Directiva NIS2 en España: ¿Afecta a tu pyme y qué debes hacer?
Si eres CEO, gerente o responsable IT de una pyme española y llevas meses escuchando hablar de la NIS2 sin tener claro si te afecta o qué debes hacer exactamente, esta guía es para ti. Sin tecnicismos innecesarios, sin alarmar sin motivo, pero tampoco minimizando lo que realmente está en juego.
La Directiva NIS2 (Network and Information Security 2) es la normativa europea de ciberseguridad más ambiciosa hasta la fecha. Amplía enormemente el número de empresas obligadas, endurece las sanciones y — esto es lo que muchos directivos no saben — hace a los CEO y consejos de administración personalmente responsables del cumplimiento.
España aprobó el anteproyecto de transposición en enero de 2025 y la ley definitiva se espera a lo largo de 2026. Las inspecciones ya están comenzando. Lo que explico aquí es lo que cualquier empresa debería tener claro ahora mismo.
La normativa
¿Qué es la Directiva NIS2 y en qué se diferencia de NIS1?
La NIS2 es la actualización de la directiva europea de seguridad de redes y sistemas de información aprobada en 2022 y en vigor desde enero de 2023. Sustituye a la NIS1 de 2016, que solo cubría unos 400 operadores esenciales muy específicos en España.
La NIS2 lo cambia todo. De 7 sectores obligados pasa a 18. De unos pocos cientos de empresas en España a potencialmente entre 5.000 y 50.000 entidades. Y lo más importante: ya no solo afecta a grandes corporaciones.
NIS1 (hasta ahora)
- 7 sectores obligados
- Solo grandes operadores
- ~400 empresas en España
- Sanciones moderadas
- Sin responsabilidad personal directiva
NIS2 (desde 2026)
- 18 sectores obligados
- Medianas empresas incluidas
- 5.000–50.000 empresas en España
- Hasta 10M€ o 2% facturación global
- CEO responde personalmente
El diagnóstico
¿Afecta la NIS2 a tu empresa? El criterio exacto
La NIS2 distingue entre entidades esenciales e importantes. Estás obligado si cumples cualquiera de estos criterios:
Y operas en uno de los 18 sectores regulados. Esto te convierte en entidad importante. Si además superas los 250 empleados o 50M€ de facturación, eres entidad esencial con obligaciones aún más estrictas.
Aunque seas una pyme pequeña, si formas parte de la cadena de suministro de una entidad esencial (energía, banca, salud, logística…), NIS2 exige que esa entidad audite a sus proveedores, lo que te impacta indirectamente.
Las autoridades pueden incluir a empresas pequeñas si su servicio es considerado esencial para la economía o seguridad nacional, independientemente del tamaño.
Los 18 sectores obligados por NIS2
Obligaciones concretas
¿Qué tienes que implementar exactamente?
La NIS2 no dice «mejora tu ciberseguridad» de forma vaga. Establece medidas técnicas mínimas concretas y obligatorias. Estas son las principales:
Análisis de riesgos documentado y actualizado
Ya no vale decir «tenemos buenas prácticas de seguridad». Necesitas un análisis de riesgos formal, documentado, actualizado mínimo una vez al año, que identifique amenazas específicas, vulnerabilidades concretas y las medidas implementadas para mitigarlas.
Autenticación multifactor (MFA) obligatoria
La NIS2 exige explícitamente la implementación de autenticación de doble factor para todos los accesos a sistemas críticos. Contraseña sola ya no es suficiente. Esto incluye el correo corporativo, VPN, paneles de administración y cualquier sistema con datos sensibles.
Cifrado de datos y comunicaciones
Los datos sensibles deben estar cifrados tanto en reposo como en tránsito. Esto implica: conexiones VPN para trabajo remoto, cifrado de discos en portátiles corporativos, HTTPS en todos los sistemas y cifrado end-to-end en comunicaciones internas críticas.
Backups probados y plan de recuperación
No basta con tener copias de seguridad «configuradas». NIS2 exige copias de seguridad inalterables, probadas periódicamente y un plan de recuperación ante desastres documentado con tiempos de recuperación definidos. Si el backup no se ha probado, no existe.
Segmentación de redes
La red corporativa debe estar segmentada: empleados, invitados, dispositivos IoT y sistemas críticos en redes separadas con acceso controlado entre ellas. Si un empleado pincha en un phishing, la segmentación limita el daño al resto de sistemas.
Formación en ciberseguridad para empleados
El error humano es la principal puerta de entrada de los ataques. NIS2 obliga a implementar programas de formación y concienciación en ciberseguridad para todos los empleados, con métricas de seguimiento. No es opcional ni esporádico: debe ser continuo.
Notificación de incidentes en 24/72 horas
Si sufres un ciberataque significativo, tienes obligación legal de notificarlo al CSIRT nacional en menos de 24 horas (alerta temprana) y presentar informe formal en 72 horas. El incumplimiento de estos plazos es sancionable por sí solo, aunque el ataque no haya causado daños graves.
Responsable de seguridad designado (CISO o equivalente)
Debes designar formalmente a una persona responsable de la ciberseguridad de la empresa. No tiene que ser un CISO a tiempo completo — puede ser un consultor externo — pero debe estar identificado, con funciones claras y acceso a la dirección. Muchas pymes externalizan este rol.
Las consecuencias
Qué pasa si no cumples con NIS2
Multa máxima entidades esenciales
O el 2% de la facturación global anual, la que sea mayor. Para entidades importantes: hasta 7M€ o 1,4% de facturación.
Responsabilidad personal del directivo
El CEO puede ser inhabilitado temporalmente si hay negligencia demostrable. No se puede delegar esto al informático y olvidarse.
