Multas y Sanciones NIS2: Qué Fija la Directiva y Qué Depende de España

Las cifras de las multas NIS2 (10 millones de euros, 2 % de la facturación) circulan mucho, pero se citan a menudo mal aplicadas: como un rango fijo, como si ya hubiera una autoridad española inspeccionando, o con una aritmética que no cuadra con la propia norma. Esto es lo que dice el artículo 34 de la Directiva (UE) 2022/2555 y lo que todavía no está decidido en España.

Estado legal (25/09/2026): NIS2 es una Directiva; España aún no ha publicado la ley que la transpone. El Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad el 14 de enero de 2025, y sigue sin llegar al Congreso. El 9 de julio de 2026 la Comisión Europea remitió a España, junto con Irlanda, Francia y Países Bajos, al Tribunal de Justicia de la UE por el retraso (expediente INFR(2024)0270). Mientras no exista ley española, no hay autoridad NIS2 designada ni régimen sancionador NIS2 aplicable en España: lo que sigue es lo que fija la Directiva como techo que España deberá trasladar.

Los máximos del artículo 34

El artículo 34 no impone una multa fija: obliga a los Estados miembros a prever multas administrativas de hasta, como mínimo, estos importes:

Entidades esenciales (art. 34.4):

• Máximo de 10 millones de euros o el 2 % de la facturación mundial total del ejercicio anterior, el que sea mayor de los dos.

Entidades importantes (art. 34.5):

• Máximo de 7 millones de euros o el 1,4 % de la facturación mundial total del ejercicio anterior, el que sea mayor de los dos.

La comparación “el mayor de los dos” importa porque cambia el resultado según el tamaño de la empresa:

Una empresa con 50 millones de euros de facturación no “podría afrontar 1 millón de euros” como techo: ese 1 millón es solo uno de los dos términos de la comparación, y como es menor que los 10 millones fijos, el máximo real que la Directiva permite imponerle sigue siendo 10 millones de euros. La cifra fija actúa como suelo del máximo hasta que el porcentaje de facturación la supera — algo que solo ocurre en empresas muy grandes (por encima de 500 millones de euros de facturación mundial, en el caso de entidades esenciales).

Esta comparación es el propio criterio de la Directiva, no una interpretación: el texto dice literalmente “lo que sea mayor” (whichever is higher) en ambos apartados.

No existe un tercer nivel de “infracciones leves” en la Directiva

El artículo 34 distingue únicamente dos tipos de entidad (esencial e importante), cada una con su propio máximo. No define una categoría separada de “infracciones leves” con un rango propio de 100.000 € a 2 millones de euros: esa clasificación en niveles de gravedad con importes distintos no aparece en el texto de la Directiva. Lo que sí regula el art. 34.3, remitiendo a los criterios del art. 32.7 (art. 33.7 para entidades importantes), es la lista de factores que la autoridad competente debe valorar para fijar la cuantía concreta dentro del máximo aplicable, entre ellos:

• Naturaleza, gravedad y duración de la infracción.
• Si la infracción fue intencionada o negligente.
• Medidas adoptadas para paliar o remediar el daño.
• Infracciones anteriores relevantes de la entidad.
• Grado de cooperación con la autoridad competente.

Cada uno de estos factores puede reducir sustancialmente la sanción por debajo del máximo, pero ninguno crea un rango legal distinto al de los dos máximos ya citados. Cualquier tabla que presente “leves/graves/muy graves” con importes propios para NIS2 está aplicando una estructura que no es la del art. 34, aunque sí sea habitual en otras leyes españolas de sanciones administrativas (incluida la anterior ley NIS1).

Cómo se compara con otras normativas

El régimen NIS2 español sustituirá al de RD-ley 12/2018 cuando se publique la ley de transposición; hasta entonces, la última fila es la única sanción de ciberseguridad de este tipo con norma española vigente.

Quién podría inspeccionar y sancionar en España

Esto todavía no está fijado. El artículo 8 de la Directiva obliga a cada Estado miembro a designar su propia autoridad o autoridades competentes, su punto de contacto único y su CSIRT nacional mediante la ley de transposición. En España:

• El anteproyecto de enero de 2025 prevé crear un Centro Nacional de Ciberseguridad (CNC) y repartir autoridades sectoriales de control, pero el texto no ha sido aprobado por el Congreso y puede cambiar.
• INCIBE no es hoy la autoridad sancionadora de NIS2: es la entidad pública de referencia en ciberseguridad y opera el CSIRT de referencia bajo el marco NIS1 actual, pero su papel exacto bajo NIS2 lo fijará la ley pendiente.
• La AEPD sanciona bajo el RGPD (protección de datos personales), un régimen distinto con su propia base legal, plazos y criterios; no es la autoridad de NIS2, aunque ambos regímenes pueden coincidir si un mismo incidente afecta a datos personales y a seguridad de redes.
• No hay evidencia de “auditorías programadas” ni “inspecciones NIS2 en marcha” en España: no puede haber inspecciones de una ley que todavía no existe.

Qué sí puedes controlar mientras la ley no se publica

Aunque la sanción y la autoridad concretas dependan de la transposición, los requisitos técnicos del artículo 21 y las obligaciones de notificación del artículo 23 ya están definidos en la Directiva y no van a cambiar en lo sustancial. Prepararte por ese lado reduce el riesgo real, con independencia de qué autoridad acabe aplicando la sanción:

1. Confirma si tu actividad entra en los anexos I o II de la Directiva (cómo comprobarlo).
2. Implementa las medidas mínimas del artículo 21: análisis de riesgos, gestión de incidentes, continuidad de negocio, seguridad de la cadena de suministro, entre otras.
3. Ten un procedimiento documentado de notificación de incidentes significativos, aunque el canal español todavía no esté fijado.
4. No fundamentes decisiones de inversión en cifras de sanción concretas para tu caso: sin ley española, cualquier estimación de “cuánto me multarían” es un ejercicio ilustrativo, no una previsión.

Preguntas frecuentes sobre multas y sanciones NIS2

¿Cuánto puede llegar a ser una multa NIS2?

El máximo que la Directiva obliga a prever es de 10 millones de euros o el 2 % de la facturación mundial (el mayor) para entidades esenciales, y 7 millones o el 1,4 % (el mayor) para importantes. No existe un rango separado de “infracciones leves”.

¿Quién puede imponer estas multas en España?

Todavía no está definido: depende de la ley de transposición, pendiente de publicación en el BOE a 25 de septiembre de 2026.

¿Puede haber inspecciones NIS2 ya en marcha en España?

No. No puede haber inspecciones de una norma que aún no se ha transpuesto ni tiene autoridad designada.

Artículos Relacionados

• ¿Qué es la Directiva NIS2 y Cómo Afecta a tu PYME?
• Gestión de Incidentes y NIS2: Qué Dice el Artículo 23
• Checklist NIS2: las áreas del artículo 21
• NIS2 vs ISO 27001: ¿Son Compatibles?

Fuentes oficiales

• Directiva (UE) 2022/2555 (NIS2), artículos 8 y 34, en EUR-Lex
• Reglamento (UE) 2016/679 (RGPD), artículo 83
• Reglamento (UE) 2022/2065 (DSA), artículo 74
• BOE: Real Decreto-ley 12/2018 (marco NIS1 vigente)
• Departamento de Seguridad Nacional: anteproyecto de ley de transposición
• Comisión Europea, paquete de infracciones de julio de 2026: remisión de España al TJUE por NIS2