NIS2 para pymes: qué exige el DL 125/2025 y por dónde empezar

El tope no es lo más serio. El decreto atribuye a los órganos de dirección la aprobación y la supervisión de las medidas de ciberseguridad y la promoción de formación periódica, para ellos mismos y para los trabajadores. Esa responsabilidad no se delega libremente. La ciberseguridad ha pasado a ser un asunto del consejo de administración, no del informático.

En el origen hay una directiva europea. La NIS2 impone una gestión estructurada del riesgo de ciberseguridad a sectores relevantes para la sociedad. Portugal la transpuso mediante el DL 125/2025, publicado el 4 de diciembre de 2025, que instituyó el Régimen Jurídico de la Ciberseguridad. Entró en vigor 120 días después, en abril de 2026.

El Reglamento 756/2026 del CNCS, de 22 de junio, desarrolló el régimen, y la plataforma MyCiber abrió al día siguiente, el 23 de junio de 2026. El CNCS estima, según Lusa, unas seis mil entidades afectadas, frente a las cerca de 450 del régimen anterior.

Hay dos categorías. Esenciales: los sectores más críticos y las empresas más grandes. Importantes: las demás dentro del ámbito. Ambas aplican medidas y notifican incidentes; difieren en la exigencia, la supervisión y el tope de las multas.

Responda a seis preguntas. Un «sí» en una de las tres primeras indica un probable encuadre, que debe formalizarse con apoyo jurídico.

1. Sector: ¿la actividad figura en los anexos? Salud, banca, energía, agua, transporte, infraestructuras digitales, servicios TIC gestionados, administración pública, correos, investigación, industria manufacturera, sector alimentario, químicos y residuos, entre otros.
2. Tamaño: ¿tiene 50 trabajadores o más? ¿O la facturación y el balance anuales superan, cada uno, los 10 millones? Según la definición europea, ya no es pequeña empresa.
3. Servicio afectado con cualquier tamaño: comunicaciones electrónicas, servicios de confianza, DNS o proveedor único de un servicio esencial.
4. Grupo: quien forma parte de un grupo puede tener que agregar trabajadores e importes, pasando de pequeña a mediana empresa.
5. Cadena de suministro: si vende a entidades afectadas, estas tienen que controlar el riesgo de sus proveedores. Espere cuestionarios, cláusulas y solicitudes de evidencias.
6. MyCiber: ¿ya ha hecho la autoevaluación? Identificarse corresponde a la empresa, no al CNCS. Si está dentro del ámbito y no lo ha hecho, resuélvalo ya con su asesor jurídico.

• Ya vencido Registro en MyCiber para entidades en actividad: 60 días hábiles contados desde el 23 de junio de 2026; el plazo cerró a mediados de septiembre de 2026.
• Nuevas entidades 30 días hábiles tras el inicio de la actividad.
• Responsable de ciberseguridad y punto de contacto permanente Hasta 20 días hábiles después de notificada la calificación.
• Inventario de activos Seis meses después de la calificación definitiva o el 31 de enero de 2027, prevaleciendo la fecha más próxima.
• Medidas mínimas e informe anual Dos años desde el reglamento del CNCS, es decir, mediados de 2028.

Los requisitos mínimos se dividen en tres niveles, asignados según el riesgo: básico con 39 medidas, sustancial con 75 y elevado con 91.

Solo si lo detecta a tiempo. Ninguna otra obligación pesa tanto en la infraestructura. Los art. 42.º, 43.º y 44.º fijan el calendario para incidentes con impacto significativo:

1. Primera notificación: 24 horas después de su detección.
2. Actualización: hasta 72 horas, si es necesario, con gravedad e impacto evaluados.
3. Aviso de fin de impacto: 24 horas después de que cese el impacto significativo.
4. Informe final: en los 30 días hábiles siguientes a ese aviso.

Cumplir esto exige tres cosas: monitorización activa, registros conservados y un procedimiento escrito que defina quién decide y quién habla con el CNCS. Un ataque de sábado que solo se ve el lunes por la mañana ya nace fuera de plazo. Por eso recomendamos a las empresas afectadas IT Unlimited Premium 365: es el único plan de DataRoad que cubre noches, festivos y fines de semana.

Sea cual sea el nivel asignado, hay un núcleo que aparece siempre, y que cualquier empresa de más de 10 puestos debería tener, esté afectada o no. Ahí actúa DataRoad.

• Inventario Servidores, puestos, red, nube y accesos. Punto de partida: la checklist para auditar el parque informático.
• MFA En el correo, en los servicios cloud y en el acceso remoto. Guía práctica en MFA en la empresa.
• Copias externas probadas Con tiempos de restauración definidos; vea copias de seguridad gestionadas para empresas.
• Firewalls gestionados Con segmentación de la red.
• Endpoints Protección y gestión de actualizaciones.
• Políticas y formación Documentadas y con registro de asistencia. Base en las 7 políticas de ciberseguridad que debe tener una empresa.
• Respuesta a incidentes Procedimiento con responsables designados y simulacros.

Todo tiene que quedar documentado. Con la NIS2 no basta con estar protegido; hay que demostrarlo. El servicio completo está en implantación técnica de la NIS2.

Ventask es cliente de DataRoad desde 2016, con más de 350 puestos bajo contrato IT Unlimited. DataRoad se ocupa de todo el networking, la administración de los firewalls corporativos, la implantación y gestión de la protección de endpoints, el teletrabajo seguro y el Wi-Fi, con monitorización y alertas proactivas en Premium 365.

Vigilancia continua, perímetro, endpoints y accesos remotos: las capas que exige la NIS2, bajo un único contrato. Conozca el caso Ventask en detalle.

Comparamos su infraestructura con las medidas técnicas de la NIS2. El resultado es un informe con cada carencia, su urgencia y el coste de cerrarla. Sin compromiso. Vea también nuestra oferta de ciberseguridad gestionada para empresas.

Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. +351 211 459 950 * · sales@dataroad.pt

*Llamada a la red fija portuguesa.

• DL 125/2025 en el Diário da República · versión EUR-Lex
• Reglamento CNCS n.º 756/2026
• Plataforma MyCiber
• Comisión Europea: qué es una pyme
• ECO/Lusa, 24 de junio de 2026: plazo de registro en MyCiber