NIS2 en España: Lo que las PYMEs deben hacer antes de agosto de 2026

La Directiva NIS2 entró en vigor en los estados miembros de la UE en octubre de 2024. España la transpuso mediante la Ley de Seguridad de las Redes y Sistemas de Información. Para las PYMEs españolas en sectores afectados, el reloj corre.

Quién está realmente afectado

NIS2 amplió enormemente el ámbito de aplicación respecto a su predecesora. En España, los sectores cubiertos incluyen:

Energía (electricidad, petróleo y gas, calefacción urbana)
Transporte (por carretera, ferroviario, aéreo, marítimo)
Banca e infraestructura del mercado financiero
Salud (hospitales, fabricación farmacéutica, I+D)
Agua potable y aguas residuales
Infraestructura digital (DNS, cloud, centros de datos, CDN)
Gestión de servicios TIC (MSPs, MSSPs)
Administración pública
Espacio

El umbral de tamaño importa: las medianas empresas (50+ empleados o €10M+ de facturación) en sectores esenciales quedan bajo NIS2. Algunas entidades críticas están en ámbito independientemente del tamaño. Si eres un MSP o MSSP, casi con total seguridad estás en ámbito.

Qué exige realmente NIS2

La directiva exige un enfoque basado en el riesgo con diez medidas de seguridad específicas:

Políticas de análisis de riesgos y seguridad de sistemas de información
Gestión de incidentes — detección, análisis, contención, recuperación
Continuidad del negocio — gestión de copias de seguridad, recuperación ante desastres, gestión de crisis
Seguridad de la cadena de suministro — requisitos de seguridad para proveedores directos
Seguridad en adquisición, desarrollo y mantenimiento de redes — incluyendo gestión de vulnerabilidades
Políticas para evaluar la eficacia de las medidas de gestión de riesgos
Ciberhigiene básica y formación en ciberseguridad
Políticas de criptografía y cifrado
Seguridad de recursos humanos — controles de acceso, gestión de privilegios
Autenticación multifactor y comunicaciones seguras

El gap de cumplimiento que la mayoría ignora

NIS2 exige la notificación de incidentes a INCIBE-CERT (o CCN-CERT para entidades públicas) en 24 horas desde que se tiene conocimiento de un incidente significativo, con informe completo en 72 horas e informe final en un mes.

La mayoría de las PYMEs españolas no tienen capacidad de detección de incidentes. No se puede notificar lo que no se detecta.

La estructura de sanciones es severa: hasta €10M o el 2% de la facturación global anual para entidades esenciales; hasta €7M o el 1,4% para entidades importantes. Además, se introduce responsabilidad personal para la alta dirección — esto es nuevo en España.

Priorización práctica para PYMEs

Dada la amplitud de los requisitos, la mayoría de organizaciones no puede hacerlo todo a la vez. Esta es una priorización defendible:

Meses 1-2: Fundamentos

Inventario de activos (qué sistemas, qué datos, qué proveedores tienen acceso)
Identificar el responsable de seguridad designado (no tiene que ser un CISO — puede ser un partner externo)
Registrarse ante INCIBE como entidad NIS2 si aún no se ha hecho

Meses 3-4: Riesgos y brechas

Análisis de brechas respecto a las 10 medidas NIS2
Implementar MFA en todos los accesos remotos y cuentas privilegiadas — esto solo cierra un vector de ataque mayor
Revisar y documentar el acceso de proveedores

Meses 5-6: Capacidad de respuesta

Desplegar detección básica: logging centralizado, alertas sobre anomalías de autenticación
Definir y probar el proceso de respuesta a incidentes — como mínimo, quién llama a quién a las 2 de la madrugada
Realizar un ejercicio de mesa (tabletop exercise)

Esto no es una lista de comprobación de compliance. Es una postura mínima defendible. La aplicación de NIS2 en España se espera que se intensifique desde el tercer trimestre de 2026 a medida que INCIBE escala su capacidad supervisora.

Qué recomendamos antes de gastar presupuesto

Antes de invertir en herramientas, haz el análisis de brechas. Muchas PYMEs compran productos que no abordan su exposición real. Las brechas más comunes que observamos en el mercado medio español:

Sin MFA en VPN, correo o escritorio remoto
Sin procedimiento documentado de respuesta a incidentes
Contratos con MSP/cloud sin requisitos de seguridad
Copias de seguridad almacenadas en el mismo entorno que producción (inútiles contra ransomware)
Retención de logs inferior a 7 días

Primero se corrigen las brechas de proceso. La tecnología viene después.

Para organizaciones que necesitan lograr el cumplimiento de forma eficiente, nuestro servicio de compliance NIS2 entrega un análisis de brechas, hoja de ruta de remediación y documentación de soporte en 4-6 semanas.