La ciberseguridad para empresas combina medidas técnicas, organizativas y jurídicas. En España ya no es una decisión voluntaria del departamento de IT: el RGPD, el Esquema Nacional de Seguridad y la futura transposición de la Directiva NIS2 imponen obligaciones concretas, con plazos de notificación medidos en horas y sanciones que se calculan sobre la facturación global del grupo. Esta guía traduce ese marco a un plan que puedes empezar a ejecutar esta semana.
Lo esencial
- La ciberseguridad empresarial se apoya en tres capas: gobierno (quién responde), técnica (qué protege) y jurídica (qué obliga y qué se notifica).
- El RGPD te da 72 horas para notificar una brecha de datos personales a la autoridad de control. No es un objetivo, es un plazo legal.
- NIS2 amplía el perímetro a 18 sectores y hace responsable a la dirección. En España la ley de transposición sigue en tramitación a 11 de agosto de 2026.
- ISO 27001 y el ENS son los dos marcos que convierten la obligación difusa en controles auditables.
- Empieza por el inventario de activos y el análisis de riesgos. Sin eso, cualquier inversión en herramientas es a ciegas.
¿Qué es la ciberseguridad para empresas y qué incluye?
Es la disciplina que protege la confidencialidad, la integridad y la disponibilidad de la información de una organización frente a incidentes accidentales o deliberados. Incluye tecnología, sí, pero también políticas, formación, contratos con proveedores y un reparto claro de responsabilidades dentro del órgano de administración.
La confusión habitual es tratarla como un problema exclusivamente técnico. Un cortafuegos bien configurado no evita que un empleado envíe una base de datos de clientes a una cuenta personal, ni que un proveedor de nube almacene información en un país sin garantías adecuadas. Por eso la ciberseguridad se solapa con el cumplimiento normativo de la empresa: comparten inventario, comparten análisis de riesgos y, cada vez más, comparten responsable.
¿Qué normativa de ciberseguridad obliga a tu empresa en 2026?
Depende de tres variables: si tratas datos personales, si prestas servicios al sector público y si operas en un sector considerado crítico. La mayoría de las empresas españolas cae bajo al menos dos de esas tres condiciones a la vez, y cada una activa un régimen distinto de obligaciones, plazos y sanciones.
| Norma | A quién aplica | Obligación central | Sanción máxima |
|---|---|---|---|
| RGPD (Reglamento UE 2016/679) | Toda empresa que trate datos personales | Medidas técnicas y organizativas apropiadas (art. 32) y notificación de brechas en 72 horas (art. 33) | 20 millones de euros o el 4 % de la facturación anual global |
| ENS (Real Decreto 311/2022) | Sector público y proveedores que le prestan servicios | Categorizar el sistema y aplicar las medidas del Anexo II | Vía contractual: exclusión de licitaciones y resolución del contrato |
| NIS2 (Directiva UE 2022/2555) | Entidades esenciales e importantes de 18 sectores | Gestión de riesgos, notificación escalonada y responsabilidad del órgano de dirección | 10 millones de euros o el 2 % de la facturación global (entidades esenciales) |
| ISO/IEC 27001:2022 | Voluntaria, exigida a menudo por clientes y licitaciones | Implantar un SGSI y aplicar los 93 controles del Anexo A que resulten aplicables | No sancionadora: se pierde o suspende el certificado |
Sobre NIS2 conviene ser preciso, porque circula mucha información desactualizada. La directiva fijaba el 17 de octubre de 2024 como fecha límite de transposición. España no llegó: el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en Consejo de Ministros el 14 de enero de 2025 y a fecha de esta guía sigue en tramitación parlamentaria, sin publicación en el BOE. Eso no te exime de prepararte, porque el texto europeo ya está en vigor y la ley española llegará con plazos de aplicación cortos.
¿Cómo saber si tu empresa entra en el ámbito de NIS2?
El test combina sector y tamaño. Si operas en uno de los sectores del Anexo I o II de la directiva y superas el umbral de 50 empleados o 10 millones de euros de volumen de negocio, lo más probable es que entres. Por debajo de ese umbral quedas fuera, salvo excepciones como los proveedores de servicios de confianza o los registros de nombres de dominio.
