Ciberseguridad para pymes en España: por dónde empezar sin presupuesto de gran empresa
Guía práctica y con fuentes oficiales para que una pyme española priorice ciberseguridad sin el presupuesto de una gran empresa.
En esta página
Muchas pymes españolas asumen que la ciberseguridad es un lujo reservado a grandes corporaciones con departamentos de TI dedicados. La realidad es la contraria: las pymes son un objetivo habitual precisamente porque suelen tener menos controles, y un incidente de ransomware o una filtración de datos puede comprometer la continuidad del negocio sin que exista margen financiero para absorber el golpe. La buena noticia es que la mayoría de la mejora real de seguridad no depende del tamaño del presupuesto, sino de aplicar bien un número reducido de medidas, en el orden correcto.
Esta guía no pretende venderte tecnología. Pretende darte un mapa realista: qué exige (o exigirá) la normativa española y europea, qué puedes hacer ya mismo con recursos gratuitos o de bajo coste, y en qué momento tiene sentido pedir ayuda externa especializada.
El contexto normativo: qué aplica hoy y qué está en camino
NIS2: en vigor a nivel europeo, pendiente de ley nacional en España
La Directiva (UE) 2022/2555, conocida como NIS2, establece obligaciones de gestión de riesgos y notificación de incidentes para entidades "esenciales" e "importantes" en 18 sectores críticos: energía, transporte, banca, salud, infraestructuras digitales, administración pública, gestión de aguas y otros [1]. El plazo de transposición para los Estados miembros venció el 17 de octubre de 2024.
España no cumplió ese plazo. Según fuentes de prensa, el Consejo de Ministros aprobó el anteproyecto el 14 de enero de 2025. A fecha de redacción, el texto seguía en trámite parlamentario y no se había publicado en el BOE. A fecha de esta redacción, la Comisión Europea mantiene un procedimiento de infracción abierto contra España por transposición incompleta de la Directiva NIS2; el estado exacto del procedimiento (incluida una eventual remisión al TJUE) puede consultarse directamente en el Infringement Decisions Register de la Comisión (ec.europa.eu/atwork/applying-eu-law) o en ec.europa.eu/commission/presscorner.
Esto tiene una implicación práctica importante que muchas pymes desconocen: la directiva europea ya está en vigor y produce efectos aunque la ley española no se haya aprobado. Si tu empresa cae dentro del ámbito de aplicación —por sector, tamaño, o por ser proveedor crítico de una entidad esencial o importante—, las obligaciones sustantivas de gestión de riesgo y notificación de incidentes no esperan a que el Congreso termine de tramitar el texto nacional. El alcance exacto para cada pyme dependerá del texto final y de tu situación contractual concreta; si tienes dudas sobre si te aplica, es razonable consultarlo específicamente y verificar tu caso particular con el texto que finalmente se apruebe.
ENS: obligatorio si trabajas con el sector público, referencia útil si no
El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022 publicado en el BOE el 4 de mayo de 2022 y en vigor desde el 5 de mayo de 2022, es de aplicación obligatoria a todo el sector público y a las empresas que prestan servicios o suministran tecnología a las administraciones públicas [3]. El decreto clasifica los sistemas en tres categorías —básica, media y alta— según el impacto que tendría un incidente sobre la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información (Anexo I), y exige medidas de seguridad graduadas según esa categoría (Anexo II) [3].
Si tu pyme no contrata con la Administración, el ENS no te obliga directamente. Pero si aspiras a licitar con organismos públicos, o si un cliente público te exige acreditación, necesitarás certificarte en la categoría que corresponda a tus sistemas, con auditoría obligatoria cada dos años para las categorías media y alta [3].
RGPD: la obligación que casi seguro ya tienes
Si tu empresa trata datos personales de clientes, empleados o proveedores —lo cual es prácticamente universal—, el Reglamento General de Protección de Datos ya te obliga a implementar medidas de seguridad "apropiadas al riesgo" y a notificar las brechas de seguridad a la Agencia Española de Protección de Datos en un plazo determinado. Esta obligación no es futura ni condicional: lleva vigente desde 2018 y es la base legal mínima de la que parte cualquier pyme, independientemente de si NIS2 o el ENS le aplican.
Por dónde empezar: prioridades con presupuesto limitado
No hace falta abordarlo todo a la vez. El orden importa más que la cantidad de medidas.
1. Inventario básico: qué tienes y dónde está
No puedes proteger lo que no sabes que tienes. Antes de comprar nada, dedica unas horas a listar: equipos (ordenadores, servidores, móviles corporativos), aplicaciones críticas (contabilidad, CRM, correo), y dónde vive la información sensible (datos de clientes, nóminas, contratos). Esto no cuesta dinero, solo tiempo, y es la base de todo lo demás.
