¿Está mi pyme obligada a cumplir NIS2?

La respuesta corta es: probablemente no de forma directa, pero conviene comprobarlo antes de que te lo pregunte un cliente. Como regla general, NIS2 obliga a entidades de determinados sectores considerados críticos o importantes que, además, alcanzan el tamaño de mediana empresa o superior. La mayoría de pequeñas empresas y microempresas quedan fuera del ámbito directo. Sin embargo, hay dos matices que cambian mucho el escenario: ciertas excepciones por sector y, sobre todo, el hecho de ser proveedor de una empresa que sí está obligada. Salir de dudas cuanto antes tiene un beneficio muy concreto para tu negocio: evita sanciones si estás obligada, y te permite seguir vendiendo a clientes grandes que empezarán a exigir garantías de seguridad a sus proveedores. En este artículo te damos los criterios para autoevaluarte y saber por dónde empezar. Ten en cuenta que esto es una orientación general, no asesoramiento jurídico.

Qué es NIS2 y por qué se habla tanto de ella

NIS2 es la directiva europea de ciberseguridad que actualiza y amplía la anterior normativa (NIS) para reforzar la seguridad de las redes y los sistemas de información en la Unión Europea. Su objetivo es elevar el nivel de protección de los servicios y las infraestructuras de los que depende la sociedad, y por eso amplía los sectores afectados y endurece las obligaciones de gestión de riesgos y de notificación de incidentes.

Al ser una directiva, no se aplica directamente: cada Estado miembro la transpone a su legislación nacional. España está completando ese marco propio. Como las fechas y los detalles concretos pueden ajustarse durante la transposición, lo sensato es verificar el estado vigente antes de tomar decisiones y, sobre todo, no dejar la preparación para el último momento.

Por qué 2026 es el año de ponerse al día

El plazo europeo de transposición venció en octubre de 2024 y España está cerrando su normativa nacional. Esto significa que, durante 2026, muchas empresas obligadas pasarán de «leer sobre NIS2» a tener que demostrar que cumplen: medidas implantadas, incidentes notificables identificados y cadena de suministro revisada. Y aquí viene el efecto dominó que afecta a las pymes: cuando una empresa grande tiene que justificar ante el regulador que controla los riesgos de sus proveedores, lo primero que hace es pasar cuestionarios de seguridad a esos proveedores.

Adaptarse no es algo que se haga en una semana. Una auditoría, un plan de mejora, ordenar accesos y copias, formar al equipo y documentarlo todo lleva, según el punto de partida, de uno a seis meses. Por eso empezar en 2026 con margen es muy distinto a hacerlo a contrarreloj porque un cliente importante te ha puesto una fecha límite en un contrato. Llegar preparado es más barato, menos estresante y juega a tu favor comercialmente.

El primer filtro: el sector de tu actividad

NIS2 no se aplica a cualquier empresa por el simple hecho de existir, sino a las que operan en sectores recogidos por la norma. La directiva distingue, a grandes rasgos, entre sectores de alta criticidad y otros sectores críticos. Entre las actividades que suelen entrar en su ámbito están, por ejemplo:

• Energía (electricidad, gas, petróleo) y agua (potable y residual).
• Transporte (aéreo, ferroviario, marítimo y por carretera).
• Banca y mercados financieros.
• Sanidad y fabricación de productos farmacéuticos.
• Infraestructuras digitales y proveedores de servicios TIC gestionados.
• Administraciones públicas, en los términos que defina la norma.
• Otros sectores como servicios postales, gestión de residuos, alimentación, fabricación de ciertos productos o investigación.

Si tu actividad no encaja en ninguno de los sectores contemplados, lo más probable es que NIS2 no te obligue de forma directa. Pero antes de descartarlo conviene mirar el segundo filtro: el tamaño.

El segundo filtro: el tamaño de tu empresa

Dentro de los sectores afectados, NIS2 se centra en organizaciones de cierta dimensión. La referencia habitual es el umbral de mediana empresa: en líneas generales, a partir de unos 50 empleados o 10 millones de euros de volumen de negocio anual (o de balance). Por debajo de ese umbral, una micro o pequeña empresa suele quedar fuera del ámbito directo, salvo excepciones.

Y aquí está el matiz importante: existen excepciones en las que el tamaño no exime. En determinados casos, por la naturaleza crítica del servicio que se presta (por ejemplo, ciertos proveedores de infraestructuras digitales o de servicios esenciales para un territorio), la obligación puede alcanzar también a empresas pequeñas. Por eso no basta con decir «soy pequeña, no me afecta»: hay que cruzar sector y tamaño y revisar si tu caso cae en alguna de esas excepciones.

Entidad esencial o entidad importante

Cuando una organización sí queda dentro del ámbito, NIS2 la clasifica en una de dos categorías: entidad esencial o entidad importante. Ambas tienen que adoptar medidas de gestión de riesgos de ciberseguridad y notificar los incidentes significativos, pero se diferencian sobre todo en el régimen de supervisión y de sanción.