Los sectores del Anexo I, considerados de alta criticidad, incluyen energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua potable y residual, infraestructura digital, gestión de servicios TIC y administración pública. El Anexo II añade servicios postales, gestión de residuos, productos químicos, alimentación, fabricación de productos sanitarios, informáticos y de maquinaria, proveedores digitales e investigación.
Hay un efecto de arrastre que se subestima. Aunque tu empresa no esté en la lista, si eres proveedor tecnológico de una entidad que sí lo está, tu cliente te va a trasladar los requisitos por contrato. La obligación de gestionar la seguridad de la cadena de suministro es explícita en el artículo 21 de la directiva, y la vía práctica por la que se cumple es exigírselo a los proveedores. Si vendes software o servicios gestionados, prepárate para responder a ese cuestionario. En la práctica, esto conecta directamente con la gestión del parque tecnológico bajo NIS2, que es donde la mayoría de las empresas descubre que no tiene inventario fiable.
¿Qué medidas de ciberseguridad debe implantar una empresa?
El artículo 21 de NIS2 enumera diez categorías que funcionan como denominador común de cualquier marco serio. Son un buen punto de partida incluso si NIS2 no te aplica, porque coinciden en lo esencial con el artículo 32 del RGPD y con el Anexo A de ISO 27001.
- Análisis de riesgos y política de seguridad, aprobada por la dirección y revisada al menos una vez al año.
- Gestión de incidentes, con procedimiento escrito, roles asignados y canal de escalado.
- Continuidad de negocio: copias de seguridad, recuperación ante desastres y gestión de crisis.
- Seguridad de la cadena de suministro, incluida la evaluación de proveedores directos.
- Seguridad en adquisición, desarrollo y mantenimiento, con gestión de vulnerabilidades y parcheado.
- Evaluación de la eficacia de las medidas, es decir, auditar en lugar de suponer.
- Higiene informática y formación periódica del personal.
- Criptografía y cifrado, con política de uso definida.
- Seguridad de recursos humanos, control de accesos y gestión de activos.
- Autenticación multifactor y comunicaciones seguras.
Fíjate en que solo dos o tres de esas diez categorías se resuelven comprando producto. El resto son procesos y documentación, que es exactamente la parte que las empresas dejan para el final y la que primero pide un auditor.
¿Cómo elaborar un plan de ciberseguridad paso a paso?
Un plan de ciberseguridad ordena en el tiempo lo que la normativa exige de golpe. Estos seis pasos son el recorrido mínimo que aplicamos en un proyecto tipo, y el orden importa: cada paso alimenta al siguiente.
- Inventario de activos e información. Qué sistemas tienes, qué datos tratan, quién accede y dónde están alojados. Sin este mapa no puedes valorar riesgos ni demostrar diligencia.
- Análisis de riesgos. Identifica amenazas, valora probabilidad e impacto y fija el nivel de riesgo que la dirección acepta asumir. Documenta esa aceptación por escrito.
- Selección de controles. Cruza los riesgos con un catálogo reconocido, el Anexo A de ISO 27001 o el Anexo II del ENS, y justifica qué aplicas y qué descartas.
- Implantación y política. Despliega los controles y aprueba la política de seguridad en el órgano de administración. La aprobación formal es lo que traslada la responsabilidad al nivel correcto.
- Formación y simulacros. Forma a la plantilla y ensaya al menos una vez al año el procedimiento de incidentes, incluido el plazo de notificación.
- Auditoría y mejora. Mide la eficacia con evidencias, corrige las desviaciones y vuelve al paso dos. Si tratas datos personales, la auditoría de protección de datos es el vehículo natural para verificar buena parte de estos controles.
El error más frecuente en pymes es saltar del paso uno al paso cuatro y comprar herramientas antes de analizar riesgos. El resultado es un gasto que no se puede justificar ante un auditor ni ante un cliente que pregunte por qué has elegido esos controles y no otros.
¿Qué tienes que hacer si sufres una brecha de seguridad?
Actuar en paralelo en dos frentes: contener el incidente y cumplir los plazos de notificación. Bajo el RGPD tienes 72 horas desde que tienes constancia de la brecha para notificarla a la autoridad de control, salvo que sea improbable que suponga un riesgo para los derechos de los afectados.
Si el riesgo para los interesados es alto, el artículo 34 del RGPD te obliga además a comunicárselo a ellos sin dilación indebida. Y si estás bajo NIS2, los plazos son aún más exigentes: alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final en el plazo de un mes.
