La responsabilidad personal del órgano de dirección en NIS2: deberes, sanciones e inhabilitación

Sí, con NIS2 los administradores responden personalmente. El artículo 20 de la Directiva (UE) 2022/2555 obliga a que el órgano de dirección de las entidades esenciales e importantes apruebe las medidas de gestión de riesgos de ciberseguridad, supervise su puesta en práctica y responda por el incumplimiento de la entidad en esta materia. Sus miembros están además obligados a asistir a formaciones. Y en las entidades esenciales la autoridad competente puede llegar a solicitar la inhabilitación temporal del director general o del representante legal si la empresa, tras ser requerida, no corrige sus deficiencias (artículo 32.5). En España, la letra pequeña la pondrá la Ley de Coordinación y Gobernanza de la Ciberseguridad, que sigue en tramitación mientras escribo esta guía.

Durante años la ciberseguridad fue un asunto que el consejo despachaba con una partida dentro del presupuesto de informática. NIS2 rompe ese esquema por la vía más directa posible: pone nombre y apellidos detrás de cada decisión de seguridad. En mi trabajo con pymes y medianas empresas he comprobado que pocos argumentos desbloquean antes un presupuesto de ciberseguridad que explicarle al administrador qué arriesga él, no su empresa. En esta guía repaso qué dice exactamente la directiva, a quién alcanza, qué sanciones prevé y qué conviene dejar hecho antes de que la ley española lo exija con fecha y expediente.

Qué dice exactamente NIS2 sobre los órganos de dirección

El precepto central es el artículo 20, titulado precisamente «Gobernanza». Su apartado 1 ordena a los Estados miembros velar por que los órganos de dirección de las entidades esenciales e importantes «aprueben las medidas para la gestión de riesgos de ciberseguridad», «supervisen su puesta en práctica» y «respondan por el incumplimiento por parte de las entidades» de esas obligaciones. Tres verbos, y ninguno es delegable en el departamento técnico: aprobar, supervisar, responder.

El apartado 2 añade el cuarto deber, que suele pasar desapercibido: los miembros del órgano de dirección «deban asistir a formaciones» que les permitan adquirir conocimientos suficientes para «detectar riesgos y evaluar las prácticas de gestión de riesgos de ciberseguridad y su repercusión en los servicios proporcionados por la entidad». La directiva pide además que las entidades ofrezcan formación similar a sus empleados de forma periódica.

Para las entidades esenciales hay un refuerzo adicional en el artículo 32.6: los Estados deben garantizar que cualquier persona física responsable de la entidad, o con facultades para representarla, tomar decisiones en su nombre o ejercer control sobre ella, «puedan considerarse responsables por el incumplimiento de su deber de garantizar el cumplimiento» de la directiva.

Un matiz jurídico importante antes de seguir: una directiva no impone obligaciones directamente a las empresas privadas; necesita una ley nacional que la transponga. Lo que el artículo 20 fija es el contenido mínimo que esa ley española tendrá que recoger. El margen para suavizarlo es prácticamente nulo, así que lo que lees aquí es el suelo, no el techo.

Quién es «órgano de dirección» en una empresa española

La directiva no define el término, y lo hace a propósito: cada Estado tiene sus propias formas societarias. Trasladado a una sociedad española, el órgano de dirección es el órgano de administración en cualquiera de sus formas: administrador único, administradores solidarios o mancomunados, o consejo de administración. Cuando el artículo 32.5 concreta contra quién puede dirigirse la inhabilitación temporal, menciona a «cualquier persona que ejerza responsabilidades de dirección a nivel de director general o representante legal», lo que en la práctica española apunta al consejero delegado, al director general y a los apoderados generales.

La Ley de Sociedades de Capital ya empuja en la misma dirección: su artículo 236.4 establece que, cuando no exista delegación permanente de facultades en consejeros delegados, los deberes y la responsabilidad de los administradores se aplican también a la persona «que tenga atribuidas facultades de más alta dirección de la sociedad», se llame como se llame el cargo. Escudarse en el organigrama no funciona.

Una excepción que conviene conocer: en las entidades de la Administración pública, tanto el artículo 20.1 como las medidas del 32.5 se remiten al Derecho nacional sobre responsabilidad de funcionarios y cargos electos o designados. La inhabilitación temporal, en concreto, no se aplica a las Administraciones públicas.

Los tres deberes personales: aprobar, supervisar y formarse

Aprobar las medidas

Lo que el órgano de dirección tiene que aprobar no es una declaración de intenciones: es el paquete completo de medidas del artículo 21. Son diez, y esta es la lista que conviene tener delante el día del consejo, porque es la que hay que aprobar y contra la que se mide después el incumplimiento:

1. Análisis de riesgos y políticas de seguridad de los sistemas de información.
2. Gestión de incidentes: detección, respuesta y notificación.
3. Continuidad de negocio: copias de seguridad, recuperación en caso de desastre y gestión de crisis.
4. Seguridad de la cadena de suministro, incluidas las relaciones con cada proveedor directo.
5. Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, con gestión de vulnerabilidades.
6. Evaluación de la eficacia de las propias medidas de gestión de riesgos.
7. Ciberhigiene básica y formación en ciberseguridad.
8. Criptografía y cifrado, con políticas sobre su uso.
9. Seguridad de los recursos humanos, control de accesos y gestión de activos.
10. Autenticación multifactor o continua, comunicaciones seguras de voz, vídeo y texto, y sistemas de comunicación de emergencia, cuando proceda.

