NIS2 tiene dientes. Las multas pueden llegar a 10 millones de euros o el 2% de la facturación global, hay publicación pública del incumplimiento y —lo que más sorprende a muchos directivos— la responsabilidad puede ser personal: prohibición temporal para ejercer funciones directivas si hay negligencia grave.
¿Cuáles son las multas de NIS2 en cifras concretas?
NIS2 establece topes mínimos que los estados miembros deben respetar. España puede aumentar estos importes pero no reducirlos:
¿Qué multas puede recibir una entidad esencial?
- Multa máxima: 10.000.000 € o el 2% de la facturación anual global total (la cifra mayor)
- Supervisión activa: auditorías regulares, inspecciones sin previo aviso
- Posibilidad de suspensión de actividad como medida cautelar
¿Qué multas puede recibir una entidad importante?
- Multa máxima: 7.000.000 € o el 1,4% de la facturación anual global total (la cifra mayor)
- Supervisión reactiva: inspecciones tras incidentes o denuncias
Calculando el impacto: Con 50 M€ de facturación → multa máxima 1 M€ (2%). Con 100 M€ → 2 M€. Con 5 M€ → 100.000 €. Ninguna cifra es teórica: la Comisión Europea ya demostró con el RGPD que las multas se ejecutan.
¿Qué sanciones van más allá de la multa económica en NIS2?
¿Qué es la publicación pública del incumplimiento NIS2?
Las autoridades pueden publicar que una entidad está incumpliendo NIS2, con nombre y descripción del incumplimiento. El daño reputacional para empresas B2B puede ser devastador, especialmente para las que compiten por licitaciones públicas o trabajan con grandes corporaciones.
¿Pueden las autoridades retirar certificaciones a empresas NIS2?
En casos graves, sí. Las autoridades pueden retirar certificaciones que la empresa necesita para operar. Para empresas en sectores regulados como energía, telecomunicaciones o finanzas, esto puede ser tan grave o más que la multa económica.
¿Qué medidas cautelares puede imponer una autoridad NIS2?
Antes de la resolución del expediente, la autoridad puede imponer: obligación de implementar controles específicos en un plazo determinado, designación de un auditor externo obligatorio a cargo de la empresa, o restricciones temporales de operación.
¿Puede un directivo ser sancionado personalmente por NIS2?
Sí, y este es el cambio más impactante de NIS2 para los consejos de administración. El artículo 20 establece que los órganos de dirección de las entidades obligadas deben aprobar las medidas de gestión de riesgos, supervisar su aplicación y formarse periódicamente. Y pueden ser considerados responsables de las infracciones.
¿Cuándo puede prohibirse a un directivo ejercer sus funciones bajo NIS2?
La prohibición temporal de funciones directivas se aplica cuando concurren:
- Infracción grave o muy grave
- Reiteración del incumplimiento
- Negligencia demostrable en la supervisión de las medidas de seguridad
- Resistencia a cumplir las órdenes de la autoridad competente
Caso concreto: Una empresa energética sufre ransomware. La investigación muestra que el consejo nunca aprobó una política de seguridad y el CEO nunca asistió a formaciones. En ese escenario, los directivos son candidatos a sanciones personales, no solo la empresa.
¿Qué infracciones generan las sanciones más graves de NIS2?
¿Cuáles son las infracciones muy graves de NIS2?
- No implementar ninguna medida de gestión de riesgos
- No notificar un incidente significativo (especialmente con ocultación deliberada)
- Obstrucción activa a la autoridad competente
- Incumplimiento reiterado tras haber sido requerido
¿Cuáles son las infracciones graves de NIS2?
- Medidas de seguridad claramente insuficientes para el riesgo existente
- Notificación fuera de los plazos legales (24h/72h/1 mes)
- No registrarse ante la autoridad competente
- No cooperar con las inspecciones
- No aplicar las medidas correctoras ordenadas
¿Qué factores reducen las sanciones de NIS2?
- Comportamiento proactivo: notificación voluntaria y en plazo
- Cooperación con la autoridad: facilitar información, implementar medidas sin resistencia
- Esfuerzo previo documentado: programa de seguridad en marcha antes del incidente
- Ausencia de perjuicio real: el incidente no tuvo consecuencias graves para terceros
- Primera infracción: sin historial previo de incumplimientos
¿Qué deben hacer concretamente los directivos para cumplir NIS2?
¿Qué documentos debe aprobar formalmente la dirección?
- La política de seguridad de la información
- El presupuesto asignado a ciberseguridad
- Los resultados del análisis de riesgos
- El plan de continuidad de negocio
Esto debe quedar documentado en actas o decisiones formales, no solo en presentaciones.
¿En qué consiste la formación NIS2 para directivos?
No hace falta que el CEO configure firewalls. Sí hace falta que entienda qué tipos de amenazas son relevantes, qué implica un incidente significativo bajo NIS2, cuáles son las obligaciones legales de la empresa y las personales de la dirección. La formación debe realizarse al menos anualmente y documentarse.
¿Qué información debe recibir regularmente la dirección sobre ciberseguridad?
- Estado de implementación de las medidas de seguridad
- Incidentes ocurridos (incluyendo los menores)
- Resultados de auditorías y pruebas de seguridad
- Estado del programa de cumplimiento NIS2
¿El seguro de ciberriesgos cubre las multas de NIS2?
Generalmente no. Los seguros de ciberriesgos cubren los costes del incidente (recuperación, notificación, responsabilidad civil ante terceros) pero las multas administrativas están excluidas o tienen coberturas muy limitadas. Los seguros de D&O pueden cubrir parcialmente la responsabilidad personal, pero también con limitaciones.
El seguro es una herramienta complementaria, no un sustituto del cumplimiento. Muchas aseguradoras ya van a exigir evidencias de cumplimiento NIS2 para renovar o contratar pólizas a partir de 2026.
¿Cuál es el resumen de lo más importante para evitar sanciones NIS2?
- Implementa las 10 medidas del artículo 21 aunque sean básicas y proporcionales a tu tamaño
- Documenta todo: políticas aprobadas, análisis de riesgos, formaciones, actas de decisiones
- Notifica incidentes en plazo: 24h la alerta, 72h la notificación formal
- Involucra a la dirección formalmente: aprobaciones documentadas, formación registrada
- Regístrate ante INCIBE-CERT o la autoridad sectorial correspondiente
- Coopera con las autoridades: la resistencia agrava las sanciones
La buena noticia: Las empresas que implementen un programa de cumplimiento serio y lo documenten bien tienen muy pocas probabilidades de recibir sanciones graves. NIS2 busca responsabilizar a quienes ignoraron sistemáticamente la seguridad, no a los que lo están intentando. Ver plan de cumplimiento →