Guía NIS2 · 8 min
Multas y sanciones NIS2: cuánto, quién es responsable y cómo evitarlas
NIS2 da a los reguladores verdaderas competencias: multas basadas en la facturación, órdenes vinculantes y, para las entidades esenciales, la facultad de suspender temporalmente una certificación o prohibir a un directivo ejercer su función. Esta guía explica qué son las sanciones, quién responde personalmente, cómo difiere la supervisión para las entidades esenciales e importantes, y la forma práctica de evitar problemas: implemente las medidas del artículo 21, apartado 2, y conserve pruebas continuas y fechadas de que lo hace.
Compruebe su dominio ahora
Vea qué es públicamente visible sobre la seguridad de su organización, sin registrarse.
Esta vista previa instantánea comprueba:
- HTTPS accesible
- HSTS activado
- Redirección HTTP → HTTPS
- SPF configurado
- DMARC aplicado
- Correo (MX) configurado
El informe completo añade ransomware, dark web, certificados, información empresarial y más de 100 controles adicionales.
Puntos clave
- Las multas máximas se basan en la facturación: hasta 10 M€ o el 2 % de la facturación anual mundial para entidades esenciales, y 7 M€ o el 1,4 % para entidades importantes, lo que sea mayor.
- El órgano de dirección debe aprobar y supervisar las medidas de seguridad (art. 20) y puede ser considerado personalmente responsable; para las entidades esenciales, las autoridades pueden prohibir temporalmente a un directivo ejercer su función (art. 32, apdo. 5).
- Las multas son un último recurso: la exposición diaria son las órdenes vinculantes, las auditorías y el coste de demostrar la diligencia. Una supervisión continua y demostrada de la cadena de suministro es el seguro más barato.
Qué cubren las sanciones NIS2
NIS2 (Directiva (UE) 2022/2555) la transpone cada Estado miembro a su Derecho nacional, por lo que las cifras y los procedimientos exactos se fijan a nivel nacional, pero la Directiva fija los mínimos de las multas administrativas máximas y el conjunto de herramientas de ejecución. Las sanciones se vinculan al incumplimiento de las obligaciones de una entidad: las medidas de gestión de riesgos del artículo 21, apartado 2, los deberes de notificación de incidentes del artículo 23, el registro y la cooperación con las autoridades.
Es crucial: NIS2 no trata solo de dinero. El artículo 32 (entidades esenciales) y el artículo 33 (entidades importantes) otorgan a las autoridades competentes un conjunto gradual de potestades, desde advertencias hasta instrucciones vinculantes y, para las entidades esenciales, suspensión y prohibiciones de dirección. La multa es el titular; las medidas operativas son lo que la mayoría de las entidades encontrará realmente.
Las multas máximas
Entidades esenciales
Hasta 10 000 000 € o el 2 % de la facturación anual mundial total (ejercicio anterior), lo que sea mayor.
Grandes operadores de sectores altamente críticos: energía, transporte, banca, infraestructuras del mercado financiero, salud, agua potable y residual, infraestructura digital, gestión de servicios TIC, administración pública, espacio.
Entidades importantes
Hasta 7 000 000 € o el 1,4 % de la facturación anual mundial total (ejercicio anterior), lo que sea mayor.
Otras entidades medianas y grandes de los sectores cubiertos, incluidos los servicios postales y de mensajería, la gestión de residuos, los productos químicos, la alimentación, la fabricación, los proveedores digitales y la investigación.
Estos son topes máximos fijados por la Directiva (art. 34). Las multas reales se deciden a nivel nacional y deben ser efectivas, proporcionadas y disuasorias, teniendo en cuenta la gravedad, la duración y su cooperación. Confirme las reglas exactas de la transposición de su país con asesoramiento cualificado.
Responsabilidad personal y de la dirección
NIS2 pone deliberadamente la ciberseguridad sobre la mesa del consejo. Conforme al artículo 20, el órgano de dirección debe aprobar las medidas de gestión de ciberriesgos, supervisar su implementación y puede ser considerado responsable de los incumplimientos. Los miembros de los órganos de dirección también deben recibir formación y se espera que ofrezcan formación similar a su personal.
Para las entidades esenciales, el artículo 32, apartado 5, va más allá: cuando otras medidas han fracasado, las autoridades competentes pueden suspender temporalmente una certificación o autorización y prohibir temporalmente a una persona de nivel de director ejecutivo o representante legal ejercer funciones de dirección. Esa exposición personal es la razón por la que la gobernanza NIS2 llega ahora a la cúpula de la organización.
Vea su puntuación real y la de sus proveedores
Gratis · sin tarjeta de crédito · sin límite de tiempo
El conjunto de herramientas de ejecución (más allá de las multas)
Antes o junto a una multa, las autoridades pueden aplicar diversas medidas vinculantes (art. 32 y 33). En la práctica, esto es lo que probablemente afrontará:
- Advertencias e instrucciones vinculantes para subsanar deficiencias concretas dentro de un plazo.
- Órdenes de cumplir, de informar a los clientes afectados de una amenaza importante o de implementar las recomendaciones de auditoría.
- Auditorías de seguridad obligatorias e inspecciones in situ, a su propio coste.
- Designación de un responsable de supervisión que vigile su cumplimiento durante un periodo determinado.
- Divulgación pública de la infracción y órdenes de hacer públicos aspectos de la brecha.
- Solo para entidades esenciales: suspensión temporal de la certificación o autorización y una prohibición temporal de dirección (art. 32, apdo. 5).
La supervisión difiere según la categoría
Las entidades esenciales están sujetas a supervisión proactiva (ex ante) y reactiva (ex post) conforme al artículo 32: auditorías periódicas y específicas, inspecciones in situ, análisis de seguridad y solicitudes de información pueden producirse haya o no sospecha de un problema.
Las entidades importantes solo se supervisan ex post conforme al artículo 33: las autoridades actúan cuando hay pruebas o indicios de incumplimiento, normalmente tras un incidente o una denuncia. En cualquier caso, le corresponde a usted demostrar que existían medidas adecuadas, lo que es mucho más fácil con registros continuos que con una instantánea anual.
Fuentes: Directiva (UE) 2022/2555 (NIS2), artículos 20, 32, 33 y 34 Las cifras de multas máximas las fija la Directiva; las transposiciones nacionales fijan las reglas y procedimientos exactos. Esta guía es información general, no asesoramiento jurídico.
Cómo norppa.io reduce su exposición
La mayoría de las sanciones se remontan a dos fallos: medidas insuficientes conforme al artículo 21, apartado 2 (en especial la seguridad de la cadena de suministro), y la incapacidad de demostrar la diligencia cuando se solicita. norppa.io aborda ambos supervisando de forma continua cada dominio de proveedor y asignando cada hallazgo al artículo NIS2 que le concierne.
Como cada ciclo de supervisión queda registrado, dispone de un rastro de auditoría continuo y fechado, justo la prueba que exige la supervisión conforme a los artículos 32 y 33, en lugar de una instantánea puntual. Eso convierte el «teníamos la intención» en «aquí está el registro», y es el seguro más barato frente a las multas y órdenes anteriores.