NIS2 llegará a tu empresa por tus clientes antes que por el BOE
Puede que tu empresa no aparezca entre las entidades directamente afectadas por la NIS2.
Pero eso no significa que sus requisitos no vayan a llegar.
Probablemente lo harán antes a través de un cuestionario enviado por un cliente que mediante una publicación en el BOE.
En julio de 2026, la Comisión Europea decidió llevar a España, Irlanda, Francia y Países Bajos ante el Tribunal de Justicia de la Unión Europea por no haber notificado la transposición completa de la Directiva NIS2. El plazo había vencido el 17 de octubre de 2024.
España acumula, por tanto, casi veintiún meses de retraso.
Ante esta situación, muchas pymes pueden llegar a una conclusión aparentemente lógica: si todavía no existe una ley española plenamente aprobada, todavía no hay nada que hacer.
El problema es que las exigencias de ciberseguridad ya están llegando por otras dos vías: los contratos con clientes y la responsabilidad derivada de no actuar con la diligencia necesaria.
Un correo suplantado, 32.594,75 euros y una condena
En abril de 2018, alguien suplantó la dirección de correo de un empleado del departamento comercial de Gamboa Automoción.
Desde esa cuenta se enviaron mensajes solicitando que determinadas transferencias se realizaran a un número de cuenta distinto del habitual.
Una primera empresa recibió el correo, pero no efectuó el pago. Gamboa tuvo conocimiento del incidente, aunque no alertó al resto de las compañías con las que mantenía relaciones comerciales.
Al día siguiente, Comercio y Asistencia S.A. recibió una comunicación similar y transfirió 32.594,75 euros a la cuenta indicada por el estafador.
La Audiencia Provincial de Oviedo declaró a Gamboa responsable civil subsidiaria y el Tribunal Supremo confirmó la decisión en su sentencia 136/2025, de 19 de febrero.
La empresa planteó dos argumentos especialmente relevantes.
El primero era que el artículo 120.3 del Código Penal exige que el delito se haya cometido en un “establecimiento” del que la empresa sea titular. Según su interpretación, un sistema informático no podía considerarse un establecimiento.
El Supremo rechazó el argumento y entendió que los sistemas informáticos y medios tecnológicos utilizados por la empresa pueden quedar incluidos en ese concepto.
El segundo argumento era que la empresa no había infringido ningún reglamento específico. El Tribunal recordó que este requisito también comprende el deber objetivo de cuidado exigible para evitar daños a terceros.
Gamboa conocía el primer intento de fraude y no alertó a las demás empresas con las que trabajaba. Esa omisión fue determinante para confirmar su responsabilidad civil subsidiaria.
La indemnización coincidió con el importe sustraído: 32.594,75 euros.
Nada de esto necesitó que la NIS2 estuviera transpuesta. La obligación de actuar con diligencia ya existía.
Los incidentes tampoco esperan a la ley
Según el Balance de Ciberseguridad 2025 de INCIBE, durante ese año se gestionaron 122.223 incidentes, un 26 % más que en 2024. Además, se detectaron y notificaron 237.028 sistemas vulnerables susceptibles de ser explotados.
El fraude online representó cuatro de cada diez incidentes, con 45.445 casos. Dentro de esta categoría, el phishing encabezó la lista con 25.133 casos.
El malware también tuvo un peso considerable. Y aunque el ransomware representa un número menor de incidentes, su impacto puede ser mucho mayor: paralización de la actividad, pérdida de información, recuperación de sistemas y días completos sin poder trabajar.
Otro dato significativo es que la Línea 017 recibió más de 142.000 consultas durante 2025, cerca de un 45 % más que el año anterior.
Muchas empresas siguen buscando ayuda cuando el incidente ya ha ocurrido.
La NIS2 también afecta a quien queda fuera de su ámbito directo
Como regla general, la Directiva NIS2 se dirige a medianas y grandes organizaciones pertenecientes a dieciocho sectores considerados críticos o de especial relevancia: energía, transporte, banca, sanidad, agua, infraestructuras digitales, administración pública, alimentación, fabricación, servicios digitales e investigación, entre otros.
Las pequeñas empresas y microempresas suelen quedar fuera de su ámbito directo, salvo determinadas excepciones.
Pero quedar fuera de la lista no significa quedar fuera de la cadena.
El artículo 21.2.d obliga a las entidades afectadas a gestionar los riesgos de ciberseguridad presentes en su cadena de suministro y en las relaciones con sus proveedores directos.
En la práctica, esto significa que una empresa grande puede trasladar parte de sus exigencias a los proveedores:
- Cuestionarios de seguridad antes de contratar o renovar.
- Cláusulas sobre comunicación de incidentes.
- Autenticación multifactor para los accesos remotos.
- Evidencias de que las copias de seguridad pueden restaurarse.
- Inventarios actualizados de usuarios, equipos y permisos.
- Planes documentados de continuidad y recuperación.
- Compromisos relacionados con los subcontratistas.
