Copias de Seguridad y NIS2: Qué Dice la Directiva y Cómo Plantearlas
Un ataque de ransomware o un fallo grave suelen decidir si una PYME sigue operando: por eso las copias de seguridad son una de las medidas más útiles. Lo que no es cierto es que NIS2 imponga una arquitectura de copias concreta. Esta guía separa lo que dice la Directiva de lo que son buenas prácticas.
Estado legal (20/09/2026): NIS2 es una Directiva y España aún no ha publicado la ley que la transpone; solo consta el anteproyecto de 14/01/2025. Si tu empresa está incluida depende de su sector y tamaño (cómo comprobarlo).
Lo que dice NIS2
El artículo 21.2.c incluye entre las áreas mínimas “la continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, y la gestión de crisis”. Las medidas deben ser “adecuadas y proporcionadas” (art. 21.1). La Directiva no fija:
- una regla como 3-2-1,
- un algoritmo de cifrado,
- valores de RTO (tiempo objetivo de recuperación) o RPO (pérdida de datos aceptable),
- una frecuencia de pruebas de restauración,
- un proveedor, una tecnología ni una certificación.
Criterios prácticos (buenas prácticas, no mandatos)
- Define qué necesitas recuperar y en cuánto tiempo, según el impacto en tu negocio. El RTO y el RPO salen de tu análisis de riesgos (análisis de riesgos), no de una tabla general.
- Separa las copias del sistema original. Un ransomware cifra lo que ve: al menos una copia debería estar aislada o ser inmutable.
- Prueba la restauración. Una copia que nunca se ha restaurado es una hipótesis. Decide una frecuencia razonable para tu caso y registra los resultados.
- Protege las copias. Controla quién puede borrarlas o modificarlas y aplica cifrado según tu política de criptografía (art. 21.2.h, “en su caso”).
- Cubre lo que no está en el servidor: equipos de usuario críticos, datos en servicios en la nube, configuraciones.
- Documenta el procedimiento de recuperación para que no dependa de una sola persona.
La regla 3-2-1 (tres copias, en dos soportes, una fuera del sitio) es un heurístico muy extendido; sirve como referencia, pero no es un requisito de NIS2.
Si contratas un servicio de copias
Comprueba con el proveedor, por escrito y con la documentación de su producto:
- Dónde se almacenan los datos (país y centro de datos) y bajo qué jurisdicción.
- Cifrado en tránsito y en reposo y quién gestiona las claves.
- Retención, inmutabilidad y qué ocurre si borras por error o te atacan.
- Cómo y en cuánto tiempo puedes restaurar, y si pueden probarlo contigo.
- Contrato, nivel de servicio, tratamiento de datos personales y salida (cómo te llevas los datos si cambias de proveedor).
Las prestaciones y los precios cambian por plan, región y contrato: no las damos aquí porque no tenemos una fuente fechada para compararlas. Desconfía de cualquier oferta que diga “cumple NIS2” a secas.
Las copias y el resto de medidas
Las copias son una parte de la continuidad del negocio; se combinan con protección del endpoint y con un acceso remoto bien controlado (VPN). Ninguna sustituye a las demás.
Artículos relacionados
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2), artículo 21, en EUR-Lex
- La Moncloa, 14/01/2025: anteproyecto de ley
- INCIBE: recursos para empresas
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
- ¿NIS2 obliga a la regla 3-2-1, a cifrar con AES-256 o a probar las copias cada mes?
- No. La Directiva menciona la gestión de copias de seguridad y la recuperación entre las áreas de continuidad (art. 21.2.c) y exige medidas proporcionadas al riesgo, pero no prescribe reglas, algoritmos, frecuencias de prueba ni valores de recuperación. Son prácticas que puedes adoptar según tu análisis de riesgos.
- ¿Qué pasa si mi empresa no cumple NIS2?
- La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes). La sanción concreta y la autoridad que la impone las fijará la ley española, aún no publicada.
- ¿Algún servicio de copias «cumple NIS2»?
- Ningún producto o servicio acredita por sí solo el cumplimiento de NIS2, que exige una gestión de riesgos global. Un servicio de copias puede ser una medida útil; su idoneidad depende de la configuración, del contrato y de tu análisis de riesgos.
