NIS2 explicado para PYMES: se aplica a mi empresa y qué hacer ya

8 min de lectura · DataRoad

La NIS2 explicada para PYMES Se reduce a una pregunta y una tarea. La pregunta: ¿Mi empresa está cubierta? La tarea: si lo está, demostrar que tiene medidas de ciberseguridad adecuadas — y saber notificar un incidente en 24 horas. Este guía responde a ambas, en lenguaje de gestión, con los números confirmados en el texto de la ley y en el reglamento del Centro Nacional de Ciberseguridad (CNCS).

Una nota antes de empezar: DataRoad no ofrece asesoramiento jurídico. Implementamos las medidas técnicas. La calificación de su empresa debe ser validada por su jurista.

¿Qué es la NIS2 y qué cambió en Portugal?

La NIS2 es una directiva europea que obliga a empresas y entidades de sectores importantes para la sociedad a gestionar el riesgo de ciberseguridad de forma estructurada. En Portugal fue transpuesta por el Decreto-Ley n.º 125/2025, publicado el 4 de diciembre de 2025, que creó el nuevo Régimen Jurídico de la Ciberseguridad. El diploma entró en vigor 120 días después de su publicación, en abril de 2026.

El CNCS publicó posteriormente el Reglamento n.º 756/2026, de 22 de junio, que puso en funcionamiento el régimen y abrió la plataforma MyCiber el 23 de junio de 2026. Según el CNCS, citado por la agencia Lusa, el nuevo régimen debería abarcar cerca de seis mil entidades —en comparación con unas 450 en el régimen anterior—.

¿Se aplica a mi empresa? 6 preguntas

Si responde “sí” a cualquiera de las tres primeras preguntas, es probable que esté incluido en el programa —y la decisión debe ser formalizada con apoyo jurídico.

1. ¿Su sector está en los anexos de la ley? Incluyen, entre otros, energía, transporte, banca, salud, agua, infraestructuras digitales, gestión de servicios TIC, administración pública, servicios postales, residuos, químicos, alimentación, industria transformadora e investigación.
2. ¿Su empresa es mediana o grande? Según la definición europea, una empresa deja de ser pequeña si tiene 50 o más trabajadores, o si el volumen de negocios y el balance anual son ambos superiores a 10 millones de euros.
3. ¿Prestáis algún servicio que sea independiente de la dimensión? Por ejemplo, comunicaciones electrónicas, servicios de confianza, servicios de DNS, o ser el único proveedor de un servicio esencial.
4. ¿Forma parte de un grupo? En la definición europea de PYME, una empresa vinculada a un grupo puede tener que sumar los trabajadores y los valores del grupo. Una empresa “pequeña” puede, por lo tanto, contar como media.
5. ¿Es proveedor de una entidad incluida? Aunque no esté incluido, sus clientes están obligados a gestionar el riesgo de los proveedores. Recibirán cuestionarios, cláusulas contractuales y solicitudes de pruebas.
6. ¿Ya has realizado la autoevaluación en MyCiber? La responsabilidad de identificar a la persona corresponde a la empresa, no al CNCS. Si está incluido y aún no lo ha hecho, trate de resolverlo de inmediato con su abogado.

Los plazos que cuentan

Las medidas mínimas están organizadas en tres niveles, asignados según el riesgo de la entidad: básico (39 medidas), sustancial (75) y elevado (91).

Incidencias: el reloj de las 24 horas

Es la obligación que más exige preparación técnica. En caso de incidente de impacto significativo, la ley (artículos 42.º a 44.º) define:

• Hasta 24 horas Tras la verificación: notificación inicial.
• Hasta 72 horas, Cuando sea necesario: actualización con la evaluación inicial de la gravedad y el impacto.
• Hasta 24 horas Tras el fin del impacto significativo: notificación del fin del impacto.
• 30 días hábiles Tras dicha notificación: informe final.

Notificar en 24 horas es posible solo si alguien alerta a tiempo. Esto requiere monitoreo, registros (logs) guardados y un procedimiento escrito que diga quién decide y quién comunica. Un incidente detectado el lunes por la mañana, después de un fin de semana sin vigilancia, ya está demasiado atrasado. Por eso, en las empresas incluidas en este programa recomendamos: IT Unlimited Premium 365, El único plan con cobertura nocturna, los fines de semana y los días festivos.