2. Autenticación multifactor (MFA) en correo y accesos remotos
La mayoría de los compromisos exitosos empiezan con una contraseña robada o reutilizada. Activar la verificación en dos pasos en el correo corporativo, el acceso remoto (VPN, escritorio remoto) y las cuentas de administrador es gratuito en la práctica totalidad de plataformas (Microsoft 365, Google Workspace) y reduce drásticamente el riesgo de acceso no autorizado incluso si una contraseña se filtra.
3. Copias de seguridad periódicas y probadas
Una copia de seguridad que nunca se ha restaurado no es una copia de seguridad, es una suposición. INCIBE señala que la mayoría de las pymes que han reforzado su seguridad lo han hecho aplicando medidas básicas, entre ellas copias periódicas verificando que se restauran correctamente [5]. La recomendación estándar es mantener al menos una copia desconectada de la red (offline) o en un proveedor cloud separado, precisamente para que un ransomware que cifre tus sistemas no pueda cifrar también la copia.
4. Actualizaciones y parcheo
Mantener sistemas operativos, navegadores y aplicaciones actualizados cierra vulnerabilidades conocidas que los atacantes explotan de forma automatizada [5]. Activar actualizaciones automáticas donde sea posible es la medida de menor esfuerzo con mayor retorno.
5. Formación básica frente a phishing
El correo fraudulento sigue siendo la puerta de entrada más habitual. No hace falta un programa de formación sofisticado: una sesión breve explicando cómo identificar remitentes sospechosos, enlaces manipulados y solicitudes urgentes de transferencia (fraude del CEO) reduce el riesgo de forma significativa, y es gratuita si la impartes con materiales de INCIBE.
6. Política de contraseñas y gestor de contraseñas
Contraseñas únicas y robustas por servicio, gestionadas con un gestor de contraseñas (hay opciones gratuitas y de bajo coste), evitan la reutilización que convierte una filtración menor en un compromiso generalizado.
7. Un procedimiento mínimo de respuesta a incidentes
No necesitas un plan de 40 páginas. Necesitas saber, antes de que ocurra, a quién llamas, qué aíslas primero y qué no haces (como pagar un rescate sin asesoramiento). Tener esto decidido con antelación ahorra las horas más caras de cualquier incidente: las primeras.
Recursos gratuitos que ya existen y muchas pymes desconocen
España cuenta con infraestructura pública pensada específicamente para negocios sin equipo técnico propio:
- Guías para empresas de INCIBE: plantillas de política de seguridad, herramientas de autodiagnóstico, kits de concienciación y guías sectoriales (comercio electrónico, turismo), diseñadas para directivos sin perfil técnico [5].
- Decálogo de ciberseguridad de INCIBE: diez recomendaciones concretas para mejorar el nivel de protección sin inversión en tecnología nueva [6].
- Línea de Ayuda en Ciberseguridad 017: servicio gratuito y confidencial atendido por un equipo multidisciplinar, disponible por teléfono (017), WhatsApp (900 116 117) y Telegram (@INCIBE017), todos los días del año de 8:00 a 23:00, con asesoramiento técnico, legal y de gestión de incidentes para empresas y profesionales [7] [8].
Ninguno de estos recursos requiere contratar nada. Son el punto de partida razonable antes de plantearse cualquier gasto.
Cuándo tiene sentido pedir ayuda externa
Las medidas anteriores cubren el riesgo más básico y evitable. Hay un punto, sin embargo, en que la vigilancia continua, la respuesta a incidentes en curso, o la preparación para una certificación (ISO 27001, ENS) exceden lo que un equipo interno reducido puede sostener sin dedicación exclusiva. Señales típicas de que ese punto ha llegado:
- Un cliente o licitación pública exige una certificación o nivel de ENS concreto.
- Manejas datos especialmente sensibles (salud, financieros, menores) donde el coste de un incidente sería desproporcionado.
- Formas parte de la cadena de suministro de una entidad que sí está claramente dentro del ámbito de NIS2, y esa entidad empieza a exigirte requisitos contractuales de seguridad.
- Ya has sufrido un incidente y necesitas entender qué pasó y cerrar la puerta por la que entraron (análisis forense, pentest).
En esos casos, la alternativa razonable no es montar un departamento propio de la nada, sino contratar servicios puntuales o recurrentes (auditorías de seguridad ofensiva, monitorización externalizada, consultoría de cumplimiento normativo) dimensionados al riesgo real, en vez de asumir el coste fijo de un equipo interno que la mayoría de pymes no puede sostener.
Preguntas frecuentes
¿Una pyme está obligada a cumplir la directiva NIS2? Depende del sector y del tamaño; ver el desarrollo completo en la sección de preguntas frecuentes al inicio de este documento.
¿Necesito el ENS si no trabajo con la Administración Pública? No es obligatorio directamente, pero sí lo es si aspiras a contratos públicos o un cliente público te lo exige.
¿Por dónde empiezo sin presupuesto? MFA, copias de seguridad probadas, actualizaciones y formación básica frente a phishing: las cuatro medidas gratuitas o casi gratuitas de mayor impacto.
¿Qué hago ante un incidente sin equipo interno? Aísla sin apagar, no pagues sin asesoramiento, y llama al 017 de INCIBE.
