NIS2 para pymes: obligaciones y checklist práctico
La NIS2 obliga a muchas pymes de sectores críticos y alcanza a otras a través de sus clientes. Aquí verás cuándo te aplica, qué te pedirán tus clientes y un checklist del artículo 21 con evidencias.
En 30 segundos: la Directiva (UE) 2022/2555 cubre a las empresas medianas y grandes de 18 sectores y, por excepción, a algunas pequeñas. Si quedas fuera, tus clientes obligados te trasladarán requisitos por contrato. El núcleo son las 10 medidas del artículo 21 y notificar incidentes en 24 horas, 72 horas y un mes. En España sigue sin transponer.
Cuándo aplica la NIS2 a las pymes
La regla general del artículo 2 combina dos filtros. Primero, tu actividad debe figurar en el anexo I (alta criticidad) o en el anexo II (otros sectores críticos). En total, suman 18 sectores, de la energía o la salud a la fabricación, la alimentación o los proveedores digitales. Segundo, debes ser al menos una empresa mediana según la Recomendación 2003/361/CE.
En la práctica, eres mediana o grande si tienes 50 empleados o más. También lo eres si tu volumen de negocio y tu balance general superan ambos los 10 millones de euros. Por tanto, las micro y pequeñas pymes quedan fuera de la regla general de la NIS2. Ojo, además, con los grupos: en general, las cifras suman total o parcialmente las de tus empresas asociadas y vinculadas.
Dentro del ámbito, una empresa mediana suele ser entidad importante, con supervisión a posteriori. En cambio, las grandes del anexo I suelen ser esenciales, con supervisión también previa.
Sin embargo, el artículo 2 prevé excepciones en las que el tamaño no importa. La directiva te alcanza sea cual sea tu tamaño si:
- Prestas redes o servicios públicos de comunicaciones electrónicas.
- Eres prestador de servicios de confianza, registro de dominios de primer nivel o proveedor DNS.
- Ofreces servicios de registro de nombres de dominio.
- Resultas el único proveedor en tu país de un servicio esencial para actividades críticas.
- Tu interrupción podría afectar gravemente a la seguridad o la salud públicas, o generar riesgo sistémico.
- Tienes especial importancia nacional o regional, o figuras como entidad crítica según la Directiva (UE) 2022/2557.
En los últimos supuestos, es la autoridad nacional quien te identifica. Si dudas, sigue los pasos de cómo saber si te afecta la directiva.
NIS2 y pymes proveedoras: la cadena de suministro
Aunque quedes fuera, la directiva puede llegarte por tus clientes. El artículo 21 obliga a las entidades cubiertas a gestionar la seguridad de sus proveedores directos. Además, deben valorar sus prácticas de ciberseguridad y de desarrollo seguro. Por eso muchas pymes sin obligación directa de la NIS2 ya reciben cuestionarios, cláusulas y peticiones de auditoría.
En la práctica, te pedirán sobre todo cuatro cosas:
- Notificar sin demora a tu cliente los incidentes que afecten a su servicio.
- Demostrar medidas básicas: MFA, copias probadas, parches y control de accesos.
- Además, aceptar auditorías o aportar certificados, como ISO 27001 o el ENS.
- Por último, gestionar a tus propios subcontratistas con criterios parecidos.
Responder bien a esos cuestionarios ya es una ventaja comercial para las pymes que venden a sectores NIS2. Por tanto, el checklist siguiente te sirve tanto si la directiva te aplica como si no.
Checklist NIS2 para pymes: las 10 medidas del artículo 21
El artículo 21 exige medidas técnicas, operativas y organizativas proporcionadas al riesgo y, entre otros factores, al tamaño de la entidad. Así, una empresa pequeña no necesita lo mismo que un banco, pero sí cubrir las diez áreas y demostrarlo.
| Medida (art. 21.2) | Mínimo razonable | Evidencia |
|---|---|---|
| a) Riesgos y seguridad de los sistemas | Política aprobada por la dirección y análisis de riesgos al día | Acta de aprobación y registro de riesgos fechado |
| b) Gestión de incidentes | Procedimiento para detectar, clasificar, responder y notificar | Registro de incidentes y plantilla de notificación 24/72 h |
| c) Continuidad y gestión de crisis | Copias probadas, recuperación ante desastres y plan de crisis | Informe de prueba de restauración y plan aprobado |
| d) Cadena de suministro | Inventario de proveedores TIC directos y cláusulas de seguridad | Lista de proveedores críticos, contratos y cuestionarios |
| e) Adquisición, desarrollo y mantenimiento | Seguridad al comprar o desarrollar, y gestión de vulnerabilidades | Política de parches e informes de escaneo |
| f) Evaluación de la eficacia | Indicadores, revisiones o auditorías internas | Informe de auditoría interna e indicadores |
| g) Higiene y formación | Actualizaciones, contraseñas y formación de plantilla y dirección | Registros de asistencia y plan de formación |
| h) Criptografía y cifrado | Política de criptografía y, cuando proceda, de cifrado | Configuración de cifrado de equipos y copias |
| i) Personal, accesos y activos | Altas y bajas, mínimo privilegio e inventario de activos | Inventario y revisiones de permisos |
| j) MFA y comunicaciones seguras | Autenticación multifactor y canales de emergencia seguros, cuando proceda | Cobertura de MFA y procedimiento de crisis |
Dirección, incidentes y evidencias
Además, la dirección debe aprobar estas medidas, supervisarlas y formarse, como explicamos en qué responsabilidad asumen los directivos. Ante un incidente significativo, el artículo 23 exige alerta en 24 horas, notificación en 72 e informe final al mes. Con la NIS2, sin embargo, lo que cuenta para las pymes es demostrarlo con evidencias fechadas.