Estas condiciones no llegan mediante una inspección administrativa. Llegan desde el departamento de compras, el área jurídica o el responsable de seguridad del cliente.
Y pueden convertirse en un requisito para renovar el contrato.
Lo que ya estamos viendo en YMANT
En YMANT ya hemos ayudado a varios clientes a responder este tipo de cuestionarios.
El proceso suele comenzar con un documento de veinte páginas sobre controles de acceso, cifrado, copias de seguridad, retención de registros, continuidad de negocio y gestión de incidentes.
El cliente lo recibe y nos lo reenvía.
Pero responder el cuestionario es solo el principio.
En algunos casos, antes de poder marcar una casilla afirmativa, hemos tenido que implantar la medida correspondiente: instalar un cortafuegos perimetral donde no existía, activar el doble factor o convertir en un documento formal un plan de contingencia que únicamente estaba en la cabeza del técnico.
Ese es el orden real en el que muchas empresas están incorporando las medidas de seguridad.
No porque alguien haya leído la Directiva completa, sino porque un cliente ha pedido evidencias antes de renovar.
Las diez medidas mínimas del artículo 21
La NIS2 establece diez grandes ámbitos de actuación:
- Políticas de análisis de riesgos y seguridad de los sistemas.
- Gestión de incidentes.
- Continuidad de negocio, copias de seguridad, recuperación ante desastres y gestión de crisis.
- Seguridad de la cadena de suministro.
- Seguridad en la adquisición, desarrollo y mantenimiento de los sistemas.
- Evaluación de la eficacia de las medidas implantadas.
- Higiene básica de ciberseguridad y formación.
- Políticas sobre criptografía y cifrado.
- Seguridad de los recursos humanos, control de accesos y gestión de activos.
- Autenticación multifactor y comunicaciones seguras.
El punto que más suele faltar no es la herramienta, sino la evidencia.
No basta con hacer copias de seguridad: hay que probar que pueden restaurarse.
No basta con tener alertas: hay que comprobar que llegan a la persona adecuada y que existe un procedimiento de respuesta.
No basta con decir que los accesos están controlados: hay que saber quién tiene permisos, por qué los tiene y cuándo se revisaron por última vez.
La responsabilidad de la dirección no se externaliza
El artículo 20 atribuye al órgano de dirección la responsabilidad de aprobar las medidas de gestión de riesgos y supervisar su aplicación. También exige que sus miembros reciban formación suficiente para comprender y evaluar los riesgos de ciberseguridad.
Esto no significa que el administrador deba configurar un cortafuegos o revisar personalmente cada copia.
Significa que debe conocer los riesgos, tomar decisiones y poder acreditar que existe un seguimiento.
Después de muchas reuniones con empresas, nuestra conclusión es que el problema habitual no es la ausencia absoluta de herramientas. Muchas tienen antivirus, copias de seguridad y algún sistema de doble factor.
Lo que suele faltar es el rastro escrito:
- No existe un acta que recoja la revisión del estado de seguridad.
- No queda constancia de qué se decidió tras una alerta.
- Nadie ha registrado la última prueba de restauración.
- No está definido quién debe avisar a clientes y proveedores.
- El procedimiento existe en la cabeza del técnico, pero no en un documento.
Cuando pregunta un cliente, un auditor, un perito o un juez, responder “eso lo lleva nuestra empresa de informática” no es suficiente.
Y lo decimos siendo nosotros esa empresa de informática: la tecnología puede gestionarse externamente, pero la responsabilidad de la organización no desaparece.
Por dónde empezar este trimestre
Un primer paso sencillo es crear un registro de incidentes.
No hace falta comenzar con una plataforma compleja. Puede ser una hoja que incluya, como mínimo:
- Qué ocurrió.
- Cuándo se detectó.
- Quién lo detectó.
- Qué sistemas o personas estaban afectados.
- A quién se informó y a qué hora.
- Qué decisión se tomó.
- Cuándo se cerró el incidente.
- Qué medidas se adoptaron para evitar que se repitiera.
El registro no sustituye un plan de respuesta ni garantiza por sí solo el cumplimiento. Pero permite reconstruir las decisiones, demostrar seguimiento y detectar aquello que todavía no está definido.
Y si mañana descubres que alguien ha suplantado el correo comercial de tu empresa, no esperes a terminar la investigación para alertar a quienes puedan verse afectados.
Investigar es importante.
Evitar que el mismo fraude llegue al siguiente cliente lo es todavía más.
El aviso cuesta muy poco. No hacerlo puede costar el importe completo de lo que se lleve el estafador.
Fuentes
- Comisión Europea: procedimiento contra España, Irlanda, Francia y Países Bajos por la transposición incompleta de la NIS2.
- Directiva (UE) 2022/2555, especialmente artículos 20, 21, 23, 32 y 34.
- Tribunal Supremo, Sala de lo Penal, sentencia 136/2025, de 19 de febrero, recurso 6434/2022.
- INCIBE, Balance de Ciberseguridad 2025, publicado el 9 de febrero de 2026.
