Análisis de Riesgos y NIS2: Cómo Plantearlo en una PYME
El análisis de riesgos es el punto de partida del resto de medidas, porque el artículo 21 pide que sean proporcionadas al riesgo. Lo que sigue es un método práctico, no un formato oficial: la Directiva no lo define.
Estado legal (20/09/2026): NIS2 es una Directiva y España aún no ha publicado la ley que la transpone; solo consta el anteproyecto de 14/01/2025. Si tu empresa está incluida depende de su sector y tamaño (cómo comprobarlo). Lo siguiente son prácticas recomendables, no mandatos legales.
Qué exige la Directiva
- Art. 21.1: medidas “adecuadas y proporcionadas”, teniendo en cuenta la exposición a riesgos, el tamaño y la probabilidad y gravedad de los incidentes.
- Art. 21.2.a: “las políticas de seguridad de los sistemas de información y análisis de riesgos”, con un enfoque basado en todos los peligros que proteja los sistemas de redes y de información y su entorno físico.
- Art. 20.1: los órganos de dirección aprueban las medidas, supervisan su puesta en práctica y responden por su incumplimiento.
No menciona ISO 27005, herramientas concretas, revisiones anuales ni firmas de la dirección como formalidad. Una revisión periódica es una buena práctica; si es obligatoria o con qué frecuencia lo dirá, en su caso, la ley española.
Un método sencillo en cinco pasos (ilustrativo)
- Inventario de activos: sistemas, datos, personas y proveedores de los que depende tu actividad (correo, ERP, web, copias, equipos, sedes).
- Amenazas y vulnerabilidades: qué puede fallar (ransomware, fallo de proveedor, pérdida de un equipo, error humano, corte eléctrico, incendio) y por dónde.
- Valoración: para cada riesgo, probabilidad e impacto en una escala simple (por ejemplo, baja, media, alta). La escala la eliges tú y debe ser coherente.
- Tratamiento: para cada riesgo relevante, decidir si se reduce (medida), se acepta, se transfiere (seguro, contrato) o se evita.
- Documentar y revisar: dejar por escrito el resultado, quién lo aprueba y cuándo lo revisarás; repetirlo cuando cambien tu actividad, tus sistemas o tus proveedores.
Ejemplo ilustrativo de tabla de riesgos
| Riesgo | Probabilidad | Impacto | Decisión |
|---|---|---|---|
| Ransomware que cifra el servidor de archivos | Media | Alta | Reducir: copias probadas, control de accesos, segmentación |
| Caída del proveedor de correo | Baja | Media | Aceptar con plan alternativo |
| Robo de un portátil | Media | Media | Reducir: cifrado de disco, contraseñas |
Este ejemplo solo muestra el formato. Los valores dependen de tu empresa y no son valores de referencia.
Errores frecuentes
- Copiar el análisis de otra empresa: cada actividad tiene riesgos distintos.
- Tratarlo como un documento de una sola vez, sin revisión cuando cambian las circunstancias.
- Olvidar los peligros físicos y no informáticos (art. 21.2 habla del entorno físico).
- Dejar fuera a los proveedores críticos (cadena de suministro).
Qué se hace con el resultado
El análisis alimenta las demás áreas: segmentación de red, autenticación multifactor, copias, formación y respuesta a incidentes. Puedes contrastarlo con un marco voluntario como ISO 27001 (NIS2 vs ISO 27001) y usar el checklist de áreas del artículo 21 para no dejar ninguna sin revisar.
Artículos relacionados
- Checklist NIS2: las áreas del artículo 21
- MFA como medida posible del artículo 21
- NIS2 vs ISO 27001
- Segmentación de red en PYMEs
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2), artículos 20 y 21, en EUR-Lex
- La Moncloa, 14/01/2025: anteproyecto de ley
- INCIBE: recursos para empresas
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
- ¿NIS2 obliga a usar una metodología concreta de análisis de riesgos?
- No. El artículo 21 exige políticas de seguridad y análisis de riesgos con un enfoque basado en todos los peligros, pero no impone ISO 27005, ni ninguna otra metodología, ni una frecuencia de revisión. La metodología es decisión de cada entidad, proporcionada a su tamaño y exposición.
- ¿Qué pasa si mi empresa no cumple NIS2?
- La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes). La sanción concreta y la autoridad que la impone las fijará la ley española, aún no publicada.
- ¿Necesito una consultora para hacer el análisis de riesgos?
- No existe obligación general de contratar una consultora. Una PYME puede empezar con un análisis sencillo interno y pedir apoyo externo si el alcance o la complejidad técnica lo justifican.
