NIS2: la ley de ciberseguridad que te afecta aunque no te toque
Un lunes te llega un correo de tu mejor cliente. Adjunto: un cuestionario de seguridad. Plazo: 15 días.
¿Usáis doble factor en todas las cuentas? ¿Cuándo probasteis por última vez a restaurar una copia de seguridad? ¿Quién avisa de un incidente en 24 horas? Y nadie en tu empresa sabe qué contestar.
Si aún no te ha pasado, te pasará. Tiene nombre: NIS2. Y te afecta aunque la ley no hable de ti.
Qué es NIS2
NIS2 es la Directiva (UE) 2022/2555: la norma europea de ciberseguridad para empresas. Sustituye a la primera NIS, de 2016, obliga a muchas más empresas y exige medidas concretas.
Las multas llegan a 10 millones de euros o al 2 % de la facturación mundial, si es más. Y la dirección responde personalmente: ya no vale «eso lo lleva el informático».
¿Me afecta?
Directamente, si eres una empresa mediana o grande (desde 50 empleados, o más de 10 millones de facturación y de balance) de un sector crítico: energía, transporte, banca, sanidad, agua, infraestructura digital, servicios informáticos gestionados, administración pública, residuos, química, alimentación, fabricación o investigación, entre otros.
Si dudas de si estás dentro, pregúntaselo a un abogado, no a un blog.
«No me toca». ¿Seguro?
Aquí está la trampa. NIS2 obliga a las empresas afectadas a vigilar la seguridad de sus proveedores. Es decir, la tuya.
Si vendes software, servicios informáticos o mantenimiento a un hospital, una eléctrica, un ayuntamiento o una fábrica mediana, te lo van a preguntar. Y contestar mal no te pone una multa. Te quita el cliente.
Qué te van a pedir
La directiva pide diez medidas. Estas cinco son las que más vas a ver, y puedes empezarlas esta semana:
1. Doble factor en todas las cuentas. Empieza por el correo y el banco.
2. Copias de seguridad que se restauran de verdad. Una copia sin probar no es una copia: es una esperanza.
3. Inventario: qué equipos y cuentas tienes, y quién entra en cada uno.
4. Software actualizado y vulnerabilidades parcheadas.
5. Un plan escrito para cuando os ataquen: quién decide y a quién se avisa. La empresa obligada tiene 24 horas para dar la primera alerta.
¿Y en España?
España tenía que pasarla a su ley antes del 17 de octubre de 2024 y aún no lo ha hecho. El Gobierno aprobó el anteproyecto en enero de 2025, pero no llegó a las Cortes, y con las elecciones del 29 de noviembre le tocará al próximo Gobierno. Mientras, en julio de 2026, la Comisión Europea decidió llevar a España ante el Tribunal de Justicia de la UE por el retraso.
¿Puedes esperar al BOE? Tus clientes grandes no esperan: ya lo meten en sus contratos.
Un ataque no avisa. Tu cliente, sí: te da quince días.
Si quieres ayuda
Nosotros hacemos la parte técnica. Auditorías de ciberseguridad que te dicen qué arreglar primero, en lenguaje claro. Y mantenimiento para que siga arreglado: actualizaciones, copias diarias y vigilancia.
El INCIBE, el Instituto Nacional de Ciberseguridad, ha validado nuestros servicios de ciberseguridad y nos incluye en su catálogo de empresas de ciberseguridad.
Si te ha llegado uno de esos cuestionarios y no sabes por dónde empezar, cuéntanoslo. Te contesta un fundador en menos de 24 horas laborables.
