La nueva normativa de ciberseguridad europea, conocida como Directiva NIS2, impone exigencias estrictas a todos los negocios, grandes y pequeños, que operan en ciertos sectores y, por primera vez, hace responsables a los directivos de forma personal, en caso de incumplimiento; aunque el origen del ataque informático esté originado por un fallo de sus trabajadores.
La trasposición de esta Directiva en España, a través del anteproyecto de ley de Coordinación y Gobernanza de la Ciberseguridad, contempla sanciones que pueden alcanzar los diez millones de euros o el 2% del volumen de facturación del negocio. Con lo cual, para muchas pymes, la normativa implica ajustes inmediatos para evitar sanciones y garantizar su continuidad.
El impacto es especialmente relevante para aquellos pequeños y medianos negocios que operan en sectores como energía, transporte, salud, telecomunicaciones, agua y banca, ya que deberán reforzar su infraestructura digital para cumplir con los nuevos requisitos. “El problema es que muchas compañías siguen dependiendo de herramientas aisladas y procesos manuales, que no son nada sencillos ni prácticos”, explicó a este diario Sancho Lerena, CEO de Pandora FMS. Para el responsable en España de esta multinacional de software de monitorización de sistemas informáticos, la normativa no sólo obliga a las empresas a adoptar medidas técnicas, sino que “los directivos deberán supervisarlas y responder en caso de fallos”.
Sanciones para los negocios que sufran un ciberataque por no protegerse adecuadamente
La Directiva europea establece que las empresas afectadas deben contar con medidas de ciberseguridad avanzadas, incluyendo la monitorización de riesgos, planes de contingencia y notificación de incidentes. Sin embargo, según datos de la Agencia Europea de Ciberseguridad, solamente un tercio (el 27%) de los negocios en Europa cumple actualmente con estos requisitos, lo que revela un alto riesgo de sanciones.
En España, la situación no es mucho mejor, ya que la falta de personal especializado y, a menudo, una inversión insuficiente, dificultan la adaptación. Para las pymes, el reto es aún mayor. Muchas no cuentan con equipos internos de ciberseguridad y dependen de proveedores externos para cumplir con la normativa.
“Muchas pymes recurren a contratar seguridad gestionada a terceros, como un servicio externo. Esto puede funcionar a nivel normativo, pero no asegura una protección real”, advirtió Sancho Lerena. La Directiva obliga a las empresas a contar con planes de acción frente a incidentes, por lo que delegar la ciberseguridad sin supervisión interna puede no ser suficiente para evitar sanciones.
Uno de los aspectos más controvertidos de la NIS2 es que las multas pueden recaer directamente sobre los CEO y administradores de la pyme, incluso si no son los propietarios del negocio y se trata de simples empleados.
En caso de incumplimiento, la autoridad de control podrá inhabilitar temporalmente a los directivos e incluso suspender la actividad de la empresa hasta que se subsanen las deficiencias. “Los criterios sancionadores se centran en la negligencia, no en el mero hecho de sufrir un ataque”, aclaró el CEO de Pandora FM. “Por lo que las multas se evitarán con un plan de respuesta, gestión de incidencias y formación interna”.
Las pymes pueden ser sancionadas como proveedoras de grandes firmas
Otro punto crítico es que las pymes pueden ser sancionadas, aunque no sean el objetivo directo de la regulación. Muchos pequeños y medianos negocios forman parte de la cadena de suministro de grandes compañías reguladas; lo que los obliga a cumplir con la normativa para poder seguir operando.
De hecho, en sectores como el transporte o la salud, muchas pymes dependen de contratos con grandes empresas que ya han empezado a exigir certificaciones de seguridad como condición para continuar la relación comercial.
“Estamos ante un momento clave para el ecosistema empresarial. Las pymes no sólo deben protegerse de ciberataques, sino cumplir con normativas cada vez más exigentes, lo que añade una carga significativa a sus operaciones diarias”, advirtió Víctor Ronco, CEO de Zerod. Para muchas startups y pymes, esto supone un coste elevado en términos de tiempo y recursos, que se suma a la falta de personal especializado en ciberseguridad.
El Instituto Nacional de Ciberseguridad (INCIBE) reportó más de 120.000 incidentes de ciberseguridad en España en 2024, lo que representa un aumento del 20% respecto al año anterior. Esta situación refuerza la necesidad de adoptar medidas preventivas cuanto antes, pero también supone un reto adicional para negocios con presupuestos ajustados. La implementación de sistemas de ciberseguridad requiere una inversión inicial que no todas las pymes pueden afrontar de inmediato.
Los empleados deberán vigilar el cumplimiento de las nuevas exigencias
Para mitigar el impacto económico, algunos expertos recomiendan soluciones de seguridad escalables y adaptadas a las necesidades de cada negocio. La automatización de procesos y la integración de herramientas de detección de amenazas pueden ayudar a reducir costes y mejorar la protección sin necesidad de grandes equipos internos. No obstante, esto no exime a los negocios de la obligación de contratar personal capacitado, que supervise estas soluciones.
En el contexto actual, no cumplir con los requisitos de la Directiva NIS2, además de conllevar sanciones económicas, puede poner en riesgo la viabilidad del negocio. Las pymes que no implementen medidas adecuadas se exponen a pérdida de contratos, daño reputacional y, en el peor de los casos, ciberataques que paralicen su actividad. Según Lerena, “mucho más grave que la multa puede ser la propia continuidad del negocio. El verdadero riesgo es no poder operar tras un incidente grave”.
La normativa también impone plazos estrictos para la notificación de incidentes de seguridad, lo que obliga a las pymes a establecer protocolos internos para identificar y reportar ataques en un tiempo determinado. No cumplir con estos plazos puede derivar en sanciones adicionales, lo que agrava la presión sobre los pequeños y medianos negocios y su capacidad de reacción ante amenazas digitales.