Multas y responsabilidad de la gestión

Más importante que el valor máximo: la ley coloca la responsabilidad en los órganos de gestión. Son ellos quienes aprueban y supervisan las medidas de ciberseguridad y promueven la formación regular —y esta responsabilidad no es delegable libremente. La formación abarca a los titulares de los órganos de gestión y a los trabajadores. La NIS2 dejó de ser un tema “de informático”.

Qué hacer mañana: las medidas técnicas

Esta es la parte en la que entra DataRoad. Independientemente del nivel asignado, hay medidas que siempre aparecen —y que cualquier empresa con más de 10 puestos debería tener, independientemente de si está cubierta o no:

1. Inventario de activos: Servidores, computadoras, red, servicios en la nube y accesos. Comience con nosotros lista de verificación de auditoría del parque informático.
2. Control de acceso con MFA en correo electrónico, en la nube y en acceso remoto. ¡Descubre cómo en autenticación multifactor en la empresa.
3. Cargos de respaldo fuera del lugar y comprobados, con tiempos de recuperación definidos — ver soluciones de copia de seguridad.
4. Firewall gestionado y segmentación de la red.
5. Protección de endpoints y gestión de actualizaciones.
6. Políticas escritas y formación con registro de asistencia — tenemos un punto de partida en 7 políticas internas de ciberseguridad.
7. Procedimiento de respuesta a incidentes, Con responsables definidos y simulaciones.

Cada medida debe quedar documentada. En NIS2, no basta con estar seguro: hay que poder demostrarlo. El detalle de nuestro servicio se encuentra en la página. NIS2 — implementación técnica.

Un caso real: seguridad gestionada en un parque de 350 puestos

Ventask es cliente de DataRoad desde 2016 y tiene más de 350 puestos de trabajo en IT Unlimited. DataRoad gestiona toda la área de redes, administra y mantiene los firewalls corporativos, implementa y gestiona la protección de endpoints, las soluciones de trabajo remoto seguro y la red inalámbrica —con monitoreo y alerta proactiva en el plan Premium 365—.

Son las capas técnicas que NIS2 solicita — perímetro, endpoints, accesos remotos y vigilancia continua — en un único contrato. Lea el caso de Ventask.

Preguntas frecuentes

¿La NIS2 se aplica a empresas con menos de 50 trabajadores?

En general, no, salvo que el volumen de negocios y el balance superen ambos los 10 millones de euros, si la empresa pertenece a un grupo que la haga contar como media, o si presta un servicio comprendido independientemente de su magnitud. Incluso fuera de este ámbito, puede ser afectada como proveedor de entidades incluidas en el ámbito de aplicación.

¿Cuáles son los plazos para notificar un incidente?

Notificación inicial en un plazo de 24 horas tras la verificación de un incidente significativo, actualización en un plazo de 72 horas cuando sea necesario, notificación de finalización del impacto en un plazo de 24 horas después de que éste finalice y informe final en un plazo de 30 días laborables.

¿Cuál es el valor máximo de las multas?

Para entidades esenciales, hasta 10 millones de euros o el 2% del volumen de negocios anual mundial; para entidades importantes, hasta 7 millones de euros o el 1,4%, aplicando el valor más alto.

¿DataRoad hace el registro en MyCiber en nombre de mi empresa?

No. La autoeidentificación y el registro son acciones propias de la entidad, y la calificación debe ser legalmente validada. DataRoad prepara la información técnica necesaria y implementa las medidas de seguridad requeridas.

Diagnóstico técnico NIS2 en 10 días laborables

Analizamos su infraestructura en función de las medidas técnicas de NIS2 y entregamos un documento escrito con las lagunas, la urgencia de cada una y el coste de solucionarlas. Para empresas con más de 10 puestos · contrato de asistencia · soporte remoto, local y telefónico. También explore nuestros servicios ciberseguridad para empresas.

Fuentes

• Decreto-Ley n.º 125/2025, de 4 de diciembre — Diario de la República: diariodarepublica.pt (texto completo también en EUR-Lex)
• Reglamento n.º 756/2026, de 22 de junio (CNCS) — Diario de la República: diariodarepublica.pt
• Plataforma MyCiber (CNCS): myciber.gov.pt
• Comisión Europea — Definición de PYME: ec.europa.eu
• ECO/Lusa — Las entidades tendrán 60 días hábiles para registrarse en MyCiber (24 de junio de 2026): eco.sapo.pt