NIS2 y ciberseguridad en pymes: ¿está tu empresa preparada para un ciberataque?
Raro es el día que no amanecemos con la noticia de un nuevo ciberataque. Aunque el titular suele centrarse en una empresa afectada, la víctima final suele ser el ciudadano, que entregó sus datos personales de forma confiada.
Hoy más que nunca, proteger esa información es vital. Y aquí es donde entra en juego la Directiva NIS2, que eleva el nivel de exigencia en ciberseguridad, especialmente para pymes.
Te lo contamos junto con DATAGUARDIANES
En 2023, la Unión Europea publicó la Directiva NIS2 (UE 2022/2555), un marco legislativo que refuerza la ciberseguridad en sectores esenciales y servicios digitales.
A diferencia de su predecesora, NIS2 da un papel protagonista a las pymes: aplica a entidades medianas y grandes, pero también a pequeñas empresas en sectores críticos. En total, regula 18 sectores estratégicos.
Ve al canal de Youtube de Dataguardianes para saber más sobre la NIS2, privacidad y ciberseguridad.
El artículo 21 de NIS2 enumera las medidas mínimas que deben adoptar las entidades afectadas, y se espera que en España se transponga pronto mediante el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (aprobado en enero de 2025, aún en espera de publicación).
Entre las medidas que deberás aplicar destacan:
Más del 60% de las pymes no sobreviven seis meses tras un ciberataque. Esa base de datos que tanto ha costado crear (con consentimiento, segmentación y gestión adecuada), puede desaparecer en segundos si no está protegida.
Relacionado: ¿Qué es el RGPD y cómo afecta a tu web?
La buena noticia es que NIS2 comparte elementos con estándares que ya conocemos:
El Centro Criptológico Nacional (CCN) indica que si una organización cuenta con un ENS en categoría alta y una correcta declaración de aplicabilidad, podrá evidenciar cumplimiento de NIS2.
🔗 Guía oficial del CCN sobre NIS2
🔗 FAQs de NIS2 por INCIBE
El reto para las pymes es que pocas están certificadas, y abordar este proceso requiere recursos.
Antes de hablar de firewalls y cifrados, asegúrate de que los datos personales han sido recogidos legalmente, con base legitimadora adecuada y políticas de información transparentes.
Aquí es donde entran en juego el RGPD y la Ley Orgánica 3/2018. Si los datos se han obtenido conforme a derecho, la obligación es protegerlos, como indica el artículo 32 del RGPD.
Atrévete: ¿Sabes si tu web cumple con el RGPD? Descúbrelo gratis
Uno de los grandes retos de NIS2 será notificar en menos de 24 horas al CSIRT de referencia en caso de incidente. Algo complejo para una pequeña empresa sin estructura técnica interna.
Por eso, es fundamental:
El mejor consejo que podemos darte: invierte en seguridad, dentro de tus posibilidades, pero con visión estratégica. Nadie está a salvo de un ciberataque, pero estar preparado marca la diferencia entre cerrar o seguir adelante.
