NIS2 para pymes: qué cambia si eres proveedor de una empresa obligada
NIS2 para pymes es una duda cada vez más frecuente entre los gerentes de pequeñas empresas. La respuesta corta: la directiva NIS2 obliga sobre todo a empresas medianas y grandes de sectores críticos, pero muchas pymes la notan igualmente porque sus clientes les exigen medidas de seguridad como proveedores. En España, además, la ley que la transpone sigue pendiente.
Qué es la directiva NIS2
NIS2 es la Directiva (UE) 2022/2555, que sustituye a la primera directiva NIS de 2016. Su objetivo es elevar el nivel común de ciberseguridad en la Unión Europea. Para ello, amplía los sectores afectados, endurece las obligaciones de gestión de riesgos y fija plazos para notificar incidentes. Puedes leer el texto oficial en EUR-Lex.
Además, la directiva hace responsables a los órganos de dirección. Es decir, la seguridad deja de ser solo un asunto del informático y pasa a ser una decisión del gerente.
A quién obliga NIS2: ¿también a las pymes?
NIS2 se aplica, con carácter general, a entidades medianas y grandes de sectores como energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública, gestión de residuos, fabricación de determinados productos, alimentación o servicios postales. Según la definición europea de pyme (Recomendación 2003/361/CE), una empresa deja de ser pequeña cuando tiene 50 o más empleados, o cuando supera a la vez los 10 millones de euros de facturación y de balance.
Por tanto, NIS2 no se aplica directamente a la mayoría de las pymes pequeñas de Navarra, que tampoco figurarán en los registros de entidades. Hay excepciones, como algunos proveedores de servicios digitales, y cada caso debe revisarse con el texto definitivo de la ley española.
Cómo afecta a una pyme que es proveedora
Aquí está la clave de NIS2 para pymes que trabajan con empresas grandes. NIS2 obliga a las entidades afectadas a gestionar los riesgos de su cadena de suministro. Por eso, una empresa obligada pedirá a sus proveedores que demuestren que trabajan de forma segura.
En la práctica, esto llega en forma de cuestionarios de seguridad, cláusulas en los contratos o auditorías. Por ejemplo, un taller que fabrica piezas para una gran industria, una gestoría que trabaja con una empresa de transporte o una empresa de software que da servicio a un hospital.
Las preguntas suelen repetirse:
- ¿Hacéis copias de seguridad y las probáis?
- ¿Usáis doble factor de autenticación en el correo y en los accesos remotos?
- ¿Mantenéis los equipos actualizados y con antivirus gestionado?
- ¿Forma la plantilla parte de un programa de concienciación?
- ¿Tenéis un procedimiento para avisar si sufrís un incidente?
Si puedes responder que sí con pruebas, tienes ventaja frente a otros proveedores. En cambio, si no puedes, corres el riesgo de perder el cliente.
En qué punto está NIS2 en España
Los Estados debían trasponer la directiva antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó en enero de 2025 el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad. Sin embargo, en octubre de 2026 la ley todavía no se había publicado en el BOE.
Mientras tanto, sigue vigente el marco de la primera directiva NIS, recogido en el Real Decreto-ley 12/2018. Por otro lado, en julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por el retraso. Conviene, por tanto, seguir las novedades y no esperar a la ley para empezar.
Importante: este artículo es informativo y no es asesoramiento jurídico. Revisaremos su contenido cuando se apruebe la ley española.
Test rápido: ¿te afecta NIS2?
Responde a cinco preguntas y verás si NIS2 te obligaría directamente, si te afectará como proveedor o si, de momento, no te afecta. No hace falta registrarse y guardamos las respuestas de forma anónima, sin datos personales.
NIS2 para pymes: qué hacer ya
La buena noticia de NIS2 para pymes es que las medidas que piden los clientes son las mismas que protegen a tu empresa. Por eso proponemos empezar por cinco pasos:
- Inventario: qué equipos, programas y datos tienes y quién accede a ellos.
- Copias probadas: aplica la regla 3-2-1 y documenta una restauración.
- Doble factor: en el correo, en el acceso remoto y en los programas en la nube.
- Actualizaciones y antivirus gestionado: con alguien que revise las alertas.
- Formación y procedimiento: que la plantilla sepa detectar un engaño y a quién avisar.
Si prefieres delegarlo, estas medidas forman parte del contrato de mantenimiento de Conexure. Para saber dónde estás, haz el test de ciberseguridad de 15 preguntas. Y si un cliente ya te ha enviado un cuestionario, pide la auditoría gratuita: te ayudamos a responderlo con datos reales.