--- title: "NIS2 para pymes: qué exige el DL 125/2025 y por dónde empezar" description: "Multas de hasta 10 millones de euros y notificación en 24 horas: qué exige la NIS2 (DL 125/2025) a una pyme y qué medidas tomar. Propuesta sin compromiso." language: es url: https://www.dataroad-it.com/es/nis2-pymes-portugal-ciberseguridad-guia/ source: https://www.dataroad-it.com/es/nis2-pymes-portugal-ciberseguridad-guia/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Multas de hasta 10 millones de euros y notificación en 24 horas: qué exige la NIS2 (DL 125/2025) a una pyme y qué medidas tomar. Propuesta sin compromiso. # NIS2 para pymes: qué exige el DL 125/2025 y por dónde empezar En resumen Para directivos con poco tiempo. - 01 La NIS2 rige en Portugal por el Decreto-Lei n.º 125/2025, desde abril de 2026. - 02 Multa máxima: 10 M€ o el 2% de la facturación mundial para entidades esenciales. - 03 Incidente significativo: primera notificación en 24 h e informe final en 30 días hábiles. - 04 Medidas técnicas obligatorias hasta mediados de 2028; la alta dirección responde. ### En este artículo La NIS2 puede costar a una empresa afectada el 2% de su facturación mundial o 10 millones de euros, lo que sea mayor, y hace que la dirección responda personalmente de la ciberseguridad. Para una pyme con actividad en Portugal, la cuestión se decide en dos pasos: confirmar si está dentro del ámbito del DL 125/2025 y, si lo está, ser capaz de demostrar medidas técnicas y dar la alerta de un incidente en 24 horas. Esta guía de ciberseguridad gestionada trata ambos, con las cifras del decreto y del reglamento del CNCS. **Nota:** DataRoad no emite dictámenes jurídicos. Ejecutamos la parte técnica. El encuadre legal de su empresa debe confirmarlo su asesor jurídico. ## ¿Qué está en juego para mi empresa? | Categoría | Tope de la multa por infracción muy grave | | --- | --- | | Entidad esencial | 2% de la facturación anual mundial o 10 millones de euros; se aplica el importe más alto | | Entidad importante | 1,4% de la facturación anual mundial o 7 millones de euros; se aplica el importe más alto | El tope no es lo más serio. El decreto atribuye a los órganos de dirección la aprobación y la supervisión de las medidas de ciberseguridad y la promoción de formación periódica, para ellos mismos y para los trabajadores. Esa responsabilidad no se delega libremente. La ciberseguridad ha pasado a ser un asunto del consejo de administración, no del informático. ## ¿De dónde viene la obligación y a cuántas empresas afecta? En el origen hay una directiva europea. La NIS2 impone una gestión estructurada del riesgo de ciberseguridad a sectores relevantes para la sociedad. Portugal la transpuso mediante el DL 125/2025, publicado el 4 de diciembre de 2025, que instituyó el Régimen Jurídico de la Ciberseguridad. Entró en vigor 120 días después, en abril de 2026. El Reglamento 756/2026 del CNCS, de 22 de junio, desarrolló el régimen, y la plataforma MyCiber abrió al día siguiente, el 23 de junio de 2026. El CNCS estima, según Lusa, unas seis mil entidades afectadas, frente a las cerca de 450 del régimen anterior. Hay dos categorías. **Esenciales**: los sectores más críticos y las empresas más grandes. **Importantes**: las demás dentro del ámbito. Ambas aplican medidas y notifican incidentes; difieren en la exigencia, la supervisión y el tope de las multas. ## ¿Cómo sé si estoy afectado? Responda a seis preguntas. Un «sí» en una de las tres primeras indica un probable encuadre, que debe formalizarse con apoyo jurídico. - **Sector**: ¿la actividad figura en los anexos? Salud, banca, energía, agua, transporte, infraestructuras digitales, servicios TIC gestionados, administración pública, correos, investigación, industria manufacturera, sector alimentario, químicos y residuos, entre otros. - **Tamaño**: ¿tiene 50 trabajadores