Marco legal

Ley 2/2023: todo lo que tu empresa necesita saber sobre el canal de denuncias

Guía actualizada a 2026 · 8 minutos de lectura

Publicado el 17 de marzo de 2026 por el equipo de EticAlert

Si tu empresa tiene 50 o más empleados en España, tienes una obligación legal que no puedes ignorar: disponer de un canal de denuncias operativo conforme a la Ley 2/2023. En esta guía explicamos qué es esta ley, a quién obliga, qué exige exactamente y qué consecuencias tiene no cumplir.

¿Qué es la Ley 2/2023?

La Ley 2/2023, de 20 de febrero, es la ley española que transpone la Directiva (UE) 2019/1937 del Parlamento Europeo —conocida como "Directiva Whistleblowing"— al ordenamiento jurídico nacional. Para ver el panorama completo de su aplicación práctica, consulta nuestra guía sobre whistleblowing en España.

Su nombre oficial es Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Fue publicada en el BOE el 21 de febrero de 2023 y tiene dos objetivos principales:

• Proteger a las personas que comunican infracciones normativas o hechos corruptos de posibles represalias por parte de la organización afectada.
• Establecer sistemas internos seguros, confidenciales y accesibles para canalizar esas informaciones.

La ley es de cumplimiento obligatorio. No es una recomendación ni un estándar voluntario. Las empresas que no la cumplen están expuestas a sanciones económicas directas.

¿A quién obliga la Ley 2/2023?

La obligación de disponer de un Sistema Interno de Información recae sobre las siguientes entidades:

• Empresas privadas con 50 o más trabajadores. El umbral se calcula como la media de trabajadores en los últimos 12 meses, no el número a una fecha concreta.
• Todas las entidades del sector público, con independencia de su tamaño: Administración General del Estado, comunidades autónomas, entidades locales, organismos públicos, universidades, etc.
• Partidos políticos, sindicatos y organizaciones empresariales que reciban o gestionen fondos públicos.
• Fundaciones vinculadas a partidos políticos o que reciban financiación pública.
• Municipios con más de 10.000 habitantes (los de menor tamaño pueden compartir canal con la diputación o mancomunidad correspondiente).
• Personas jurídicas con facturación superior a 10 millones de euros en el ejercicio anterior, aunque no alcancen el umbral de 50 empleados.

Las empresas de entre 50 y 249 empleados que pertenezcan a un grupo de empresas pueden compartir un único canal de denuncias. Sin embargo, cada empresa sigue siendo individualmente responsable del cumplimiento y del nombramiento de su RSII.

¿Es obligatorio el canal de denuncias con 50 trabajadores?

Sí. Desde el 1 de diciembre de 2023, toda empresa española con una media de 50 o más trabajadores en los últimos 12 meses está obligada a disponer de un canal interno de denuncias (Sistema Interno de Información). El umbral no se mide a una fecha concreta, sino como media anual: si has superado los 50 empleados de media, estás dentro de la obligación aunque hoy tengas 48 en plantilla.

El texto oficial es la Ley 2/2023, de 20 de febrero, publicada en el BOE (referencia BOE-A-2023-4513); el artículo 10 enumera las entidades obligadas. No cumplir se considera infracción muy grave, con multas de hasta 1.000.000€. Y recuerda: por debajo de 50 trabajadores la obligación se mantiene si tu actividad está regulada (blanqueo de capitales, sector financiero, juego, seguridad del transporte o medio ambiente), como detallamos a continuación.

Obligados por normativa sectorial, independientemente del tamaño

La Ley 2/2023 transpone la Directiva Whistleblowing, que obliga también a entidades privadas que operen en los ámbitos de la normativa de la Unión Europea sobre servicios, productos y mercados financieros, prevención del blanqueo de capitales, seguridad del transporte y protección del medioambiente. Esto significa que puede existir obligación aunque la empresa tenga menos de 50 empleados, si su actividad está regulada en alguno de estos sectores.

Sujetos obligados por prevención del blanqueo de capitales (Ley 10/2010):

• Asesorías fiscales, contables y de gestión societaria.
• Auditores de cuentas.
• Despachos de abogados en operaciones con incidencia financiera.
• Notarías y registros de la propiedad y mercantiles.
• Agencias y agentes inmobiliarios, promotores inmobiliarios.
• Entidades de pago, entidades de dinero electrónico y cambio de moneda.
• Plataformas y proveedores de servicios de criptoactivos.
• Casinos y operadores de juego.
• Compraventas de joyas, metales preciosos, antigüedades, arte y bienes de alto valor.
• Fundaciones y asociaciones en supuestos específicos de la Ley 10/2010.

Sector financiero y asegurador (aunque tengan menos de 50 empleados):

• Empresas de servicios de inversión (agencias y sociedades de valores).
• Gestoras de instituciones de inversión colectiva y de fondos de pensiones.
• Intermediarios financieros y plataformas de financiación participativa.
• Corredurías de seguros cuando les aplique normativa sectorial.
• Fintech reguladas bajo PSD2 u otras directivas europeas de servicios financieros.

Transporte y logística:

• Operadores de transporte aéreo y marítimo regulados.
• Transportistas ferroviarios sujetos a normativa de seguridad del transporte.
• Empresas de transporte por carretera en ámbitos específicamente regulados a nivel europeo.

Medio ambiente y actividades industriales:

• Gestores de residuos (recogida, transporte, valorización, eliminación).
• Empresas de tratamiento de aguas residuales.
• Actividades sujetas a autorización ambiental integrada.
• Empresas con instalaciones sujetas a la Directiva de Emisiones Industriales (DEI).
• Operadores de sustancias peligrosas regulados por la Directiva SEVESO.

