Guía NIS2 · 7 min
NIS2 y la responsabilidad de la dirección: lo que consejos y líderes deben saber
NIS2 hace algo que las normas de ciberseguridad anteriores apenas hacían: pone la ciberseguridad en el escritorio del órgano de dirección, por su nombre. La dirección debe aprobar las medidas de gestión de riesgos, supervisarlas, y puede ser considerada personalmente responsable cuando fallan. Esta guía expone qué espera la directiva de consejos y directivos, las preguntas que vale la pena plantear a su equipo de seguridad, cómo es de verdad un buen reporte, y el coste de equivocarse.
Puntos clave
- Los órganos de dirección deben aprobar y supervisar las medidas de gestión de riesgos, y pueden ser responsables ante los fallos (art. 20).
- La dirección debe recibir formación en ciberseguridad; el deber no puede transferirse por completo a TI.
- Las sanciones llegan a 10 M€ o el 2 % de la facturación global para entidades esenciales, 7 M€ o 1,4 % para las importantes (art. 34).
- Los consejos deberían esperar un reporte breve y basado en evidencia (cobertura, velocidad de remediación y riesgo abierto) no una garantía anual.
La dirección está nombrada, y comprometida
En virtud del artículo 20, el órgano de dirección de una entidad esencial o importante debe aprobar las medidas de gestión de riesgos de ciberseguridad de la entidad y supervisar su aplicación. No es una formalidad que se pueda delegar: la directiva hace a la dirección responsable de que las medidas estén realmente en marcha y funcionen de verdad.
Y los miembros del órgano de dirección pueden ser considerados responsables de las infracciones de la entidad. Esa responsabilidad está escrita en la propia directiva; cómo se concreta depende de la transposición nacional. La ciberseguridad es, por tanto, una cuestión de gobernanza, no solo de TI: pertenece al orden del día del consejo, junto al riesgo financiero y jurídico, no a una diapositiva trimestral que nadie lee.
Los cuatro deberes de un órgano de dirección
En la práctica, las expectativas de gobernanza de la directiva se reducen a cuatro cosas que la dirección debe hacer:
- Aprobar las medidas: dar el visto bueno a las medidas de gestión de riesgos (la base del art. 21), con suficiente comprensión para saber qué está aprobando realmente.
- Supervisar la aplicación: asegurarse de que las medidas estén verdaderamente desplegadas y sigan siendo eficaces con el tiempo, con reportes periódicos al consejo.
- Recibir formación: los miembros deben seguir formación en ciberseguridad para reconocer riesgos y juzgar si las medidas son adecuadas (art. 20(2)); una formación similar debería llegar al personal.
- Ser responsable: asumir el resultado. La responsabilidad por los fallos recae en el órgano de dirección, y las autoridades de control pueden actuar directamente contra la dirección.
Preguntas para su equipo de seguridad
No hace falta ser ingeniero de seguridad para ejercer la supervisión. Un consejo cumple buena parte de su deber simplemente planteando las preguntas adecuadas y esperando respuestas respaldadas por evidencia:
Vea su puntuación real y la de sus proveedores
7 días gratuitos · sin tarjeta de crédito · cancele cuando quiera
Cómo es un buen reporte al consejo
La supervisión necesita señal, no un anexo de sesenta páginas. Una línea NIS2 útil para el consejo es breve, comparable en el tiempo y construida sobre evidencia:
Cobertura
Qué proporción de proveedores y activos en el ámbito se monitoriza realmente: las brechas son de donde vienen las sorpresas.
Velocidad de remediación
Tiempo medio de resolución de hallazgos críticos y altos: la tendencia dice más que cualquier cifra aislada.
Riesgo abierto
Los hallazgos críticos y altos actuales, más los documentados y aceptados: NIS2 espera riesgo gestionado, no un expediente limpio.
Preparación ante incidentes
¿Pueden cumplirse los plazos de notificación, y se han ensayado: incluido un incidente que empieza en un proveedor?
El coste de equivocarse, y de acertar
Las sanciones del artículo 34 llegan a hasta 10 millones de euros o el 2 % de la facturación anual mundial total (lo que sea mayor) para entidades esenciales, y hasta 7 millones de euros o el 1,4 % para las importantes. Las autoridades de control también pueden emitir instrucciones vinculantes, ordenar la publicación de un incidente y (para entidades esenciales) suspender temporalmente funciones de dirección. Para la dirección, la exposición reputacional y la responsabilidad personal pueden pesar más que la propia multa.
Bien hecho, suele ser menos cuestión de nuevo gasto que de orientar los controles existentes en la dirección correcta: las medidas del artículo 21 se solapan en gran medida con lo que muchas organizaciones ya operan (ISO 27001, continuidad de negocio, control de acceso). Lo que NIS2 realmente fuerza es el cambio de una garantía puntual a una gestión continua y basada en evidencia, que es también lo que convierte el reporte de supervisión en algo genuinamente informativo en vez de un ritual.
Fuente: Directiva (UE) 2022/2555 (NIS2), artículos 20 y 34 — consulte su ley nacional de transposición para las disposiciones exactas de responsabilidad y formación en su país.
Cómo ayuda norppa.io
norppa.io convierte el riesgo cibernético de proveedores y terceros en la clase de evidencia que un consejo puede usar de verdad: una puntuación de riesgo clara por proveedor, hallazgos vinculados a los artículos NIS2 a los que responden, y un informe escrito para la dirección y no para los ingenieros.
Cobertura, historial de remediación y riesgo abierto son visibles de un vistazo, con el rastro de auditoría completo listo para exportar: para que la dirección pueda demostrar una supervisión activa, y la misma evidencia responda a las preguntas de una autoridad de control cuando lleguen.
Un espacio de trabajo específico de responsabilidad de la dirección permite a la persona responsable registrar su aprobación del artículo 20, validar los riesgos críticos de proveedores, mantener al día la formación de la dirección y exportar un expediente de diligencia debida a prueba de manipulaciones para el consejo, un regulador o un ciberasegurador. Documenta el deber de diligencia; nunca certifica el cumplimiento.