Cómo Elegir una Consultora NIS2 para tu PYME (y Qué No Puede Prometerte)
Esta guía no publica tarifas: no tenemos datos de precios comparables ni fechados, y las cifras que circulan sin proveedor ni condiciones no son fiables. Lo que sí puedes hacer es contratar con criterio.
1. Confirma antes si estás incluida
Ninguna consultora puede decidir por ti si NIS2 te alcanza sin analizar tu sector y tu tamaño frente a los anexos I y II y al artículo 2. Empieza por la guía de alcance. Si sales fuera, quizá solo necesites mejorar tu seguridad básica, no un “proyecto NIS2”.
Además, la ley española no está publicada (a 20/09/2026 solo consta el anteproyecto de 14/01/2025), así que ningún proveedor puede confirmarte hoy las obligaciones concretas para España. Un diagnóstico serio dirá qué depende del texto final.
2. Qué debe llevar una propuesta
- Alcance: qué sistemas, sedes y procesos se evalúan y cuáles quedan fuera.
- Método: cómo evalúan los riesgos y con qué referencia (el artículo 21 de NIS2, un marco como ISO 27001, otro). Ver NIS2 vs ISO 27001.
- Entregables: informe de brechas, plan de acción priorizado, políticas, formación. Con formato y fecha.
- Equipo: quién hace el trabajo y con qué experiencia demostrable. La certificación ISO 27001 de la empresa consultora no prueba la competencia de la persona que te atiende ni el cumplimiento de NIS2.
- Referencias que puedas contrastar.
- Precio y condiciones por escrito, con fecha de validez, qué incluye y qué se factura aparte.
- Confidencialidad y tratamiento de datos, con contrato de encargado del tratamiento si acceden a datos personales.
- Independencia: si te recomiendan productos, que declaren si cobran comisión por ellos.
3. Promesas que deberían hacerte dudar
- “Certificado NIS2” sin decir esquema, emisor y validez: la Directiva no crea una certificación general (art. 24 solo prevé esquemas europeos para productos, servicios y procesos de TIC concretos).
- “Cumplimiento garantizado” o “a prueba de inspecciones”: no hay autoridad ni procedimiento español publicados contra los que garantizarlo.
- Fechas límite y multas inminentes usadas para presionar: la cronología real es otra.
- Precio cerrado sin haber visto tu empresa.
- Presentar como “requisito de NIS2” controles concretos (un algoritmo, una frecuencia de auditoría, un producto): el artículo 21 exige medidas proporcionadas, no una lista cerrada.
- Recurrir a supuestos “registros de expertos” o “cuestionarios oficiales de INCIBE” sin enlace: pídeles la URL.
4. Cuándo probablemente te compensa apoyo externo
Si estás incluida y no tienes perfil técnico interno, si tienes que integrar varias sedes o proveedores, o si un cliente incluido te lo exige por contrato. Si no, empieza con el checklist orientativo y los recursos de INCIBE para empresas.
Artículos relacionados
- ¿Qué es la Directiva NIS2 y cómo afecta a tu PYME?
- Checklist orientativo de medidas del artículo 21
- Multas y sanciones NIS2: qué fija la Directiva y qué no
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2) en EUR-Lex
- La Moncloa, 14/01/2025: anteproyecto de ley
- INCIBE: recursos para empresas
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
- ¿Estoy obligada a contratar una consultora para cumplir NIS2?
- No. NIS2 no exige contratar una consultora. Lo que hace falta depende de que tu empresa esté incluida, de los riesgos que tenga y de los recursos internos con que cuente.
- ¿Existe un certificado oficial de cumplimiento NIS2?
- La Directiva no crea una certificación general de cumplimiento. Solo prevé que los Estados puedan exigir el uso de productos, servicios y procesos de TIC certificados con esquemas europeos concretos (art. 24). Una consultora que ofrece un "certificado NIS2" debe explicar qué esquema, quién lo emite y con qué validez.
- ¿Qué pasa si mi empresa no cumple NIS2?
- La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes). La sanción concreta y la autoridad que la impone las fijará la ley española, aún no publicada.
