Sanciones NIS2 y responsabilidad de la dirección
Uno de los cambios que más está calando entre los consejos de administración españoles no es el técnico, es el personal: por primera vez, un fallo grave de ciberseguridad puede traducirse en una sanción que recae directamente sobre la persona que dirige la organización, no solo sobre la empresa. Este artículo explica el régimen sancionador de NIS2 con precisión, sin alarmismo, y sobre todo qué puede hacer una dirección para acreditar que actuó con la diligencia que la norma exige.
Si necesitas primero el panorama general de NIS2 en España, puedes empezar por nuestra guía completa sobre NIS2, que cubre a quién aplica y qué obligaciones técnicas impone antes de entrar en el detalle sancionador que trataremos aquí.
El régimen sancionador: los importes exactos
NIS2 fija dos techos de multa distintos según el tipo de entidad, y ambos se calculan tomando la cifra que resulte mayor entre un importe fijo y un porcentaje de facturación.
| Entidades esenciales | Entidades importantes | |
|---|---|---|
| Multa máxima | 10 millones de euros o 2% de la facturación anual mundial (la mayor) | 7 millones de euros o 1,4% de la facturación anual mundial (la mayor) |
| Supervisión | Proactiva: inspecciones y auditorías de oficio, sin necesidad de indicio previo | Reactiva: se activa ante evidencias o sospechas razonables |
| Ejemplos de sector | Energía, banca, sanidad, administración pública central y autonómica | Servicios postales, gestión de residuos, fabricación de productos sanitarios |
| Inhabilitación de directivos | Prevista expresamente para casos de negligencia grave | No contemplada de forma expresa en el mismo grado |
Este diseño no es casual: al fijar el importe como el mayor entre una cifra fija y un porcentaje, la norma evita que una gran multinacional se libre con una sanción simbólica. Para una empresa mediana, es probable que el importe fijo sea el que aplique; para un grupo grande, será el porcentaje de facturación el que determine la cuantía real. En ambos casos, conviene dejar de pensar en estas cifras como un techo teórico y empezar a tratarlas como el coste real de un incumplimiento grave.
Si todavía tienes dudas sobre si tu organización entra dentro del ámbito de NIS2 y bajo qué categoría, conviene resolverlo antes de nada: puedes revisarlo en detalle en nuestra guía sobre a quién aplica NIS2.
Responsabilidad personal e inhabilitación de directivos
Aquí está el cambio de fondo respecto a marcos anteriores. El artículo 20 de NIS2 obliga a los órganos de dirección a aprobar expresamente las medidas de gestión de riesgos de ciberseguridad y a supervisar su aplicación, y establece de forma explícita que esta responsabilidad no puede delegarse en otros miembros del personal. No basta con nombrar a un responsable técnico y desentenderse; el consejo tiene que aprobar, supervisar y formarse.
Cuando se demuestra negligencia grave por parte de la dirección tras un incidente de ciberseguridad significativo, las autoridades competentes disponen de poderes coercitivos serios. Para entidades esenciales, esto incluye la posibilidad de prohibir temporalmente el ejercicio de funciones directivas a la persona física responsable del incumplimiento. Es una medida sin apenas precedentes en la normativa de ciberseguridad europea anterior, y coloca a España entre los Estados miembros que han incorporado este aspecto de la directiva con mayor firmeza en su anteproyecto de transposición.
A esto se suma una consecuencia reputacional que muchas direcciones subestiman: cuando se acredita negligencia grave, los Estados miembros pueden prever la publicación de la identidad de las personas físicas y jurídicas responsables de la infracción. Para un directivo, el daño a su reputación profesional puede pesar tanto como la sanción económica, o más.
La conclusión práctica es que la ciberseguridad deja de ser un asunto delegable en el departamento de TI y pasa a ser, de forma explícita, una obligación fiduciaria del órgano de gobierno.
La doble sanción: NIS2 y RGPD no son procedimientos excluyentes
Un matiz que se pasa por alto con frecuencia: cuando un incidente de ciberseguridad implica también una brecha de datos personales, se activan dos procedimientos sancionadores en paralelo, no uno. Por un lado, el régimen de NIS2 ante la autoridad competente en ciberseguridad. Por otro, la notificación a la Agencia Española de Protección de Datos conforme al artículo 33 del RGPD, con su propio plazo de 72 horas.
Estos dos procedimientos son independientes entre sí y pueden generar sanciones acumulables. Es decir, un mismo incidente puede costarle a la organización una sanción por NIS2 y una sanción por RGPD, cada una calculada según sus propios criterios y techos. En el caso de entidades del sector financiero, existe además un tercer marco, DORA, que puede resultar de aplicación preferente y añadir su propio procedimiento a coordinar.
