Microsoft 365 y NIS2: Configuración de Seguridad para PYMEs

Cumplir con la Directiva NIS2 es ya una obligación para miles de empresas en España. Si tu empresa está dentro del ámbito de la directiva, es razonable preguntarse qué controles de tu suscripción de Microsoft 365 puedes aprovechar. Pero conviene ser precisos: ningún plan de Microsoft 365, por sí solo, “cumple” NIS2. El artículo 21 de la Directiva (UE) 2022/2555 exige un análisis de riesgo y medidas técnicas, operativas y organizativas apropiadas y proporcionadas a ese riesgo — no la compra de una licencia concreta. Microsoft no certifica el cumplimiento de directivas de gestión de riesgo a través de sus SKU.

Dicho esto, Microsoft 365 Business Premium sí incluye, de forma nativa, varios controles configurables —Defender for Business, Defender for Office 365 Plan 1, acceso condicional (Entra ID P1) y prevención de pérdida de datos (DLP) de Purview— que Business Standard no incluye. Este artículo detalla qué incluye exactamente cada plan según la documentación oficial de Microsoft, para que puedas decidir con esa base qué configurar como parte de tu propio análisis de riesgo — no como un listado de “requisitos NIS2” que Microsoft o nosotros certifiquemos.

Toda referencia a planes y funciones se basa en la documentación pública de Microsoft Learn, enlazada en cada sección.

Qué controles de seguridad diferencian a Business Premium de Business Standard

La Directiva NIS2 establece requisitos técnicos y organizativos para las entidades incluidas en su ámbito, pero no impone ninguna plataforma concreta. Según la documentación oficial de Microsoft sobre seguridad en Microsoft 365 para empresas, la diferencia de seguridad entre planes es esta:

Es decir: Business Standard no incluye Defender for Business, Defender for Office 365 ni acceso condicional. Si tu análisis de riesgo determina que necesitas estas capacidades, requieres Business Premium (o los productos equivalentes como suscripción independiente). Un nivel superior de protección —Defender for Endpoint Plan 2, Defender for Identity, Defender for Cloud Apps, Entra ID P2— existe como complemento de pago adicional (“Microsoft Defender Suite for Business Premium”), no incluido por defecto ni en Standard ni en Premium.

Fuente: Microsoft Learn — Microsoft 365 for business security overview.

Configurar Microsoft Defender en Business Premium

Defender for Business (protección de endpoints) y Defender for Office 365 Plan 1 (correo y colaboración) están incluidos en Microsoft 365 Business Premium. Defender for Identity no está incluido en Business Premium — forma parte del complemento de pago “Microsoft Defender Suite for Business Premium”, junto con Entra ID P2, Defender for Endpoint Plan 2 y Defender for Cloud Apps. Si tu análisis de riesgo justifica esas capacidades adicionales, verifica el coste y alcance exactos de ese complemento antes de asumir que están incluidos.

Defender for Business (endpoint)

Protege los dispositivos conectados a tu red corporativa con detección y respuesta ante amenazas. Pasos básicos de configuración, según la documentación de Defender for Business:

• Accede al portal de Microsoft Defender (security.microsoft.com)
• Verifica que los dispositivos estén inscritos
• Configura el nivel de investigación y respuesta automatizadas
• Configura las notificaciones de alertas para tu equipo IT

Este servicio genera registros de actividad en los dispositivos que pueden servir como evidencia dentro de tu programa de gestión de riesgos — no como “la auditoría que NIS2 requiere” en un sentido literal, ya que la directiva no especifica ese formato de registro.

Defender for Office 365 Plan 1: protección del correo corporativo

Añade, sobre la protección básica antispam/antimalware incluida en todos los planes de M365, capas adicionales: protección anti-phishing avanzada, análisis de archivos adjuntos en entorno aislado (Safe Attachments) y reescritura/verificación de enlaces (Safe Links). Consulta el alcance exacto en la documentación de Defender for Office 365.

Autenticación multifactor (MFA)

El artículo 21(2)(j) de NIS2 menciona el uso de autenticación multifactor o soluciones de autenticación continua “cuando proceda”, como parte de un conjunto de medidas proporcionadas al riesgo — no como una obligación universal separada del resto del análisis. Dicho esto, activar MFA para cuentas administrativas es una práctica de seguridad básica ampliamente recomendada, con independencia de NIS2.

Microsoft 365 incluye MFA en todos sus planes a través de Microsoft Entra ID (antes Azure AD): en Business Basic/Standard mediante “valores predeterminados de seguridad” (security defaults), y en Business Premium mediante políticas de acceso condicional más granulares (Entra ID P1). Fuente: Microsoft Learn — MFA en Microsoft 365 para empresas.

