Multas NIS2: qué prevé el § 65 BSIG
El § 65 BSIG fija importes máximos. Infringir las medidas de seguridad o la obligación de notificar puede acarrear una multa de hasta 10 millones de euros (entidad esencial) o 7 millones de euros (entidad importante). Por no registrarse, el límite es de 500.000 euros. Son límites máximos, no importes fijos. La autoridad que decide es el BSI.
Qué infracción tiene qué límite máximo
Los casos principales del § 65 BSIG. El primer importe se aplica a las entidades esenciales; el segundo, a las importantes. Cuando solo hay un importe, se aplica a ambas.
| Infracción | Máximo |
|---|---|
| Medidas de seguridad no tomadas, no tomadas correctamente o no a tiempo§ 65(2) n.º 2 | 10 M€ / 7 M€ |
| Implementación de las medidas no documentada§ 65(2) n.º 3 | 10 M€ / 7 M€ |
| Incidente significativo no notificado, notificado de forma incorrecta o tarde, informe final omitido§ 65(2) n.º 4 y 5 | 10 M€ / 7 M€ |
| Orden del BSI de informar a los clientes sobre un incidente no cumplida§ 65(2) n.º 1(d) | 10 M€ / 7 M€ |
| No registrado o registrado tarde, datos no comunicados§ 65(2) n.º 6 | 500.000 € |
| Ciertas órdenes del BSI no cumplidas, como presentar pruebas§ 65(2) n.º 1(c) | 500.000 € |
| Acceso, documentos o información denegados durante una inspección del BSI§ 65(2) n.º 17 | 100.000 € |
Los importes máximos están en el § 65(5) BSIG.
Cuándo se aplica un porcentaje de la facturación
En empresas muy grandes, la multa puede ser mayor: hasta el 2 % (entidad esencial) o el 1,4 % (entidad importante) de la facturación total mundial. Esto solo se aplica si esa facturación supera los 500 millones de euros.
Cuenta la facturación de la empresa a la que pertenece la entidad, en el ejercicio anterior a la decisión. Puede estimarse.
La directiva de la UE prevé el mayor de los dos valores, el importe fijo o el porcentaje (art. 34(4) y (5) NIS 2). La ley alemana vincula el porcentaje al umbral de 500 millones de euros de facturación.
§ 65(6) a (8) BSIG
Quién decide, y cómo
Las multas del § 65 BSIG las impone el BSI. Son infracciones administrativas; el procedimiento sigue la Ley alemana de infracciones administrativas (OWiG).
Los importes son límites máximos. La cuantía de una multa en cada caso depende, según la directiva, de factores como la gravedad y la duración de la infracción, las infracciones anteriores, el daño, el dolo o la negligencia y la cooperación con la autoridad.
Si una autoridad de protección de datos ya ha multado la misma conducta según el RGPD, el BSI no puede imponer otra multa.
En nuestra última comprobación, en agosto de 2026, el BSI no había publicado ninguna multa según el nuevo BSIG.
§ 65(10) y (11) BSIG · Art. 32(7), Art. 34(3) NIS 2
¿Y la dirección?
Al margen de las multas, el § 38 BSIG regula los deberes de la dirección: implementar las medidas, supervisar su implementación y participar periódicamente en formaciones. Si la dirección los incumple de forma culpable, responde ante su propia empresa por el daño, según el Derecho de sociedades.
En las entidades esenciales, la autoridad de supervisión puede, como último recurso, prohibir temporalmente a la dirección que ejerza su función si no se cumplen órdenes del BSI pese a un plazo (§ 61(9) BSIG).
La responsabilidad de la dirección según el § 38 BSIGQué significa esto para una empresa de 50 a 150 empleados
Con 50 a 249 empleados, una empresa suele ser entidad importante. Con este tamaño solo es esencial si, en un sector del Anexo 1, tiene más de 50 millones de euros de facturación y más de 43 millones de euros de balance, o si opera una instalación crítica (§ 28 BSIG).
Para una entidad importante, el límite por medidas y notificación es por tanto de 7 millones de euros. Un porcentaje de la facturación solo entra en juego a partir de 500 millones de euros de facturación.
Los deberes con los límites más altos son los que hay que cumplir de todos modos: tomar las medidas, documentarlas y notificar los incidentes significativos.
Un ejemplo
Una empresa inventada: un fabricante de máquinas herramienta con 140 empleados y 28 millones de euros de facturación.
La fabricación de maquinaria figura en el Anexo 2 del BSIG. Con 140 empleados, la empresa es entidad importante.
Se aplican los límites fijos: hasta 7 millones de euros por medidas y notificación, hasta 500.000 euros por el registro. Un porcentaje de la facturación no entra en juego.
Como entidad importante, el BSI solo la inspecciona si hay hechos que indiquen que no cumple el § 30, el § 32 o el § 38(3) BSIG (§ 62 BSIG).
La empresa está registrada, ha documentado sus medidas y sabe quién notifica un incidente. Así cubre los deberes a los que la ley vincula los importes más altos.
Cómo lo hace el recorrido guiado
El recorrido guiado de nisd2.eu le lleva por los deberes a los que el § 65 BSIG vincula los importes más altos.
Cada uno de los diez ámbitos del § 30(2) BSIG se convierte en al menos un paso que usted rellena.
Lo que decide queda después por escrito: como documento generado con sus respuestas, o como lista cuando basta una lista.
Un paso muestra los tres plazos de notificación y pregunta si puede iniciar sesión en el portal del BSI y notificar.
Un paso registra su registro ante el BSI.
Al final, la dirección aprueba los documentos en la app, con su propia cuenta.
Preguntas frecuentes
¿Se han impuesto ya multas NIS2 en Alemania?
En nuestra última comprobación, en agosto de 2026, el BSI no había publicado ninguna multa según el nuevo BSIG. Los importes máximos se aplican desde el 6 de diciembre de 2025.
¿La multa es siempre de 10 millones de euros?
No. 10 millones de euros es el límite máximo para las entidades esenciales por infringir las medidas y la obligación de notificar. El importe en cada caso depende de factores como la gravedad, la duración y las consecuencias de la infracción.
¿Se aplica el porcentaje de la facturación a las pymes?
Solo si la facturación total de la empresa a la que pertenece la entidad supera los 500 millones de euros (§ 65(6) y (7) BSIG). Si no, se aplican los importes máximos fijos.
¿Quién impone las multas NIS2 en Alemania?
El BSI (§ 65(10) BSIG).
¿Puede haber además una multa según el RGPD?
No por la misma conducta. Si una autoridad de protección de datos ya la ha multado, el BSI no puede imponer otra multa (§ 65(11) BSIG).
Fuentes
- Ley del BSI (BSIG) §§ 28, 30, 32, 33, 38, 61, 62, 65, gesetze-im-internet.de/bsig_2025
- Directiva (UE) 2022/2555 (NIS 2), art. 32(7) y art. 34, EUR-Lex
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