• Entidades esenciales: suelen ser las de mayor tamaño en los sectores más críticos. Se someten a una supervisión más estricta y proactiva, es decir, las autoridades pueden controlarlas sin esperar a que ocurra un problema.
• Entidades importantes: abarcan otros sectores o tamaños algo menores dentro del ámbito. Su supervisión es más reactiva, normalmente a raíz de indicios o de un incidente.

La clasificación la determina el marco normativo en función del sector y del tamaño, no es algo que la empresa elija. En ambos casos, las obligaciones de fondo (analizar riesgos, proteger sistemas, gestionar la cadena de suministro, notificar incidentes) son exigentes y requieren implantación profesional para hacerse bien.

El efecto cadena: ser proveedor de una empresa obligada

Este es, en la práctica, el motivo por el que muchas pymes que «no están obligadas» acaban teniendo que mejorar su ciberseguridad. NIS2 exige a las entidades obligadas que gestionen los riesgos de su cadena de suministro. ¿Qué significa eso para ti? Que si prestas servicios a una empresa esencial o importante (le desarrollas software, le gestionas servidores, le das soporte, le suministras componentes o le tratas datos), es muy probable que te traslade requisitos de seguridad por contrato.

En otras palabras: aunque tu empresa no sea sujeto obligado directo, tu cliente sí puede exigirte cláusulas de seguridad, evidencias de buenas prácticas o incluso una auditoría. No cumplirlas puede costarte el contrato. Por eso cada vez más pymes elevan su nivel de seguridad de forma «indirecta», por exigencia de sus clientes grandes. Mirarlo como una ventaja competitiva (ser un proveedor fiable y seguro) suele ser más rentable que verlo solo como una carga.

Un ejemplo realista. Imagina un taller de fabricación de 25 empleados que suministra piezas a una industria del sector energético. El taller no llega al umbral de mediana empresa y no está en un sector que lo obligue por sí mismo, así que su gerente da por hecho que NIS2 «no va con él». Un buen día, su cliente energético le envía un cuestionario de 40 preguntas sobre control de accesos, copias de seguridad, antivirus gestionado y plan de respuesta ante incidentes, con la advertencia de que la renovación del contrato depende de las respuestas. El taller no estaba obligado por la norma, pero sí lo está de facto por su cliente. Quien tenía esos deberes hechos pasa el filtro en días, quien no, corre el riesgo de perder a uno de sus mayores clientes mientras improvisa.

Cómo autoevaluarte en cuatro pasos

Para hacerte una primera composición de lugar sin necesidad de ser experto en la norma, puedes seguir esta secuencia:

• 1. Mira tu sector. ¿Tu actividad principal encaja en alguno de los sectores contemplados por la norma? Si claramente no, sigue al paso 4.
• 2. Mira tu tamaño. ¿Superas el umbral de mediana empresa (en torno a 50 empleados o 10 millones de euros)? Cruza este dato con el sector.
• 3. Revisa excepciones. Aunque seas pequeña, ¿prestas un servicio considerado crítico que pueda hacer que la obligación te alcance igualmente?
• 4. Analiza tu cadena. ¿Tienes clientes que probablemente sí estén obligados? Si es así, anticipa que te pedirán requisitos de seguridad.

Esta autoevaluación te da una orientación, pero no sustituye a un análisis profesional. La encuadre definitivo (sector, categoría, obligaciones concretas) depende del texto vigente de la transposición y de los detalles de tu organización. Ante la duda, lo prudente es que alguien revise tu caso real.

Qué puedes ir haciendo, te obligue o no

Buena parte de lo que pide NIS2 es, sencillamente, higiene de ciberseguridad sensata que cualquier empresa debería tener: controlar quién accede a qué, mantener los sistemas actualizados, tener copias de seguridad que de verdad funcionen, formar al equipo y saber cómo reaccionar ante un incidente. Avanzar en esto te protege aunque no seas sujeto obligado y te deja preparado si el día de mañana lo eres o si un cliente te lo exige.

Un punto de partida realista es conocer tu situación actual con una auditoría de seguridad que detecte tus puntos débiles y priorice las acciones. A partir de ahí, medidas como reforzar el acceso remoto y las comunicaciones con conexiones seguras, ordenar identidades y accesos o preparar la respuesta ante incidentes te acercan a lo que la norma pide. Y si tu duda es de fondo (si la norma te aplica y cómo), conviene combinar el análisis técnico con asesoramiento especializado.

¿Y cuánto cuesta esto? Depende mucho del tamaño y del punto de partida, pero como orden de magnitud orientativo (no es una tarifa oficial ni un presupuesto cerrado): una auditoría de seguridad inicial para una pyme suele moverse en el rango de unos cientos a pocos miles de euros, según el alcance, el plan de mejora posterior se ajusta a lo que cada empresa decide priorizar y puede repartirse en el tiempo. La forma honesta de saber tu cifra es un diagnóstico previo: sin ver tu infraestructura real, cualquier precio cerrado sería humo. Lo importante es que casi nunca hay que abordarlo todo de golpe, se prioriza lo que más reduce el riesgo con menos esfuerzo.