o más? ¿O la facturación y el balance anuales superan, cada uno, los 10 millones? Según la definición europea, ya no es pequeña empresa. - **Servicio afectado con cualquier tamaño**: comunicaciones electrónicas, servicios de confianza, DNS o proveedor único de un servicio esencial. - **Grupo**: quien forma parte de un grupo puede tener que agregar trabajadores e importes, pasando de pequeña a mediana empresa. - **Cadena de suministro**: si vende a entidades afectadas, estas tienen que controlar el riesgo de sus proveedores. Espere cuestionarios, cláusulas y solicitudes de evidencias. - **MyCiber**: ¿ya ha hecho la autoevaluación? Identificarse corresponde a la empresa, no al CNCS. Si está dentro del ámbito y no lo ha hecho, resuélvalo ya con su asesor jurídico. ## ¿Qué fechas tengo que cumplir? - **Ya vencido** Registro en MyCiber para entidades en actividad: 60 días hábiles contados desde el 23 de junio de 2026; el plazo cerró a mediados de septiembre de 2026. - **Nuevas entidades** 30 días hábiles tras el inicio de la actividad. - **Responsable de ciberseguridad y punto de contacto permanente** Hasta 20 días hábiles después de notificada la calificación. - **Inventario de activos** Seis meses después de la calificación definitiva o el 31 de enero de 2027, prevaleciendo la fecha más próxima. - **Medidas mínimas e informe anual** Dos años desde el reglamento del CNCS, es decir, mediados de 2028. Los requisitos mínimos se dividen en tres niveles, asignados según el riesgo: básico con 39 medidas, sustancial con 75 y elevado con 91. ## ¿Puedo notificar un incidente en 24 horas? Solo si lo detecta a tiempo. Ninguna otra obligación pesa tanto en la infraestructura. Los art. 42.º, 43.º y 44.º fijan el calendario para incidentes con impacto significativo: - **Primera notificación**: 24 horas después de su detección. - **Actualización**: hasta 72 horas, si es necesario, con gravedad e impacto evaluados. - **Aviso de fin de impacto**: 24 horas después de que cese el impacto significativo. - **Informe final**: en los 30 días hábiles siguientes a ese aviso. Cumplir esto exige tres cosas: monitorización activa, registros conservados y un procedimiento escrito que defina quién decide y quién habla con el CNCS. Un ataque de sábado que solo se ve el lunes por la mañana ya nace fuera de plazo. Por eso recomendamos a las empresas afectadas [IT Unlimited Premium 365](https://www.dataroad-it.com/es/it-unlimited-premium-365-soporte-24-7/): es el único plan de DataRoad que cubre noches, festivos y fines de semana. ## ¿Qué medidas técnicas debo aplicar primero? Sea cual sea el nivel asignado, hay un núcleo que aparece siempre, y que cualquier empresa de más de 10 puestos debería tener, esté afectada o no. Ahí actúa DataRoad. - **Inventario** Servidores, puestos, red, nube y accesos. Punto de partida: la [checklist para auditar el parque informático](https://www.dataroad-it.com/es/auditoria-parque-informatico-checklist/). - **MFA** En el correo, en los servicios cloud y en el acceso remoto. Guía práctica en [MFA en la empresa](https://www.dataroad-it.com/es/mfa-autenticacion-multifactor-plan-14-dias/). - **Copias externas probadas** Con tiempos de restauración definidos; vea [copias de seguridad gestionadas para empresas](https://www.dataroad-it.com/es/backup-gestionado-empresas-portugal/). - **Firewalls gestionados** Con segmentación de la red. - **Endpoints** Protección y gestión de actualizaciones. - **Políticas y formación** Documentadas y con registro de asistencia. Base en [las 7 políticas de ciberseguridad que debe tener una empresa](https://www.dataroad-it.com/es/ciberseguridad-gestionada-7-politicas/). - **Respuesta a incidentes** Procedimiento con responsables designados y simulacros. Todo tiene que quedar documentado. Con la NIS2 no basta con estar protegido; hay que demostrarlo. El servicio