En la práctica, aprobarlas se traduce en un acuerdo que conste en acta, con presupuesto asignado y un responsable designado. Y aquí se entiende por qué la directiva exige formación al propio órgano: aprobar un documento que no comprendes no te protege; te compromete. La firma acredita que lo hiciste tuyo.

Supervisar la puesta en práctica

Aprobar y desentenderse tampoco vale: el deber es de seguimiento continuado. Lo razonable es que la ciberseguridad tenga un punto fijo en el orden del día del órgano de administración, con indicadores comprensibles: incidentes registrados y su gravedad, estado del plan de medidas, resultado de auditorías y ejercicios, cumplimiento de proveedores críticos. Quien supervisa necesita dejar rastro de que supervisó: actas, informes recibidos, decisiones tomadas cuando algo se desvió.

Formarse

Es la obligación más barata de cumplir y la que mejor demuestra diligencia. No se trata de convertir al consejo en técnicos, sino de que sus miembros sepan leer un informe de riesgos, hacer las preguntas incómodas y entender qué repercusión tiene un incidente en los servicios que presta la empresa. Guarda los certificados de asistencia: el día que haya que acreditar el cumplimiento del artículo 20.2, serán la prueba.

Sanciones: multas a la entidad y medidas contra los directivos

Conviene separar dos planos que se mezclan constantemente en los titulares: lo que arriesga la empresa y lo que arriesga la persona. En una tabla se ve mejor que en cuatro párrafos:

Ojo a la fórmula «un máximo de, al menos», que se lee mal a la primera: no es un techo, es un suelo que cada Estado puede elevar en su ley nacional.

Sobre la inhabilitación, la letra pequeña importa tanto como el titular. El artículo 32.5 solo se activa cuando las medidas de ejecución ordinarias han resultado ineficaces y la entidad ha dejado pasar el plazo de subsanación; entonces la autoridad puede pedir a los órganos competentes que prohíban temporalmente «a cualquier persona que ejerza responsabilidades de dirección a nivel de director general o representante legal» ejercer funciones de dirección en esa entidad. La prohibición dura hasta que la entidad subsane, y está sujeta a garantías procesales: tutela judicial, presunción de inocencia y derecho de defensa.

Traducido a lo que de verdad debe preocupar a un consejo: nadie pierde el cargo por un incidente. Se pierde por desoír a la autoridad de forma reiterada, que es una situación que se ve venir con meses de antelación y que, por tanto, se puede evitar.

El artículo 32.7 enumera además lo que se considera en todo caso incumplimiento grave: la reiteración, no notificar incidentes significativos, no subsanar tras instrucciones vinculantes, obstruir auditorías y suministrar información falsa sobre las medidas adoptadas. Es una lista muy útil leída al revés: describe exactamente los comportamientos que un órgano de dirección diligente debe impedir.

El primer punto de esa lista —no notificar a tiempo un incidente significativo— tiene un procedimiento con plazos muy concretos que conviene tener montado antes de que ocurra: lo explicamos en cómo se notifica un incidente NIS2 (24 h, 72 h y un mes). Y si tu empresa también está sujeta al Esquema Nacional de Seguridad, este régimen de responsabilidad personal es precisamente uno de los puntos donde ENS y NIS2 no se solapan.

Cómo aterriza en España: la ley de transposición, en tramitación

España debía transponer NIS2 antes del 17 de octubre de 2024 y no llegó. El instrumento elegido es la Ley de Coordinación y Gobernanza de la Ciberseguridad: el Consejo de Ministros aprobó el anteproyecto el 14 de enero de 2025, la Comisión Europea envió a España un dictamen motivado en mayo de 2025 dentro del expediente INFR(2024)0270 y elevó la presión con un nuevo requerimiento en mayo de 2026. En el momento de escribir esta guía, la ley sigue su tramitación y no se ha publicado en el BOE. Mantengo el estado actualizado, con fechas y fuentes, en mi seguimiento de la Ley de Coordinación y Gobernanza de la Ciberseguridad, y el encaje de NIS2 con el resto de marcos que ya te obligan —RGPD, ENS, DORA— en el mapa de normativa de ciberseguridad en España.

Mientras tanto no hay vacío legal: sigue vigente el marco de la primera directiva NIS, transpuesta por el Real Decreto-ley 12/2018 y desarrollada por el Real Decreto 43/2021, que ya impone obligaciones de seguridad y notificación a los operadores de servicios esenciales y proveedores digitales.

