NIS2 para pymes en España: checklist realista antes de que te pida evidencias un cliente

NIS2 se ha convertido en una palabra que aparece en reuniones de seguridad, cuestionarios de clientes y ofertas de consultoría. INCIBE resume que la directiva busca elevar el nivel común de ciberseguridad en la Unión Europea e impone obligaciones a entidades públicas y privadas de sectores críticos. INCIBE-CERT

La pregunta útil para una pyme española no es si debe asustarse, sino si forma parte del alcance directo, si presta servicios a quien sí lo está, y qué evidencias mínimas puede enseñar sin improvisar. El BOE ya recogía en una orden de 2025 que la transposición española estaba en tramitación a través de un anteproyecto de coordinación y gobernanza en ciberseguridad. BOE

Por qué importa ahora

Importa ahora porque los requisitos llegan antes por contratos que por sanciones. Una empresa mediana de logística, software, mantenimiento, fabricación, salud, alimentación o servicios digitales puede recibir preguntas de un cliente grande: política de seguridad, copias, MFA, respuesta a incidentes, proveedores críticos, evidencias de formación y responsable interno.

INCIBE señala que el alcance de NIS2 en pymes incluye medianas empresas de sectores privados indicados en los anexos, como energía, transporte, banca, sanidad, agua, infraestructura digital, gestión de servicios TIC, alimentación, proveedores digitales e investigación, entre otros. INCIBE pymes NIS2

Qué cambia en la práctica

Lo que cambia no es que toda pyme tenga que montar un departamento de seguridad. Cambia el estándar de prueba. Ya no basta con decir que se hacen copias o que el proveedor se encarga. Hay que saber dónde están, cuándo se probaron, quién entra, qué pasa si se cae el correo, cómo se reporta un incidente y qué proveedores son críticos.

El enfoque razonable es proporcional. Una pyme con 40 empleados y datos de clientes necesita MFA, copias probadas, inventario de activos, formación básica, contrato con proveedor IT y procedimiento de incidentes. Una mediana empresa que presta servicio a infraestructura crítica necesitará más evidencias, simulacros y controles.

Cómo decidir sin caer en ruido

Empieza clasificando tu posición: alcance directo, proveedor de empresa afectada o empresa fuera de alcance con riesgo operativo. Si estás en los dos primeros grupos, prepara evidencias. Si estás fuera, aprovecha NIS2 como excusa para ordenar seguridad básica sin comprar por miedo.

La señal de madurez es poder responder en una semana a un cuestionario serio. Si necesitas perseguir contraseñas, buscar facturas de backup y preguntar quién tiene permisos de administrador, el problema no es NIS2: es operación.

Checklist útil

• Identifica sector, tamaño y clientes que puedan exigirte evidencias.
• Activa MFA en correo, administración, cloud y herramientas críticas.
• Documenta copias, frecuencia, ubicación y última prueba de restauración.
• Lista proveedores críticos y quién puede contactarles en crisis.
• Define un procedimiento de incidente con responsables y tiempos.
• Guarda evidencias en una carpeta viva, no en correos dispersos.
• Revisa accesos de exempleados y cuentas compartidas.

Errores comunes

Un error habitual es empezar por una herramienta cara sin inventario. Otro es pensar que el proveedor informático resuelve todo por contrato, cuando el negocio sigue siendo responsable de decisiones, prioridades y comunicación. También se confunde cumplimiento con seguridad: un documento bonito no restaura un servidor.

El tercer error es esperar a la ley nacional definitiva para hacer lo obvio. MFA, backups, formación, gestión de proveedores y respuesta a incidentes no dependen de un matiz jurídico. Son higiene mínima.

Ejemplo aplicado en España

Una pyme que desarrolla software para una empresa de transporte quizá no sea entidad esencial, pero su cliente sí puede pedir pruebas de seguridad. Si esa pyme tiene control de código, despliegues o datos, su madurez afecta a la cadena. Tener un dossier breve con accesos, backups, dependencia cloud, responsables y pruebas de restauración puede desbloquear contratos.

Una tienda online pequeña fuera de sectores críticos no debería convertir NIS2 en pánico. Pero sí puede revisar contraseñas, copias, actualizaciones y phishing. El valor está en reducir incidentes, no en coleccionar siglas.

Enlaces internos recomendados

Este artículo refuerza el cluster de ciberseguridad, enlaza de forma natural con Cyber Resilience Act 2026 y complementa la guía de IA ofensiva y ciberseguridad.

Hooks sociales reutilizables

• NIS2 no va solo de sanciones: va de qué evidencias puede pedirte tu cliente.
• Si tu pyme no puede probar una restauración de backup, NIS2 es el menor de tus problemas.
• Checklist NIS2 sin humo para pymes españolas: accesos, copias, incidentes y proveedores.

