NIS2 y ENS: lo que la nueva regulación pide ya a las pymes

Durante años, la regulación de ciberseguridad fue un asunto de bancos, eléctricas y administraciones. Eso se acabó: la directiva europea NIS2 amplía el perímetro a miles de empresas medianas de sectores esenciales e importantes, y —esta es la parte que muchas pymes no ven venir— a sus cadenas de suministro. No hace falta estar en el ámbito directo de la norma: basta con ser proveedor de alguien que sí lo está.

La vía por la que te llega, seas o no obligado

Cada vez más contratos y licitaciones incluyen cuestionarios de seguridad: qué medidas tienes, cómo gestionas incidentes, si formas a tu plantilla. Responder «no tenemos nada de eso» empieza a costar clientes. En el sector público, el ENS (Esquema Nacional de Seguridad) ya funciona así: sin conformidad, no hay contrato.

Qué piden, en la práctica

• Gestión de riesgos: saber qué activos tienes y qué les puede pasar.
• Medidas básicas: MFA, parcheo, backup, cifrado, control de accesos.
• Gestión de incidentes: capacidad de detectar, responder y notificar en plazos definidos.
• Continuidad: plan probado para seguir operando tras un incidente.
• Responsabilidad de la dirección: con NIS2, la ciberseguridad deja de poder delegarse hacia abajo sin más.

Cómo ponerse al día sin volverse loco

La buena noticia: casi todo lo que piden estas normas es lo que una operación IT bien gestionada ya hace. En KOVU alineamos los procesos con CIS Controls e ITIL, con NIS2 y ENS como horizonte: primero las medidas, luego el papel que las acredita. Empezar por el papel es el error clásico.