completo está en [implantación técnica de la NIS2](https://www.dataroad-it.com/es/cumplimiento-nis2-portugal/). ## ¿Cómo es esto en un cliente real? Ventask es cliente de DataRoad desde 2016, con más de 350 puestos bajo contrato IT Unlimited. DataRoad se ocupa de todo el networking, la administración de los firewalls corporativos, la implantación y gestión de la protección de endpoints, el teletrabajo seguro y el Wi-Fi, con monitorización y alertas proactivas en Premium 365. Vigilancia continua, perímetro, endpoints y accesos remotos: las capas que exige la NIS2, bajo un único contrato. Conozca el [caso Ventask en detalle](https://www.dataroad-it.com/es/ventask-350-puestos-firewalls-networking/). ## Preguntas frecuentes ### ¿Una empresa con menos de 50 trabajadores queda fuera de la NIS2? Por regla general, sí. Las excepciones: facturación y balance superiores, cada uno, a 10 millones, pertenencia a un grupo que la convierta en mediana empresa, o un servicio afectado con cualquier tamaño. Fuera del ámbito, aún pueden pedirle que cumpla como proveedora. ### ¿Cuánto tiempo hay para notificar un incidente significativo? 24 horas para la primera notificación. Después, actualización hasta 72 horas si hace falta, aviso de fin de impacto en 24 horas y, en 30 días hábiles, el informe final. ### ¿Hasta cuánto pueden llegar las multas de la NIS2? En las entidades esenciales, el 2% de la facturación mundial o 10 millones de euros; en las importantes, el 1,4% o 7 millones. Siempre se aplica el importe más alto. ### ¿DataRoad registra a mi empresa en MyCiber? No. El registro y la autoidentificación son actos de la propia entidad, con validación jurídica. Nosotros reunimos la información técnica e implantamos las medidas exigidas. ## ¿Quiere saber dónde está expuesto, por escrito, en 10 días laborables? Comparamos su infraestructura con las medidas técnicas de la NIS2. El resultado es un informe con cada carencia, su urgencia y el coste de cerrarla. Sin compromiso. Vea también nuestra oferta de [ciberseguridad gestionada para empresas](https://www.dataroad-it.com/es/ciberseguridad-empresas/). **Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.** +351 211 459 950 * · sales@dataroad.pt **Llamada a la red fija portuguesa.* ## Fuentes - [DL 125/2025 en el Diário da República](https://diariodarepublica.pt/dr/detalhe/decreto-lei/125-2025-962603401) · [versión EUR-Lex](https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=NIM:202506649) - [Reglamento CNCS n.º 756/2026](https://diariodarepublica.pt/dr/detalhe/regulamento/756-2026-1134399056) - [Plataforma MyCiber](https://myciber.gov.pt) - [Comisión Europea: qué es una pyme](https://single-market-economy.ec.europa.eu/smes/sme-fundamentals/sme-definition_en) - [ECO/Lusa, 24 de junio de 2026: plazo de registro en MyCiber](https://eco.sapo.pt/2026/06/24/entidades-tem-60-dias-uteis-para-se-registarem-na-plataforma-myciber-no-ambito-da-ciberseguranca/) Elegida por empresas reconocidas e internacionales ★★★★★ 5,0 · 52 reseñas en Google ★★★★★ 5,0 · 52 reseñas en Google DataRoad ## Artículos relacionados [IT gestionado y ciberseguridadEquipos de viaje: portátiles, móviles y Wi-Fi público segurosEl riesgo real de un viaje es el portátil perdido sin cifrar, no el Wi-Fi del hotel. Con disco cifrado, gestión central, MFA y conexión cont…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/ciberseguridad-equipos-viaje-portatiles-wifi-publico/)[IT gestionado y ciberseguridadSuperficie de ataque externa: lo que internet ve de su empresaLos ataques automáticos buscan versiones vulnerables y el tamaño de la empresa no importa. En 2025, el CERT.PT registró 3.864 incidentes, un…12 de octubre de 2026 · 5 min de lectura](https://www.dataroad-it.com/es/superficie-ataque-externa-ciberseguridad/)[IT gestionado y ciberseguridadNOC y ciberseguridad gestionada: quién