MFA en tu PYME: Una Medida Posible dentro del Artículo 21 de NIS2
La autenticación multifactor (MFA) añade un segundo elemento de comprobación al usuario y contraseña. Es una de las medidas con mejor relación esfuerzo-beneficio, pero su encaje en NIS2 se suele exagerar: no es “obligatoria para todas las PYMEs” ni figura en el anexo I (los anexos solo enumeran tipos de entidad).
Estado legal (20/09/2026): NIS2 es una Directiva y España aún no ha publicado la ley que la transpone; solo consta el anteproyecto de 14/01/2025. Si tu empresa está incluida depende de su sector y tamaño (cómo comprobarlo).
Lo que dice la Directiva
El artículo 21.2.j incluye entre las áreas mínimas “el uso de soluciones de autenticación multifactorial o de autenticación continua, comunicaciones de voz, vídeo y texto seguras y sistemas seguros de comunicaciones de emergencia en la entidad, cuando proceda”. Es decir: se contempla, con la cautela de “cuando proceda”, dentro de medidas “adecuadas y proporcionadas” (art. 21.1). La Directiva no dice a qué cuentas, con qué método ni con qué calendario.
Dónde suele tener más sentido en una PYME
Como criterio de prioridad (tu análisis de riesgos lo confirmará o corregirá):
- Cuentas con privilegios de administración de sistemas, nube, dominio y proveedores.
- Correo electrónico y herramientas de colaboración, porque son la puerta de entrada de muchos ataques.
- Acceso remoto (VPN, escritorio remoto, paneles de administración): ver acceso remoto y VPN.
- Aplicaciones en la nube con datos sensibles (contabilidad, CRM, almacenamiento).
- Cuentas de terceros con acceso a tus sistemas (proveedores, gestoría, soporte).
Métodos de segundo factor
La elección del método (aplicación de autenticación, llave de seguridad, SMS u otros) depende de tu entorno, de tus usuarios y de lo que permita cada servicio; valóralo en tu análisis de riesgos. Sea cual sea el método, prepara la recuperación de cuentas (qué pasa si un empleado pierde el móvil) y forma a los usuarios (formación).
Qué documenta Microsoft (fuente fechada)
Si usas Microsoft 365, la documentación oficial de Microsoft (página actualizada por última vez el 13/02/2026; consultada el 20/09/2026) indica que:
- Todos los inquilinos pueden usar MFA básica con los valores predeterminados de seguridad (security defaults) sin coste adicional, con métodos más limitados que con Acceso condicional (según su tabla comparativa, sin llaves FIDO2 ni Windows Hello para empresas).
- Las políticas de Acceso condicional, con más control (excepciones, ubicación, estado del dispositivo), requieren Microsoft Entra ID P1 o P2.
- Microsoft 365 Business Premium incluye Microsoft Entra ID P1.
Los planes, los precios y la disponibilidad cambian: comprueba tu caso en la página de licencias de MFA de Microsoft. Este artículo no compara otros productos porque no tenemos datos fechados de planes, mercado español ni condiciones para hacerlo.
Qué no afirmar
- Que la MFA “cumple NIS2”: reduce un riesgo, no acredita cumplimiento.
- Que reduce un porcentaje concreto de ataques: las cifras de eficacia varían por estudio y contexto y no forman parte de la Directiva.
- Que existe un calendario obligatorio de despliegue: no lo hay en la Directiva.
Artículos relacionados
- Análisis de riesgos con enfoque NIS2
- Checklist NIS2: las áreas del artículo 21
- Formación en ciberseguridad y el artículo 20
- Gestión de contraseñas en PYMEs
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2), artículo 21, en EUR-Lex
- Microsoft Learn: versiones y licencias de Microsoft Entra multifactor authentication
- La Moncloa, 14/01/2025: anteproyecto de ley
- INCIBE: recursos para empresas
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
- ¿NIS2 obliga a usar MFA en todas las cuentas?
- No de forma literal. El artículo 21.2.j menciona el uso de soluciones de autenticación multifactorial o de autenticación continua «cuando proceda», dentro de medidas proporcionadas al riesgo y solo para las entidades incluidas en el ámbito de la Directiva. Qué cuentas y sistemas deben llevarla lo decide tu análisis de riesgos o, en su caso, la ley española.
- ¿Qué pasa si mi empresa no cumple NIS2?
- La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes). La sanción concreta y la autoridad que la impone las fijará la ley española, aún no publicada.
- ¿Activar MFA basta para cumplir NIS2?
- No. Es una medida entre otras: NIS2 exige una gestión de riesgos global (políticas, incidentes, continuidad, cadena de suministro, formación, control de accesos y más). La MFA reduce un riesgo concreto, pero no acredita cumplimiento por sí sola.