La diferencia entre una empresa que cumple y una que no suele decidirse en las primeras seis horas, cuando todavía no está claro el alcance. Tener el procedimiento escrito, los contactos localizados y la plantilla de notificación preparada es lo que permite cumplir el plazo. Puedes ver el detalle operativo en nuestra guía sobre qué hacer ante una brecha de seguridad y cómo notificarla.
¿Te conviene certificarte en ISO 27001 o adecuarte al ENS?
Depende de quién sea tu cliente. Si vendes al sector público o eres proveedor de una entidad pública, el ENS no es opcional: tendrás que categorizar el sistema como básico, medio o alto y aplicar las medidas del Anexo II del Real Decreto 311/2022, con auditoría bienal en las categorías media y alta.
Si tu mercado es privado y competitivo, ISO 27001 rinde más. Es reconocible internacionalmente, se pide en licitaciones y procesos de compra, y su estructura de mejora continua encaja con lo que exigirá NIS2. Puedes revisar los requisitos y el proceso en la guía de ISO 27001: qué es, requisitos y certificación, y el recorrido de adecuación en la de Esquema Nacional de Seguridad.
La buena noticia es que no son caminos excluyentes. Comparten análisis de riesgos, inventario, gestión de incidentes y política de seguridad, de modo que quien ya tiene un SGSI certificado recorre buena parte del ENS con el trabajo hecho. Lo eficiente es montar un único sistema de gestión y mapear sus evidencias contra los dos marcos, no llevar dos proyectos en paralelo.
Preguntas frecuentes sobre ciberseguridad para empresas
¿Es obligatoria la ciberseguridad para una pyme en España?
Sí, en la medida en que trate datos personales. El artículo 32 del RGPD obliga a aplicar medidas técnicas y organizativas apropiadas al riesgo, sin importar el tamaño de la empresa. Lo que varía con el tamaño no es la obligación, sino el nivel de medidas exigible, que se gradúa según el riesgo del tratamiento.
¿Cuánto cuesta implantar un plan de ciberseguridad?
El rango depende del punto de partida y del alcance, no de una tarifa estándar. Lo que sí es constante es la proporción: en un primer año, la mayor parte del esfuerzo va a análisis de riesgos, documentación y formación, no a licencias. Empezar por el inventario evita comprar herramientas que después no encajan.
¿Quién responde legalmente de un ciberataque en la empresa?
El órgano de administración. NIS2 lo dice de forma expresa: la dirección aprueba las medidas, supervisa su aplicación y puede responder por incumplimiento. En materia de datos personales, el responsable del tratamiento es la empresa, y la dirección responde de la falta de diligencia en la adopción de medidas.
¿Qué diferencia hay entre ISO 27001 y NIS2?
ISO 27001 es una norma voluntaria y certificable que describe cómo montar un sistema de gestión de seguridad de la información. NIS2 es una directiva de obligado cumplimiento para determinados sectores. Una te da el método y el certificado, la otra te impone el deber. Se complementan: implantar ISO 27001 cubre buena parte de lo que NIS2 exige.
¿Cuándo será exigible NIS2 en España?
Cuando se publique en el BOE la Ley de Coordinación y Gobernanza de la Ciberseguridad, todavía en tramitación a 11 de agosto de 2026. La directiva europea ya está en vigor y el plazo de transposición venció el 17 de octubre de 2024, así que la ley española previsiblemente llegará con plazos de adaptación cortos.
¿Cada cuánto hay que revisar el plan de ciberseguridad?
Al menos una vez al año, y siempre que haya un cambio relevante: una fusión, un nuevo proveedor crítico, un cambio de infraestructura o un incidente. La revisión anual es el mínimo que esperan tanto un auditor de ISO 27001 como la propia lógica del análisis de riesgos.
El siguiente paso
Si tu empresa todavía no tiene inventario de activos ni análisis de riesgos documentado, ese es el trabajo de las próximas semanas, y no depende de aprobar presupuesto de herramientas. Desde ahí, la decisión entre ISO 27001, ENS o ambos deja de ser una intuición y pasa a ser un cálculo con datos. En Laworatory acompañamos ese recorrido completo, desde el diagnóstico inicial hasta la auditoría de certificación.