Por qué hacerlo con un partner como 3L Systems

NIS2 mezcla tres planos que rara vez dominan las mismas personas: el encaje normativo (¿me aplica?, ¿como entidad esencial o importante?), la parte técnica (qué medidas implantar y cómo) y la documentación que demuestra que de verdad cumples. Intentar resolverlo solo, sin equipo de seguridad propio, suele acabar en uno de dos extremos: gastar de más en cosas que no tocaba o quedarse corto en lo que de verdad importa.

Nuestro papel es traducir la norma a un plan concreto y ejecutarlo a tu ritmo: partimos de una auditoría que mide dónde estás, priorizamos lo que más protege con menos esfuerzo y nos ocupamos de la implantación técnica (accesos, copias, monitorización, respuesta ante incidentes) y de dejarlo documentado. Como además gestionamos sistemas e infraestructura, las medidas no se quedan en un informe: se aplican y se mantienen. No damos asesoramiento jurídico, pero sí coordinamos la parte técnica con tu asesoría legal para que el encaje normativo y la implantación vayan de la mano.

Para profundizar, te puede interesar nuestro artículo sobre por dónde empezar en ciberseguridad si eres una pyme, con las primeras medidas que más reducen el riesgo, y el de seguridad en la cadena de suministro, justo el ángulo por el que NIS2 acaba alcanzando a proveedores que no son sujetos obligados directos. Tener la información centralizada, copiada y protegida es, al final, buena parte de estar más seguro.

Preguntas frecuentes

¿NIS2 obliga a todas las pymes?

No. Como regla general, NIS2 se centra en entidades de sectores críticos o importantes que alcanzan el tamaño de mediana empresa o superior (en líneas generales, a partir de 50 empleados o 10 millones de euros de volumen de negocio). Las microempresas y pequeñas empresas, por sí solas, suelen quedar fuera. Aun así, existen excepciones por sector y, sobre todo, el efecto indirecto de ser proveedor de una entidad obligada. Conviene confirmar el caso concreto con un análisis.

Mi empresa no está en un sector crítico, ¿me afecta NIS2?

Si tu actividad no entra en los sectores recogidos por la norma, lo más probable es que no estés obligada de forma directa. Pero si prestas servicios a una entidad que sí lo está, es habitual que te trasladen requisitos de seguridad por contrato a través de su gestión de riesgos de la cadena de suministro. En la práctica, muchas pymes acaban elevando su seguridad por esta vía aunque no sean sujetos obligados.

¿Qué diferencia hay entre entidad esencial e importante en NIS2?

Ambas tienen que cumplir medidas de gestión de riesgos y notificar incidentes. La diferencia principal está en el régimen de supervisión y sanción: las entidades esenciales se someten a una vigilancia más estricta y proactiva, mientras que las importantes tienen un control más reactivo. La clasificación depende del sector y del tamaño de la organización, y la fija el marco normativo, no la propia empresa.

¿Cuándo entra en vigor NIS2 en España?

La Directiva NIS2 es una norma europea que cada país transpone a su legislación nacional. El plazo de transposición previsto a nivel europeo era octubre de 2024 y España está completando su marco propio. Como las fechas y los detalles pueden ajustarse, lo prudente es confirmar el estado vigente de la transposición y no esperar al último momento para empezar a prepararse.

¿Qué pasa si una empresa obligada no cumple NIS2?

La norma contempla un régimen sancionador con multas que pueden ser elevadas, además de la posibilidad de exigir responsabilidades a la dirección de la entidad. Más allá de la sanción, no cumplir suele significar estar peor protegido ante incidentes reales. Por eso lo recomendable es tratar NIS2 como una oportunidad para ordenar la seguridad, no solo como una obligación que esquivar.

¿Cuánto cuesta y cuánto se tarda en prepararse para NIS2?

Depende mucho del tamaño de la empresa y de su punto de partida, así que cualquier cifra es orientativa. Como orden de magnitud, una auditoría de seguridad inicial para una pyme suele moverse entre unos cientos y pocos miles de euros, y el plan de mejora posterior se reparte en el tiempo según lo que se priorice. En cuanto a plazos, adaptarse de forma razonable suele llevar de uno a seis meses. La manera honesta de conocer tu cifra real es un diagnóstico previo que revise tu infraestructura concreta.

¿En cuánto tiempo hay que notificar un incidente con NIS2?

Los plazos son estrictos: alerta temprana en 24 horas, notificación formal en 72 horas e informe final en un mes. Por eso conviene tener antes un plan de respuesta y detección.

¿Los administradores responden personalmente si la empresa no cumple NIS2?

Sí. NIS2 sitúa la responsabilidad última en la alta dirección, que debe aprobar y supervisar las medidas de ciberseguridad, no es solo un asunto del departamento de IT.

¿Por dónde empiezo a cumplir NIS2 sin agobiarme?

Primero, confirmar si estás obligada (directa o por cadena de suministro), después, análisis de riesgos, medidas básicas (MFA, copias, segmentación, formación) y un plan de respuesta. Se puede abordar por fases.