La implicación práctica es que la gestión de un incidente grave no puede plantearse como un único procedimiento con una única autoridad. Requiere coordinación desde el primer minuto entre el equipo técnico, el responsable de protección de datos y quien lleve la relación con la autoridad de ciberseguridad competente.
Los poderes de las autoridades competentes
Más allá de la multa económica, las autoridades competentes disponen de un catálogo de medidas que conviene conocer, porque en la práctica suelen aplicarse de forma escalonada antes de llegar a la sanción máxima. Para que no queden como conceptos abstractos, así es como se traducen en la práctica:
- Instrucciones vinculantes: la autoridad detecta una carencia concreta, por ejemplo, ausencia de autenticación multifactor en accesos remotos, y ordena por escrito su corrección en un plazo determinado, con obligación de acreditar el cumplimiento.
- Auditorías de seguridad externas obligatorias: la entidad debe contratar, a su propio coste, una auditoría independiente que verifique el estado real de sus medidas de seguridad, con entrega del informe a la autoridad.
- Suspensión temporal de certificaciones o autorizaciones: aplicable cuando la entidad depende de una certificación o autorización para operar en su sector, lo que convierte la sanción en un problema operativo inmediato, no solo económico.
- Inhabilitación temporal de directivos: reservada a los casos de negligencia grave ya mencionados, es la medida más severa del catálogo.
Este enfoque escalonado es relevante para cualquier organización que esté empezando su adecuación a NIS2: en los primeros doce a dieciocho meses tras la entrada en vigor plena de la normativa española, es razonable esperar que las autoridades prioricen exigir progresos demostrables antes que imponer las sanciones más severas desde el primer incumplimiento detectado. Eso no es una excusa para retrasar el cumplimiento, es una ventana real para demostrar diligencia mientras se completa el programa de adecuación.
Cómo demostrar diligencia debida del consejo
La pregunta que de verdad importa para cualquier órgano de dirección no es solo «¿estamos cumpliendo?», sino «¿podemos demostrarlo si nos lo piden?». La diferencia entre ambas es, en la práctica, la diferencia entre una sanción evitable y una que no lo es.
Un consejo de administración puede empezar a acreditar diligencia debida revisando estos cinco puntos:
- Formación específica y documentada: no una charla genérica de concienciación, sino formación que cubra los riesgos reales de la organización, con registro de asistencia y contenido.
- Actas que acrediten aprobación expresa: constancia formal de que el consejo aprobó las medidas de gestión de riesgos, no solo que las delegó en el equipo técnico.
- Seguimiento continuado, no puntual: evidencia de que la supervisión se produce de forma periódica a lo largo del año, no como un ejercicio anual aislado.
- Trazabilidad de decisiones ante incidentes: registro de qué se decidió, cuándo y por quién, ante cualquier incidente relevante, aunque no haya llegado a ser significativo.
- Responsable claro y con autoridad real: una persona o función con la autoridad efectiva para exigir recursos y hacer cumplir las medidas aprobadas, no solo un cargo nominal.
Para muchas organizaciones, sobre todo pymes y empresas medianas, mantener esta función de forma interna y con la formalidad que exige la norma no es sencillo ni eficiente en términos de coste. Ahí es donde una figura de CISO externo tiene sentido: aporta la experiencia y la formalidad necesarias para que la dirección tenga la evidencia que necesita, sin necesidad de crear una plaza interna a tiempo completo.
Si quieres revisar en qué punto está tu organización respecto a la responsabilidad de gobierno que exige NIS2, y qué evidencia tendrías hoy mismo si un supervisor te la pidiera, podemos revisarlo juntos en una primera llamada sin compromiso a través de nuestra consultoría NIS2.
Preguntas frecuentes sobre sanciones NIS2
Para entidades esenciales, hasta 10 millones de euros o el 2% de la facturación anual mundial, la cifra que sea mayor. Para entidades importantes, hasta 7 millones de euros o el 1,4% de la facturación anual mundial.
Sí. Cuando se acredita negligencia grave del órgano de dirección, las autoridades competentes pueden prohibir temporalmente el ejercicio de funciones directivas a la persona física responsable, además de la sanción económica a la entidad.
Sí, si el incidente implica también una brecha de datos personales. El procedimiento de NIS2 y el procedimiento del RGPD ante la AEPD son independientes y pueden generar sanciones acumulables.
No necesariamente. Las autoridades disponen de medidas escalonadas, como instrucciones vinculantes o exigencia de auditorías externas, antes de llegar a las sanciones más severas. En los primeros meses tras la entrada en vigor plena de la norma, es razonable esperar un enfoque centrado en exigir progresos demostrables.
Que exista evidencia documentada de formación en ciberseguridad, actas que acrediten la aprobación y supervisión de las medidas de gestión de riesgos, y un seguimiento continuado, no puntual, de su implantación.