NIS2 y Pymes: Obligaciones, Qué Hacer y Cómo Adaptarse Antes de los Plazos de 2026

Si diriges una pyme y piensas que la NIS2 es cosa de grandes bancos o de multinacionales energéticas, este artículo te afecta más de lo que crees. La directiva europea de ciberseguridad (traspuesta en Italia mediante el D.Lgs. 138/2024, equivalente a la norma de transposición en cada país de la UE) ha ampliado mucho el número de sujetos obligados, y con 2026 llegan los primeros plazos operativos concretos. La novedad que descoloca a la mayoría de empresarios no es técnica. Es la responsabilidad directa y personal que recae sobre ti, sobre el consejero delegado y sobre el consejo de administración. Ya no es algo "de lo que se encarga IT".

Aquí tienes una checklist operativa de las obligaciones, explicada en términos de riesgo económico y responsabilidad legal, no en jerga de especialistas. Nada de alarmismo, pero tampoco la típica minimización: los datos del Informe Clusit 2026 dicen que las pymes son el 72% de los objetivos de los ataques en Italia, y eso cambia el cálculo de qué conviene hacer.

¿Mi empresa está realmente obligada? Cómo saberlo con 3 preguntas

Antes de asustarte, comprueba si te afecta. La NIS2 no se aplica a cualquiera que tenga un rótulo en la puerta. El perímetro depende de tres factores: tamaño, sector y papel en la cadena de suministro. Haz esta comprobación rápida.

• Tamaño: por regla general entran las empresas con al menos 50 empleados o más de 10 millones de euros de facturación o balance anual. Por debajo de esos umbrales, en general, quedas fuera de la obligación directa (pero lee el punto sobre la cadena de suministro).
• Sector: tienes que operar en uno de los sectores "esenciales" o "importantes" enumerados en los anexos de la directiva (energía, transporte, sanidad, aguas, infraestructuras digitales, servicios TIC gestionados, fabricación de determinados bienes, alimentación, química, residuos, espacio, servicios postales y otros). No todos los sectores están dentro.
• Proveedor de un sujeto NIS2: aunque seas una microempresa fuera del perímetro, si eres proveedor crítico de una empresa obligada, sus obligaciones de seguridad de la cadena de suministro acabarán recayendo sobre ti por contrato.

Si has respondido "sí, puede" a dos de estas preguntas, probablemente estés implicado. Para una valoración razonada caso por caso hemos dedicado un artículo a cómo saber si la NIS2 se aplica a tu empresa. El primer paso formal, en cualquier caso, es el registro en la plataforma de la ACN (Agencia italiana de Ciberseguridad Nacional): los sujetos identificados debían registrarse dentro de los plazos establecidos, y la ACN comunica después su inclusión en los listados oficiales.

Por qué esta vez la pelota está en tu mesa, no en la de IT

Este es el punto que quiero dejar bien claro, porque es la auténtica revolución de la NIS2 respecto al pasado. El artículo 20 de la directiva (y su transposición correspondiente) establece que los órganos de administración y dirección aprueban las medidas de gestión de riesgos cibernéticos, supervisan su aplicación y responden de las infracciones. En la práctica:

• El consejo y el CEO deben aprobar formalmente las medidas de seguridad. No basta con que IT las implemente: hace falta una decisión consciente y documentada.
• La alta dirección tiene la obligación de formarse en ciberseguridad, para poder valorar los riesgos. La formación de los directivos es obligatoria, no opcional.
• En caso de incumplimiento, la ACN puede exigir responsabilidades a las personas físicas que ocupan puestos directivos, llegando incluso a la suspensión temporal de funciones directivas en los sujetos esenciales en los casos más graves.

Traducido a lenguaje de empresario: ya no puedes decir "no lo sabía, de eso se encargaba el técnico". La firma en la gobernanza de la seguridad es tuya. Por eso una evaluación estructurada de la seguridad informática no es un gasto de IT, sino una decisión de gobernanza: te sirve a ti para saber qué estás aprobando.

Checklist operativa: las obligaciones NIS2, traducidas en tareas concretas

La directiva exige "medidas técnicas, operativas y organizativas adecuadas y proporcionadas". Suena vago, pero el artículo 21 enumera diez áreas mínimas. Las resumo en una checklist accionable, con la pregunta concreta que debes hacerte en cada una.

Si al leer la columna de preguntas te has dado cuenta de que a la mitad no sabes responder, es normal, y es precisamente la señal de que hace falta un assessment inicial. Muchas de estas áreas se entrelazan con obligaciones que ya conoces: la ciberseguridad para pymes en 2026 es ya un único bloque de obligaciones superpuestas.

Los plazos de 2026 que debes marcar en la agenda

2026 es el año en que la NIS2 deja de ser teoría. La ACN ha escalonado los plazos para no colapsar a las empresas todas a la vez, pero las fechas son precisas. Las principales que hay que vigilar:

• Desde el 1 de enero de 2026: entran en vigor las obligaciones de notificación de incidentes significativos a la ACN, con la escala temporal prevista por la directiva: prealerta en 24 horas, notificación en 72 horas, informe final en un mes. Esta es la parte que sorprende a muchos: no notificar un incidente relevante es, a su vez, una infracción.
• Antes de octubre de 2026 (ventana de 18 meses desde la inscripción): los sujetos deben haber implementado las medidas de seguridad básicas previstas por las determinaciones de la ACN. Es el plazo "sustancial": no basta con haberse registrado, tiene que haber defensas reales.

Cuidado con no confundir inscripción y conformidad: registrarse en la plataforma de la ACN es solo el acto formal inicial. El grueso del trabajo (y de las sanciones, si algo falla) está en la adaptación técnica y organizativa que viene después. Encontrarás el calendario completo con todas las ventanas en nuestro artículo dedicado a los plazos de la NIS2 de 2026.

Cuánto cuesta no adaptarse: sanciones y riesgo económico

Hablemos de dinero, porque ahí es donde la decisión se vuelve concreta. La NIS2 introduce sanciones elevadas, calibradas según la gravedad y el tipo de sujeto:

• Sujetos esenciales: hasta 10 millones de euros o el 2% de la facturación anual mundial, según cuál de las dos cifras sea mayor.
• Sujetos importantes: hasta 7 millones de euros o el 1,4% de la facturación.
• A esto se suma la posibilidad de medidas contra la alta dirección y, en los casos más graves en sujetos esenciales, la suspensión temporal de funciones directivas.

Pero la sanción es solo una cara de la moneda. La otra es el coste del incidente que la NIS2 quiere prevenir. El coste medio de un ataque de ransomware para una pyme italiana oscila entre 35.000 y 250.000 euros entre rescate, parada operativa y restauración, y en 2026 la tendencia se orienta hacia la corrupción de datos y la doble o triple extorsión. Si quieres el cálculo completo del daño real, hemos analizado el coste real de una brecha de datos para una pyme comparándolo con el coste de la prevención. El detalle de las sanciones caso por caso lo desarrollamos en el artículo sobre las sanciones NIS2 para la empresa.

Un matiz que casi nadie relaciona: muchas pólizas de ciberseguro hoy exigen un nivel mínimo de medidas de seguridad para ser válidas. Una auditoría bien hecha no solo sirve para la NIS2, te hace asegurable en mejores condiciones (o asegurable a secas).