NIS2 y la responsabilidad de los directivos: lo que tu consejo no sabe
La responsabilidad de los directivos en NIS2 es lo que más sorprende en los consejos: la ciberseguridad deja de ser un asunto de informática y pasa a ser un deber legal de la dirección. Por eso, el órgano de dirección tiene que aprobar las medidas, supervisarlas y formarse. Además, sus miembros pueden responder si no lo hacen.
En 30 segundos: la responsabilidad de los directivos en NIS2 parte del artículo 20, que obliga a la dirección a aprobar las medidas del artículo 21, supervisar su aplicación y recibir formación. El artículo 32.6 permite exigir responsabilidad a las personas que dirigen la entidad, y el 33.5 lo extiende a las entidades importantes. En las esenciales, el 32.5 permite incluso apartar temporalmente al consejero delegado o al representante legal. Por último, en España la ley de transposición sigue pendiente.
Qué exige el artículo 20: aprobar, supervisar y formarse
El artículo 20 de la Directiva (UE) 2022/2555 es corto, pero cambia el reparto de papeles. Se aplica a los órganos de dirección de las entidades esenciales e importantes, y les asigna tres deberes:
- Aprobar las medidas de gestión de riesgos de ciberseguridad que la entidad adopta para cumplir el artículo 21.
- Supervisar su aplicación, no solo firmarlas una vez.
- Formarse para identificar riesgos y valorar las prácticas de gestión de riesgos y su impacto en los servicios.
Además, el mismo artículo prevé que el órgano de dirección pueda responder de las infracciones del artículo 21. La directiva también pide que las entidades ofrezcan formación parecida a su plantilla de forma periódica. Por tanto, la ciberseguridad sube al consejo y se queda allí.
Por eso, antes de nada, confirma si tu empresa está dentro: lo explicamos en cómo saber si te afecta la NIS2.
La responsabilidad de los directivos en NIS2, artículo por artículo
El artículo 20 fija los deberes, pero las consecuencias están en los artículos 32 y 33, que regulan la supervisión y las medidas de ejecución. Conviene leerlos con calma, porque suelen citarse mal.
Responsabilidad de las personas físicas (art. 32.6)
Primero, los Estados deben garantizar que quien representa a una entidad esencial, decide por ella o la controla tenga poder para asegurar su cumplimiento. A su vez, debe ser posible exigirle responsabilidad si incumple ese deber. Es decir, la responsabilidad de los directivos en NIS2 no se limita a una multa que paga la empresa. Sin embargo, la forma concreta (civil, administrativa u otra) dependerá de la ley de cada país.
Suspensión temporal en entidades esenciales (art. 32.5)
Es la medida más dura y, por eso, tiene límites claros. Primero, solo cabe si fallan las medidas previas, como advertencias, instrucciones vinculantes u órdenes de corrección. Después, la autoridad fija un plazo para corregir. Finalmente, si la entidad no lo cumple, la autoridad puede pedir a los órganos o tribunales competentes que prohíban temporalmente a quien ejerce funciones de dirección como consejero delegado o representante legal seguir ejerciéndolas. Además, la prohibición dura solo hasta que la entidad corrige y exige garantías procesales.
Qué cambia en las entidades importantes (art. 33)
Por otro lado, en las entidades importantes la supervisión es a posteriori, cuando hay indicios de incumplimiento. Sin embargo, el artículo 33.5 aplica también aquí el artículo 32.6, así que la responsabilidad personal existe igual. En cambio, la suspensión temporal de directivos no está prevista para ellas.
| Medida | Entidades esenciales | Entidades importantes |
|---|---|---|
| Aprobar, supervisar y formarse (art. 20) | Sí | Sí |
| Responsabilidad de las personas que dirigen (art. 32.6) | Sí | Sí, vía art. 33.5 |
| Prohibición temporal de funciones directivas (art. 32.5.b) | Sí, como último recurso | No |
| Multa máxima a la entidad (art. 34) | Máximo de al menos 10 M EUR o el 2 % de la facturación mundial (la cifra mayor) | Máximo de al menos 7 M EUR o el 1,4 % de la facturación mundial (la cifra mayor) |
Responsabilidad de directivos en NIS2: qué debe hacer el consejo
La responsabilidad de los directivos en NIS2 se demuestra con papeles. Puedes delegar la ejecución técnica, pero no el gobierno; por eso, si hay un incidente, la autoridad mirará qué aprobó la dirección, qué supervisó y qué sabía. Estos siete pasos dejan rastro de cada deber:
- Aprobar en sesión la política y las medidas del artículo 21, con el acuerdo recogido en acta.
- Pedir informes periódicos con pocos indicadores en lenguaje de negocio: riesgos principales, incidentes, avance del plan y proveedores críticos.
- Formarse con un programa para consejeros y guardar el registro de asistencia.
- Asignar un responsable de seguridad con autoridad y presupuesto suficiente.