Sobre el efecto de MFA en la reducción de compromisos de cuenta: Microsoft (Alex Weinert, responsable de seguridad de identidad de Microsoft) citó en una entrada de blog y una presentación en la conferencia RSA (2019-2020) que activar MFA reduce en más de un 99,9 % la probabilidad de que una cuenta se vea comprometida. Es una cifra de Microsoft, fechada y basada en sus propios datos de telemetría de esos años — no una garantía aplicable a cualquier configuración o periodo posterior.

Prevención de Pérdida de Datos (DLP)

Microsoft 365 Business Premium incluye Microsoft Purview DLP para Exchange Online, SharePoint Online y OneDrive for Business, que puede identificar y proteger información sensible en correo y archivos. Business Standard no incluye esta capacidad. Fuente: Microsoft Purview Suite para Business Premium.

DLP puede ayudarte a implementar la medida de protección de información que exige tu propio análisis de riesgo NIS2, pero configurarlo no equivale a “cumplir NIS2”: define tú mismo qué tipos de información sensible proteger (financiera, datos personales, información confidencial) según los riesgos reales de tu negocio, no según una plantilla genérica. Microsoft permite empezar en modo “Notificar” antes de pasar a “Bloquear” para minimizar la fricción operativa mientras validas las políticas — un enfoque de despliegue habitual, no un requisito normativo con plazos fijos.

Retención y auditoría

NIS2 exige que las entidades puedan demostrar que gestionan y responden a incidentes, lo que en la práctica requiere algún tipo de registro. Microsoft 365 no publica un plazo de retención “recomendado para NIS2” — esa decisión corresponde a la política de retención que cada organización defina según su propio riesgo, sus obligaciones contractuales y, en su caso, otras normas aplicables (por ejemplo, protección de datos).

Registro de auditoría (Purview Audit)

Todos los planes de Microsoft 365, incluido Business Premium, incluyen Audit (Standard), con una retención por defecto de 180 días para los registros generados desde el 17 de octubre de 2023. Una retención más larga (hasta 1 año, o hasta 10 años con complemento adicional) requiere Audit (Premium), disponible en planes E5 o como complemento de pago — no incluido en Business Premium por defecto. Fuente: Microsoft Learn — Gestionar políticas de retención del registro de auditoría.

El registro de auditoría unificado captura accesos a archivos, cambios de configuración administrativa e intentos de acceso fallidos, entre otros eventos. Si tu análisis de riesgo exige una retención mayor a 180 días, verifica el coste y disponibilidad de Audit (Premium) antes de asumir que Business Premium ya lo incluye.

Políticas de retención de correo/documentos

Las políticas de retención de contenido (cuánto tiempo se conservan correos y documentos) son independientes del registro de auditoría y se configuran por separado en el Centro de Cumplimiento de Microsoft Purview. No existe un plazo “de NIS2” para esto: defínelo según tu propia política documentada, tus obligaciones contractuales y, en su caso, la normativa de protección de datos aplicable.

Acceso condicional

El acceso condicional de Microsoft Entra ID (incluido en Business Premium vía Entra ID P1, no en Business Standard) permite crear reglas que responden al contexto de cada acceso — ubicación, dispositivo, nivel de riesgo detectado — sin intervención manual. Es una funcionalidad configurable, no un conjunto de reglas que NIS2 prescriba.

Ejemplos de políticas de acceso condicional que puedes configurar

Estos son ejemplos de patrones habituales, no una lista cerrada ni obligatoria — cada regla depende de las políticas de acceso configuradas por tu organización según su propio análisis de riesgo:

Nota: la detección de “riesgo de usuario/inicio de sesión” mediante Entra ID Protection tiene su propia licencia (Entra ID P2), que no está incluida en Business Premium por defecto — verifica qué señales de riesgo puedes usar con tu licencia actual antes de diseñar estas políticas.

Cifrado

Microsoft 365 cifra los datos en tránsito (TLS) y en reposo (BitLocker/cifrado de servicio) de forma nativa, en todos sus planes. Para necesidades adicionales:

• Cifrado de mensajes (Microsoft Purview Message Encryption): permite cifrar correos para que el destinatario deba autenticarse para leerlos, incluso fuera de tu organización. Verifica en la documentación de Purview qué plan lo incluye para tu caso concreto.
• Control de claves propio: capacidades avanzadas como Customer Key o Double Key Encryption existen en el ecosistema Microsoft 365, pero típicamente requieren licencias de nivel E5 o complementos específicos — no están incluidas en Business Premium por defecto. No presupongas esta capacidad sin verificarla en tu licencia.

Ejemplo de plan de implementación por fases

El calendario que sigue es un ejemplo ilustrativo para ordenar el despliegue en un equipo de IT pequeño, no una estimación general aplicable a cualquier empresa: la duración real depende del tamaño de tu organización, la complejidad de tu entorno actual y los recursos disponibles.

