Guía de cumplimiento NIS2 para PyMEs

NIS2 es la actualización europea de la directiva de ciberseguridad que reemplazó a la NIS original de 2016. Los estados miembro debían transponerla a su legislación nacional desde octubre de 2024, y amplía enormemente el universo de empresas obligadas a gestionar el riesgo cibernético de forma activa — ya no solo sectores clásicamente críticos como energía, transporte o banca.

Para una PyME que opera en la Unión Europea, o que le vende a una empresa europea — incluida Italia, donde DITAP tiene presencia directa —, NIS2 dejó de ser un tema exclusivo de infraestructura crítica para convertirse en un tema de cadena de suministro: si tu cliente es una entidad esencial o importante, es muy probable que te pida evidencia de que gestionás el riesgo, aunque tu empresa no esté alcanzada directamente por la ley.

NIS2 clasifica a las organizaciones en dos niveles: entidades esenciales (energía, transporte, banca, salud, agua, infraestructura digital, administración pública, espacio) y entidades importantes (servicios postales, gestión de residuos, químicos, alimentación, manufactura, proveedores digitales, investigación). Ambas categorías comparten las mismas obligaciones de fondo; la diferencia está en la intensidad de la supervisión y en el techo de las sanciones.

El criterio de tamaño es el filtro habitual: en general quedan alcanzadas las medianas y grandes empresas — 50 empleados o más, o facturación y balance por encima de los umbrales que fija cada país al transponer la directiva. Pero hay una salvedad importante: varios sectores, como infraestructura digital, proveedores de confianza o administración pública, no tienen piso de tamaño y quedan adentro sin importar cuántos empleados tengan.

• Vendés servicios tecnológicos, de conectividad o de infraestructura a una entidad esencial o importante.
• Operás en hospitality, salud, logística o manufactura con presencia en la Unión Europea.
• Un cliente o socio te pidió por contrato evidencia de gestión de riesgo cibernético o un cuestionario de seguridad.
• Formás parte de la cadena de suministro de una empresa que sí está alcanzada directamente.

Si te reconociste en alguno de esos puntos, aunque no estés obligada en sentido estricto, te conviene tratar NIS2 como el estándar de referencia: es lo que tus clientes y aseguradoras van a empezar a exigir en los próximos 24 meses, esté o no la ley formalmente aplicada en tu caso.

Más allá de la lista de medidas técnicas, NIS2 exige tres cosas muy concretas que cambian cómo opera una empresa día a día:

• Gestión de riesgo continua: no una auditoría puntual, sino un proceso vivo de identificación, evaluación y tratamiento del riesgo cibernético, revisado y actualizado con regularidad.
• Reporte de incidentes en plazos ajustados: alerta temprana a la autoridad competente dentro de las 24 horas de detectado un incidente significativo, notificación formal dentro de las 72 horas, e informe final dentro del mes.
• Debida diligencia en la cadena de suministro: evaluar el riesgo de ciberseguridad de tus propios proveedores tecnológicos, lo que significa que si tu cliente está alcanzado, probablemente te va a auditar a vos también.

El plazo de 24 horas es el que más sorprende a las PyMEs: no da tiempo a armar un comité recién cuando ya pasó el incidente. Hace falta un proceso de detección y escalamiento definido de antemano — con responsables, teléfonos y un canal de contacto ya probado — y no un plan que se improvisa en caliente.

Una de las novedades más filosas de NIS2 es que la responsabilidad última por la gestión de riesgo cibernético recae en el órgano de dirección de la empresa, no solo en el área de IT. Eso implica aprobación formal de la estrategia de gestión de riesgo, supervisión de su implementación y, en algunos regímenes nacionales, responsabilidad personal por incumplimientos graves.

En la práctica, esto convierte a la ciberseguridad en un tema de agenda de dirección, con al menos una revisión periódica documentada, y no en una carpeta que el área técnica abre una vez al año antes de una auditoría.

• Designar un responsable — interno o externo — que reporte directamente a dirección.
• Capacitación específica en gestión de riesgo cibernético para los miembros del órgano de dirección: la directiva la menciona explícitamente.
• Documentar cada decisión relevante de riesgo: qué se aceptó, qué se mitigó y por qué.

El Artículo 21 de la directiva detalla diez dominios de medidas mínimas de gestión de riesgo. No es una lista de productos para comprar: es un marco de gestión que cada empresa adapta a su tamaño y a su exposición real.

• Política de análisis de riesgo y seguridad de los sistemas de información.
• Gestión de incidentes: detección, respuesta y comunicación.
• Continuidad de negocio: gestión de backups, recuperación ante desastres y gestión de crisis.
• Seguridad de la cadena de suministro, incluida la relación con cada proveedor directo.
• Seguridad en la adquisición, desarrollo y mantenimiento de sistemas, incluida la gestión de vulnerabilidades.
• Políticas para evaluar la eficacia de las medidas de gestión de riesgo.
• Prácticas básicas de ciberhigiene y formación en seguridad para todo el personal.
• Políticas de uso de criptografía y, cuando corresponda, cifrado.
• Seguridad de recursos humanos, control de acceso y gestión de activos.
• Autenticación multifactor o continua, comunicaciones de voz, video y texto seguras, y sistemas de comunicación de emergencia dentro de la organización cuando sea necesario.

Ninguno de estos diez dominios es exótico: son, en esencia, buenas prácticas de infraestructura y seguridad gestionada que ya recomendamos a cualquier PyME, esté o no alcanzada formalmente por NIS2. La diferencia es que ahora existe la obligación de documentarlas y poder mostrarlas.

Las sanciones económicas por incumplimiento son serias y escalan según el tamaño de la empresa. Para entidades esenciales, las multas administrativas pueden llegar hasta 10 millones de euros o el 2% de la facturación global anual, lo que sea mayor. Para entidades importantes, el techo es de 7 millones de euros o el 1,4% de la facturación global.

Pero el costo real casi nunca es la multa. Es perder el contrato con el cliente que pidió evidencia de cumplimiento y no la tuviste, quedar afuera de una licitación pública, o el costo reputacional de reportar tarde un incidente que ya se filtró a la prensa antes que a la autoridad correspondiente.

No hace falta resolver los diez dominios del Artículo 21 en un fin de semana. Un plan realista de 90 días prioriza lo que reduce más riesgo primero, no lo que suena mejor en una presentación.

• Semanas 1-2: mapear qué datos, sistemas y proveedores son críticos. Sin este inventario, cualquier medida posterior se toma a ciegas.
• Semanas 3-4: definir el proceso de reporte de incidentes — quién decide, a quién se avisa, en qué plazo — y probarlo con un simulacro simple.
• Semanas 5-8: cerrar las brechas técnicas más urgentes: MFA en todos los accesos críticos, backups 3-2-1 verificados (no solo configurados) y segmentación básica de red.
• Semanas 9-12: documentar la política de gestión de riesgo, capacitar al equipo directivo y armar el primer informe de estado para presentar a dirección.

En DITAP no vendemos certificaciones que no tenemos. Nuestra postura frente a NIS2 e ISO 27001 es de alineación progresiva: diseñamos infraestructura y procesos de seguridad gestionada — firewall gestionado, monitoreo 24/7, backup 3-2-1, segmentación de red, MFA — que cubren buena parte de los diez dominios técnicos del Artículo 21, documentados para que tu empresa pueda mostrar evidencia real ante un cliente o un auditor.

Si estás evaluando qué tan expuesta está tu operación, el primer paso es una auditoría técnica que compara tu infraestructura actual contra el Artículo 21, con hallazgos concretos y priorizados — sin humo ni checklist genérico.