Sanciones NIS2: multas y responsabilidad de directivos

Publicado el 11 de agosto de 2026

Miguel Penadés

Consultor de ciberseguridad y cumplimiento

Revisado por el autor el 11 de agosto de 2026

¿Qué te puede pasar si no cumples NIS2?

Las sanciones de NIS2 llegan en tres capas. La multa administrativa recae sobre la entidad, no sobre tu bolsillo. A esa multa se le suman medidas de ejecución que se acumulan, no se eligen. Y, por primera vez, hay responsabilidad personal del órgano de dirección: en entidades esenciales, hasta la suspensión temporal de funciones directivas.

Antes de preocuparte por las multas conviene comprobar si estás en el ámbito de NIS2: el régimen sancionador solo entra en juego si tu empresa es entidad esencial o importante. Si lo eres, esto es lo que la Directiva pone sobre la mesa.

Sanciones NIS2: la multa es solo el principio

La Directiva (UE) 2022/2555 fija en su artículo 34 los topes de las multas administrativas, distintos para entidades esenciales e importantes. Las cantidades se calculan sobre una cifra fija o un porcentaje del volumen de negocio mundial —el que resulte mayor—, así que las dejamos donde deben estar, en la tabla:

Tres matices que casi ningún resumen cuenta y que cambian la lectura:

• La multa se suma, no sustituye. El art. 34.2 deja claro que la multa se impone “a título adicional” respecto de las demás medidas de ejecución. Es decir: puedes recibir la multa y una instrucción vinculante, y una auditoría de seguridad a tu costa. A eso se suma la orden de hacer público el incumplimiento: no es “o pagas o corriges”, son las dos cosas a la vez (arts. 32.4.b, 32.2 y 32.4.h).
• No te sancionan dos veces por lo mismo. Si por la misma conducta la autoridad de protección de datos ya actuó por el art. 58.2.i del RGPD, no puede añadirse encima la multa NIS2 del art. 34 (art. 35.2). Las demás medidas de ejecución sí siguen sobre la mesa.
• Multas coercitivas, si el Estado las prevé. El art. 34.6 permite —no obliga— a cada país establecer multas coercitivas para forzar el fin de un incumplimiento. Es una potestad, no un automatismo.

¿Quieres saber si esto aplica a tu empresa? Pide una evaluación de aplicabilidad gratuita.

Responsabilidad de los directivos: lo que de verdad cambia con NIS2 (art. 20.1)

Aquí está el giro que debería quitarle el sueño a un administrador, y no es la cifra de la multa. El art. 20.1 de la Directiva atribuye directamente al órgano de dirección tres verbos: aprobar las medidas de gestión de riesgos, supervisar su puesta en práctica y responder por el incumplimiento de la entidad. El considerando 137 —la parte introductoria de la Directiva que explica el porqué de sus artículos— lo explica sin rodeos: la norma busca “un nivel elevado de responsabilidad” a nivel de las entidades.

Esto rompe la idea de que la ciberseguridad “es cosa de informática”. Puedes —y debes— delegar la implantación en un equipo técnico o en un CISO externo que cubra el art. 20, pero la Directiva fija esas tres funciones en el propio órgano de dirección: delegar la ejecución no traslada la responsabilidad. Y hay una segunda pata que refuerza lo anterior: el art. 20.2 obliga a los miembros de la dirección a formarse en ciberseguridad. Precisamente por esa obligación de formación, firmar sin entender deja de ser una defensa.

En la práctica, “aprobar y supervisar” no es una firma anual: significa conocer las medidas que la dirección debe aprobar y poder demostrar que se revisan.

Un matiz que casi todas las webs pasan por alto: esa responsabilidad personal no es exclusiva de las esenciales. El art. 32.6 —que el art. 33.5 extiende mutatis mutandis (con los cambios necesarios) a las entidades importantes— establece que las personas físicas que representan, deciden o controlan la entidad pueden ser consideradas responsables de su deber de velar por el cumplimiento. Sea tu empresa esencial o importante, el nombre de un responsable aparece en la ecuación.

Quedarte sin silla: la sanción que no aparece en los buscadores (art. 32.5.b)

Una multa la paga la sociedad. Esta la sufre la persona. El art. 32.5.b permite a la autoridad solicitar que se prohíba temporalmente ejercer funciones de dirección —a nivel de director general o representante legal— a quien las ejerza en una entidad esencial.

No es automático ni de primera intención, y precisamente por eso casi nadie lo cuenta bien:

• Es ultima ratio (último recurso): solo cabe si las medidas de ejecución previas (apercibimientos, instrucciones vinculantes, órdenes de cese) han resultado ineficaces y vence el plazo dado para subsanar.
• Solo entidades esenciales. El art. 32.5 no se aplica a las importantes —el art. 33.5 únicamente les extiende los apartados 6, 7 y 8— ni a la Administración pública.
• Dura hasta subsanar, no es una inhabilitación indefinida, y solo afecta a ejercer funciones en esa entidad. Se solicita a los organismos u órganos jurisdiccionales competentes y con garantías procesales: tutela judicial efectiva, presunción de inocencia y derechos de defensa.

Muchos resúmenes presentan esta suspensión como aplicable a cualquier directivo de cualquier entidad. No lo es. Esa precisión —importantes frente a esenciales— es justo donde las páginas que copian entre sí se equivocan.

¿Ya se puede aplicar el régimen de sanciones NIS2 en España?

Todo lo anterior lo dice la Directiva. Lo que puede sancionarte hoy en España es otra cosa. Mientras la nueva ley española no concrete el régimen, sigue rigiendo el marco anterior: el Real Decreto-ley 12/2018, cuyo Título VII (arts. 35-42) regula el régimen sancionador. Y ahí hay una diferencia de fondo:

• El responsable es la entidad operadora, no sus directivos (art. 35). Nada de responsabilidad personal del órgano de dirección ni suspensión de funciones directivas.
• Clasifica las infracciones en tres niveles: muy graves, graves y leves (art. 36).
• Permite publicar las sanciones firmes por infracciones graves y muy graves, a costa del sancionado (art. 37.2). El daño reputacional ya existe en el régimen vigente.

El salto cualitativo —responsabilidad del órgano de dirección, personas físicas señalables, suspensión de directivos— llega con la transposición. El estado exacto es este:

Léelo al revés: el tiempo que falta hasta esa ley no es una moratoria, es el plazo que tiene tu consejo para montar la gobernanza que después no podrá improvisar.

Qué hacer con esto esta semana

• Sube el art. 20 a la agenda de dirección. Que quede en acta que el órgano aprueba las medidas y supervisa su aplicación. Sin firma arriba, no hay defensa.
• Separa entidad y persona. La multa la asume la sociedad; la suspensión de funciones (esenciales) y la formación de la dirección (art. 20.2) son personales. Trátalas como riesgos distintos.
• No esperes a la ley. El régimen personal llega con la transposición, pero la gobernanza que exige no se monta en un fin de semana. Empieza por aprobar y documentar las medidas hoy.

El contenido de esta página tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico. La situación normativa descrita corresponde a la fecha de última actualización indicada; conviene verificar siempre el estado vigente de la legislación en las fuentes oficiales (BOE, EUR-Lex, CCN, INCIBE). Situación normativa a fecha de 12 de julio de 2026.