Normativa
Qué es la NIS2 y qué significa para tu pyme
La directiva europea de ciberseguridad, explicada sin jerga: a quién afecta y qué pide.
¿Qué normativa de ciberseguridad obliga a una pyme?
Cuatro, y conviene separarlas porque no se parecen. El RGPD obliga a toda empresa con datos personales. La NIS2 obliga por sector y tamaño. El ENS se exige al trabajar con la Administración. Y las certificables —ISO 27001, TISAX— no obligan por ley: las pide un cliente en un contrato.
La diferencia práctica es quién te lo reclama: un organismo en las dos primeras, y en las otras dos una persona de compras con fecha límite.
¿Me afecta la NIS2?
La NIS2 es la Directiva (UE) 2022/2555 y, como toda directiva, cada país la incorpora con su propia ley. Como regla general alcanza a empresas medianas y grandes de los sectores que recoge: energía, transporte, salud, agua, infraestructura digital, fabricación, alimentación, residuos y servicios postales, entre otros.
Qué es la NIS2 y qué significa para tu pyme separa entidad esencial de importante y desarrolla las diez medidas del artículo 21. En un minuto, el test de cinco preguntas sobre la NIS2 contesta en la propia página.
¿Te obliga a ti, o te lo está pidiendo un cliente?
Es la distinción que más trabajo ahorra. Una pyme de veinte personas casi nunca entra en el ámbito de la NIS2 por sí misma. Su cliente grande sí, y la directiva le obliga a cuidar la seguridad de su cadena de suministro. La exigencia te llega entonces por contrato, no por ley.
Si lo que tienes delante es un cuestionario, una cláusula o una homologación, el camino es cómo responder lo que te piden tus clientes. Y si eres tú quien se lo pide a tus proveedores, cómo revisar la seguridad de tus proveedores trae las cinco preguntas que sirven.
¿Qué pide exactamente el RGPD en materia de seguridad?
El artículo 32 es el que habla de seguridad, y no nombra ningún producto: pide medidas adecuadas al riesgo, cifrado cuando proceda, capacidad de restaurar la disponibilidad de los datos y un proceso para verificar que todo eso funciona. Lo último es lo que casi nadie documenta.
Qué medidas pide el artículo 32 del RGPD lo traduce a medidas. El plazo que más aprieta está en el 33: las primeras 72 horas de una brecha de datos.
¿Qué papel se enseña cuando piden cumplimiento?
No existe un certificado NIS2 ni un sello RGPD. Lo que se enseña son las medidas aplicadas y las pruebas de que funcionan: la política por escrito, el inventario, el registro de incidentes y el informe de la última restauración. Papel con fecha, no intenciones.
Lo que piden primero es la política y el sistema que la sostiene: una plantilla de política de seguridad para pymes y qué es un SGSI y cómo se monta en una pyme. Todo junto y ordenado para entregarlo es un dossier de evidencias.
¿Y si el cliente pide una certificación con nombre?
Entonces el trabajo cambia: hay un auditor externo, un alcance que se negocia y meses de plazo. Son tres y se piden en contextos distintos, así que la primera pregunta no es cómo certificarse, sino si hace falta o basta con acreditar las medidas.
ISO 27001 para pymes: qué es y cuándo compensa para la norma general, el Esquema Nacional de Seguridad y cuándo te lo piden si la licitación es pública, y qué es TISAX si tu cliente es de automoción.
¿Y si prefieres que lo lleve alguien?
Las guías de normativa de arriba están escritas para que puedas hacerlo por tu cuenta. Si lo que quieres es que las medidas estén puestas y que cada mes llegue el documento que lo demuestra, eso es lo que hacemos nosotros.
Cumplir la NIS2 en una pyme explica qué implantamos y cómo se paga. Quién escribe estas guías está en nuestra política editorial.
Las guías de normativa
De la NIS2 al RGPD, y lo que se certifica. Cada una dice a quién aplica y qué pide.
Normativa
Esquema Nacional de Seguridad: cuándo te lo piden
Qué es el ENS, qué categorías tiene y qué necesitas si trabajas con la Administración.
Normativa
ISO 27001 para pymes: qué exige, de qué depende lo que cuesta y cuándo compensa
La norma de seguridad que se certifica: qué pide, de qué depende el precio, cuánto dura y cuándo le compensa a una pyme.
Normativa
Medidas de seguridad del RGPD: qué pide el artículo 32 y cómo se demuestra
El artículo 32 del RGPD no da una lista cerrada: pide medidas adecuadas al riesgo. Cuáles encajan, cómo se deciden y qué tienes que poder enseñar.
Normativa
Plantilla de política de seguridad para pymes
Los seis apartados que debe tener, con texto de ejemplo para adaptar.
Normativa
Qué es TISAX y cuándo te lo pide un cliente de automoción
Niveles de evaluación, cómo se prepara y cuánto dura.
Normativa
Qué es un SGSI y cómo se monta en una pyme
Tu sistema de seguridad por escrito: qué documentos tiene y cómo se mantiene vivo.
Normativa
¿Me afecta la NIS2? Test en cinco preguntas
Tamaño, sector y clientes: una orientación rápida y qué hacer en cada caso.
Normativa
¿Está en vigor la NIS2 en España? Qué rige hoy y qué falta
La NIS2 sigue sin ley española. Cada hito con su fuente oficial, qué norma rige mientras tanto y qué pueden pedirte tus clientes.
Normativa
Umbral de la NIS2: cuántos empleados y cuánta facturación
Cincuenta personas, o diez millones de facturación y diez de balance a la vez. La regla exacta del tamaño, con casos resueltos.
Normativa
Sectores de la NIS2 por CNAE: qué actividades entran y cuáles no
Los 18 sectores de los anexos I y II, con su código CNAE orientativo. Y los cuatro casos que más se confunden.
Normativa
Checklist NIS2: las diez medidas del artículo 21 y la prueba de cada una
Las diez medidas del artículo 21 en 28 casillas, con la prueba que vale para cada una. Lista para imprimir y repasar.
Normativa
NIS2 y la dirección: aprobar, supervisar, formarse y responder
Lo que la NIS2 pide a quien dirige la empresa: aprobar, supervisar, formarse y responder. Y lo que ya rige en España sin esa ley.
Normativa
Declaración de conformidad con el ENS: quién la emite y cuándo vale
El pliego pide la declaración o la certificación de conformidad con el ENS. Cuál te toca, quién la emite y cómo se prepara.
Normativa
Ley de Ciberresiliencia (CRA): qué tiene que hacer una pyme que fabrica software o equipos conectados
Desde el 11 de septiembre de 2026, quien fabrica software o equipos conectados tiene que notificar sus vulnerabilidades. Qué, cuándo y qué llega en 2027.
Normativa
ISO 27001 y NIS2: qué cubre la norma de lo que pide la directiva, y qué no
Cuánto te acerca un sistema ISO 27001 a la NIS2, con la tabla oficial de ENISA y lo que ningún certificado hace por ti.
Normativa
ENS o ISO 27001: en qué se diferencian y cuál te van a pedir
Cuál te piden según quién sea tu cliente, en qué se diferencian y qué parte del trabajo sirve para las dos.
Normativa
Cuánto cuesta cumplir la NIS2: de qué depende y qué dicen los datos oficiales
No hay una cifra única que valga para todas, pero sí dos datos oficiales que casi nadie cita, las partidas que componen el coste y por qué depende de tu tamaño.
Normativa
Responsable de seguridad de la información: quién puede serlo en una pyme y qué te exige cada norma
Qué hace, qué norma lo exige y a quién, si puede ser la persona de informática y si puede ser alguien de fuera.
