¿Cuánto cuesta cumplir la NIS2 a una empresa?
No hay una cifra oficial en euros. La propuesta de la Comisión Europea de 2020 calculó que las empresas nuevas en el ámbito de la NIS2 tendrían que subir su gasto en seguridad informática un 22 % como máximo los primeros años. Para las que ya estaban en la primera directiva, un 12 %.
22 %
Aumento máximo del gasto en seguridad informática que la Comisión estimó, los primeros años, para las empresas que entran en la NIS2. Es una estimación de 2020, anterior a la directiva.
La exposición de motivos de la propuesta dice también para qué serviría ese gasto: lo compara con el coste de los incidentes de ciberseguridad, que estima en 118.000 millones de euros en diez años. De las medianas espera «un aumento del nivel de gasto en seguridad de las TIC durante los primeros años», y deja fuera a las microempresas y pequeñas empresas.
¿De qué partidas se compone el coste de cumplir la NIS2?
El coste de la NIS2 tiene cinco partidas, según la Directiva (UE) 2022/2555: las medidas del artículo 21, la formación de la dirección del artículo 20, la notificación de incidentes del artículo 23, la revisión de proveedores del artículo 21.2.d y, si la autoridad la ordena, la auditoría específica, que paga la entidad.
| Artículo | Partida | Lo habitual | Qué incluye |
|---|---|---|---|
| 21.2, letras a) a j) | Medidas de gestión de riesgos | Inversión al implantar y gasto al mantener | Análisis de riesgos, gestión de incidentes, copias y continuidad, vulnerabilidades, formación, cifrado, accesos y doble factor |
| 20 | Gobernanza y formación | Recurrente | La dirección aprueba las medidas y supervisa; sus miembros asisten a formación, y se anima a formar a la plantilla |
| 23 | Notificación de incidentes | Recurrente | Alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes |
| 21.2.d y 21.3 | Seguridad de la cadena de suministro | Recurrente | Valorar a los proveedores directos y la calidad de sus prácticas de seguridad |
| 32.2 y 33.2 | Auditoría de seguridad específica | Puntual, si la autoridad la ordena | La hace un organismo independiente y la paga la entidad auditada, salvo que la autoridad decida otra cosa |
El artículo 21.4 añade una partida que no se ve: si detectas que no cumples una medida, tienes que corregirlo «sin demora indebida». Qué exige cada letra del artículo 21, con la prueba que la demuestra, está en el checklist de la NIS2.
¿Qué parte del presupuesto de informática se va en ciberseguridad?
El 9 %, según el informe NIS Investments 2025 de ENISA, la agencia europea de ciberseguridad, con un gasto mediano de 1,5 millones de euros. Pero la muestra son 1.080 profesionales de sectores críticos y el 83 % son de grandes empresas. En las pymes, la proporción es mayor, según el informe de 2024.
| Fuente | Dato | A quién se refiere | Por qué no vale tal cual |
|---|---|---|---|
| Comisión Europea, COM(2020) 823 | Hasta un 22 % más de gasto en seguridad informática los primeros años, un 12 % si ya estabas en la primera directiva | Empresas dentro de la NIS2 | Es una estimación previa y en porcentaje sobre lo que ya gastabas |
| ENISA, NIS Investments 2025 | El 9 % del presupuesto de informática; gasto mediano en ciberseguridad de 1,5 M€ | 1.080 profesionales de sectores críticos, el 83 % de grandes empresas | Pasarlo a euros para una pyme no tiene base |
| ENISA, NIS Investments 2024 | En las pymes, la seguridad pesa más sobre el presupuesto de informática que en las grandes | Entidades de los sectores de la NIS2 | Lo atribuye a inversiones básicas que hay que hacer sea cual sea el tamaño |
| ENISA, NIS Investments 2024 | El 34 % de las pymes no podrá conseguir el presupuesto adicional que necesita para la NIS2 | Pymes encuestadas | Dice cuántas no llegan, no cuánto cuesta |
| ENISA, NIS Investments 2025 | El cumplimiento normativo es el primer motivo de inversión, para el 70 % | Organizaciones encuestadas | Mide motivos, no importes |
El informe de 2024 explica por qué en las pymes la proporción es mayor: hay inversiones básicas en seguridad que cualquier empresa tiene que hacer, sea cual sea su tamaño, y se comen una parte grande de un presupuesto pequeño. Las grandes, en cambio, se benefician de las economías de escala.
