Ley 2/2023: multas de hasta un millón de euros y hasta cuatro años sin contratos públicos por fallos en el canal de denuncias
28 de mayo de 2026 · Por David Soler
La Ley 2/2023, reguladora de la protección del informante, no se limita a exigir un canal interno de denuncias: articula un régimen sancionador propio, con multas que alcanzan el millón de euros y sanciones accesorias capaces de apartar a una empresa de subvenciones y contratos públicos. Entender cómo se gradúan esas sanciones es la mejor guía para priorizar el cumplimiento.
Tres tramos y un techo de un millón de euros
La norma clasifica las infracciones en leves, graves y muy graves. Para las personas jurídicas, las multas se escalonan así:
- Leves: hasta 100.000 euros.
- Graves: entre 100.001 y 600.000 euros.
- Muy graves: entre 600.001 y 1.000.000 de euros.
Comparado con los techos del RGPD (hasta 20 M€ o el 4% de la facturación global), el millón de euros puede parecer moderado. La lectura correcta es otra: aquí el tramo alto se alcanza con conductas organizativas perfectamente evitables, y las accesorias multiplican el daño real.
¿Qué conductas le sitúan en el tramo muy grave?
El legislador reserva el tramo superior para los incumplimientos que atacan la esencia del sistema:
- No disponer del canal interno estando obligado a implantarlo.
- Adoptar represalias contra el informante o limitar sus derechos y garantías.
- Vulnerar la confidencialidad de la identidad del informante o el deber de secreto sobre la información gestionada.
Obsérvese el patrón: no se castiga con más dureza el hecho denunciado, sino el fallo del propio sistema de protección. Una organización puede no haber cometido irregularidad de fondo alguna y aun así exponerse al tramo máximo por gestionar mal su canal.
Las accesorias duelen más que la multa
En las infracciones muy graves, la autoridad puede añadir la amonestación pública y, sobre todo, la prohibición de obtener subvenciones y otros beneficios y de contratar con el sector público durante un plazo de hasta cuatro años. Para compañías cuyo negocio depende de licitaciones o ayudas, esa exclusión puede superar con mucho el impacto de la multa dineraria. Es, en la práctica, el riesgo que debe presidir cualquier análisis de exposición.
La diligencia demostrada es su mejor atenuante
La graduación de la sanción pondera la culpabilidad y el grado de diligencia de la organización. Y la diligencia no se declara: se acredita. Quien puede exhibir el acta de designación del responsable del sistema, la política publicada, los acuses de recibo emitidos en plazo y la trazabilidad de cada expediente parte de una posición radicalmente distinta ante la autoridad independiente.
El tramo de la sanción no lo decide su discurso de cumplimiento, sino la evidencia que puede poner sobre la mesa: registros, plazos acreditados y trazabilidad del canal.
Recomendaciones inmediatas:
- Verifique que su canal cumple los requisitos formales de la norma y documente esa verificación.
- Registre los plazos de acuse y de respuesta de cada comunicación recibida.
- Blinde la confidencialidad con controles de acceso documentados y forme a quienes gestionan el canal, dejando constancia de ello.
Consulte la ficha completa de la Ley 2/2023 y el resto de análisis de sanciones del Radar Regulatorio para pasar del papel a la evidencia antes de que la pida un inspector.