Sanciones y supervisión: lo que rige hoy y lo que viene

Las sanciones vigentes

El Real Decreto-ley 12/2018 sanciona a los operadores de servicios esenciales y a los proveedores de servicios digitales (art. 35). Clasifica las infracciones en muy graves, graves y leves (art. 36) y fija estas multas (art. 37):

Las sanciones firmes por infracciones muy graves y graves pueden publicarse, a costa del sancionado, en el BOE y en la web de la autoridad competente (art. 37.2). Para graduar la multa se tienen en cuenta, entre otros criterios, la culpabilidad, la reincidencia, los usuarios afectados, el volumen de facturación y las acciones para paliar los efectos (art. 38).

Qué exige la Directiva NIS2

El art. 34 de la Directiva obliga a los Estados miembros a prever multas administrativas por incumplir las medidas del art. 21 o la notificación del art. 23, con un importe máximo de al menos:

Son límites mínimos para el máximo: la ley española puede fijar importes superiores, no inferiores. Hay análisis que dan por hecho que el anteproyecto recoge estas cifras, pero no ha sido posible contrastarlo con el texto oficial. Lo prudente es planificar con los importes de la Directiva.

Fíjese en la referencia al volumen de negocios de la empresa a la que pertenece la entidad. En un grupo, el porcentaje se calcula sobre la cifra del grupo, no solo sobre la de la filial afectada.

Supervisión: esenciales e importantes

La Directiva distingue dos regímenes:

• Entidades esenciales (art. 32): supervisión previa y posterior. La autoridad puede hacer inspecciones in situ y a distancia, auditorías periódicas y específicas, análisis de seguridad y solicitudes de información y evidencias, sin necesidad de un incidente previo.
• Entidades importantes (art. 33): supervisión a posteriori, cuando haya indicios o pruebas de que no cumplen, por ejemplo tras un incidente o una denuncia.

Además de las multas, la autoridad puede emitir advertencias, instrucciones vinculantes y órdenes de corregir deficiencias en un plazo. En las entidades esenciales que no atiendan los requerimientos, puede pedir la suspensión temporal de certificaciones o autorizaciones y la prohibición temporal de ejercer funciones de dirección (art. 32.5). Quién supervisará en España lo decidirá la ley. Según el resumen del Consejo de Ministros, el anteproyecto reparte el control entre la Oficina de Coordinación de Ciberseguridad del Ministerio del Interior, el Centro Criptológico Nacional y dos secretarías de Estado del ámbito digital.

El procedimiento de la Comisión contra España

España no comunicó la transposición en plazo. La Comisión Europea le envió una carta de emplazamiento el 28 de noviembre de 2024 y un dictamen motivado el 7 de mayo de 2025. El 8 de julio de 2026 decidió llevar a España ante el Tribunal de Justicia de la UE, junto con Irlanda, Francia y los Países Bajos, y pidió sanciones económicas. Este procedimiento se dirige contra el Estado, no contra las empresas, pero aumenta la presión para aprobar la ley.

Cómo reducir el riesgo

• Documentar: la mayoría de las infracciones se refieren a medidas sin evidencia o a notificaciones que faltan o llegan tarde. Un acta, un registro de incidentes y un informe de auditoría pesan más que cualquier argumento.
• Preparar la notificación: no notificar un incidente con efectos perturbadores significativos ya es hoy una infracción grave para los operadores regulados (art. 36.3 c) RDL 12/2018).
• Colaborar con la autoridad: obstaculizar auditorías o no facilitar información son infracciones en sí mismas.
• Implicar a la dirección: las obligaciones del art. 20 de la Directiva y lo que prevé el anteproyecto se explican en dirección y responsabilidad.

La evaluación NIS2-Scoring pondera más las preguntas con consecuencia jurídica directa, para que vea primero dónde está el mayor riesgo de sanción.