Qué obligaciones de ciberseguridad tiene una pyme española

Llevas meses oyendo hablar de NIS2 y no sabes si te toca a ti. La respuesta corta es que, si tu pyme tiene entre 10 y 50 empleados, casi con toda seguridad no entra directamente en el alcance de la directiva. La respuesta completa es más interesante: aunque no te alcance de forma directa, es muy probable que ya te esté alcanzando de forma indirecta, a través de los clientes más grandes a los que vendes. Y mientras tanto, hay otra normativa que sí te obliga hoy mismo, con multas reales, y de la que se habla mucho menos.

Qué es NIS2 y por qué todo el mundo pregunta por ella

NIS2 es la Directiva (UE) 2022/2555, de 14 de diciembre de 2022, sobre medidas para un nivel común elevado de ciberseguridad en la Unión Europea. Su plazo de transposición para los estados miembros vencía el 17 de octubre de 2024. A fecha de escribir este artículo, España todavía no había aprobado su ley de transposición: no existe una ley española de ciberseguridad NIS2 en vigor, y conviene desconfiar de cualquier contenido que afirme lo contrario o que cite una norma española concreta con ese nombre.

Eso no significa que la directiva sea papel mojado. Una directiva europea marca la dirección aunque la ley nacional tarde en llegar, y las obligaciones que sí describe con detalle (gestión de riesgos, notificación de incidentes, responsabilidad de la dirección) acabarán aterrizando en la normativa española tarde o temprano. La pregunta útil para una pyme es esta: ¿me afecta el modelo que propone la directiva, ya sea de forma directa o indirecta? Esa pregunta importa más que si la ley ya está en vigor.

Quién entra realmente en el alcance directo

NIS2 usa una regla de tamaño tomada de la Recomendación 2003/361/CE: alcanza a las medianas empresas o mayores dentro de una lista de sectores considerados esenciales o importantes (energía, transporte, banca, salud, infraestructuras digitales, administración pública y varios más). Una pyme de 10 a 50 empleados es, por definición, una pequeña empresa, así que queda fuera del alcance directo salvo excepciones concretas:

• Ser el único proveedor nacional de un servicio esencial.
• Operar en telecomunicaciones.
• Prestar servicios de DNS o de confianza.
• Gestionar registros de nombres de dominio.
• Formar parte de la administración pública central.

Si tu empresa no encaja en ninguno de estos casos, NIS2 no te obliga directamente a nada, hoy. Pero seguir leyendo te interesa igualmente.

La vía real por la que NIS2 llega a las pymes: la cadena de suministro

El propio texto de la directiva lo anticipa. El considerando 85 dedica un párrafo entero al riesgo de ciberseguridad que llega a una entidad regulada a través de su cadena de suministro y de sus proveedores. En la práctica, esto se traduce en algo muy concreto: si vendes software, servicios gestionados, mantenimiento o cualquier producto a una empresa mediana o grande que sí está dentro del alcance de NIS2, esa empresa tiene la obligación de revisar y exigir garantías a sus proveedores, y tú eres uno de ellos.

Es la explicación de un fenómeno que muchas pymes españolas ya están viviendo: cuestionarios de seguridad cada vez más largos, cláusulas contractuales nuevas sobre gestión de incidentes, peticiones de evidencias de controles técnicos antes de renovar un contrato. No llega en forma de ley que te lea la Agencia Tributaria; llega en forma de correo de tu cliente pidiéndote que rellenes un formulario antes del viernes. Es la vía más honesta de explicar por qué una pyme de 30 empleados sin ningún sector regulado acaba invirtiendo en ciberseguridad: la causa real es la presión que la directiva ejerce sobre quien te compra, más que la directiva en sí misma.

Prepararse para esos cuestionarios con un análisis de riesgos de ciberseguridad hecho de antemano cambia por completo la conversación con un cliente grande: en lugar de improvisar respuestas, presentas un informe.