Qué puede pasar después

En 2026 veremos más contratos con anexos de seguridad y más proveedores vendiendo cumplimiento empaquetado. La empresa que tenga evidencias simples y reales podrá responder mejor que la que espere a que llegue una auditoría formal.

Marco de decisión paso a paso

La decisión debe empezar por el contexto, no por la herramienta. En este tema, los factores que más cambian el resultado son Sector y tamaño, Dependencia de clientes críticos, Madurez de copias y accesos, Plan de incidentes, Riesgo de proveedores. Si no puedes describir esos factores con datos propios, todavía no estás decidiendo: estás reaccionando a una noticia, a una oferta o a una presión externa.

Un buen método es puntuar cada factor de 1 a 5. El 1 significa que no afecta o que está controlado; el 5 significa que puede provocar coste, pérdida de tiempo, incumplimiento, fraude o una mala compra. Después ordena las acciones por riesgo y reversibilidad. Lo irreversible o caro va primero; lo decorativo va al final.

También conviene separar tres escenarios. El escenario mínimo es lo que puedes hacer esta semana sin presupuesto relevante. El escenario razonable es lo que deberías tener resuelto en uno o dos meses. El escenario avanzado es lo que solo compensa si el tema afecta a ingresos, clientes, cumplimiento o seguridad de forma directa. Esta separación evita comprar soluciones grandes para problemas pequeños y evita aplazar riesgos que sí son urgentes.

La última pregunta es quién mantiene la decisión. Si nadie se encargará de revisar sector y tamaño, actualizar documentación, comprobar resultados o corregir errores, la solución se degradará. En tecnología, ecommerce, privacidad o viajes, muchas decisiones fallan no por elegir mal el primer día, sino por no revisarse cuando cambian normas, plataformas o hábitos de uso.

Plan de revisión en 30 días

Durante la primera semana, convierte la guía en inventario. Anota qué tienes hoy, qué falta, quién decide y qué evidencia conservarás. Usa la checklist anterior como base y marca cada punto con tres estados: hecho, pendiente o no aplica. Evita añadir diez tareas nuevas si todavía no has cerrado las dos más obvias.

En la segunda semana, prueba el flujo real. Si hablamos de compra tecnológica, simula la decisión con dos productos concretos. Si hablamos de ecommerce, recorre el checkout y la postventa. Si hablamos de privacidad o ciberseguridad, prueba permisos, recuperación y contactos de emergencia. Si hablamos de viaje o identidad digital, valida el caso con fuentes oficiales y documentos reales, no con capturas de redes sociales.

En la tercera semana, corrige el punto con mayor coste potencial. Normalmente será un permiso excesivo, una política confusa, una falta de copia, un proveedor sin respuesta, una ficha de producto incompleta o una compra que no justifica su precio. No busques perfección; busca reducir el riesgo que más daño puede hacer.

En la cuarta semana, deja una rutina. Puede ser una revisión mensual, una plantilla para nuevas compras, una carpeta de evidencias, una FAQ interna o una nota para clientes. La rutina es importante porque En 2026 veremos más contratos con anexos de seguridad y más proveedores vendiendo cumplimiento empaquetado. La empresa que tenga evidencias simples y reales podrá responder mejor que la que espere a que llegue una auditoría formal. Si el tema vuelve a cambiar, tendrás una base para actualizar sin empezar desde cero.

Señales de que lo estás aplicando bien

Vas por buen camino si puedes explicar la decisión en dos minutos sin usar frases vacías. Deberías poder decir qué problema resuelve, qué alternativa descartaste, qué dato verificaste y qué harás si el contexto cambia. Si la explicación depende de "todo el mundo lo está haciendo" o "lo vi en una oferta", falta criterio.

Otra señal positiva es que las ventajas y desventajas están visibles. En este caso, las ventajas reales son Mejora resiliencia real; Reduce improvisación ante clientes; Ayuda a ordenar proveedores y evidencias. Pero también existen límites: Puede generar burocracia si se aborda sin priorizar; La transposición nacional puede añadir matices; Las pymes pequeñas pueden confundirse con mensajes comerciales alarmistas. Una decisión madura no oculta los límites, los gestiona.

La tercera señal es que alguien ajeno al proyecto entiende el proceso. Un familiar, un compañero de soporte, una persona de administración o un cliente debería poder seguir los pasos básicos sin depender de quien lo montó. Cuando solo una persona entiende el sistema, la solución es frágil.

La cuarta señal es que el resultado se puede medir. Puede ser menos abandono, menos tickets, menos fraude, una compra más duradera, una devolución más clara, un proveedor mejor controlado o una gestión más rápida. Si no hay ninguna métrica posible, al menos debe haber una evidencia: captura de configuración, documento de política, prueba de restauración, enlace oficial consultado o factura con condiciones revisadas.

Resumen accionable

La acción de esta semana es preparar un dossier de seguridad de una página: qué protegemos, quién responde, cómo restauramos, cómo notificamos y qué proveedores son críticos. Después, toca probar que lo escrito funciona.