Ciberseguridad para pymes en España: por dónde empezar sin presupuesto de gran empresa

Muchas pymes españolas asumen que la ciberseguridad es un lujo reservado a grandes corporaciones con departamentos de TI dedicados. La realidad es la contraria: las pymes son un objetivo habitual precisamente porque suelen tener menos controles, y un incidente de ransomware o una filtración de datos puede comprometer la continuidad del negocio sin que exista margen financiero para absorber el golpe. La buena noticia es que la mayoría de la mejora real de seguridad no depende del tamaño del presupuesto, sino de aplicar bien un número reducido de medidas, en el orden correcto.

Esta guía no pretende venderte tecnología. Pretende darte un mapa realista: qué exige (o exigirá) la normativa española y europea, qué puedes hacer ya mismo con recursos gratuitos o de bajo coste, y en qué momento tiene sentido pedir ayuda externa especializada.

El contexto normativo: qué aplica hoy y qué está en camino

NIS2: en vigor a nivel europeo, pendiente de ley nacional en España

La Directiva (UE) 2022/2555, conocida como NIS2, establece obligaciones de gestión de riesgos y notificación de incidentes para entidades "esenciales" e "importantes" en 18 sectores críticos: energía, transporte, banca, salud, infraestructuras digitales, administración pública, gestión de aguas y otros [1]. El plazo de transposición para los Estados miembros venció el 17 de octubre de 2024.

España no cumplió ese plazo. Según fuentes de prensa, el Consejo de Ministros aprobó el anteproyecto el 14 de enero de 2025. A fecha de redacción, el texto seguía en trámite parlamentario y no se había publicado en el BOE. A fecha de esta redacción, la Comisión Europea mantiene un procedimiento de infracción abierto contra España por transposición incompleta de la Directiva NIS2; el estado exacto del procedimiento (incluida una eventual remisión al TJUE) puede consultarse directamente en el Infringement Decisions Register de la Comisión (ec.europa.eu/atwork/applying-eu-law) o en ec.europa.eu/commission/presscorner.

Esto tiene una implicación práctica importante que muchas pymes desconocen: la directiva europea ya está en vigor y produce efectos aunque la ley española no se haya aprobado. Si tu empresa cae dentro del ámbito de aplicación —por sector, tamaño, o por ser proveedor crítico de una entidad esencial o importante—, las obligaciones sustantivas de gestión de riesgo y notificación de incidentes no esperan a que el Congreso termine de tramitar el texto nacional. El alcance exacto para cada pyme dependerá del texto final y de tu situación contractual concreta; si tienes dudas sobre si te aplica, es razonable consultarlo específicamente y verificar tu caso particular con el texto que finalmente se apruebe.

ENS: obligatorio si trabajas con el sector público, referencia útil si no

El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022 publicado en el BOE el 4 de mayo de 2022 y en vigor desde el 5 de mayo de 2022, es de aplicación obligatoria a todo el sector público y a las empresas que prestan servicios o suministran tecnología a las administraciones públicas [3]. El decreto clasifica los sistemas en tres categorías —básica, media y alta— según el impacto que tendría un incidente sobre la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información (Anexo I), y exige medidas de seguridad graduadas según esa categoría (Anexo II) [3].

Si tu pyme no contrata con la Administración, el ENS no te obliga directamente. Pero si aspiras a licitar con organismos públicos, o si un cliente público te exige acreditación, necesitarás certificarte en la categoría que corresponda a tus sistemas, con auditoría obligatoria cada dos años para las categorías media y alta [3].

RGPD: la obligación que casi seguro ya tienes

Si tu empresa trata datos personales de clientes, empleados o proveedores —lo cual es prácticamente universal—, el Reglamento General de Protección de Datos ya te obliga a implementar medidas de seguridad "apropiadas al riesgo" y a notificar las brechas de seguridad a la Agencia Española de Protección de Datos en un plazo determinado. Esta obligación no es futura ni condicional: lleva vigente desde 2018 y es la base legal mínima de la que parte cualquier pyme, independientemente de si NIS2 o el ENS le aplican.

Por dónde empezar: prioridades con presupuesto limitado

No hace falta abordarlo todo a la vez. El orden importa más que la cantidad de medidas.

1. Inventario básico: qué tienes y dónde está

No puedes proteger lo que no sabes que tienes. Antes de comprar nada, dedica unas horas a listar: equipos (ordenadores, servidores, móviles corporativos), aplicaciones críticas (contabilidad, CRM, correo), y dónde vive la información sensible (datos de clientes, nóminas, contratos). Esto no cuesta dinero, solo tiempo, y es la base de todo lo demás.

2. Autenticación multifactor (MFA) en correo y accesos remotos

La mayoría de los compromisos exitosos empiezan con una contraseña robada o reutilizada. Activar la verificación en dos pasos en el correo corporativo, el acceso remoto (VPN, escritorio remoto) y las cuentas de administrador es gratuito en la práctica totalidad de plataformas (Microsoft 365, Google Workspace) y reduce drásticamente el riesgo de acceso no autorizado incluso si una contraseña se filtra.

3. Copias de seguridad periódicas y probadas

Una copia de seguridad que nunca se ha restaurado no es una copia de seguridad, es una suposición. INCIBE señala que la mayoría de las pymes que han reforzado su seguridad lo han hecho aplicando medidas básicas, entre ellas copias periódicas verificando que se restauran correctamente [5]. La recomendación estándar es mantener al menos una copia desconectada de la red (offline) o en un proveedor cloud separado, precisamente para que un ransomware que cifre tus sistemas no pueda cifrar también la copia.