vigila su pyme, y cuándoLa cuestión no es tener un SOC: es saber quién recibe la alerta a las 22 h de un sábado y qué hace después. En DataRoad, noches, fines de se…12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/noc-ciberseguridad-gestionada-pymes/)[IT gestionado y ciberseguridadSeguridad de Microsoft 365: los 10 controles de la empresaEn Microsoft 365, la plataforma es de Microsoft y las llaves son suyas. Según Microsoft, el MFA y el bloqueo de la autenticación antigua fre…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/microsoft-365-responsabilidad-compartida-seguridad/)[IT gestionado y ciberseguridadRGPD y ciberseguridad gestionada: 10 controles técnicos claveSin medidas técnicas documentadas, una brecha de datos pasa de incidente de IT a problema con la autoridad de control. Diez controles en tre…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/rgpd-medidas-tecnicas-infraestructura-it/)[IT gestionado y ciberseguridadContraseñas expuestas: auditar el dominio y actuar en 5 díasEl riesgo no es que el email aparezca en una filtración: es que la misma contraseña abra una cuenta de trabajo. Cambiar lo expuesto, MFA en …12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/credenciales-filtradas-verificar-dominio-empresa/)[IT gestionado y ciberseguridadInventario de activos: la base de la gestión del parque y de NIS2Sin inventario de activos no hay renovación planificada, seguridad demostrable ni respuesta al CNCS. Las entidades NIS2 deben enviar la list…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/inventario-activos-parque-informatico-nis2/)[IT gestionado y ciberseguridadCuentas break-glass en Microsoft 365: el seguro de la empresaUn administrador bloqueado puede dejar correo, Teams y archivos sin gestión durante días. Las cuentas break-glass son el administrador de re…12 de octubre de 2026 · 5 min de lectura](https://www.dataroad-it.com/es/cuentas-break-glass-microsoft-365/)[IT gestionado y ciberseguridadWindows 365 en la empresa: cuándo el PC en la nube reduce costesEl PC en la nube compensa en consultores, temporeros, equipos sin oficina y parques mixtos Mac y Windows. Para vídeo, CAD o internet débil, …12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/windows-365-empresas-pc-nube-costes/) Cifras que puede verificar **11** años en el mercado **232** clientes **< 10 min** tiempo medio de respuesta **15+** Certificaciones IT de fabricantes **10+** Países con clientes atendidos **5,0 ★** 52 reseñas en Google Transparencia ## Lo que muchos proveedores no muestran, nosotros lo publicamos. [Ver planes y precios →](https://www.dataroad-it.com/it-unlimited/) - **Precios a la vista** Essential desde 395 €/mes + IVA, Premium desde 750 € y Premium 365 desde 1.200 €. - **Sin permanencia** Contrato anual, sin permanencia y sin costes de alta. - **Todo por escrito** Qué incluye, el alcance y el precio, antes de firmar. - **Soporte sin horas contadas** Remoto y telefónico en todos los planes; presencial desde Premium. Partners y certificaciones DataRoad · Ciberseguridad gestionada ## One StepAhead of IT. El riesgo es de la dirección, la protección es nuestra. En 11 años, DataRoad nunca ha sufrido un incidente de seguridad. - **0** incidentes de seguridad en DataRoad en 11 años - **MFA** en todas las cuentas gestionadas - **5 ★** en Google · 52 reseñas We do **IT** right. DataRoad IT Unlimited ## ¿Cuánto costaría a su empresa un día sin sistemas? Solicite una evaluación de riesgo sin compromiso. [Solicitar propuesta sin compromiso →](https://www.dataroad-it.com/es/#contact)+351 211 459 950 **Llamada a la red fija nacional portuguesa · Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico[¿No sabe qué necesita? Hable con el asistente →](https://www.dataroad-it.com/es/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/es/nis2-pymes-portugal-ciberseguridad-guia/