VPN y Acceso Remoto en PYMEs: Criterios de Elección y NIS2
El teletrabajo y los accesos de proveedores amplían la superficie de ataque. Una VPN es una respuesta habitual, pero NIS2 no la exige ni describe: pide gestionar el riesgo. Aquí tienes criterios para decidir y qué no creer de los mensajes comerciales.
Estado legal (20/09/2026): NIS2 es una Directiva y España aún no ha publicado la ley que la transpone; solo consta el anteproyecto de 14/01/2025. Si tu empresa está incluida depende de su sector y tamaño (cómo comprobarlo).
Qué dice la Directiva
El artículo 21.2 exige medidas “adecuadas y proporcionadas” que cubran, entre otras áreas: políticas y procedimientos sobre criptografía y, en su caso, cifrado (letra h); seguridad de los recursos humanos, control de acceso y gestión de activos (letra i); y el uso de autenticación multifactorial o continua y comunicaciones seguras, cuando proceda (letra j). El acceso remoto es una forma de aplicar esas áreas, no un requisito en sí mismo.
Opciones habituales de acceso remoto
- VPN de acceso remoto: crea un túnel cifrado entre el dispositivo y tu red.
- Acceso por aplicación (a veces llamado ZTNA o “Zero Trust”): da acceso solo a aplicaciones concretas, con verificación de identidad y de dispositivo.
- Pasarelas de escritorio remoto o de administración con autenticación reforzada.
- Aplicaciones en la nube accesibles directamente con identidad centralizada y MFA.
Cuál elegir depende de qué necesitas proteger, de cuántos usuarios y de quién administra la solución.
Criterios para comparar (sin ranking)
| Criterio | Qué comprobar |
|---|---|
| Identidad | Compatible con MFA e identidad centralizada; qué pasa con cuentas de proveedores |
| Alcance de acceso | Acceso a toda la red o solo a aplicaciones; posibilidad de segmentar |
| Mantenimiento | Quién actualiza el software y con qué rapidez corrige vulnerabilidades |
| Cifrado y protocolos | Protocolos soportados y vigentes, según la documentación del fabricante |
| Registros | Qué eventos registra, dónde se guardan y cuánto tiempo, según tu necesidad y tu política |
| Datos y jurisdicción | Dónde se procesan los datos del servicio y quién es el proveedor (si es un servicio en la nube) |
| Contrato y soporte | Nivel de servicio, soporte, salida y tratamiento de datos personales |
| Gestión | Facilidad de administración para tu equipo o tu proveedor de IT |
Los precios, planes y prestaciones cambian por mercado y contrato: no los publicamos porque no tenemos una fuente fechada para compararlos. Pide oferta actual a cada proveedor.
Cómo leer las promesas comerciales
- “Diseñada para NIS2”, “cumple NIS2” o “cumplimiento automático”: ningún producto acredita cumplimiento; pide qué medida concreta del artículo 21 apoya y con qué documentación.
- “Cifrado de nivel militar”, “99 % de reducción de riesgo” y similares: exige el dato, la fuente y la condición.
- Pruebas gratuitas y precios “desde”: comprueba plan, número mínimo de usuarios, impuestos y renovación.
Buenas prácticas de despliegue
- Exige segundo factor a todos los accesos remotos (MFA).
- Da a cada usuario y proveedor solo el acceso que necesita y revísalo periódicamente.
- Mantén actualizado el equipo o servicio de acceso remoto: los dispositivos de borde son un objetivo frecuente.
- Decide qué se registra y quién lo revisa; un registro que nadie mira no reduce el riesgo.
- Integra el acceso remoto en tus copias y continuidad y en la protección de los equipos.
Artículos relacionados
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2), artículo 21, en EUR-Lex
- La Moncloa, 14/01/2025: anteproyecto de ley
- INCIBE: recursos para empresas
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
- ¿NIS2 obliga a usar una VPN o un protocolo de cifrado concreto?
- No. NIS2 pide medidas proporcionadas al riesgo que incluyan, entre otras áreas, políticas de criptografía y control de acceso (art. 21.2, letras h e i), pero no impone VPN, protocolos, algoritmos, arquitecturas «Zero Trust», retención de registros ni auditorías con frecuencia determinada.
- ¿Qué pasa si mi empresa no cumple NIS2?
- La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes). La sanción concreta y la autoridad que la impone las fijará la ley española, aún no publicada.
- ¿Hay VPN «diseñadas para NIS2» o que «cumplen NIS2»?
- Ningún producto acredita por sí solo el cumplimiento de NIS2. Si un proveedor afirma lo contrario, pide su fuente y ten en cuenta que es un mensaje comercial: la idoneidad depende de tu configuración, de tu análisis de riesgos y de la ley española final.
