Incumplir NIS2 puede salir caro, y no solo para la empresa. Las referencias que maneja la normativa hablan de multas de hasta 10 millones de euros o el 2 % de la facturación anual mundial para las entidades esenciales, y de hasta 7 millones de euros o el 1,4 % de la facturación para las importantes —en ambos casos, la cifra que resulte mayor—. Pero la novedad más importante no son las cuantías, sino que la dirección de la empresa pasa a responder personalmente de la gestión del riesgo, e incluso se contempla la posibilidad de inhabilitación temporal para ejercer cargos directivos en los casos más graves. A continuación lo explicamos con calma y, sobre todo, qué puedes hacer para no llegar a ese punto.
Qué es NIS2 y a quién afecta (en breve)
NIS2 es la directiva europea de ciberseguridad que sustituye y amplía a la anterior NIS. Su objetivo es elevar el nivel de seguridad de las redes y sistemas de información en sectores considerados clave para el funcionamiento de la economía y la sociedad. Distingue, a grandes rasgos, entre entidades esenciales (sectores como energía, transporte, banca, sanidad, agua o infraestructura digital) y entidades importantes (otros sectores relevantes), con obligaciones y niveles de sanción algo distintos para cada grupo.
Conviene tener un matiz claro desde el principio: NIS2 es una directiva europea que cada país transpone a su legislación nacional. Eso significa que el detalle exacto —umbrales, importes finales, procedimientos— depende del desarrollo normativo aplicable en cada Estado. Por eso en este artículo hablamos en términos generales y orientativos: para saber si tu empresa está sujeta y con qué obligaciones, lo sensato es analizar tu caso concreto y confirmar el marco vigente.
Multas económicas: hasta 10M€ / 7M€ o un porcentaje de la facturación
El régimen sancionador de NIS2 se inspira en la lógica que ya conocemos del RGPD: importes elevados y vinculados al tamaño de la empresa para que la sanción tenga efecto disuasorio real. Las referencias habituales son:
- Entidades esenciales: multas de hasta 10 millones de euros o el 2 % de la facturación anual mundial total del ejercicio anterior, la cifra que sea mayor.
- Entidades importantes: multas de hasta 7 millones de euros o el 1,4 % de la facturación anual mundial total, igualmente la mayor de las dos.
El hecho de que el tope se calcule «o el porcentaje, lo que sea mayor» es deliberado: en una empresa grande, ese porcentaje de facturación puede superar con creces los millones fijos. La cuantía concreta de cada sanción no es automática; las autoridades valoran la gravedad de la infracción, su duración, el daño causado, si fue intencionada o negligente y si la empresa había adoptado medidas razonables. No todas las infracciones llegan al tope, pero el margen existe.
Importante: estas cifras son las referencias que figuran en la directiva europea. El importe final aplicable en España depende de la transposición y su desarrollo, que pueden concretar umbrales y procedimientos. Tómalas como orden de magnitud, no como una cifra cerrada para tu caso, y confirma siempre el marco vigente con asesoramiento adecuado.
Responsabilidad personal de la dirección
Aquí está el cambio de fondo que más debería interesar a cualquier comité de dirección o gerencia. NIS2 deja de tratar la ciberseguridad como un asunto exclusivamente «del departamento de informática» y la convierte en una responsabilidad de gobierno corporativo. La norma establece que los órganos de dirección deben aprobar y supervisar las medidas de gestión de riesgos de ciberseguridad y pueden rendir cuentas por su incumplimiento.
En la práctica, esto se traduce en obligaciones concretas para quien dirige: conocer el estado de riesgo de la organización, dotar de medios al área de seguridad, formarse en la materia y poder demostrar que se actuó con diligencia. Delegar y desentenderse deja de ser una opción cómoda: la dirección no puede alegar desconocimiento de algo que la norma le obliga expresamente a supervisar.
Posible inhabilitación de directivos
Entre las medidas que la directiva contempla para los casos más graves figura la posibilidad de suspender temporalmente a las personas que ejerzan funciones de dirección o, incluso, de prohibirles ejercer cargos directivos mientras persista el incumplimiento. Es, sin duda, la consecuencia más llamativa del nuevo régimen.
Conviene poner esto en su justa medida: hablamos de una medida excepcional, reservada a situaciones graves y reiteradas, no de la sanción ordinaria ante un fallo puntual. Su aplicación concreta dependerá de la transposición nacional y del criterio de la autoridad competente. Aun así, su mera existencia envía un mensaje claro: la ciberseguridad ya no es negociable a nivel directivo, y lo prudente es no descartar ningún escenario.