Lo que sí te obliga hoy: RGPD y LOPDGDD

Aquí no hay ambigüedad ni "todavía no". El RGPD (Reglamento (UE) 2016/679) se aplica de forma directa en España, complementado por la LOPDGDD (Ley Orgánica 3/2018, de 5 de diciembre). Si tu pyme trata datos personales de clientes, empleados o proveedores (y prácticamente todas lo hacen), estás sujeto a estas dos normas desde el primer día de actividad.

Los puntos que suelen sorprender a una dirección que nunca se ha sentado a repasarlo:

• El artículo 33 del RGPD obliga a notificar una violación de seguridad de datos personales a la AEPD en un plazo de 72 horas desde que se tiene constancia de ella, salvo que sea improbable que suponga un riesgo para los afectados.
• La LOPDGDD, en su artículo 76, remite a los tramos sancionadores del propio RGPD: las multas pueden llegar hasta 10 millones de euros o el 2% de la facturación anual global para las infracciones más leves, y hasta 20 millones de euros o el 4% para las más graves, aplicando siempre la cifra mayor.
• El deber existe independientemente del tamaño de la empresa. No hay una excepción de pyme en el RGPD.

La AEPD (Agencia Española de Protección de Datos) ofrece herramientas gratuitas pensadas específicamente para empresas pequeñas: Facilita RGPD ayuda a construir el registro de actividades de tratamiento y las políticas mínimas, y Asesora Brecha ayuda a decidir si una incidencia concreta debe notificarse dentro de las 72 horas. Son un punto de partida razonable si todavía no tienes nada documentado, aunque no sustituyen un análisis de riesgos hecho a medida de tu operativa real.

Otros dos marcos que conviene conocer, aunque no apliquen a todos

ENS, si trabajas con el sector público

El Esquema Nacional de Seguridad (Real Decreto 311/2022, de 3 de mayo) se dirige en primer lugar al sector público. Su artículo 2.3 alcanza también a las empresas privadas que prestan servicios o soluciones al sector público mediante contrato, y extiende explícitamente esa exigencia a la cadena de suministro de esos contratistas. Si vendes a un ayuntamiento, una administración autonómica o cualquier organismo público, o si eres subcontratista de alguien que lo hace, el ENS puede aplicarte aunque tu empresa nunca hubiera oído hablar de él.

DORA, solo si trabajas con el sector financiero

El Reglamento (UE) 2022/2554 (DORA), aplicable desde el 17 de enero de 2025, regula la resiliencia operativa digital de bancos, aseguradoras y entidades financieras, y alcanza también a sus proveedores de servicios TIC. Solo es relevante para tu pyme si tu cliente es un banco, una aseguradora o una entidad de pago y tú les prestas software o servicios tecnológicos.

Y el certificado que abre puertas sin ser una obligación legal

ISO 27001 no es un requisito legal para ninguna pyme española. Es, en cambio, lo que cada vez más clientes y pliegos de concurso piden como condición de entrada. Tratarlo como una obligación legal es un error de planteamiento; tratarlo como una carta de presentación comercial frente a clientes exigentes es acertado, y suele ser el paso que sigue de forma natural una vez que ya tienes ordenados el RGPD y los controles básicos.

Por dónde empezar sin perderte en la letra pequeña

Con tanta norma en juego es fácil paralizarse. El orden que tiene sentido para una pyme de 10 a 50 empleados es este:

1. Cierra primero el RGPD y la LOPDGDD: son obligatorios hoy y las multas son reales.
2. Documenta qué datos tratas, dónde están y quién tiene acceso, usando Facilita RGPD como base si no tienes nada empezado.
3. Revisa si vendes, directa o indirectamente, al sector público (ENS) o al sector financiero (DORA).
4. Da por hecho que llegará un cuestionario de seguridad de algún cliente grande, y prepárate con un análisis de riesgos antes de que llegue en lugar de después.
5. Considera ISO 27001 cuando el argumento comercial lo justifique, no antes.

Si prefieres que alguien con experiencia real revise tu situación concreta y te diga, con claridad, qué te toca y qué no, un CISO externo puede hacer ese diagnóstico en semanas, no en meses, y sin que tengas que contratar a nadie en plantilla.