¿Cuándo contrato ayuda externa? Cuando la obligación contractual, el riesgo o la necesidad de certificación superan lo que tu equipo interno puede sostener de forma continuada.
Las afirmaciones sobre normativa reflejan el texto legal vigente a fecha de redacción (septiembre de 2026); el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad estaba en trámite parlamentario en ese momento y conviene contrastar su estado en publicaciones posteriores.
Fuentes
- Directiva (UE) 2022/2555 (NIS2) — texto consolidado
- European Commission — Referral of Spain to the Court of Justice for NIS2 non-transposition
- BOE — Real Decreto 311/2022, de 3 de mayo, Esquema Nacional de Seguridad
- Departamento de Seguridad Nacional — Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
- INCIBE — Guías para empresas
- INCIBE — Decálogo de ciberseguridad para mejorar el nivel de protección de tu empresa
- INCIBE — Línea de Ayuda en Ciberseguridad 017
- La Moncloa — Nota de prensa sobre el teléfono 017
Preguntas frecuentes
- ¿Una pyme está obligada a cumplir la directiva NIS2?
- Depende del sector y del tamaño. NIS2 (Directiva (EU) 2022/2555) aplica sobre todo a entidades "esenciales" e "importantes" en 18 sectores críticos (energía, transporte, salud, infraestructuras digitales, administración pública, entre otros), con umbrales generales de tamaño mediano/grande, aunque hay excepciones que incorporan a proveedores más pequeños si son críticos para la cadena de suministro de esos sectores. La transposición española (Ley de Coordinación y Gobernanza de la Ciberseguridad) sigue en trámite parlamentario a fecha de este artículo, así que el alcance exacto para pymes concretas se conocerá con el texto final; mientras tanto, si tu empresa es proveedora de una entidad esencial o importante, es razonable anticiparse. Conviene verificar si tu caso concreto entra dentro del ámbito de aplicación: la calificación depende de tu sector y de tu relación contractual con esas entidades.
- ¿Necesito el Esquema Nacional de Seguridad (ENS) si no trabajo con la Administración Pública?
- El ENS, regulado por el Real Decreto 311/2022, aplica de forma obligatoria al sector público y a las empresas que prestan servicios o suministran tecnología a las administraciones públicas. Si tu pyme no tiene ese tipo de contratos, el ENS no es obligatorio por sí mismo, aunque sus controles (categorización por impacto, medidas de seguridad graduadas) son una referencia útil incluso sin obligación legal.
- ¿Por dónde empiezo si no tengo presupuesto para un departamento de seguridad?
- Por lo gratuito y de mayor impacto: activar la autenticación multifactor en el correo corporativo y accesos remotos, mantener sistemas y aplicaciones actualizados, hacer copias de seguridad periódicas y probadas, y formar al personal frente al phishing. INCIBE ofrece guías, plantillas y una línea de ayuda gratuita (017) pensadas específicamente para negocios sin equipo técnico propio.
- ¿Qué hago si sufro un incidente (ransomware, filtración, fraude) y no tengo equipo interno?
- Aísla los equipos afectados de la red sin apagarlos (para no perder evidencia), no pagues ni negocies sin asesoramiento, y contacta con la Línea de Ayuda en Ciberseguridad 017 de INCIBE, disponible por teléfono, WhatsApp y Telegram todos los días del año. Si manejas datos personales, la Agencia Española de Protección de Datos exige notificación de brechas en plazos determinados; conviene tener ese procedimiento decidido antes de que ocurra, no durante la crisis.
- ¿Cuándo tiene sentido contratar un proveedor externo (SOC, pentest, consultoría) en lugar de hacerlo todo internamente?
- Cuando el riesgo o la obligación contractual/regulatoria supera lo que el equipo interno puede monitorizar de forma sostenida (por ejemplo, necesitas vigilancia 24/7, una auditoría de seguridad ofensiva puntual, o preparación para una certificación como ISO 27001 o el ENS). Muchas pymes combinan medidas internas básicas con servicios externos puntuales o recurrentes según necesidad, en vez de asumir el coste fijo de un equipo propio.
¿Te aplica NIS2?
Autoevalúa en 2 minutos tu alcance NIS2 (esencial/importante/fuera) y qué dominios de la directiva ya cubres.
¿Te ha sido útil este artículo?
Gorka Gonzalo
Fundador y CEO
Fundó Hodeitek en 2023 y dirige la compañía, tras más de 8 años en pentesting, Red Team, auditoría OT/ICS y dirección de SOC. Experto en ciberseguridad e inteligencia artificial, marca la dirección técnica y de producto de HodeiShield y lidera personalmente los proyectos más críticos: de la estrategia de defensa a la aplicación de IA en la detección de amenazas. Es el interlocutor directo del cliente — quien define el alcance responde también por el resultado.
¿Necesitas ayuda con esto?
Solicita una reunión con nuestro equipo y revisa cómo aplicarlo a tu organización.
Solicitar una reunión