Las sanciones NIS2 requieren distinguir tres cuestiones: qué exige la directiva a los Estados, qué régimen nacional resulta aplicable y qué conducta se ha acreditado en un expediente. Los conocidos importes de diez y siete millones de euros no son multas automáticas. El artículo 34 exige que los máximos nacionales alcancen al menos determinados umbrales, combinados con porcentajes del volumen de negocios; no establece un techo europeo uniforme que ningún país pueda superar.
En España, la consulta de fuentes oficiales realizada el 28 de septiembre de 2026 no ha localizado una ley definitiva de transposición publicada en el BOE. La Comisión anunció el 8 de julio de 2026 que remitía a España al Tribunal de Justicia por no notificar las medidas de transposición. Por ello, esta guía explica el marco europeo y la preparación que permite, diferenciándolos de las obligaciones españolas ya vigentes y de las propuestas legislativas.
Estado español: un anteproyecto no es un régimen sancionador vigente
El Gobierno presentó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025. La comunicación oficial explicaba los informes y la tramitación que debían preceder a su remisión a las Cortes. El Ministerio del Interior publicó después trámites de audiencia. Esos documentos permiten seguir una propuesta, pero no equivalen a su aprobación parlamentaria ni a una entrada en vigor.
La comunicación de la Comisión del 8 de julio de 2026 identifica a España entre los Estados llevados ante el Tribunal por falta de notificación de transposición. Es una actuación contra el Estado, no una multa NIS2 impuesta a una empresa española. La revisión de BOE y fuentes parlamentarias a la fecha indicada no permite presentar como promulgado el texto español anunciado.
Esto no significa que las organizaciones estén libres de obligaciones de ciberseguridad. El Real Decreto-ley 12/2018, desarrollado por el Real Decreto 43/2021, regula su propio ámbito de seguridad de redes y sistemas. También pueden resultar aplicables protección de datos, ENS, normativa sectorial y contratos. El seguimiento de la transposición de NIS2 en España debe hacerse junto al examen de esas obligaciones, sin reemplazarlas por un borrador.
Qué significan los dos umbrales del artículo 34
La Directiva (UE) 2022/2555 exige, para incumplimientos de sus artículos 21 o 23 por entidades esenciales, un máximo nacional de al menos diez millones de euros o el 2 % del volumen de negocios anual mundial de la empresa a la que pertenece la entidad, tomando el mayor. Para entidades importantes, la referencia es de al menos siete millones o el 1,4 %, también el mayor. El ejercicio económico relevante es el anterior.
La expresión «al menos» afecta al máximo que debe prever el ordenamiento nacional. No significa que cada infracción deba sancionarse con diez millones ni que la multa mínima individual sea el porcentaje indicado. La cuantía de una decisión exige aplicar la ley nacional y ponderar el caso. Conviene comprobar primero la clasificación de entidad esencial o importante, porque los dos grupos no comparten el mismo umbral.
Un ejemplo puramente aritmético ayuda a leer la regla. Si la empresa pertinente tiene un volumen mundial de negocios de 2.000 millones de euros, el 2 % son 40 millones: supera la referencia fija de diez millones para una entidad esencial. Con cien millones de facturación, el 2 % serían dos millones y prevalecería la referencia fija. Ninguno de los cálculos predice la sanción de un caso ni demuestra que esa organización esté incluida en NIS2.
Tampoco debe elegirse sin más la facturación de una filial local, de un centro concreto o la cifra que resulte más favorable. La directiva se refiere a la empresa a la que pertenece la entidad. La delimitación jurídica y económica requiere verificar la estructura relevante y las normas aplicables. Esa comprobación es distinta de la determinación del tamaño para entrar en el ámbito de la directiva, aunque ambas puedan necesitar información del grupo.
Para entidades de la Administración pública, el artículo 34.7 deja a cada Estado establecer si pueden imponerse multas administrativas y en qué medida. No procede importar automáticamente a NIS2 la exclusión de multas prevista por la LOPDGDD para determinados sujetos públicos. El análisis requiere identificar la norma aplicable, la naturaleza del sujeto y la consecuencia concreta, distinguiendo la multa económica de las órdenes de corrección y de las responsabilidades personales reguladas por el derecho nacional.
Qué conductas explican la exposición sancionadora
Los umbrales del artículo 34.4 y 34.5 se refieren expresamente a los artículos 21 y 23. El primero exige medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar riesgos y reducir el impacto de incidentes. Incluye análisis de riesgos, gestión de incidentes, continuidad, cadena de suministro, desarrollo y mantenimiento seguros, evaluación de eficacia, formación, accesos y otros elementos. No basta con comprar un producto y conservar su factura.
