NIS2 y ciberseguro: el coste que no has presupuestado

¿Cuánto te costaría que un cliente grande te sacara de su panel de proveedores?

Hazte esta pregunta: si eres proveedor de una empresa energética, sanitaria o de infraestructuras digitales, y esa empresa te pide mañana un certificado de cumplimiento de la directiva NIS2, ¿tienes respuesta? Muchas pymes españolas dan por hecho que NIS2 “es cosa de grandes corporaciones” —y se equivocan, igual que ocurre con el riesgo de tipo de interés: es un factor que hay que medir y planificar, no sufrir cuando ya es tarde. La directiva europea de ciberseguridad no solo obliga directamente a las empresas con 50 o más trabajadores o más de 10 millones de euros de facturación: también llega, por vía contractual, a cualquier pyme que forme parte de la cadena de suministro de una entidad considerada “esencial” o “importante”. Y ese coste —técnico, organizativo y de seguro— rara vez aparece en el presupuesto anual.

España todavía no ha transpuesto NIS2 a la legislación nacional. El plazo europeo venció el 17 de octubre de 2024 y la Comisión Europea ya ha enviado un segundo requerimiento formal, el 19 de mayo de 2026, exigiendo su aprobación urgente. Pero el retraso legislativo no es una excusa para esperar: las grandes empresas ya están trasladando las exigencias de NIS2 a sus proveedores vía contrato, y las aseguradoras de ciberriesgo ya incorporan estos requisitos a sus cuestionarios de contratación. Si tu pyme trabaja para una eléctrica, un hospital, una entidad financiera o un operador de telecomunicaciones, el reloj ya corre aunque la ley española no haya entrado en vigor.

Qué es NIS2 y por qué afecta a pymes que “no deberían estar afectadas”

NIS2 es la directiva europea que amplía y endurece las obligaciones de ciberseguridad para sectores considerados críticos: energía, transporte, banca, sanidad, agua, infraestructuras digitales, administración pública y otros. El criterio general de aplicación directa es claro —50 o más empleados o facturación/balance superior a 10 millones de euros—, pero hay dos vías por las que una pyme pequeña acaba entrando igualmente:

1. Excepciones sectoriales: empresas que prestan servicios especialmente sensibles (DNS, servicios de confianza, telecomunicaciones) quedan sujetas independientemente de su tamaño.
2. Efecto cadena de suministro: el artículo 21 de la directiva obliga a las entidades designadas a gestionar el riesgo de sus proveedores. En la práctica, esto se traduce en cláusulas contractuales que exigen a los proveedores —por pequeños que sean— acreditar medidas de seguridad concretas.

Esta segunda vía es la que más sorprende a las pymes españolas: no hace falta facturar 10 millones de euros para recibir un cuestionario de seguridad de 40 preguntas del departamento de compras de un cliente grande. Si tu principal cliente es una eléctrica, una aseguradora o un hospital, debes dar por hecho que te preguntarán por NIS2 pronto, aunque tu empresa nunca esté sujeta a ella de forma directa.

Las obligaciones técnicas que marca el artículo 21 incluyen análisis de riesgos, gestión de incidentes, copias de seguridad y continuidad de negocio, seguridad de la cadena de suministro, cifrado y control de accesos —con autenticación multifactor donde corresponda. Y los plazos de notificación de incidentes son exigentes: 24 horas para la alerta temprana, 72 horas para la notificación formal con evaluación inicial, y un mes para el informe final.

Caso práctico: la pyme industrial que recibió el cuestionario de su cliente principal

Imagina una pyme industrial de la Comunidad Valenciana, 35 trabajadores y 4,5 millones de euros de facturación —por debajo, por tanto, del umbral directo de NIS2. El 70 % de sus ingresos proviene de suministrar componentes a una gran empresa energética, que sí es una entidad “esencial” según la directiva.

En mayo de 2026, el departamento de compras del cliente le envió un cuestionario de seguridad con 40 preguntas y una cláusula contractual nueva: si no acreditaba medidas mínimas de ciberseguridad antes de fin de año, el contrato de suministro se revisaría a la baja.

Su CFO externo hizo tres cosas:

1. Mapeó la exposición real: identificó que el 70 % de la facturación dependía de un cliente sujeto a NIS2, y que eso convertía el cumplimiento en una cuestión de continuidad de negocio, no en un trámite administrativo opcional.
2. Priorizó las medidas de bajo coste y alto impacto: autenticación multifactor en los accesos críticos, copias de seguridad desconectadas y actualizadas, y un plan escrito de respuesta a incidentes. Coste aproximado: 6.000 € en consultoría y herramientas, repartidos en tres meses.
3. Contrató un ciberseguro de 2.400 €/año con cobertura de restauración de datos, interrupción de negocio y responsabilidad por brechas —y negoció una prima más baja precisamente porque ya tenía implantadas las medidas técnicas básicas que exige la aseguradora.

