Introducción
Durante la mayor parte de 2025 y principios de 2026, la aplicación de NIS2 fue teórica: una directiva con elevados importes máximos de sanción y sin historial. Eso cambió este verano. Ya se han impuesto multas confirmadas en al menos cuatro Estados miembros, las órdenes formales de supervisión se cuentan por decenas solo en Alemania y Francia y, el 8 de julio de 2026, la Comisión Europea llevó a Irlanda, España, Francia y los Países Bajos ante el Tribunal de Justicia de la Unión Europea por no haber transpuesto plenamente la directiva al Derecho nacional. NIS2 ya no es un plazo de cumplimiento en una diapositiva. Es un régimen de supervisión y sanción en plena aplicación.
Las multas hasta ahora
- Bélgica: aproximadamente 185.000 €
- Italia: aproximadamente 450.000 €
- Hungría: aproximadamente 78.000 €
- Lituania: aproximadamente 52.000 €
La actividad supervisora va por delante de las multas
Las multas son un indicador rezagado. La señal más inmediata es el volumen de órdenes formales de supervisión ya emitidas: unas 47 por parte del BSI alemán y 23 por parte de la ANSSI francesa, que actúa con su marco vigente de 2018 mientras la transposición formal de NIS2 sigue pendiente en el país. Ya hay programas de auditoría en marcha en al menos 14 Estados miembros, dirigidos en primer lugar a las entidades esenciales. Una organización que aún no ha sido multada no debe interpretarlo como prueba de que cumple, sino solo como señal de que su supervisor todavía no ha llegado hasta ella.
Por qué cuatro Estados miembros se enfrentan al Tribunal de Justicia
NIS2 exigía la transposición nacional antes de octubre de 2024. En mayo de 2026, unos 21 a 23 de los 27 Estados miembros lo habían hecho, lo que dejaba a una minoría persistente (incluidas algunas de las mayores economías de la UE) operando con marcos nacionales parciales o incompletos. Que la Comisión haya llevado a Irlanda, España, Francia y los Países Bajos ante el TJUE es una escalada formal, no un gesto simbólico: inicia un procedimiento judicial que, en última instancia, puede acabar en sanciones económicas contra el propio Estado miembro, que se suman a las obligaciones que ya recaen sobre las entidades reguladas que operan allí, sin sustituirlas.
Qué significa esto, en la práctica, para la evidencia de cumplimiento
Las organizaciones que hasta ahora han evitado las multas no son las que tienen las mejores políticas sobre el papel: las multas han recaído en entidades esenciales e importantes que, al ser investigadas, no pudieron aportar evidencia continua de los controles que describían sus documentos de políticas. Una auditoría supervisora no pregunta si existe una política de seguridad; pregunta si la organización puede demostrar, mediante evidencia con sello de tiempo, que la política se cumplió en las fechas que importan. Es precisamente en esa distinción donde la evidencia de cumplimiento verificable por máquina y generada de forma continua supera a un expediente de auditoría que refleja un único momento.
A medida que la aplicación de NIS2 pasa de la teoría a la práctica, las multas están recayendo precisamente en la brecha entre una política de cumplimiento y la evidencia de cumplimiento. Descubra cómo ROOTKey genera evidencia NIS2 continua y lista para auditoría.