NIS2 y tu pyme: ¿de verdad te afecta? La respuesta honesta

Artículo de mayo de 2026. La ley española que transpone la NIS2 puede haber avanzado desde entonces: si te afecta, consulta el texto vigente.

Desde hace meses no paran de llegar correos, anuncios y publicaciones con el mismo mensaje: "La NIS2 obligará a tu empresa a cumplir o te enfrentarás a multas de hasta 10 millones de euros". Si tienes una pyme de 10, 20 o 30 empleados, probablemente lo has leído y te has preocupado. La buena noticia es que, para la mayoría de pequeñas empresas, ese mensaje es engañoso. La menos buena es que la NIS2 te va a afectar de todos modos, aunque de una forma distinta a la que te están contando.

Vamos a separar el ruido de la realidad, sin alarmismos y sin tecnicismos.

Qué es la NIS2 (en una frase)

La NIS2 es una directiva europea de ciberseguridad que obliga a determinadas empresas y organismos a aplicar medidas de protección, notificar los incidentes graves y responsabilizar directamente a sus administradores de que todo eso se cumpla. Sustituye a la anterior directiva NIS de 2016 y amplía enormemente el número de organizaciones afectadas: de unas 15.000 en toda la UE a más de 160.000.

En España, a fecha de hoy, la ley que la transpone todavía no se ha publicado en el BOE. El plazo europeo venció en octubre de 2024 y seguimos esperando el texto definitivo. Esto significa que hay margen para prepararse, pero también incertidumbre sobre los detalles finales.

La pregunta que de verdad importa: ¿me obliga a mí?

Aquí es donde la mayoría de artículos te asustan sin matizar. La NIS2 se aplica directamente a entidades que cumplen dos condiciones a la vez:

• Tamaño: más de 50 empleados o más de 10 millones de euros de facturación anual.
• Sector: operar en uno de los 18 sectores considerados esenciales o importantes (energía, sanidad, banca, agua, transporte, infraestructura digital, administración pública, fabricación de productos críticos, etc.).

Es decir: si tienes una pyme de 15 empleados que se dedica a la asesoría, el comercio o los servicios profesionales, y facturas menos de 10 millones, la NIS2 no te obliga directamente. Punto. Quien te diga lo contrario para venderte un servicio urgente no está siendo del todo honesto.

Entonces, ¿por qué te afecta igual?

Por el llamado efecto cascada, y esta es la parte que casi nadie te explica bien.

La NIS2 obliga a las empresas grandes a garantizar la seguridad de toda su cadena de suministro. En la práctica, eso significa que tus clientes grandes —los que sí están obligados— van a tener que asegurarse de que sus proveedores cumplen unos mínimos de ciberseguridad. ¿Y cómo se aseguran? Exigiéndotelo por contrato.

Algunos ejemplos reales de pymes pequeñas que se verán arrastradas, aunque no lleguen a los 50 empleados:

• Una empresa de mantenimiento informático que da servicio a un hospital o a un ayuntamiento.
• Un taller que fabrica componentes para una industria del automóvil.
• Una gestoría que maneja datos de una entidad bancaria.
• Cualquier proveedor de software, logística o servicios para una organización del listado de sectores esenciales.

Si tu empresa vende a clientes grandes en sectores regulados, es muy probable que en los próximos meses recibas un cuestionario de seguridad, una cláusula contractual nueva o directamente la exigencia de demostrar que aplicas ciertas medidas. No cumplir no te traerá una multa de la administración, pero sí puede costarte el cliente.

En resumen

Si eres una pyme pequeña sin clientes en sectores críticos, la NIS2 no te obliga directamente. Si vendes a empresas grandes o a la administración, te llegará por contrato. Y en cualquier caso, las medidas que exige son las que tu empresa debería tener igualmente.

Qué pide realmente la NIS2 (y por qué ya deberías tenerlo)

Lo más interesante del debate es que, cuando lees la letra pequeña de las medidas, ninguna es exótica. Son los fundamentos de cualquier empresa que se tome en serio su tecnología:

• Análisis de riesgos y política de seguridad: saber qué tienes, qué puede fallar y qué harías si falla.
• Gestión de incidentes: un plan para detectar, contener y notificar un ataque, no improvisar el día que llega.
• Copias de seguridad y continuidad de negocio: backups verificados y un plan para volver a funcionar tras un incidente.
• Seguridad de la cadena de suministro: controlar a quién das acceso a tus sistemas y datos.
• Control de accesos y autenticación multifactor: que entrar en tus sistemas requiera algo más que una contraseña.
• Formación y concienciación: el eslabón más débil sigue siendo el empleado que pincha donde no debe.

Mira esa lista con honestidad. Si tu empresa no tiene la mayoría de esos puntos cubiertos, el problema no es la NIS2: es que estás expuesto a un ciberataque hoy, con normativa o sin ella. Y el dato no es teórico: el 31% de las pymes españolas sufrió un ataque de ransomware el último año, y una parte importante de las que lo sufren no sobrevive al golpe.

Qué hacer ahora, sin agobios

No necesitas correr a contratar una auditoría de 20.000 euros porque un anuncio te ha metido el miedo en el cuerpo. El enfoque sensato es por pasos:

1. Aclara si te aplica. ¿Superas los 50 empleados o los 10 millones? ¿Operas en un sector esencial? ¿Vendes a clientes que sí están obligados? Con esas tres respuestas sabes en qué situación estás.
2. Haz un diagnóstico honesto de lo básico. Backups, accesos, antivirus, actualizaciones, plan ante incidentes. No para cumplir una ley, sino para no desaparecer tras un ataque.
3. Prioriza lo que más te protege por menos dinero. La autenticación multifactor, los backups verificados y la formación del equipo son baratos y evitan la mayoría de los desastres.
4. Documenta lo que haces. El día que un cliente grande te mande su cuestionario de seguridad, poder responder con orden marca la diferencia entre conservar la cuenta o perderla.

¿Y si no sé por dónde empezar?

La NIS2 ha generado mucho ruido y poco criterio. Lo que de verdad necesita tu empresa no es alguien que te asuste con multas, sino alguien que te diga con honestidad en qué situación estás y qué pasos tienen sentido para tu tamaño y tu presupuesto.

¿Quieres repasar primero los fundamentos? Te puede interesar la guía de 7 medidas básicas de ciberseguridad para pymes, o ver cómo trabajo la ciberseguridad para empresas.