Fase 1 (ejemplo): MFA para administradores + Defender for Business en todos los dispositivos

Fase 2 (ejemplo): Defender for Office 365 + políticas DLP básicas en modo “Notificar”

Fase 3 (ejemplo): Acceso condicional + revisión de políticas de retención de contenido

Fase 4 (ejemplo): Revisión periódica del registro de auditoría y ajuste de políticas según lo observado

Recursos gratuitos de INCIBE para PYMEs

El Instituto Nacional de Ciberseguridad (INCIBE) ofrece materiales gratuitos específicos para NIS2:

• Guía de Cumplimiento NIS2 para PYMEs: documento descargable con checklist detallado
• Herramienta de Autoevaluación: cuestionario interactivo para identificar brechas de seguridad
• Webinars y Talleres: formación gratuita sobre configuración y buenas prácticas
• Línea de Asesoramiento: consultas directas a expertos (limitadas, pero valiosas)

Accede a todo en www.incibe.es. INCIBE no proporciona asesoramiento técnico específico sobre M365, pero sus guías sobre los requisitos de NIS2 son un buen punto de partida para entender qué aplica a tu empresa.

Preguntas Frecuentes

¿Microsoft 365 y NIS2?

Microsoft 365 Business Premium incluye controles configurables —Defender for Business, Defender for Office 365 Plan 1, DLP y acceso condicional— que pueden apoyar algunas de las medidas de gestión de riesgo que exige NIS2. Ningún plan de Microsoft, activado o no, certifica por sí solo el cumplimiento de la directiva: eso depende de tu propio análisis de riesgo documentado.

¿Cuándo entra en vigor NIS2 en España?

La transposición al derecho español está pendiente de aprobación en el BOE. Se espera en 2025-2026. Las empresas deben prepararse ya, dado que la obligación europea es vigente desde octubre de 2024.

¿Qué pasa si mi empresa no cumple NIS2?

Las sanciones pueden llegar hasta 10 millones de euros o el 2% del volumen de negocio global para entidades esenciales. Además, las autoridades pueden imponer auditorías externas y supervisión continua.

¿Necesito una consultora para cumplir NIS2?

Depende del tamaño y la madurez de tu empresa. PYMEs pequeñas pueden empezar con las guías de INCIBE. Las medianas suelen necesitar apoyo externo para garantizar una implementación completa y documentada.

¿Es suficiente Microsoft 365 Business Premium para cumplir NIS2?

No existe un plan que sea “suficiente para cumplir NIS2” por definición: la directiva exige un análisis de riesgo y medidas proporcionadas a él, no la compra de una licencia concreta. Business Premium incluye más controles configurables que Business Standard (Defender for Business, Defender for Office 365 Plan 1, DLP, acceso condicional), lo que puede facilitar la implementación de algunas medidas técnicas. Empresas en sectores críticos, con mayor volumen de datos o que necesiten retención de auditoría superior a 180 días probablemente necesiten evaluar planes E5 o complementos adicionales — verifícalo contra tu propio análisis de riesgo, no contra esta guía.

Conclusión

Microsoft 365 Business Premium ofrece controles de seguridad configurables —más que Business Standard— que pueden apoyar parte de las medidas de gestión de riesgo que exige el artículo 21 de NIS2: Defender for Business, Defender for Office 365 Plan 1, acceso condicional (Entra ID P1) y DLP de Purview. Pero ningún plan de Microsoft, ni de ningún otro proveedor, certifica por sí solo el cumplimiento de la directiva. El primer paso siempre es tu propio análisis de riesgo documentado; los ajustes de M365 son una posible medida dentro de ese análisis, no un sustituto de él.

Antes de dar por hecho que tu plan actual “cubre” NIS2:

1. Verifica si tu empresa está dentro del ámbito de la directiva y qué tipo de entidad eres.
2. Documenta tu análisis de riesgo antes de configurar controles técnicos.
3. Comprueba en la documentación oficial de Microsoft Learn qué incluye exactamente tu plan y licencias, sin asumir funciones de planes superiores.
4. Consulta las guías gratuitas de INCIBE como punto de partida.

Artículos Relacionados

• Gestión de Contraseñas para PYMEs: Requisito NIS2
• VPN Empresarial para Cumplir NIS2: Acceso Remoto Seguro
• MFA en tu PYME: La Medida Más Fácil para Cumplir NIS2

Fuentes oficiales

• INCIBE — Instituto Nacional de Ciberseguridad
• CCN-CERT — Centro Criptológico Nacional
• EUR-Lex — Directiva (UE) 2022/2555 (NIS2)