El artículo 23 regula la notificación de incidentes significativos. La falta de notificación o su retraso debe analizarse frente a los requisitos y plazos correspondientes, no frente a una idea genérica de «incidente importante». La negativa a cumplir órdenes o la obstrucción de la supervisión también pueden tener consecuencias, pero su tipificación y sanción deben identificarse en el régimen aplicable. No toda conducta recibe automáticamente el mismo tratamiento económico del artículo 34.
Sufrir un ataque no demuestra por sí solo que las medidas fueran inadecuadas; tampoco prueba diligencia haber evitado ataques conocidos. La evaluación examina el riesgo, las decisiones y su ejecución. Por ejemplo, mantener un servicio crítico sin capacidad de recuperación, pese a fallos documentados en las pruebas, plantea un problema diferente a sufrir una vulnerabilidad nueva tras aplicar medidas razonadas y proporcionadas. Las circunstancias y la evidencia importan más que una etiqueta de cumplimiento.
Supervisión de esenciales e importantes
Para entidades esenciales, el artículo 32 prevé herramientas como inspecciones, supervisión a distancia, auditorías periódicas o específicas y solicitudes de información o pruebas de aplicación. La supervisión no queda necesariamente condicionada a que ocurra un incidente. Para las importantes, el artículo 33 articula una supervisión posterior cuando hay elementos, indicios o información de posible incumplimiento, sin que ello reduzca las medidas sustantivas que deben adoptar.
Las autoridades pueden emitir instrucciones vinculantes, ordenar correcciones, exigir que cese una conducta o que se informe a destinatarios afectados, según el supuesto. El coste de aplicar una medida y de recuperar un servicio puede existir aunque no se imponga una multa. Por eso un presupuesto de riesgo limitado al máximo sancionador omite parte de las consecuencias operativas previstas en el marco europeo.
Debe distinguirse además entre autoridad competente y CSIRT. El segundo desempeña funciones de respuesta y apoyo técnico; no se puede atribuir genéricamente potestad para imponer todas las sanciones a INCIBE o al CCN solo porque intervengan en incidentes. La designación y el reparto de potestades resultan del marco legal aplicable. Una lista de contactos de emergencia no sustituye el análisis de quién puede incoar y resolver el procedimiento.
Responsabilidad de los órganos de dirección
El artículo 20 exige que los Estados aseguren que los órganos de dirección aprueben las medidas de gestión de riesgos, supervisen su aplicación y respondan por el incumplimiento del artículo 21. También exige formación para sus miembros y que se aliente a las entidades a ofrecer formación similar periódicamente al personal. Esto no significa que la directiva establezca por sí sola una multa personal idéntica para cualquier administrador en cualquier país.
La aplicación se entiende sin perjuicio de las reglas nacionales relativas a instituciones públicas, funcionarios y cargos electos o designados. La responsabilidad debe analizarse con la norma que la concreta y las funciones de la persona afectada. Afirmar que todo consejero paga personalmente un porcentaje de la facturación confunde la sanción a una entidad con la responsabilidad por sus propias decisiones y deberes.
En la práctica, la dirección necesita información comprensible para aprobar prioridades y recursos. Una reunión puede dejar constancia de riesgos críticos, alternativas, presupuesto, responsables y revisión de tareas pendientes. Es una recomendación de organización, no un formulario legal obligatorio. La evidencia valiosa conecta la decisión con la ejecución: aprobar copias de seguridad sirve poco si nadie comprueba que permiten recuperar los servicios necesarios.
Suspensiones e inhabilitaciones: condiciones que no deben omitirse
El artículo 32.5 contiene medidas particularmente intensas para entidades esenciales. Su presupuesto es que determinadas medidas previas de ejecución resulten ineficaces y que se fije un plazo para corregir las deficiencias o cumplir los requisitos. Si la entidad no actúa en ese plazo, la autoridad puede recurrir a las vías nacionales previstas para suspender temporalmente certificaciones o autorizaciones relacionadas con los servicios o actividades afectados.
También puede solicitar a los organismos u órganos jurisdiccionales competentes una prohibición temporal de ejercer funciones de dirección en esa entidad para personas con responsabilidades a nivel de director general o representante legal. No se trata de una destitución automática tras cualquier ciberataque. La vía, las personas comprendidas y las garantías requieren la aplicación del derecho nacional y las condiciones de la directiva.
