NIS2: ¿me afecta? Qué significa la ley de ciberseguridad para pequeñas y medianas empresas

¿Has recibido en los últimos meses un correo en el que ponía «NIS2» en negrita y la palabra «multa» no andaba lejos? Respira un momento.

NIS2 es una directiva de la UE para reforzar la ciberseguridad. En Alemania se aplica desde el 6 de diciembre de 2025 a través de la ley de transposición de NIS2 (NIS-Umsetzungsgesetz), que sobre todo ha reformado la ley del BSI (BSIG, la ley de la Oficina Federal de Seguridad de la Información de Alemania). No hubo periodo transitorio. Desde entonces, muchas pequeñas empresas se preguntan: ¿me toca? La respuesta sincera para la mayoría es: probablemente no de forma directa – pero quizá a través de sus clientes.

A quién afecta directamente

La ley distingue entre «entidades especialmente importantes» y «entidades importantes». Que formes parte de ellas depende sobre todo de dos cosas:

• Sector: Se incluyen determinados sectores, como energía, transporte, salud, agua, infraestructura digital, servicios de TI para empresas, servicios postales y de mensajería, residuos, química, alimentación, partes de la industria y proveedores digitales.
• Tamaño: Por regla general se trata de medianas y grandes empresas – a grandes rasgos, a partir de 50 empleados o de más de 10 millones de euros de volumen de negocio anual y de balance. La BSI (Oficina Federal de Seguridad de la Información de Alemania) evalúa el tamaño según la Recomendación 2003/361/CE de la UE. Para algunos servicios, la ley se aplica independientemente del tamaño.

La BSI ofrece online una comprobación orientativa para saber si te afecta. No sustituye al asesoramiento jurídico, pero en pocos minutos te da una primera orientación.

Qué tienen que hacer los afectados

• Registrarse: como muy tarde tres meses después de quedar afectado, a través del portal común de la BSI y la BBK (§ 33 BSIG).
• Prevenir: aplicar medidas adecuadas de seguridad de la información – desde el plan de emergencia y las copias de seguridad hasta el control de accesos (§ 30 BSIG).
• Notificar: Los incidentes de seguridad significativos se notifican a la BSI en tres fases (§ 32 BSIG).
• Implicar a la dirección: La dirección de la empresa debe aplicar las medidas, supervisar su aplicación y participar regularmente en formaciones (§ 38 BSIG).

Cuántos son en realidad

Hasta el 30 de septiembre de 2026, según la BSI, se habían registrado 20.141 entidades: 6.837 entidades especialmente importantes y 13.252 entidades importantes, además de algunos casos especiales. En el mismo periodo se recibieron 1.272 notificaciones iniciales de incidentes de seguridad. Esto demuestra que afecta a muchos – pero ni de lejos a todas las empresas.

La vía indirecta: cuando tu cliente está afectado

Aquí es donde se pone interesante para las pequeñas empresas. Las empresas afectadas también tienen que vigilar la seguridad de su cadena de suministro. Si suministras servicios informáticos, software, mantenimiento o componentes a una empresa afectada, es muy posible que tu cliente te haga preguntas o quiera ver pruebas. ¿Tenéis un plan de emergencia? ¿Cómo protegéis los accesos? ¿Hay copias de seguridad que se prueban?

No es un capricho, sino la vía por la que la ley llega a todo el tejido empresarial. Quien puede responder a estas preguntas con calma y sinceridad tiene una ventaja – también para conseguir nuevos encargos.

Una buena seguridad básica, que siempre ayuda

Te afecte o no: lo que exige NIS2 son, en el fondo, deberes razonables. Un plan de emergencia en una página. Inicio de sesión con dos factores para el correo y las cuentas importantes. Copias de seguridad separadas y probadas. Actualizaciones que no esperan meses. Y un equipo que sabe a quién llamar cuando algo parece raro. Cómo se hacen bien las copias de seguridad lo explicamos en La copia de seguridad que de verdad te salva.

Lo que más oímos en las conversaciones

«Somos un taller artesano con doce personas. ¿Nos afecta?» Por regla general, no. Los oficios no suelen estar entre los sectores incluidos y el tamaño queda por debajo de los umbrales. Hay excepciones, por ejemplo, si formáis parte del suministro energético.

«Somos una pequeña empresa de servicios informáticos.» Aquí merece la pena mirar con más detalle. Los servicios de TI gestionados para empresas son un sector incluido. Si os afecta o no, lo decide sobre todo el tamaño. E incluso si no: vuestros clientes os preguntarán.

«Nuestro cliente quiere una autoevaluación. ¿Qué ponemos?» La verdad, con calma. Lo que ya hacéis, lo que tenéis previsto y para cuándo. Nadie espera de una empresa de diez personas el departamento de seguridad de una multinacional. Lo que se espera es que sepáis dónde están vuestros riesgos y que trabajéis en ellos.

¿Quieres saber dónde estás? El Monstruo Audit comprueba contigo si NIS2 te afecta y pone por escrito, de forma comprensible, lo que tiene sentido. Para el plan de emergencia, las vías de notificación y la formación está el Monstruo Cyber.

Aviso: Este artículo ofrece una visión general (a fecha de 22.10.2026) y no constituye asesoramiento jurídico. Para tu caso concreto, consulta a una abogada o a un abogado.