NIS2 en pymes: la guía de ciberseguridad gestionada para cumplir el Decreto-Lei 125/2025

• Norma Decreto-Lei n.º 125/2025, de 4 de diciembre, que crea el Régimen Jurídico de la Ciberseguridad; entró en vigor 120 días después de su publicación.
• Reglamento Reglamento n.º 756/2026 del CNCS (Centro Nacional de Cibersegurança), de 22 de junio, que abrió la plataforma MyCiber el 23 de junio de 2026.
• Universo Unas seis mil entidades, según el CNCS citado por la agencia Lusa, frente a unas 450 en el régimen anterior.
• Incidentes Notificación inicial en 24 horas, actualización hasta 72 horas, informe final en 30 días hábiles.
• Multas Hasta 10 millones de euros o el 2% del volumen de negocio mundial (esenciales); hasta 7 millones o el 1,4% (importantes).
• Medidas técnicas Implantadas antes de mediados de 2028.

La NIS2 es una directiva europea transpuesta en cada Estado miembro. La ley portuguesa separa las entidades sujetas en esenciales, de los sectores más críticos y de mayor tamaño, e importantes, las demás.

Ambas deben aplicar medidas de seguridad y notificar incidentes. Lo que varía es el grado de exigencia, la intensidad de la supervisión y el tope de las multas. Las medidas mínimas se dividen en tres niveles asignados según el riesgo: básico con 39 medidas, sustancial con 75 y elevado con 91.

Basta un “sí” en las tres primeras preguntas para que sea probable que esté dentro del ámbito. Formalice siempre la conclusión con apoyo jurídico.

1. Sector — ¿está en los anexos de la ley? Energía, transporte, banca, salud, agua, infraestructuras digitales, gestión de servicios TIC, administración pública, servicios postales, residuos, química, alimentación, industria manufacturera e investigación, entre otros.
2. Tamaño — ¿tiene 50 o más trabajadores, o un volumen de negocio y un balance anuales ambos superiores a 10 millones de euros? Según la definición europea, ya no es pequeña empresa.
3. Servicio sujeto sin límite de tamaño — ¿presta comunicaciones electrónicas, servicios de confianza, DNS, o es el único proveedor de un servicio esencial?
4. Grupo — ¿forma parte de un grupo? Puede tener que sumar trabajadores e importes, y una empresa “pequeña” pasa a contar como mediana.
5. Cadena de suministro — ¿suministra a una entidad sujeta? Aunque quede fuera del ámbito, recibirá cuestionarios, cláusulas y peticiones de evidencias, porque sus clientes tienen que gestionar el riesgo de sus proveedores.
6. MyCiber — ¿ya ha hecho la autoevaluación? Identificarse es responsabilidad de la empresa, no del CNCS. Si está obligado y aún no lo ha hecho, trate el asunto de inmediato con su asesor jurídico.

Los artículos 42.º a 44.º fijan la secuencia ante un incidente con impacto significativo:

1. 24 horas tras su constatación: notificación inicial.
2. 72 horas, si es necesario: actualización con la evaluación inicial de la gravedad y el impacto.
3. 24 horas tras terminar el impacto significativo: notificación de fin de impacto.
4. 30 días hábiles después: informe final.

Nadie notifica en 24 horas un incidente que aún no ha visto. Cumplir este plazo exige monitorización activa, logs conservados y un procedimiento escrito que diga quién decide y quién comunica. Un ataque que empieza el viernes por la noche y solo se descubre el lunes por la mañana nace ya fuera de plazo.

Por eso, a las empresas obligadas les recomendamos el plan IT Unlimited Premium 365: es el único con cobertura de noches, fines de semana y festivos, incluida la monitorización 24/7.

El importe de las multas llama la atención, pero el cambio de fondo es otro. Los órganos de dirección aprueban y supervisan las medidas de ciberseguridad, promueven formación periódica y no pueden delegar libremente esa responsabilidad. La formación abarca a administradores y trabajadores. La ciberseguridad se ha convertido en un asunto del consejo.

Sea cual sea el nivel asignado, hay medidas que aparecen siempre. Son, además, buenas prácticas que cualquier empresa de más de 10 puestos debería tener, esté obligada o no:

1. Inventario de activos — servidores, ordenadores, red, nube y accesos. Punto de partida: la checklist para auditar el parque informático.
2. MFA — en email, nube y acceso remoto; vea la guía de autenticación multifactor en las empresas.
3. Backups externos y probados — con tiempos de recuperación definidos; más en backup y recuperación de datos.
4. Firewall gestionado y red segmentada — perímetro controlado y VLAN por función.
5. Protección de endpoints y actualizaciones — EDR y gestión de parches con registro.
6. Políticas y formación documentadas — con registro de asistencia; use como base las 7 políticas internas de ciberseguridad.
7. Plan de respuesta a incidentes — responsables designados y simulacros periódicos.

Con la NIS2 no basta con estar protegido: hay que poder demostrarlo, por eso cada medida queda documentada. Nuestro servicio se describe en implantación técnica de la NIS2.

Ventask es cliente de DataRoad desde 2016 y tiene más de 350 puestos de trabajo con IT Unlimited. Gestionamos todo el networking, los firewalls corporativos, la protección de endpoints, el teletrabajo seguro y la red inalámbrica, con monitorización y alarmas proactivas en el plan Premium 365.

Perímetro, endpoints, accesos remotos y vigilancia continua (las capas que exige la NIS2) en un solo contrato. Conozca el caso Ventask en detalle.

Comparamos su infraestructura con las medidas técnicas de la NIS2 y entregamos un informe escrito con cada carencia, su urgencia y el coste de resolverla. Propuesta sin compromiso. Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.

Vea también nuestra oferta de ciberseguridad gestionada para empresas.

• Decreto-Lei n.º 125/2025, de 4 de diciembre — Diário da República; texto íntegro también en EUR-Lex.
• Reglamento n.º 756/2026, de 22 de junio (CNCS) — Diário da República.
• Plataforma MyCiber (CNCS) — myciber.gov.pt.
• Comisión Europea, definición de pyme — ec.europa.eu.
• ECO/Lusa, 24 de junio de 2026 — Las entidades tienen 60 días hábiles para registrarse en MyCiber (en portugués).