Publicación de la sanción
Las sanciones se publican. El daño reputacional ante clientes y proveedores puede superar al económico en muchos casos.
⚠️ Importante: las sanciones no requieren que hayas sufrido un ataque. Basta con que una inspección detecte que no tienes las medidas obligatorias implementadas, aunque nunca hayas tenido un incidente.
Herramientas recomendadas
Soluciones concretas para cumplir NIS2 sin grandes presupuestos
Estas son las herramientas que implanto en mis clientes pymes para cubrir los requisitos técnicos más habituales de NIS2:
VPN corporativa — cifrado en tránsito
NordVPN para equipos cubre el cifrado de comunicaciones del personal remoto, uno de los requisitos técnicos explícitos de NIS2. Gestión centralizada de usuarios y servidores dedicados disponibles.
Cifrado AES-256 Gestión centralGestión de accesos — MFA y contraseñas
NordPass para empresas cubre la gestión centralizada de contraseñas con MFA integrado. Permite controlar qué empleado accede a qué credencial y revocar accesos al instante si alguien deja la empresa.
MFA incluido Control de accesosBackup en la nube — continuidad de negocio
Hostinger o soluciones equivalentes para backups automáticos y cifrados. NIS2 exige copias inalterables probadas. Un backup que nunca se ha restaurado no cumple el requisito.
Backup automático CifradoSuite corporativa — email y colaboración segura
Google Workspace o Microsoft 365 con las políticas de seguridad correctamente configuradas cubren varios requisitos NIS2: MFA, cifrado de email, control de accesos y auditoría de actividad.
Auditoría actividad MFA nativoPor dónde empezar
Plan de acción en 4 pasos para pymes
Si estás leyendo esto y aún no has empezado, no entres en pánico. Pero sí actúa esta semana.
Confirma si te aplica
Comprueba sector, número de empleados y facturación. Si estás en la frontera, mejor asumir que aplica y hacer el análisis. El coste de prepararse es menor que el de una sanción.
Haz un diagnóstico de brecha
Compara tu situación actual con los requisitos mínimos de NIS2. ¿Tienes MFA? ¿Backups probados? ¿Segmentación de red? ¿Política de contraseñas documentada? Identifica los gaps.
Prioriza e implementa
Empieza por las medidas de mayor impacto y menor esfuerzo: MFA en correo y VPN, gestor de contraseñas centralizado, backup en la nube probado. Esto cubre el 80% del riesgo de sanción con el 20% del esfuerzo.
Documenta y designa responsable
NIS2 no es solo implementar tecnología: es demostrar que lo has hecho. Documenta las medidas, designa un responsable de seguridad (puede ser externo) y establece el protocolo de notificación de incidentes.
Para empresas en Barcelona
¿Necesitas saber si tu empresa cumple con NIS2?
Hago diagnósticos de cumplimiento NIS2 para pymes en Barcelona y área metropolitana. En una sesión de trabajo identificamos qué medidas tienes ya cubiertas, cuáles son urgentes y un plan de implementación priorizado por coste e impacto. Sin tecnicismos, con resultados concretos que puedes presentar a tu dirección.
Diagnóstico de aplicabilidad NIS2 a tu empresa
Análisis de brecha vs. requisitos mínimos
Plan de implementación priorizado con presupuesto
Soporte en la implementación técnica si lo necesitas
También disponible como parte del servicio de soporte IT mensual
Preguntas frecuentes
Lo que me preguntan sobre NIS2
¿Cuándo entra en vigor NIS2 en España exactamente?
La directiva europea lleva vigente desde enero de 2023. España debía transponerla antes de octubre de 2024 pero llegó con retraso. El anteproyecto de ley se aprobó en enero de 2025 y la ley definitiva se espera a lo largo de 2026. Sin embargo, las inspecciones ya están comenzando y la excusa de «la ley no está aprobada en España» no protege de sanciones europeas.
Mi empresa tiene 45 empleados y 8 millones de facturación. ¿Me afecta?
Con esos números estás por debajo del umbral general (50 empleados o 10M€). Sin embargo, si tu actividad se considera crítica, si eres proveedor de entidades esenciales, o si las autoridades te designan específicamente, puedes estar obligado igualmente. Mi recomendación: hacer el diagnóstico de aplicabilidad para salir de dudas.
¿Necesito contratar a alguien dedicado a ciberseguridad?
NIS2 exige designar un responsable de seguridad, pero no tiene que ser un empleado a tiempo completo. Para pymes, la figura del consultor IT externo que ejerce de CISO virtual es perfectamente válida y es lo que muchas empresas están optando. Lo importante es que haya una persona identificada con responsabilidades claras.
¿NIS2 y RGPD son lo mismo?
No, aunque se complementan. El RGPD regula la protección de datos personales. NIS2 regula la seguridad de redes y sistemas de información. En caso de incidente que implique ambas normativas, el RGPD tiene rango superior y sus sanciones pueden ser aún mayores (hasta 20M€ o 4% de facturación global).
¿Cuánto cuesta adaptarse a NIS2 para una pyme?
Depende mucho de tu punto de partida. Si ya tienes buenas prácticas básicas implementadas, el coste de adaptación formal puede estar entre 3.000 y 8.000€ (diagnóstico, documentación, implementación de medidas pendientes). Si partes de cero en ciberseguridad, el coste es mayor pero sigue siendo muy inferior al riesgo de una sanción. Puedes contactarme para una estimación personalizada.
Las inspecciones NIS2 ya han comenzado en España
No esperes a que te llegue una notificación. El diagnóstico de cumplimiento es el primer paso y te da claridad sobre qué debes hacer y en qué orden. Lo hago en Barcelona con informe ejecutivo incluido.
Solicitar diagnóstico NIS2 gratuito →
