Ha leído en algún lugar que las multas de la Directiva NIS2 pueden llegar a diez millones de euros o al dos por ciento de la facturación, y se pregunta si eso puede ocurrirle. La respuesta corta es: esos importes figuran efectivamente en la directiva, pero están destinados a las entidades esenciales e importantes — organizaciones que están sujetas a la Directiva NIS2, con obligaciones de diligencia debida, registro y notificación de incidentes. Si su empresa no está sujeta a ella pero suministra a una de esas organizaciones, una multa no es el riesgo que debería mantenerle despierto.
El riesgo que sí es más probable que le afecte es más práctico y llega más rápido: un cliente que está obligado por la diligencia debida debe evaluar a sus proveedores. Si no puede responder al cuestionario de seguridad o demostrar el cumplimiento de los requisitos contractuales, el resultado suele no ser una multa, sino la pérdida del contrato. Ese proceso suele durar semanas, no años.
Para quién está realmente destinada la multa
La directiva enfoca la aplicación en las organizaciones que están obligadas: las entidades esenciales e importantes de los sectores enumerados en los anexos I y II. Para ellas, la ley nacional — en los Países Bajos, la Ley de Ciberseguridad — determina cómo actúa la autoridad supervisora si no se cumple la obligación de diligencia debida o la obligación de notificación. Si usted no está obligado por la ley pero suministra a una de esas entidades, no es parte de ese procedimiento de aplicación. Siente el efecto de la directiva, pero a través de los requisitos contractuales de su cliente, no mediante una resolución de multa a su nombre. Si duda sobre si su organización está sujeta a la ley, eso se puede determinar con algunas preguntas a través de el control que muestra su situación en unos pocos pasos.
Los importes que menciona la directiva
La directiva en sí menciona importes máximos para entidades esenciales e importantes, con un techo más alto para las esenciales que para las importantes. Siempre se trata del mayor de un importe fijo o un porcentaje de la facturación mundial anual — no automáticamente el importe completo en cada infracción. Cómo sopesa la autoridad supervisora en un caso concreto y qué importe se impone realmente no está determinado en la directiva y depende de la autoridad supervisora competente. Deliberadamente no hacemos predicciones sobre eso; lo que dicen exactamente la directiva y la ley nacional, puede consultarlo en el texto oficial y en las publicaciones de la autoridad supervisora.
Por qué el contrato llega antes que la multa
Un procedimiento de multa generalmente comienza solo después de señales, investigación y una oportunidad de corrección — eso lleva tiempo. Un departamento de compras que envía un cuestionario de seguridad no espera eso. Si falta la respuesta o es incompleta, el pedido generalmente simplemente se adjudica a otro proveedor, o recibe un plazo de corrección que debe cumplir. Eso hace que la conversación con su cliente sea más urgente para la mayoría de las pequeñas y medianas empresas que la pregunta de si alguna vez aparecerá una multa. Más información sobre qué hay exactamente detrás de ese cuestionario se encuentra en el resumen de temas que se han aclarado según cada situación.
Lo que esto significa si es proveedor en la cadena
Si no está obligado por la ley pero es proveedor de una organización obligada, la pregunta no es si se avecina una multa, sino si puede demostrar que tiene las medidas solicitadas en orden. Se trata de documentación de prueba, un responsable por cada medida y una respuesta que no tiene que reinventar cada vez. Quien lo ha establecido una vez responde el siguiente cuestionario con mucho menos trabajo. Las preguntas frecuentes sobre qué se le puede pedir y qué no, están recopiladas en la página de preguntas frecuentes.
Si usted está obligado como entidad esencial o importante, la multa cuenta como último recurso, pero la obligación de diligencia debida en sí es el trabajo real: tomar medidas, documentarlas y poder demostrarlas. Cómo está estructurado ese proceso y de dónde procede la información en este sitio se explica en la página que explica cómo funciona la plataforma.
¿Quiere saber si su organización está sujeta a la Directiva NIS2 o solo se ve afectada a través de un cliente? Realice el control gratuito de NIS2, o primero lea la base de conocimientos con calma — ambos son accesibles sin cuenta.