- Supervisar la cadena de suministro, porque muchos incidentes entran por un proveedor.
- Ensayar un incidente grave con la dirección presente, incluidos los plazos de notificación de 24 horas, 72 horas y un mes.
- Revisar todo al menos una vez al año, o antes si cambia el negocio o la amenaza.
Si necesitas un calendario, nuestro plan de implantación de NIS2 en 90 días reparte estos pasos por fases.
Situación en España (octubre de 2026)
España no ha transpuesto NIS2, aunque el plazo venció el 17 de octubre de 2024. Por eso, en julio de 2026 la Comisión llevó a España ante el Tribunal de Justicia de la UE. Además, el Real Decreto 806/2026 disolvió las Cortes y convocó elecciones para el 29 de noviembre, así que la ley no se aprobará en 2026. Mientras tanto, sigue vigente el Real Decreto-ley 12/2018.
Por ejemplo, ese real decreto-ley obliga a los operadores de servicios esenciales a designar un responsable de seguridad de la información. Sin embargo, sus sanciones, de hasta un millón de euros, recaen sobre la entidad y no sobre sus directivos. Ahora bien, el consejo ya tiene hoy un deber general: la Ley de Sociedades de Capital exige a los administradores la diligencia de un ordenado empresario (artículo 225) y les hace responder de los daños causados con dolo o culpa (artículo 236). Por tanto, la responsabilidad de los directivos que prevé NIS2 todavía no se exige en España como tal. Lo ampliamos en el estado de la transposición de NIS2 en España.
NIS2 y DORA: la responsabilidad de los directivos comparada
En cambio, si tu entidad es financiera, la norma que manda es DORA, que funciona como ley sectorial específica. Su artículo 5 va incluso más lejos que NIS2. Así, la responsabilidad de los directivos en NIS2 y en DORA se parece, pero no es idéntica. También lo resumimos en qué es DORA y a quién afecta.
| Aspecto | NIS2 (arts. 20, 32 y 33) | DORA (arts. 5 y 50) |
|---|---|---|
| Tipo de norma | Directiva: depende de la ley nacional | Reglamento: aplicable desde el 17/01/2025 |
| Qué aprueba la dirección | Las medidas de gestión de riesgos del art. 21 | Todo el marco de riesgo TIC, la estrategia de resiliencia, la continuidad, las auditorías y la política de terceros |
| Grado de responsabilidad | El órgano de dirección puede responder de las infracciones del art. 21 | «Responsabilidad última» de la gestión del riesgo TIC (art. 5.2.a) |
| Formación | Obligatoria para los miembros del órgano de dirección | Formación específica y periódica para mantenerse al día (art. 5.4) |
| Presupuesto | No lo menciona expresamente | Asignar y revisar el presupuesto de resiliencia (art. 5.2.g) |
| Sanciones a personas | Responsabilidad personal (32.6) y suspensión en esenciales (32.5) | Sanciones aplicables a los miembros del órgano de dirección según la ley nacional (art. 50.5) |
Preguntas frecuentes sobre la responsabilidad de los directivos en NIS2
¿Pueden sancionar personalmente a un administrador?
Sí, si la ley nacional lo prevé, porque la directiva obliga a que sea posible. De hecho, el artículo 32.6 exige que quien dirige o representa la entidad pueda responder por no asegurar el cumplimiento. Sin embargo, cómo y ante quién lo fijará cada país.
¿Puede un consejero quedar apartado de su cargo?
Solo en entidades esenciales, como último recurso y de forma temporal. Además, afecta solo a quien dirige como consejero delegado o representante legal, y dura hasta que la entidad corrige las deficiencias.
¿Qué formación tiene que recibir la dirección?
La suficiente para identificar riesgos y valorar las prácticas de gestión de la ciberseguridad. No te exige ser experto técnico, pero sí entender lo bastante para no aprobar a ciegas.
¿Se aplica ya la responsabilidad de los directivos de NIS2 en España?
Todavía no, porque falta la ley de transposición. Aun así, el deber de diligencia de los administradores ya existe. Además, si operas en países que sí han transpuesto, allí te puede aplicar.
¿Basta con delegar en el responsable de seguridad?
No. Puedes delegar la ejecución, pero aprobar, supervisar y entender siguen siendo tareas de la dirección. De hecho, «lo llevaba informática» no exonera: demuestra el deber incumplido.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC con la responsabilidad de los directivos en NIS2
Atalaya GRC le da al consejo una visión clara del estado real, servicio por servicio, en lenguaje de negocio. También registra aprobaciones, revisiones y formación como evidencias con fecha. Además, con «un control, varias normas» reutilizas lo hecho para ISO 27001, ENS o DORA. Por último, el reloj regulatorio te avisa de plazos, y la gestión de incidentes guía las notificaciones de 24 y 72 horas. Consulta nuestra ficha sobre NIS2 o pide una demo.