Entidades que reciben o gestionan fondos públicos:

• Cualquier entidad privada —asociaciones, fundaciones, sociedades— que reciba subvenciones, contratos o financiación pública de forma relevante puede estar en el ámbito de aplicación de la ley, aunque tenga menos de 50 empleados.

¿Qué requisitos debe cumplir el canal?

La Ley 2/2023 no solo obliga a tener un canal: exige que ese canal tenga unas características mínimas. Estos son los requisitos técnicos y procedimentales:

• Confidencialidad garantizada mediante sistemas de cifrado y acceso restringido solo al personal autorizado que gestione el sistema.
• Accesibilidad 24/7 desde cualquier dispositivo, con interfaz clara e intuitiva para todo tipo de usuarios.
• Posibilidad de denuncias anónimas: el sistema debe permitir comunicaciones sin revelar la identidad del informante, garantizando que este pueda hacer seguimiento sin identificarse.
• Denuncias escritas y orales: el canal debe admitir tanto formularios escritos como comunicaciones verbales (teléfono o presencial) y, en caso de denuncia oral, debe quedar constancia documental de la misma.
• Acuse de recibo automático en un máximo de 7 días naturales desde la recepción de la comunicación.
• Gestión independiente e imparcial por un Responsable del Sistema Interno de Información (RSII) con autonomía funcional y libre de conflicto de interés en los asuntos que gestione.
• Cumplimiento del RGPD: minimización de datos, plazos de conservación, derechos de los interesados y protección frente a accesos no autorizados.
• Registro y trazabilidad de todas las comunicaciones y actuaciones, con constancia del estado de cada denuncia y las decisiones adoptadas.
• Información al denunciante en un plazo máximo de 3 meses sobre las medidas adoptadas o en curso.
• Acceso para todos los colectivos vinculados a la organización: empleados actuales, exempleados, candidatos, proveedores, contratistas, clientes, socios y cualquier tercero relacionado.

Plazos de implementación

La Ley 2/2023 estableció diferentes plazos de obligatoriedad según el tamaño de la entidad:

• 13 de junio de 2023: obligatorio para empresas con 250 o más trabajadores y para todas las entidades del sector público.
• 1 de diciembre de 2023: obligatorio para empresas de entre 50 y 249 empleados, municipios de menos de 10.000 habitantes y demás entidades obligadas.
• Febrero de 2026: la AIPI activa su sede electrónica y el formulario oficial para notificar la designación del RSII. Inicio del enforcement real por parte de la autoridad.
• 10 de abril de 2026: fecha límite del plazo de 2 meses habilitado por la AIPI para comunicar la designación del RSII.

Si tu empresa tenía obligación desde 2023 y aún no ha implementado el canal, está en incumplimiento desde entonces. Cada mes que pasa sin actuar aumenta el riesgo de sanción.

Régimen de sanciones

El incumplimiento de la Ley 2/2023 puede acarrear sanciones administrativas significativas. El régimen se estructura en tres niveles:

• Infracciones muy graves (ej. no disponer de canal, represalias contra el informante): hasta 1.000.000€ para personas jurídicas y hasta 300.000€ para personas físicas.
• Infracciones graves (ej. canal que no cumple los requisitos técnicos): hasta 600.000€ para personas jurídicas y hasta 200.000€ para personas físicas.
• Infracciones leves (ej. incumplimientos procedimentales menores): hasta 100.000€ para personas jurídicas y hasta 25.000€ para personas físicas.

Un aspecto especialmente relevante es la responsabilidad personal. Los administradores y directivos pueden ser sancionados individualmente si se demuestra que el incumplimiento deriva de una falta de diligencia o supervisión en el ejercicio de sus funciones.

Consulta más detalles en nuestro artículo sobre la AIPI y sus competencias sancionadoras →

¿Cómo cumplir de forma sencilla?

Existen varias opciones para implementar el canal de denuncias en tu empresa:

• Desarrollo interno: construir el sistema desde cero. Requiere recursos técnicos importantes, conocimiento legal profundo y mantenimiento continuo. Recomendado solo para grandes corporaciones con equipo tech interno.
• Consultoría especializada: contratar un despacho o consultora de compliance que implemente el canal. Opción válida pero habitualmente cara y lenta.
• Plataforma SaaS especializada: la solución más rápida y económica para la pyme. Canal operativo en minutos, requisitos técnicos ya cubiertos por la plataforma, precio fijo mensual.

EticAlert es una plataforma SaaS diseñada específicamente para pymes españolas que necesitan activar su canal en el menor tiempo posible. Starter 9€/mes hasta 20 empleados, 39€/mes para empresas de 50 a 150 empleados (obligadas por ley). Sin consultoría, con wizard de configuración guiada y todos los requisitos técnicos de la Ley 2/2023 cubiertos desde el primer día.

Recursos relacionados:

• Ver planes y precios de EticAlert →
• ¿Está tu empresa obligada? Comprobador rápido →
• Sanciones: ¿está tu empresa en riesgo? →
• Guía completa sobre canal de denuncias →
• La AIPI ya sanciona: cómo actuar →
• Guía práctica del RSII y formulario AIPI →
• Desglose completo de sanciones por tipo de infracción →
• Canal ético en la empresa: qué es y en qué se diferencia →
• Protocolo del canal de denuncias: fases, plazos y modelo →