NIS2: ciberseguridad obligatoria

La Directiva NIS2 (2022/2555) fue transpuesta a España con el RD-ley 7/2025 y ya está vigente. Extiende la obligación de medidas de ciberseguridad a un universo mucho más amplio de empresas, incluyendo muchas pymes industriales.

Quién está obligado

"Entidades esenciales" (obligaciones estrictas)

• Energía, transporte, banca, salud, agua, infraestructura digital
• Pymes >50 empleados o >10M€ facturación en estos sectores

"Entidades importantes" (obligaciones estándar)

• Manufactura crítica (química, electrónica, vehículos)
• Producción y distribución alimentos
• Empresas industriales >50 empleados >10M€ facturación
• Servicios postales, gestión residuos, investigación

Qué exige

• Política de seguridad documentada
• Análisis de riesgos anual
• Plan de gestión de incidentes con notificación en 24h al CNPIC
• Copias de seguridad cifradas con pruebas de restauración
• Formación de empleados en ciberseguridad
• Auditoría periódica (externo certificado para >250 empleados)

Sanciones

El artículo 35 RD-ley 7/2025 establece multas:

• Entidades esenciales: hasta 10 M€ o 2% facturación mundial (la mayor)
• Entidades importantes: hasta 7 M€ o 1,4% facturación mundial
• Responsabilidad personal del CEO: hasta inhabilitación temporal en casos graves

Por qué la pyme industrial está en riesgo

• 97% de las pymes no tienen política de ciberseguridad formal
• Ataques ransomware al sector industrial aumentaron +89% en 2025
• Tiempo medio de parada de producción tras un ataque: 18 días
• Coste medio: 180.000-450.000 € por incidente (recuperación + lucro cesante)

Qué hacer

• Inventario de activos digitales (quién tiene acceso a qué)
• MFA obligatorio en todas las cuentas admin
• Copias de seguridad 3-2-1 (3 copias, 2 medios, 1 fuera)
• Formación trimestral de empleados (phishing, contraseñas)
• Plan de incidentes documentado con 5-10 escenarios
• Cobertura seguro ciber (~3.000-12.000 €/año pymes industriales)

La excusa "somos pequeños, no nos atacarán" es estadísticamente falsa. Las pymes son el target preferido del ransomware porque pagan.

Compartir