla a su legislación nacional.
En España, la transposición se está tramitando a través de la Ley de Coordinación y Gobernanza de la Ciberseguridad. Su estado cambia con rapidez, así que conviene consultar en qué fase de tramitación se encuentra en el momento en que leas este artículo antes de dar nada por hecho, en especial plazos y régimen sancionador.
¿Me afecta? Los criterios básicos
La directiva se aplica, como regla general, a entidades medianas y grandes que operan en los sectores de sus anexos. Se considera mediana una empresa a partir de 50 empleados o con más de 10 millones de euros de facturación. Existen además algunas excepciones en las que se incluye a entidades más pequeñas.
| Tu situación | ¿Te afecta directamente? | ¿Qué puede pasar? |
|---|---|---|
| Empresa de 50 o más empleados, o más de 10 M€ de facturación, en un sector de los anexos I o II | Sí, probablemente | Obligaciones de gestión de riesgos y notificación de incidentes |
| Empresa mediana o grande de un sector no incluido en los anexos | No directamente | Puedes recibir exigencias de clientes que sí están obligados |
| Pyme de menos de 50 empleados en un sector de los anexos | Normalmente no | Algunas excepciones: proveedores de DNS, de servicios de confianza o administración pública, entre otros |
| Pyme proveedora de una entidad regulada (software, TI, logística, fabricación…) | No directamente, pero sí por contrato | Requisitos de seguridad, cuestionarios y auditorías de tus clientes |
Los sectores de los anexos incluyen, entre otros, energía, transporte, banca, sanidad, agua, infraestructura digital, gestión de servicios TIC para empresas, administración pública, servicios postales, gestión de residuos, industria química, alimentación, determinadas industrias de fabricación y proveedores digitales. Si tu actividad está en uno de ellos y superas el umbral de tamaño, lo prudente es revisar tu caso con un asesor.
El efecto para las pymes: la cadena de suministro
La parte que más preocupa a las pequeñas empresas es esta: el artículo 21 de la directiva obliga a las entidades reguladas a gestionar la seguridad de su cadena de suministro. En la práctica, un hospital, una distribuidora, un fabricante o un operador de transporte tendrá que asegurarse de que sus proveedores se toman en serio la seguridad. Por eso una pyme que ni siquiera está dentro del ámbito de la norma puede encontrarse con:
Qué medidas pide la directiva
La directiva no impone una lista de productos, sino medidas de gestión del riesgo «adecuadas y proporcionadas». Estas son las áreas principales:
| Área | En palabras sencillas | Ejemplo en una pyme |
|---|---|---|
| Gestión de riesgos | Saber qué activos tienes y qué amenazas los afectan | Inventario de equipos y servicios, y una revisión anual de riesgos |
| Gestión de incidentes | Detectar, responder y notificar | Procedimiento escrito: a quién se avisa y quién decide |
| Continuidad y copias de seguridad | Poder seguir funcionando y recuperarte | Copias 3-2-1 con pruebas de restauración y un plan de recuperación |
| Seguridad de la cadena de suministro | Exigir y vigilar la seguridad de tus proveedores | Cláusulas contractuales y revisión de proveedores críticos |
| Control de acceso y MFA | Que solo entre quien debe, y con doble verificación | MFA en correo y accesos remotos; permisos mínimos |
| Formación | Que el personal sepa reconocer los riesgos | Sesiones periódicas sobre phishing y buenas prácticas |
La directiva prevé también un calendario de notificación de incidentes significativos: un aviso temprano en 24 horas, una notificación más completa en 72 horas y un informe final en el plazo de un mes. Además, hace responsables a la dirección de las entidades afectadas de aprobar y supervisar estas medidas. Cómo se concretará todo ello en España dependerá del texto final de la ley.
Actualizaciones, antivirus, copias y soporte en remoto, con un solo interlocutor.
Qué te recomendamos hacer
- Averigua tu posición: ¿estás en un sector de los anexos y superas el tamaño? ¿O eres proveedor de una entidad que sí lo está?
- Haz un inventario de equipos, servidores, aplicaciones y servicios en la nube, con quién es responsable de cada uno.
- Refuerza lo básico: copias de seguridad probadas, actualizaciones al día, MFA y control de accesos. Es lo que más piden los clientes y lo que más riesgo reduce. Consulta nuestra guía contra el ransomware.
- Redacta un procedimiento de incidentes: quién avisa a quién, cómo se aíslan los equipos y cómo se restaura.
- Revisa a tus propios proveedores, sobre todo los que tienen acceso a tus datos o tus sistemas.
- Documenta lo que haces: políticas, registros de formación y pruebas de restauración. Es lo que te pedirán cuando llegue el cuestionario.
Errores habituales ante NIS2
- Ignorarlo por ser pequeño: aunque no estés obligado, tus clientes sí pueden estarlo y trasladarte las exigencias.
- Dar por hecho que ya existe una obligación concreta en España sin comprobar el estado actual de la ley.
- Comprar un producto «NIS2»: el cumplimiento depende de procesos, personas y medidas, no de una sola herramienta.
- Confiar en copias que nunca se han restaurado y no revisar si cubren Microsoft 365 o la base de datos del ERP.
- Dejar la ciberseguridad solo en manos de «el informático» sin que la dirección la conozca ni la apruebe.
Preguntas frecuentes sobre NIS2
¿Qué es NIS2?
Es la Directiva (UE) 2022/2555, que establece requisitos mínimos de ciberseguridad y notificación de incidentes para entidades de sectores esenciales e importantes de la Unión Europea.
¿NIS2 afecta a las pymes?
Directamente, solo a medianas y grandes entidades de los sectores de sus anexos, con algunas excepciones de entidades más pequeñas. Pero muchas pymes se ven afectadas de forma indirecta porque sus clientes regulados les exigen seguridad en el contrato.
¿Cuándo es obligatoria en España?
La transposición se tramita mediante la Ley de Coordinación y Gobernanza de la Ciberseguridad. Comprueba en las fuentes oficiales cuál es su estado actual, porque cambia con el tiempo.
¿Mi cliente me ha pedido cumplir NIS2: qué hago?
Pregúntale qué medidas concretas necesita y empieza por las básicas: copias probadas, MFA, actualizaciones, control de accesos y un procedimiento de incidentes. Un proveedor informático puede ayudarte a documentarlas.
¿Qué relación tiene NIS2 con las copias de seguridad?
La continuidad de negocio y la recuperación ante incidentes forman parte de las medidas de gestión de riesgos. Una estrategia como la regla 3-2-1, con pruebas de restauración, es una buena base.
¿Hace falta una certificación para cumplir?
La directiva no exige una certificación concreta para todas las entidades. Lo importante es aplicar medidas adecuadas y poder demostrarlo; algunos clientes pueden pedir además certificados específicos.
CSI te ayuda a prepararte
En CSI, con más de 1.000 clientes desde 1988, ayudamos a las empresas a poner orden en su seguridad: ciberseguridad, copias de seguridad, Microsoft 365 en la nube y mantenimiento preventivo, con soporte en catalán y castellano. Si un cliente te ha pedido garantías de seguridad, cuéntanos tu caso.
Artículo informativo actualizado a octubre de 2026. No sustituye el asesoramiento jurídico; el estado de la normativa española debe consultarse en las fuentes oficiales.