Resultado: el contrato con el cliente principal se mantuvo sin penalización, y el coste total —unos 8.400 € el primer año— es inferior al 0,2 % de la facturación anual de la empresa. La comparación que convenció al consejo de administración: el coste medio de un incidente de ciberseguridad sin cobertura en España ronda los 75.000 €, casi diez veces lo que ha costado prevenirlo.

Ciberseguro: cuánto cuesta realmente y qué vigilan las aseguradoras

El mercado español de ciberseguros para pymes se ha ampliado notablemente, pero los precios varían mucho según el tamaño y el sector:

• Microempresas (hasta 1 M€ de facturación): primas desde 300-800 €/año para coberturas básicas.
• Pymes (10-250 trabajadores): entre 1.500 € y 8.000 €/año, según límites de cobertura.
• Sectores sanitario y financiero: primas un 30-50 % superiores a la media, por la exposición a datos sensibles.

Los factores que más mueven el precio no son solo la facturación: las aseguradoras exigen, como mínimo, antivirus o EDR activo, copias de seguridad desconectadas y autenticación multifactor en los accesos sensibles. Una empresa que ya haya implementado las medidas técnicas que exige NIS2 —que en buena parte coinciden con estos requisitos— suele pagar primas notablemente más bajas. En otras palabras: el cumplimiento de NIS2 y la contratación de un ciberseguro competitivo no son gastos separados, sino inversiones que se refuerzan mutuamente.

Las pólizas estándar suelen cubrir gastos de respuesta a incidentes, peritaje forense digital, notificación a afectados, responsabilidad civil por brecha de datos, lucro cesante por interrupción de negocio y extorsión cibernética (ransomware). Ninguna de estas coberturas, sin embargo, sustituye el cumplimiento normativo: una aseguradora puede excluir siniestros si se demuestra negligencia grave en medidas básicas de seguridad.

Errores comunes ante NIS2 y el ciberseguro

Error 1: pensar que “somos demasiado pequeños para estar afectados”. El efecto cadena de suministro convierte a miles de pymes españolas en sujetos indirectos de NIS2, sin que lo sepan hasta que reciben el primer cuestionario de un cliente — el mismo sesgo que lleva a muchas pymes a subestimar el fraude BEC: “a mí no me va a pasar”.

Error 2: esperar a que se publique la ley española para empezar. El calendario legislativo es incierto —la Comisión Europea ya habla de un posible caso ante el Tribunal de Justicia de la UE si la transposición sigue retrasada—, pero las exigencias contractuales de los clientes grandes ya son reales hoy.

Error 3: confundir el ciberseguro con el cumplimiento normativo. Una póliza cubre las consecuencias económicas de un incidente; no exime de las obligaciones técnicas ni evita una eventual sanción regulatoria, que para las entidades “esenciales” puede llegar a los 10 millones de euros o el 2 % de la facturación mundial, y para las “importantes”, a los 7 millones o el 1,4 %.

Error 4: no revisar los contratos con clientes grandes. Si el 20 % o más de tu facturación depende de un cliente sujeto a NIS2, vale la pena revisar con antelación qué cláusulas de seguridad ya hay —o habrá pronto— en el contrato, en lugar de esperar la carta del departamento de compras.

Conclusión: el cumplimiento de NIS2 se planifica, no se improvisa

NIS2 todavía no es ley en España, pero ya condiciona cómo te contratan tus clientes más grandes. Para muchas pymes españolas, el riesgo real no es una sanción directa de la administración —que probablemente no les corresponde—, sino perder un contrato estratégico por no poder acreditar unas medidas de seguridad básicas y razonablemente baratas.

Tus próximos pasos concretos:

1. Este mes: identifica qué porcentaje de tu facturación depende de clientes que operen en sectores críticos (energía, sanidad, finanzas, telecomunicaciones, administración pública).
2. Este trimestre: implementa las medidas de bajo coste y alto impacto —MFA, copias de seguridad desconectadas, plan escrito de respuesta a incidentes— y pide presupuesto de un ciberseguro con esas medidas ya en marcha.
3. Antes de fin de año: revisa los contratos con tus clientes principales para anticiparte a cláusulas de seguridad nuevas, en lugar de reaccionar cuando lleguen.

¿Necesitas ayuda para evaluar la exposición real de tu empresa a NIS2 y planificar el coste de cumplimiento sin sorpresas? Contacta con CFO.cat para una conversación de 30 minutos sin compromiso.

Fuentes

• Legiscope. NIS2 España 2026: transposición, entidades esenciales, plazos y sanciones. legiscope.com
• Audidat. Transposición española de NIS2 en 2026: obligaciones y plazos. audidat.com
• Moncloa.com. Bruselas exige a España transponer “con urgencia” la directiva de ciberseguridad tras un año de infracción. moncloa.com
• Sector Asegurador. Cuánto cuesta un seguro de ciberriesgos para empresas. sectorasegurador.es
• Seguroflex. Cuánto cuesta un ciberseguro para pymes y autónomos. seguroflex.com