La mayoría de los gestores de pymes han oído hablar de NIS2 como “esa ley europea de ciberseguridad para las grandes empresas”. La mitad de esa frase es incorrecta. NIS2 es de hecho una directiva europea, pero en Portugal ya es ley nacional —el Decreto-Ley n.º 125/2025, en vigor desde el 4 de mayo de 2026— y abarca a muchas medianas empresas y a un número relevante de pequeñas, directamente o a través de los clientes a los que suministran. Este artículo explica, sin jerga jurídica, quién está incluido, qué hay que hacer y hasta cuándo, y por dónde debe empezar una pyme. Para conocer todos los detalles completos y actualizados, tenemos la página NIS2 en Portugal: ¿está su empresa incluida?.
La NIS2 es una directiva de la Unión Europea diseñada para alcanzar un alto nivel común de ciberseguridad en todos los estados miembros. Amplía y actualiza la normativa anterior, incluyendo a más sectores y entidades críticas para fortalecer la resiliencia digital. Además, impone medidas de gestión de riesgos más estrictas y sanciones severas por incumplimiento.
Es el régimen europeo que obliga a las organizaciones de sectores considerados críticos a gestionar el riesgo de ciberseguridad de forma demostrable: saber lo que tienen, protegerlo con medidas mínimas, comunicar incidentes y responder por el cumplimiento. En Portugal se llama Régimen Jurídico de la Ciberseguridad y es fiscalizado por el Centro Nacional de Ciberseguridad (CNCS). La gran diferencia respecto a la versión anterior es la cobertura —muchos más sectores y dimensiones de empresa— y la responsabilización directa de los órganos de gestión.
Quién está cubierto
Dos categorías: entidades esenciales (energía, transportes, banca, salud, agua, infraestructura digital, administración pública, entre otras, sobre todo de mediana y gran dimensión) y entidades importantes (servicios postales, gestión de residuos, químicos, alimentaria, fabricación de varios tipos, servicios digitales, investigación y las empresas de los sectores esenciales de menor dimensión). La regla general de dimensión son 50 o más trabajadores o 10 millones de euros de facturación, pero hay excepciones en las que la dimensión no cuenta. Y hay un efecto indirecto que alcanza a muchas pymes: proveedores de entidades cubiertas pasan a tener que demostrar sus propias medidas de seguridad, porque la seguridad de la cadena de suministro es una de las obligaciones del cliente.
El punto más importante: nadie lo viene a calificar
El CNCS no va a enviar una carta que diga “su empresa está incluida”. La carga de la autoevaluación recae en la organización: cada entidad tiene que verificar si encaja, identificarse y registrarse en la plataforma MyCiber. No registrarse cuando se debía es, por sí solo, una infracción administrativa. Esto es lo que hace que NIS2 sea diferente de casi todas las obligaciones a las que una PYME está acostumbrada: no se espera a la notificación.
Los plazos que ya están corriendo
- Mediados de septiembre de 2026autoidentificación y registro en MyCiber, para las entidades ya en actividad (60 días hábiles desde el 23 de junio, fecha en la que se abrió la plataforma). Quien inició actividad después tiene 30 días hábiles.
- 20 días después de la calificacióncomunicar al responsable de ciberseguridad y al punto de contacto permanente.
- 31 de enero de 2027 (o seis meses después de la calificación final): inventario de activos — servidores, estaciones de trabajo, equipos de red, servicios en la nube y accesos.
- junio de 2028: medidas mínimas del nivel asignado implementadas y primer informe anual entregado.
Las medidas mínimas, traducidas
El régimen define niveles de medidas según la clasificación de la entidad, pero el núcleo es el mismo que cualquier empresa bien gestionada debería tener: inventario de lo que existe; políticas escritas de seguridad; control de accesos y autenticación multifactor; cifrado de datos; segmentación de red; copias de seguridad y plan de continuidad; gestión de vulnerabilidades y actualizaciones; monitorización y registro de eventos; procedimiento de respuesta y notificación de incidentes; seguridad en la cadena de suministro; y formación, incluyendo a los órganos de gestión. Si leyó nuestros artículos sobre AMF, Cero Confianza para PYME e as siete políticas internas, ya conoce la mayor parte.
