NIS2 no es una directiva que puedas ignorar esperando que nadie venga a comprobarlo. Las sanciones son severas, proporcionales y — novedad importante — pueden recaer personalmente sobre los directivos. En España, donde el INCIBE y el CCN-CERT han reforzado significativamente sus capacidades de supervisión, el mensaje es claro: cumplir no es opcional.
Cuadro de sanciones NIS2
Entidades esenciales
| Infracción | Sanción máxima |
|---|---|
| Incumplimiento medidas seguridad (Art. 21) | Hasta 10 millones € o 2% facturación anual mundial |
| Falta de notificación de incidentes (Art. 23) | Hasta 10 millones € o 2% facturación anual mundial |
| Obstrucción a la supervisión | Sanciones adicionales + medidas cautelares |
Entidades importantes
| Infracción | Sanción máxima |
|---|---|
| Incumplimiento medidas seguridad (Art. 21) | Hasta 7 millones € o 1,4% facturación anual mundial |
| Falta de notificación de incidentes (Art. 23) | Hasta 7 millones € o 1,4% facturación anual mundial |
Se aplica siempre el importe que resulte más elevado.
Responsabilidad personal de los directivos
La gran novedad de NIS2 frente a la directiva original: los órganos de dirección (consejo de administración, gerentes, CEO) son personalmente responsables de:
- Aprobar las medidas de gestión de riesgos de ciberseguridad
- Supervisar su implementación
- Participar en formaciones de ciberseguridad
Si un incidente se produce por negligencia demostrable en estas funciones, el directivo puede enfrentarse a:
- Inhabilitación temporal para ejercer funciones directivas
- Responsabilidad civil personal por daños derivados
- Publicación de la sanción con nombre y apellidos
Esto cambia radicalmente la conversación: la ciberseguridad ya no es "un tema de IT". Es un tema de consejo de administración.
Factores agravantes y atenuantes
Las autoridades consideran estos factores al determinar la cuantía:
Agravantes
- Reincidencia en incumplimientos
- No notificar incidentes intencionadamente
- No cooperar con las autoridades durante la investigación
- Beneficio económico obtenido del incumplimiento
- Impacto transfronterizo del incidente
Atenuantes
- Adopción voluntaria de medidas correctoras
- Cooperación activa con la autoridad supervisora
- Notificación voluntaria de vulnerabilidades
- Certificaciones de seguridad vigentes (ISO 27001, ENS)
- Inversión demostrable en ciberseguridad
Comparación con otras regulaciones
| Regulación | Sanción máxima | Ámbito |
|---|---|---|
| NIS2 | 10M€ / 2% facturación | Ciberseguridad redes y sistemas |
| RGPD | 20M€ / 4% facturación | Protección datos personales |
| AI Act | 35M€ / 7% facturación | Inteligencia artificial |
| DORA | 1% facturación diaria | Resiliencia digital financiera |
Una misma empresa puede enfrentarse a sanciones acumuladas si un incidente afecta a varias regulaciones simultáneamente. Por ejemplo, un ransomware que filtra datos personales puede suponer sanciones NIS2 + RGPD.
Casos reales de sanciones en la UE
Aunque NIS2 es reciente, ya existen precedentes bajo la directiva NIS1 y otras regulaciones de ciberseguridad europeas:
- Operador telecomunicaciones (Países Bajos): multa de 475.000€ por no notificar un incidente a tiempo
- Hospital (Alemania): investigación tras muerte de paciente redirigido por ataque ransomware
- Proveedor cloud (Francia): sanción por medidas de seguridad insuficientes tras incendio del datacenter
Con NIS2, estas cuantías se multiplicarán significativamente.
Supervisión en España
En España, las autoridades competentes son:
- CCN-CERT: supervisa entidades del sector público y operadores de servicios esenciales
- INCIBE-CERT: supervisa empresas privadas y entidades importantes
- Autoridades sectoriales: reguladores específicos para energía (CNMC), telecomunicaciones (CNMC), finanzas (Banco de España)
Las inspecciones pueden ser:
- Proactivas: auditorías planificadas para entidades esenciales
- Reactivas: investigaciones tras incidentes o denuncias para entidades importantes
- Aleatorias: comprobaciones puntuales basadas en indicadores de riesgo
Cómo evitar las sanciones
Paso 1: Determina tu categoría
¿Eres entidad esencial o importante? El sector y el tamaño determinan tus obligaciones y el nivel de supervisión.
Paso 2: Evalúa tu postura actual
Compara tus medidas de seguridad actuales con las 10 medidas del Artículo 21. Identifica las brechas.
Paso 3: Implementa las medidas
Prioriza según el riesgo: las vulnerabilidades críticas primero, la documentación puede ir en paralelo.
Paso 4: Documenta todo
Las auditorías valoran tanto la implementación como la documentación. Si no está documentado, no existe.
Paso 5: Monitoriza continuamente
La seguridad no es un proyecto con fecha de fin. Es un proceso continuo que requiere escaneos regulares, actualizaciones y revisiones.
Prescripción y plazos de las sanciones
Las sanciones NIS2 están sujetas a los plazos de prescripción nacionales. En España, las infracciones administrativas graves prescriben generalmente a los tres años. Sin embargo, un incumplimiento continuado de las medidas de seguridad se considera una infracción permanente: el plazo de prescripción no comienza hasta que se subsana la deficiencia. Esto significa que mantener sistemas sin las medidas mínimas del Artículo 21 expone a la empresa a sanciones en cualquier momento.
Cómo WarDek reduce tu riesgo
WarDek automatiza la evaluación continua de tu postura de seguridad:
- Escaneo multi-framework: NIS2 + OWASP + RGPD + AI Act en un solo análisis
- Puntuación por control: sabes exactamente dónde estás fuerte y dónde flaqueas
- Informes para auditorías: documentación exportable que demuestra tu diligencia
- Alertas proactivas: te avisamos antes de que un regulador lo descubra
Escanea tu sitio web gratis con WarDek — OWASP, NIS2, RGPD, AI Act en un solo escaneo.