Las medidas duran únicamente hasta que se subsanen las deficiencias o se cumplan los requisitos. Deben respetar las garantías procesales, incluidos defensa y tutela judicial efectiva. Además, el propio artículo excluye estas medidas del apartado quinto respecto de entidades de la Administración pública sujetas a NIS2. Omitir esa excepción llevaría a atribuir a un organismo público una consecuencia que la disposición no contempla para él.
Cómo se gradúa una decisión
El artículo 34 remite, para decidir si se impone multa y su importe, al menos a los elementos del artículo 32.7. Entre ellos figuran gravedad, duración, incumplimientos anteriores, daños, intencionalidad o negligencia, medidas para reducir perjuicios, certificaciones pertinentes y cooperación. La reiteración, ocultación o información manifiestamente inexacta pueden agravar el análisis; la graduación no se sustituye por una puntuación comercial de madurez.
Conviene conservar las decisiones que permiten reconstruir qué sabía la organización y cuándo. Si una auditoría detectó un acceso inseguro, debe poder explicarse quién recibió el hallazgo, qué prioridad se asignó y cuándo se cerró. Un plan pendiente puede mostrar que el riesgo se conocía, pero no acredita que se corrigiera. Alterar fechas o presentar documentos nuevos como anteriores destruye la utilidad de esa evidencia.
Las medidas deben motivarse y, como regla del artículo 32.8, precederse de comunicación de conclusiones preliminares y de un plazo razonable para observaciones. Se contemplan excepciones justificadas cuando ello impediría una actuación inmediata para prevenir o responder a incidentes. La organización debe atender el requerimiento concreto y preservar su defensa, sin asumir que cualquier comunicación técnica ya constituye una sanción firme.
Relación con multas del RGPD y otros costes
El RGPD y NIS2 tienen objetos y mecanismos distintos. El RGPD prevé, según las infracciones, máximos de hasta veinte millones o el 4 % y otros poderes correctivos. No es correcto afirmar que solo NIS2 permite intervenir sobre un tratamiento o una certificación: el artículo 58 del RGPD también contempla limitaciones, prohibiciones y determinadas medidas relativas a certificaciones. Las responsabilidades nacionales de personas físicas tampoco desaparecen por aplicar protección de datos. La guía de sanciones del RGPD permite comprobar sus tramos y criterios sin confundirlos con los umbrales europeos de NIS2.
El artículo 35.2 de NIS2 contiene una regla específica de coordinación: si la autoridad de protección de datos impone una multa administrativa por la misma conducta en los términos del precepto, la autoridad NIS2 no impone otra multa del artículo 34 por ese incumplimiento derivado de la misma conducta. Sí pueden mantenerse las otras medidas de ejecución enumeradas. No es correcto sumar automáticamente el 4 % y el 2 % para estimar una sanción conjunta.
La AEPD, o la autoridad de protección de datos competente, conserva sus funciones. Una multa tampoco resuelve por sí sola las posibles reclamaciones contractuales o por daños, que tienen presupuestos propios. Para presupuestar una crisis conviene separar respuesta técnica, interrupción de actividad, remedios regulatorios y litigios, evitando convertir todos ellos en una cifra supuestamente inevitable.
Prepararse sin confundir evidencias con garantías de inmunidad
Reutilizar controles de ISO 27001 o del Esquema Nacional de Seguridad puede facilitar el trabajo si se comprueba su alcance real. Una certificación de un servicio no acredita automáticamente todos los sistemas, proveedores y deberes de notificación de una entidad. La comparación debe hacerse requisito por requisito, identificando qué evidencia existe y qué vacío persiste.
El procedimiento de notificación de incidentes NIS2 debe poder activarse sin esperar a una reunión ordinaria de dirección. La directiva prevé alerta temprana en 24 horas y notificación en 72 desde la constancia del incidente significativo, sin demora indebida; para prestadores de confianza, la segunda se adelanta a 24 horas en incidentes significativos que afectan a sus servicios de confianza. Contempla informe intermedio cuando se solicita y final en un mes desde la notificación; si el incidente sigue en curso, informe de situación y final en un mes desde su gestión.
Ese calendario europeo debe distinguirse de los canales y deberes nacionales actualmente aplicables. Un ejercicio interno puede revelar quién clasifica el incidente, quién dispone de los accesos al canal y quién sustituye al titular ausente. En sectores como sanidad, la continuidad del servicio exige incluir a los responsables operativos. Preparar esas decisiones reduce incertidumbre y ayuda a demostrar actuación diligente, sin prometer que una política escrita o una certificación impedirán cualquier sanción.