4. Actualizaciones y parcheo

Mantener sistemas operativos, navegadores y aplicaciones actualizados cierra vulnerabilidades conocidas que los atacantes explotan de forma automatizada [5]. Activar actualizaciones automáticas donde sea posible es la medida de menor esfuerzo con mayor retorno.

5. Formación básica frente a phishing

El correo fraudulento sigue siendo la puerta de entrada más habitual. No hace falta un programa de formación sofisticado: una sesión breve explicando cómo identificar remitentes sospechosos, enlaces manipulados y solicitudes urgentes de transferencia (fraude del CEO) reduce el riesgo de forma significativa, y es gratuita si la impartes con materiales de INCIBE.

6. Política de contraseñas y gestor de contraseñas

Contraseñas únicas y robustas por servicio, gestionadas con un gestor de contraseñas (hay opciones gratuitas y de bajo coste), evitan la reutilización que convierte una filtración menor en un compromiso generalizado.

7. Un procedimiento mínimo de respuesta a incidentes

No necesitas un plan de 40 páginas. Necesitas saber, antes de que ocurra, a quién llamas, qué aíslas primero y qué no haces (como pagar un rescate sin asesoramiento). Tener esto decidido con antelación ahorra las horas más caras de cualquier incidente: las primeras.

Recursos gratuitos que ya existen y muchas pymes desconocen

España cuenta con infraestructura pública pensada específicamente para negocios sin equipo técnico propio:

• Guías para empresas de INCIBE: plantillas de política de seguridad, herramientas de autodiagnóstico, kits de concienciación y guías sectoriales (comercio electrónico, turismo), diseñadas para directivos sin perfil técnico [5].
• Decálogo de ciberseguridad de INCIBE: diez recomendaciones concretas para mejorar el nivel de protección sin inversión en tecnología nueva [6].
• Línea de Ayuda en Ciberseguridad 017: servicio gratuito y confidencial atendido por un equipo multidisciplinar, disponible por teléfono (017), WhatsApp (900 116 117) y Telegram (@INCIBE017), todos los días del año de 8:00 a 23:00, con asesoramiento técnico, legal y de gestión de incidentes para empresas y profesionales [7] [8].

Ninguno de estos recursos requiere contratar nada. Son el punto de partida razonable antes de plantearse cualquier gasto.

Cuándo tiene sentido pedir ayuda externa

Las medidas anteriores cubren el riesgo más básico y evitable. Hay un punto, sin embargo, en que la vigilancia continua, la respuesta a incidentes en curso, o la preparación para una certificación (ISO 27001, ENS) exceden lo que un equipo interno reducido puede sostener sin dedicación exclusiva. Señales típicas de que ese punto ha llegado:

• Un cliente o licitación pública exige una certificación o nivel de ENS concreto.
• Manejas datos especialmente sensibles (salud, financieros, menores) donde el coste de un incidente sería desproporcionado.
• Formas parte de la cadena de suministro de una entidad que sí está claramente dentro del ámbito de NIS2, y esa entidad empieza a exigirte requisitos contractuales de seguridad.
• Ya has sufrido un incidente y necesitas entender qué pasó y cerrar la puerta por la que entraron (análisis forense, pentest).

En esos casos, la alternativa razonable no es montar un departamento propio de la nada, sino contratar servicios puntuales o recurrentes (auditorías de seguridad ofensiva, monitorización externalizada, consultoría de cumplimiento normativo) dimensionados al riesgo real, en vez de asumir el coste fijo de un equipo interno que la mayoría de pymes no puede sostener.

Preguntas frecuentes

¿Una pyme está obligada a cumplir la directiva NIS2? Depende del sector y del tamaño; ver el desarrollo completo en la sección de preguntas frecuentes al inicio de este documento.

¿Necesito el ENS si no trabajo con la Administración Pública? No es obligatorio directamente, pero sí lo es si aspiras a contratos públicos o un cliente público te lo exige.

¿Por dónde empiezo sin presupuesto? MFA, copias de seguridad probadas, actualizaciones y formación básica frente a phishing: las cuatro medidas gratuitas o casi gratuitas de mayor impacto.

¿Qué hago ante un incidente sin equipo interno? Aísla sin apagar, no pagues sin asesoramiento, y llama al 017 de INCIBE.

¿Cuándo contrato ayuda externa? Cuando la obligación contractual, el riesgo o la necesidad de certificación superan lo que tu equipo interno puede sostener de forma continuada.

---

Las afirmaciones sobre normativa reflejan el texto legal vigente a fecha de redacción (septiembre de 2026); el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad estaba en trámite parlamentario en ese momento y conviene contrastar su estado en publicaciones posteriores.

Fuentes

• Directiva (UE) 2022/2555 (NIS2) — texto consolidado
• European Commission — Referral of Spain to the Court of Justice for NIS2 non-transposition
• BOE — Real Decreto 311/2022, de 3 de mayo, Esquema Nacional de Seguridad
• Departamento de Seguridad Nacional — Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
• INCIBE — Guías para empresas
• INCIBE — Decálogo de ciberseguridad para mejorar el nivel de protección de tu empresa
• INCIBE — Línea de Ayuda en Ciberseguridad 017
• La Moncloa — Nota de prensa sobre el teléfono 017