Checklist NIS2: ¿tu pyme está dentro?

La Directiva NIS2 —que España debe transponer ayer de octubre 2025— amplía drásticamente el espectro de empresas obligadas a fijar sus sistemas críticos. Ya no se limita a “infraestructuras esenciales”: cualquier pyme que facture más de 10 M € o tenga más de 50 empleados en sectores como TIC, abastecimiento o sanidad entra en el radar. Las sanciones llegan a 10 M € o el 2 % de la facturación completo. Según ENISA, un 71 % de pymes europeas aún desconoce si les aplica. Con este checklist de tres pasos verás en menos de diez minutos si tu compañía figura en la índice y qué documentación básica debes preparar para sobrevenir la inspección.

Tal vez te interese: Qué es NIS2

¿Por qué la NIS2 podría sancionarte si no estás atento?

¿Crees que la reglamento solo afecta a “los grandes”? Piensa otra vez: la nueva redacción introduce el puertas de 50 empleados o 10 M € en ventas y añade sectores como “proveedores de servicios digitales” —exactamente donde operan muchas startups. Si no mides tu tamaño y tu enhiesto, podrías tomar un requerimiento sorpresa. Revisa primero los criterios oficiales y cruza tu CNAE con la índice de sectores críticos publicada por la UE.

Checklist rápido en 3 pasos

No hace equivocación empollarse la directiva completa para conocer si estás interiormente. Sigue esta mini-ruta y lo averiguarás ayer de que termine el café:

1. Mide tu puertas: ¿superas 50 empleados o 10 M € de facturación? (si no, podrías proyectar fuera indemne sector muy crítico).
2. Identifica tu sector: telecom, abastecimiento, vigor, agua, energía o “servicios digitales esenciales” implican entrada cibernética.
3. Comprueba obligaciones extra: políticas de ciberseguridad, notificación de incidentes en 24 h y nombrar responsable de seguridad.

Tabla de sectores y umbrales NIS2

Localiza tu enhiesto en la tabla y tendrás el veredicto de un vistazo:

Preguntas frecuentes sobre NIS2

Estás son las dudas que más he observado en formaciones y foros de debate de IEBS por parte de las empresas, espero que te sean enseres:

¿Qué ocurre si no cumplo NIS2?

La autoridad franquista puede imponer hasta 10 M € o el 2 % del tamaño completo, adicionalmente de informar la infracción.

¿Debo nombrar un CISO foráneo?

No es obligatorio llamarlo “CISO”, pero sí designar un responsable de seguridad con autoridad para informar al consejo.

¿Quieres profundizar? Máster en Ciberseguridad & Compliance – IEBS

Consulta la colchoneta admitido completa en nuestro artículo ¿Qué es la NIS2? y refuerza tu organización revisando Ciberseguridad para pymes.