Checklist NIS2 para pymes proveedoras: cómo prepararse sin proyecto eterno

Muchas pymes no estarán en el centro de la obligación regulatoria, pero sí entrarán en la conversación porque trabajan como proveedoras de compañías más grandes, operadores esenciales o sectores con requisitos de seguridad más exigentes. En la práctica, el cliente empieza a pedir evidencias: quién accede a los sistemas, cómo se gestionan las copias, qué ocurre si hay un incidente, qué proveedores tecnológicos participan y qué medidas mínimas existen para proteger datos y continuidad. Prepararse no significa montar un departamento jurídico ni comprar una plataforma enorme. Significa ordenar controles básicos y poder demostrarlos.

La diferencia entre una pyme preparada y una pyme improvisando suele estar en la evidencia. No basta con decir que hay backups: hay que saber dónde están, cada cuánto se prueban y quién puede restaurarlos. No basta con decir que los accesos están controlados: hay que revisar usuarios, permisos, MFA, bajas y cuentas compartidas. Cuando llega un cuestionario de seguridad de un cliente, las respuestas genéricas generan fricción comercial. Las respuestas concretas, aunque sean sencillas, transmiten madurez y reducen riesgo.

• Inventario actualizado de servicios críticos, responsables y proveedores tecnológicos
• MFA activo en correo, VPN, paneles cloud, repositorios y herramientas de administración
• Proceso documentado de alta, baja y cambio de permisos de usuarios
• Backups con periodicidad definida, copia aislada y prueba de restauración registrada
• Procedimiento básico de incidente: a quién avisar, cómo aislar equipos y qué evidencias conservar
• Registro de activos con sistemas sin soporte, equipos externos y accesos remotos
• Revisión de contratos con encargados de tratamiento, soporte IT, hosting y software crítico
• Política simple de parches para servidores, endpoints, CMS, firewalls y aplicaciones expuestas
• Control de compartición de documentos con enlaces públicos o permisos heredados
• Formación breve para detectar phishing, fraude de facturas y solicitudes urgentes sospechosas

• Responder cuestionarios copiando textos genéricos que nadie aplica internamente
• Tratar NIS2 como un proyecto documental sin revisar configuraciones reales
• Olvidar proveedores pequeños con acceso remoto, soporte o datos de clientes
• Dejar cuentas compartidas porque son cómodas para administración o almacén
• No probar restauraciones hasta que hay un ransomware o borrado accidental
• No definir quién toma decisiones durante un incidente fuera del horario laboral

La mejor estrategia para una pyme es trabajar por oleadas cortas: diagnóstico inicial, correcciones de alto impacto, evidencias y calendario de revisión. En una primera fase se puede cubrir identidad, correo, backups y exposición externa. En una segunda, contratos, procedimientos y pruebas. En una tercera, métricas y mejora continua. Así la empresa avanza sin paralizar operaciones y sin prometer un nivel de madurez que todavía no existe.