¿Por qué el coste de la NIS2 depende del tamaño de tu empresa?
El coste de la NIS2 cambia con el tamaño porque su artículo 21.1 pide medidas «adecuadas y proporcionadas» y manda tener en cuenta el coste de aplicarlas, la exposición al riesgo, el tamaño y la probabilidad y gravedad de los incidentes. Una empresa de 60 personas no tiene que gastar como un banco.
La Comisión lo dijo así en 2020: la propuesta «minimiza los costes de conformidad para las pymes, ya que las entidades están obligadas a adoptar únicamente las medidas necesarias para garantizar un nivel de seguridad» adecuado al riesgo. Por debajo de 50 personas, y sin superar a la vez 10 millones de facturación y de balance, una empresa queda fuera por tamaño salvo excepciones: lo cuenta el umbral de la NIS2.
| Situación | Lo abarata | Lo encarece |
|---|---|---|
| Lo que ya tienes | Copias probadas, doble factor y antivirus gestionado ya puestos | Empezar sin inventario ni política escrita |
| Tu exposición | Pocos sistemas y casi todo en servicios en la nube conocidos | Sistemas propios expuestos a internet o planta conectada |
| Quién lo lleva | Alguien que documenta y guarda las pruebas cada mes | Rehacer la documentación cada vez que alguien la pide |
| Tus proveedores | Pocos y con sus pruebas al día | Muchos, sin cláusulas ni revisión |
¿Por qué a una pyme le cuesta encontrar quien lleve la NIS2?
Porque faltan profesionales: según ENISA (2025), el 94 % de las pymes tiene dificultades para contratar personal de ciberseguridad y el 90 % para retenerlo, frente al 83 % y el 80 % de las grandes. En 2024, el 89 % de las entidades preveía necesitar más personal para la NIS2.
94 %
De las pymes de la encuesta de ENISA tienen dificultades para contratar personal de ciberseguridad; el 90 %, para retenerlo.
ENISA ve además que el gasto en seguridad se orienta cada vez más a la tecnología y a la externalización, y menos a crecer los equipos propios. Para una pyme, las opciones reales son tres: formar a alguien de dentro, contratar un servicio que haga el trabajo diario o sumar un CISO externo, un responsable de seguridad de fuera por horas. Qué hace esa figura y qué norma la pide, en el responsable de seguridad de la información.
¿Hay ayudas para pagar la adaptación a la NIS2?
Hay dos que conviene mirar, con condiciones. La ayuda Ciberseguridad Industrial de SPRI, en Euskadi, cubre el 60 % de proyectos que incluyen evaluación de cumplimiento normativo, hasta el 23 de noviembre de 2026. Pyme Cibersegura, en cambio, excluye en su anexo de gastos las actividades para adaptarse a una normativa obligatoria.
Según el BOPV de 18 de mayo de 2026, SPRI subvenciona la «evaluación de cumplimiento normativo», la «estrategia para el cumplimiento normativo» y las auditorías y certificaciones sobre marcos de ciberseguridad, con «especial atención» a los sectores con «mayor presión regulatoria». El anexo II de Pyme Cibersegura excluye «la ejecución de actividades necesarias para que la entidad se adapte a la normativa», aunque sí paga medidas concretas como copias o doble factor.
El Kit Digital no es opción: sus convocatorias han finalizado. Qué hay abierto cámara por cámara, con plazos, está en las ayudas de ciberseguridad para pymes.
¿Cuánto cuesta cumplir la NIS2 con un servicio gestionado?
Con Talvit, la cuota es de 29 € por puesto y mes, IVA no incluido y sin permanencia: con 25 puestos, 725 € al mes. El sistema de seguridad documentado y el dossier NIS2 se presupuestan aparte, antes de empezar. Las decisiones de la dirección y cualquier auditoría externa también van aparte.
La cuota incluye lo que frena el ransomware en cada equipo, la copia del puesto con restauración probada, el filtro de correos trampa y tu persona de contacto. La copia y el archivo del correo de Microsoft 365 y el sistema documentado con su dossier de evidencias se presupuestan aparte. Sin proyecto ni inversión inicial. Calcula tu cuota en el precio de la ciberseguridad para una pyme.