Reglamento de Ejecución (UE) 2024/2690 para proveedores digitales
Si tu empresa presta servicios digitales, lee también el Reglamento de Ejecución (UE) 2024/2690. Es de 17 de octubre de 2024 y está en vigor desde el 7 de noviembre de 2024. También concreta los requisitos técnicos del artículo 21 y cuándo un incidente es significativo para estos proveedores:
- Proveedores de servicios DNS, registros de dominios de primer nivel y prestadores de servicios de confianza.
- Servicios de computación en nube, centros de datos y redes de distribución de contenidos.
- Proveedores de servicios gestionados y de servicios de seguridad gestionados.
- Mercados en línea, motores de búsqueda y plataformas de redes sociales.
Asimismo, su anexo detalla trece áreas, desde la política de seguridad hasta la seguridad física y del entorno. Ojo: salvo para DNS, registros de dominios y servicios de confianza, siguen valiendo los umbrales de tamaño. Al ser un reglamento, no requiere transposición, aunque su supervisión depende de cada autoridad nacional. Además, ENISA publicó en junio de 2025 una guía técnica con ejemplos de evidencias para aplicarlo. Para las pymes que dan servicios TIC gestionados a entidades de la NIS2, es la referencia más concreta disponible.
Situación en España a octubre de 2026
España todavía no ha transpuesto la directiva, aunque el plazo venció el 17 de octubre de 2024. En julio de 2026, la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por este incumplimiento. Después, el Real Decreto 806/2026 (BOE del 6 de octubre) disolvió las Cortes y convocó elecciones para el 29 de noviembre. Por tanto, no habrá ley de transposición en 2026. Asimismo, el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado en primera vuelta en enero de 2025, no completó su tramitación.
Mientras tanto, sigue vigente el Real Decreto-ley 12/2018, que aplica a operadores de servicios esenciales y a ciertos proveedores de servicios digitales. En general, una directiva sin transponer no crea obligaciones directas para una empresa privada. Aun así, esperar es mala estrategia para las pymes afectadas por la NIS2. Además, tus clientes ya piden estas medidas, y prepararlas lleva meses. También tienes el detalle en el estado de la transposición en España y el recurso ante el TJUE.
Preguntas frecuentes
¿La NIS2 obliga a todas las pymes?
No. Solo cubre a las empresas medianas de los sectores de sus anexos. Por excepción, también alcanza a algunas pequeñas, como los proveedores DNS o los prestadores de servicios de confianza. En cambio, el resto puede notarla de forma indirecta a través de sus clientes.
¿Qué multas prevé la directiva?
Las entidades esenciales afrontan multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial. En las importantes, el tope es de al menos 7 millones o el 1,4 %, siempre la cantidad mayor. Lo fija el artículo 34, aunque la cifra concreta en España dependerá de la ley de transposición.
¿Sirve ISO 27001 para cumplirla?
Ayuda mucho, porque su sistema de gestión y su anexo A cubren gran parte del artículo 21. También lo vemos en ISO 27001 como atajo para varias normas. Aun así, revisa lo propio de la directiva: plazos de notificación, responsabilidad de la dirección y cadena de suministro.
¿Por dónde empiezan las pymes con la NIS2?
Primero, confirma si te aplica y en qué categoría. Después, haz un análisis de brecha con la tabla de arriba y prioriza por riesgo y coste. Por último, prepara el procedimiento de notificación de incidentes y reúne las evidencias que ya tienes.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC
Atalaya GRC convierte las diez medidas que la NIS2 exige a las pymes del ámbito en controles con responsables y evidencias. Primero, calcula qué te aplica servicio por servicio. Además, reutiliza cada control para ISO 27001, el ENS o el RGPD: un control, varias normas. Su reloj regulatorio te avisa de los plazos, y la gestión de incidentes te guía en cada notificación. También mantiene el registro de terceros para responder a tus clientes. Consulta la ficha de la NIS2 en Atalaya GRC o pide una demo.