Sobre la responsabilidad de directivos, el texto en tramitación recoge el esquema de la directiva; como todo lo que está en tramitación, puede cambiar en detalles, pero no en lo esencial: el artículo 20 es contenido mínimo obligatorio. Esperar a la publicación en el BOE para empezar a moverse significa, en la práctica, comprimir en meses un trabajo de gobernanza que se hace mejor con calma.

NIS2 no llega a un terreno virgen: la responsabilidad de administradores ya existía

El argumento de «hasta que no haya ley española no me afecta» tiene un problema serio: la Ley de Sociedades de Capital ya obliga hoy. Su artículo 225 impone a los administradores desempeñar el cargo «con la diligencia de un ordenado empresario» y adoptar «las medidas precisas para la buena dirección y el control de la sociedad». Y su apartado 3 añade un matiz que suele citarse mal: el administrador «tiene el deber de exigir y el derecho de recabar de la sociedad la información adecuada y necesaria que le sirva para el cumplimiento de sus obligaciones». Exigir la información es un deber suyo; recabarla, un derecho que puede ejercer. Quien no pregunta por el estado de la ciberseguridad de su empresa está incumpliendo lo primero, no renunciando a lo segundo. Es difícil sostener que ignorar un riesgo tan documentado como el ciberataque a una empresa esencial encaje en la diligencia de un ordenado empresario en 2026.

El artículo 236 completa el cuadro: los administradores responden frente a la sociedad, los socios y los acreedores del daño causado por actos u omisiones contrarios a la ley o realizados incumpliendo los deberes del cargo, mediando dolo o culpa. Y añade un detalle demoledor: la culpabilidad se presume, salvo prueba en contrario, cuando el acto es contrario a la ley. El día que la ley de transposición esté en vigor, no aprobar o no supervisar las medidas de ciberseguridad será, literalmente, un incumplimiento legal con la culpa presumida de serie. Un incidente grave con daños a la sociedad puede acabar en una acción social de responsabilidad contra quien debió aprobar las medidas y no lo hizo.

Un apunte sobre los seguros de administradores y directivos (D&O): conviene revisar con el corredor qué cubre exactamente la póliza ante procedimientos derivados de un incidente de ciberseguridad, porque las coberturas frente a procedimientos administrativos y sus gastos de defensa varían mucho entre aseguradoras y las multas administrativas plantean límites de asegurabilidad. No des por hecho que «el D&O ya lo cubre» sin haberlo leído.

Qué puede hacer hoy un administrador o directivo

1. Confirma si tu empresa entra en el ámbito de NIS2. Es la primera pregunta y condiciona todo lo demás. Puedes salir de dudas en unos minutos con mi herramienta para saber si eres entidad esencial o importante. Si no te aplica, respira; si te aplica, sigue leyendo.
2. Lleva la ciberseguridad al órgano de administración y déjalo en acta. Un primer acuerdo que apruebe el plan de medidas, asigne presupuesto y nombre responsable ya te sitúa en la foto que el artículo 20 exige.
3. Programa la formación del órgano de dirección. Una sesión ejecutiva seria, con certificado de asistencia, cubre el deber del artículo 20.2 y cambia la calidad de las conversaciones del consejo.
4. Monta la supervisión. Punto fijo en el orden del día, cuadro de indicadores comprensible y revisión de incidentes. Sin esto, la aprobación inicial se queda en papel.
5. Revisa la cadena de suministro. La seguridad de proveedores es una de las medidas del artículo 21 y el origen de buena parte de los incidentes. Te conté cómo abordarla en la guía de cláusulas de ciberseguridad en contratos con proveedores.
6. Relee tu póliza D&O con tu corredor, con el escenario concreto de un incidente de ciberseguridad y un procedimiento sancionador encima de la mesa.
7. Sigue la tramitación de la ley española para conocer plazos, registro de entidades y régimen sancionador definitivos en cuanto se publiquen.

Si el punto de partida es cero, el orden importa: primero saber si estás dentro, después el acuerdo del órgano de dirección, y solo entonces el despliegue técnico. Tienes el contexto completo de la directiva en mi guía de NIS2 para pymes españolas y, si prefieres que lo veamos sobre tu caso, en mis servicios de ciberseguridad y cumplimiento te explico cómo trabajo.

Preguntas frecuentes

Fuentes

• Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022 (NIS2), artículos 20, 21, 32, 33 y 34. Texto en español: BOE, DOUE-L-2022-81963.
• Real Decreto Legislativo 1/2010, de 2 de julio, texto refundido de la Ley de Sociedades de Capital, artículos 225, 226 y 236. Consolidado BOE-A-2010-10544.
• Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información. BOE-A-2018-12257.
• Real Decreto 43/2021, de 26 de enero, que desarrolla el Real Decreto-ley 12/2018. BOE-A-2021-1192.