Lo que tienes que saber de tu empresa
- Si te aplica: sector, personas, facturación y balance
- Cuántos puestos hay: ordenadores y portátiles de trabajo
- Qué te piden ya tus clientes por contrato o en un cuestionario
- Qué tienes hecho: copias, doble factor, antivirus, política escrita
Lo que tienes que preguntar al proveedor
- Qué entra en la cuota y qué se presupuesta aparte
- Quién redacta la documentación y quién la mantiene
- Cada cuánto te entrega las pruebas, y en qué formato
- Quién te ayuda a notificar un incidente en 24 y 72 horas
- Si hay permanencia y cómo te llevas tu documentación al salir
¿Cuándo hace falta tener el presupuesto de la NIS2 si no hay ley española?
Ya, si tus clientes te lo piden. A 18 de octubre de 2026 la NIS2 no tiene ley española de transposición: rige el Real Decreto-ley 12/2018 y la Comisión llevó a España ante el Tribunal de Justicia el 8 de julio. Un cliente puede exigirte las medidas por contrato sin esperar a la ley.
14-12-2022
Se aprueba la Directiva (UE) 2022/2555
17-10-2024
Acaba el plazo de transposición
Los Estados tenían que aplicar sus leyes desde el 18 de octubre de 2024 (artículo 41).
8-7-2026
La Comisión lleva a España ante el Tribunal de Justicia de la UE
Por no haber notificado las medidas de transposición.
18-10-2026
Sin ley española en el BOE
Sigue vigente el Real Decreto-ley 12/2018, que transpuso la primera directiva.
Fuente: Comisión Europea, nota de 8-7-2026: España ante el Tribunal de Justicia por no transponer la NIS2, consultado el .
El detalle, con cada hito y su fuente, está en el estado de la NIS2 en España; lo que hoy obliga, en el Real Decreto-ley 12/2018. Presupuestar ahora tiene sentido si un cliente te manda un cuestionario de seguridad o una cláusula. Cómo lo llevamos, en la página de la NIS2; el resto del tema, en normativa.
Lo que esta guía no cubre
- Un presupuesto para tu empresa: depende de tus puestos, tu sector y lo que ya tienes, y se calcula con esos datos delante.
- Las multas: las cuentan la guía del umbral de la NIS2 y la de la responsabilidad de la dirección.
- Las encuestas de fabricantes y las horquillas en euros de consultoras, porque no publican cómo las calculan.
Preguntas frecuentes
¿Cuánto cuesta la NIS2 a una empresa de 50 empleados?
No hay cifra oficial por tamaño: depende de lo que ya tengas, porque la directiva pide medidas proporcionadas (artículo 21.1). Como referencia, la cuota de Talvit para 50 puestos es de 1.450 € al mes, IVA no incluido; el sistema documentado y el dossier se presupuestan aparte.
¿El coste de la NIS2 es puntual o recurrente?
Las dos cosas. Según ENISA (2024), la mayoría de las entidades prevé un aumento puntual o permanente de su presupuesto de ciberseguridad para cumplir la NIS2. Implantar es un gasto inicial; mantener las medidas y sus pruebas, uno continuo.
¿Quién paga la auditoría de la NIS2?
La auditoría de seguridad específica que ordene la autoridad la paga la entidad auditada, salvo que la autoridad decida lo contrario de forma motivada (artículos 32.2 y 33.2 de la directiva).
¿Puedo pagar la adaptación a la NIS2 con el Kit Digital?
No. Según Acelera pyme, las convocatorias del Programa Kit Digital han finalizado.
Fuentes
- Comisión Europea, propuesta COM(2020) 823 final, exposición de motivos, consultado el
- ENISA, NIS Investments 2025 (8-12-2025), consultado el
- ENISA, NIS Investments 2024 (22-11-2024), consultado el
- Directiva (UE) 2022/2555 (NIS2), arts. 20, 21, 23, 32, 33 y 41, consultado el
- BOPV n.º 91, de 18-5-2026, bases y convocatoria de Ciberseguridad Industrial 2026 (SPRI), consultado el
- Pyme Cibersegura 2026, anexo II de gastos elegibles, convocatoria de la Cámara de Ciudad Real (BDNS 888603), consultado el
- Comisión Europea, nota de 8-7-2026: España ante el Tribunal de Justicia por no transponer la NIS2, consultado el
- BOE, Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información (vigente), consultado el
- Acelera pyme, Kit Digital, consultado el
Registro de cambios
- : Publicación.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