Los sobornos y la responsabilidad de la gestión
Hasta 10 millones de euros o el 21 % del volumen de negocio mundial para las entidades esenciales, y hasta 7 millones o el 1,41 % para las entidades importantes. Más relevante para una pyme que el importe máximo es el principio: el régimen responsabiliza directamente a los órganos de gestión del cumplimiento. La ciberseguridad deja de ser un asunto “de informática” y pasa a ser un asunto de la administración —con la aprobación de medidas, formación obligatoria y supervisión—.
Por dónde empezar esta semana
- Verificar el encuadresector, dimensión y clientes. Si hay duda, la duda se resuelve ahora, no en octubre.
- Registrarse en MyCiber sé abarcado. Es un acto de la propia entidad — nosotros no lo hacemos por usted, pero ayudamos a reunir la información.
- Hacer el inventarioes el documento exigido hasta enero de 2027 y el que casi ninguna PYME tiene. La nuestra lista de verificación de auditoría del parque informático Es el punto de partida.
- Cerrar las tres medidas con mayor retornoMFA en todos los accesos, copias de seguridad fuera del edificio y probadas, cortafuegos con gestión activa.
- Designar al responsable e involucrar a la gerencia: la formación de los órganos de gestión es una obligación, no una sugerencia.
¿Y si no está cubierto?
Dos cosas. Primera: confírmelo y guarde el análisis, porque un cliente cubierto puede pedirle prueba. Segunda: las medidas mínimas son buenas prácticas independientemente de la ley — la mayoría de los ataques a pymes portuguesas explotaría exactamente los fallos que la NIS2 obliga a corregir. Hacer lo esencial sin ser obligado cuesta menos que hacerlo a la prisa cuando un cliente lo exija.
Lo que hace DataRoad — y lo que no hace
No somos abogados y no realizamos el registro por usted. Lo que hacemos es lo que viene después: el inventario de activos, la implementación de las medidas mínimas con prueba documental (accesos, cifrado, segmentación, copias de seguridad, monitorización con registros guardados), el plan de respuesta a incidentes y el seguimiento anual, dentro del servicio de ciberseguridad gestionada. Para las entidades cubiertas, el primer paso es un diagnóstico escrito con lo que se tiene, lo que falta, plazos y costos — pídelo en la página de NIS2.
Preguntas frecuentes
¿Una empresa con 30 personas puede estar cubierta?
Directamente, solo en casos específicos donde la dimensión no cuenta. Indirectamente, sí: si proporciona servicios a entidades abarcadas, estas van a exigir prueba de sus medidas de seguridad.
¿Qué pasa si no me registro antes de septiembre?
La falta de registro es, por sí sola, una infracción administrativa. Si está incluido y no se registró, el consejo es registrarse de inmediato y documentar el motivo del retraso.
¿Sustituye NIS2 al RGPD?
No. Son regímenes diferentes: el RGPD protege datos personales; la NIS2 protege la continuidad y la seguridad de los servicios. Muchas medidas coinciden, y cumplir una ayuda a cumplir la otra.
¿Cuánto cuesta cumplir con la NIS2 en una PYME?
Depende de lo que ya existe. Las empresas con MFA, copias de seguridad probadas y cortafuegos gestionado tienen gran parte del trabajo hecho; el coste se concentra en el inventario, en la documentación y en la monitorización con registros. Un diagnóstico da un precio cerrado.
¿No sabe si su empresa está cubierta?
Hacemos el levantamiento, le decimos por escrito lo que tiene, lo que falta y hasta cuándo, y implementamos las medidas dentro del contrato. Vea nuestra página sobre la NIS2 en Portugal o llame al 211 459 950.
