La responsabilidad personal de la dirección ante un ciberincidente: ¿qué cambia con NIS2?

NIS2 traslada la responsabilidad de la ciberseguridad al órgano de dirección. Los miembros deben aprobar las medidas de gestión de riesgo, supervisar su aplicación e incluso formarse en la materia. El incumplimiento puede acarrear responsabilidad personal e incluso la suspensión temporal para ejercer funciones directivas en la entidad. Deja de ser un asunto delegable al departamento de IT.

Imagina la próxima reunión del consejo. Entre la aprobación de cuentas, el plan comercial y las inversiones del año aparece un punto nuevo en el orden del día: el estado de la ciberseguridad de la empresa. Con NIS2, ese punto se convierte en una pieza fija de la agenda, con el mismo peso que las finanzas o el cumplimiento legal.

Para muchos consejeros es un terreno nuevo, y es natural que surjan preguntas: qué se espera exactamente de ellos, hasta dónde llega su responsabilidad y cómo pueden demostrar que han hecho bien su trabajo. La respuesta tranquiliza: la directiva pide cuatro cosas concretas, y todas se resuelven con decisiones claras, un seguimiento periódico y documentación sencilla.

Las direcciones que asumen este papel pronto descubren además una ventaja: la ciberseguridad pasa a gestionarse con la misma lógica que el resto del negocio, con indicadores, presupuesto y prioridades. En este artículo verás qué pide NIS2 al órgano de dirección, qué evidencias acreditan su diligencia y por dónde empezar para que el consejo ejerza su papel con criterio desde la primera sesión.

La ciberseguridad ya está en la agenda del consejo, y ese es el verdadero cambio

Durante años, la respuesta a un incidente en un consejo de administración fue la misma: «eso lo lleva sistemas». Era una respuesta razonable mientras las normas lo permitieran.

NIS2 sitúa ahora al órgano de dirección en el centro del cumplimiento y establece consecuencias personales. La consecuencia práctica es que ahora el consejo tiene que demostrar que supervisó su parte.

Es lo mismo que ocurrió con la prevención de riesgos laborales o con el cumplimiento penal: materias técnicas que ascienden a la agenda de dirección porque la ley pone un nombre y un apellido detrás de las decisiones.

La NIS2 pide cuatro cosas concretas al órgano de dirección

1. Aprobar las medidas de gestión de riesgos de ciberseguridad. No revisarlas ni conocerlas: aprobarlas formalmente, lo que implica entenderlas lo suficiente para asumirlas.

2. Supervisar su implantación de forma documentada y periódica. El seguimiento recurrente es lo que acredita diligencia.

3. Formarse, y promover formación equivalente en la plantilla. La directiva menciona expresamente la formación de los miembros del órgano de dirección.

4. Responder ante la autoridad competente de las decisiones tomadas y, muy especialmente, de cómo se documentaron las que quedaron pendientes.

Lo que se valora es la diligencia, y la diligencia es demostrable

Este matiz cambia por completo la conversación interna, y conviene que lo entienda todo el comité.

Las normas parten de una premisa realista: cualquier organización puede sufrir un incidente. Lo que se evalúa después es distinto: si la organización identificó sus riesgos, si adoptó medidas proporcionadas, si las revisó, y si notificó en plazo.

Una empresa con un plan razonable, evidencias de seguimiento y una notificación puntual está en una posición mucho más sólida que otra con el mismo ataque y sin análisis previo. La buena noticia es que esa posición se construye con antelación y con documentos sencillos.

La diligencia se demuestra en papel, no con intenciones

Si un inspector o un juez solicita pruebas dentro de dos años, lo que existirá es documentación. Estas son las evidencias que conviene generar desde ahora:

• Actas donde conste la aprobación de la política y del plan de seguridad, con fecha.
• Registro de revisión periódica de riesgos e indicadores, idealmente con cadencia trimestral en el comité.
• Constancia de la formación recibida por los miembros del órgano de dirección.
• Procedimiento de notificación de incidentes probado, además de escrito. Un simulacro documentado aporta más que un manual impecable, y se resuelve en un par de horas.
• Análisis de riesgos actualizado, con las decisiones de aceptar o mitigar cada riesgo firmadas por quien corresponde.
• Evaluación de proveedores críticos, porque la cadena de suministro es responsabilidad propia.

Externalizar o no externalizar

Esta es una cuestion que aparece a menudo en los consejos, y no siempre tiene una respuesta clara.

Un proveedor de seguridad gestionada puede operar la vigilancia, responder a incidentes, mantener la documentación y aportar los informes, pero el deber de aprobación y supervisión sigue correspondiendo a los administradores, que es donde la norma lo sitúa.

La duda reside en si dirigir esa inversión, que no es menor, hacia la externalización o hacia la gestión interna y correr el riesgo de saturar un departamento ya normalmente saturado de funciones. O externalizar en profesionales que se dedican 100% a ello. Porque externalizar bien facilita mucho demostrar diligencia, y genera de forma automática las evidencias que el consejo necesita para ejercer su papel con criterio.

Por donde empezar

Lo que suele funcionar en la práctica, y además se recibe bien:

1. Un punto fijo trimestral en el comité, con tres indicadores estables y comparables en el tiempo: nivel de madurez, incidentes y tiempo de respuesta, estado de cumplimiento.
2. Un diagnóstico independiente como punto de partida, para que la primera conversación se apoye en datos propios.
3. Un plan por fases con presupuesto anual, que da previsibilidad frente a las peticiones puntuales.
4. Una sesión de formación específica para el órgano de dirección, que además cubre un requisito expreso de la norma.
5. Un simulacro de crisis al año, que enseña en dos horas lo que cuesta meses explicar en papel.

Preguntas frecuentes