Cómo reducir el riesgo de sanción
La buena noticia es que NIS2 no busca «cazar» empresas, sino que adopten medidas razonables. La clave es la diligencia demostrable: poder acreditar que tu organización ha identificado sus riesgos y ha actuado en consecuencia. Las líneas de trabajo más habituales son:
- Conocer tu punto de partida: una auditoría de seguridad identifica las brechas reales y permite priorizar lo importante en lugar de comprar tecnología a ciegas.
- Implantar medidas de gestión de riesgos proporcionadas: control de accesos, copias de seguridad, cifrado, segmentación de red y mantenimiento al día, ajustadas al tamaño y la criticidad de tu actividad.
- Tener un plan de respuesta a incidentes: la norma exige notificar los incidentes significativos en plazos cortos. Contar con un servicio de respuesta ante incidentes bien ensayado marca la diferencia entre reaccionar a tiempo o improvisar bajo presión.
- Formar y documentar: concienciar al personal y dejar constancia escrita de las decisiones de seguridad. Si algo ocurre, esa documentación es la prueba de que se actuó con diligencia.
Si tu empresa también está revisando otras obligaciones de cumplimiento, te puede interesar nuestro artículo sobre qué software necesitas para VeriFactu: la lógica de fondo —que el sistema haga las cosas bien y de forma demostrable— es la misma.
En resumen
Incumplir NIS2 expone a la empresa a multas de hasta 10/7 millones de euros o a un porcentaje de su facturación, y a la dirección a una responsabilidad personal que puede llegar, en lo más extremo, a la inhabilitación. Pero el objetivo de la norma no es sancionar, sino que las organizaciones gestionen el riesgo con seriedad. Adelantarse, analizar tu situación y dejar trazadas las medidas adecuadas es, además de lo más seguro, lo más barato a largo plazo. Si no tienes claro por dónde empezar, lo mejor es revisarlo con quien lo hace a diario.
Preguntas frecuentes
¿A cuánto pueden ascender las multas por incumplir NIS2?
Las referencias que maneja la normativa distinguen dos niveles según el tipo de entidad. Para las entidades esenciales se habla de multas de hasta 10 millones de euros o el 2 % de la facturación anual mundial, la cifra que sea mayor. Para las entidades importantes, hasta 7 millones de euros o el 1,4 % de la facturación, la mayor de ambas. La cuantía concreta depende de cada caso y de la transposición y desarrollo aplicables, por lo que conviene confirmar el marco vigente.
¿Puede sancionarse personalmente a los directivos por incumplir NIS2?
Sí, esa es una de las novedades de NIS2. La dirección de la empresa pasa a tener un papel activo: debe aprobar y supervisar las medidas de gestión de riesgos y puede responder por su incumplimiento. La norma prevé que los órganos de dirección rindan cuentas, e incluso contempla la posibilidad de inhabilitación temporal para ejercer funciones directivas en los casos más graves. El alcance exacto depende del desarrollo normativo aplicable.
¿La inhabilitación de directivos es real o solo teórica?
La directiva contempla, entre las medidas posibles, suspender temporalmente a personas que ejerzan funciones de dirección o prohibirles ejercer cargos directivos en casos graves y reiterados. Es una medida excepcional, no la sanción ordinaria, y su aplicación concreta depende de la transposición nacional y de la autoridad competente. Lo prudente es no descartarla y tratar la ciberseguridad como una responsabilidad de gobierno corporativo.
¿NIS2 obliga a mi empresa?
NIS2 se dirige sobre todo a entidades medianas y grandes de sectores considerados esenciales o importantes (energía, transporte, banca, sanidad, agua, infraestructura digital, administración pública y otros), y también puede alcanzar a proveedores que prestan servicios a esas entidades. Determinar si tu empresa está sujeta y en qué categoría requiere analizar tu sector, tu tamaño y tu papel en la cadena de suministro. Es el primer paso antes de hablar de sanciones.
¿Cómo se reduce el riesgo de sanción por NIS2?
Demostrando diligencia: implantar medidas de gestión de riesgos proporcionadas, mantener planes de respuesta a incidentes y de continuidad, formar al personal, documentar las decisiones de seguridad y notificar los incidentes en los plazos previstos. Las autoridades valoran que la empresa haya actuado con diligencia. Una auditoría de seguridad ayuda a identificar las brechas y a priorizar las acciones antes de que sean un problema.