Guía NIS2 · 7 min
NIS2 y la responsabilidad de la dirección: lo que el consejo y la alta dirección deben saber
NIS2 hace algo que las normas de ciberseguridad anteriores apenas hacían: pone la ciberseguridad expresamente sobre la mesa del órgano de dirección. La dirección debe aprobar las medidas de gestión de riesgos, supervisarlas y puede ser considerada personalmente responsable si fallan. Esta guía explica qué espera la directiva del consejo y los directivos, qué preguntas plantear a su equipo de seguridad, cómo es un buen reporte y cuánto cuesta equivocarse.
Puntos clave
- Los órganos de dirección deben aprobar y supervisar las medidas de gestión de riesgos cibernéticos — y pueden ser responsables de los incumplimientos (art. 20).
- La dirección debe recibir formación en ciberseguridad; el deber no puede delegarse por completo en TI.
- Las sanciones alcanzan 10 M€ o el 2 % del volumen de negocios mundial para entidades esenciales, 7 M€ o el 1,4 % para las importantes (art. 34).
- El consejo debe esperar un reporte conciso y basado en evidencias — cobertura, rapidez de remediación y riesgo abierto — no una garantía anual.
La dirección está señalada y comprometida
Conforme al artículo 20, el órgano de dirección de una entidad esencial o importante debe aprobar las medidas de gestión de riesgos cibernéticos de la entidad y supervisar su aplicación. No es una formalidad delegable: la directiva hace a la dirección responsable de que las medidas estén realmente implantadas y funcionen.
Es crucial que los miembros de los órganos de dirección puedan ser considerados responsables de los incumplimientos de la entidad. Esa responsabilidad está inscrita en la propia directiva; su forma concreta depende de la transposición nacional. La ciberseguridad es, por tanto, una cuestión de gobernanza, no solo de TI — pertenece al orden del día del consejo junto al riesgo financiero y jurídico.
Los cuatro deberes de un órgano de dirección
En la práctica, las expectativas de gobernanza de la directiva se reducen a cuatro cosas que la dirección debe hacer:
- Aprobar las medidas — validar las medidas de gestión de riesgos (la base del art. 21) con suficiente comprensión de lo que aprueba.
- Supervisar la aplicación — asegurar que las medidas se implanten realmente y sean eficaces con el tiempo, con reporte periódico al consejo.
- Recibir formación — los miembros deben recibir formación en ciberseguridad para identificar riesgos y juzgar la idoneidad de las medidas (art. 20(2)); debe ofrecerse formación similar al personal.
- Ser responsable — asumir el resultado. La responsabilidad por los incumplimientos recae en el órgano de dirección, y las autoridades de control pueden actuar directamente contra la dirección.
Preguntas para su equipo de seguridad
No necesita ser ingeniero de seguridad para ejercer la supervisión. Un consejo puede cumplir gran parte de su deber formulando las preguntas adecuadas y exigiendo respuestas basadas en evidencias:
Cómo es un buen reporte al consejo
La supervisión necesita señal, no un anexo de 60 páginas. Una línea de reporte NIS2 útil para el consejo es breve, comparable en el tiempo y basada en evidencias:
Cobertura
Qué proporción de los proveedores y activos en ámbito se supervisa realmente — las sorpresas vienen de los huecos.
Rapidez de remediación
Tiempo medio para resolver los hallazgos críticos y altos — la tendencia importa más que cualquier cifra aislada.
Riesgo abierto
Los hallazgos críticos/altos actuales y los riesgos documentados y aceptados — NIS2 espera riesgo gestionado, no cero hallazgos.
Preparación ante incidentes
¿Pueden cumplirse los plazos de notificación, y se han ensayado, incluso para incidentes causados por proveedores?
Lo que cuesta equivocarse — y acertar
Las sanciones del artículo 34 alcanzan hasta 10 millones € o el 2 % del volumen de negocios anual mundial total (el importe que sea mayor) para las entidades esenciales, y hasta 7 millones € o el 1,4 % para las importantes. Las autoridades de control también pueden emitir instrucciones vinculantes, ordenar la divulgación de incidentes y — en entidades esenciales — suspender temporalmente funciones de dirección. Para la dirección, la exposición reputacional y la responsabilidad personal pueden pesar más que la propia multa.
Bien hecho, suele tratarse menos de gasto nuevo que de reorientar controles existentes: las medidas del art. 21 se solapan ampliamente con controles que muchas organizaciones ya operan (ISO 27001, continuidad, control de acceso). El cambio que impone NIS2 va de la garantía puntual a una gestión continua y basada en evidencias — lo que también hace que el reporte de supervisión sea realmente informativo y no una formalidad.
Fuente: Directiva (UE) 2022/2555 (NIS2), artículos 20 y 34 — consulte su ley nacional de transposición para las disposiciones exactas de responsabilidad y formación en su país.
Cómo ayuda norppa.io
norppa.io convierte el riesgo cibernético de proveedores y terceros en el tipo de evidencia que un consejo puede usar de verdad: una puntuación de riesgo clara por proveedor, hallazgos asignados a los artículos NIS2 y un informe ejecutivo mensual diseñado para la dirección, no para ingenieros.
La cobertura, el historial de remediación y el riesgo abierto se ven de un vistazo, con el rastro de auditoría completo exportable — así la dirección puede demostrar una supervisión activa, y la misma evidencia responde a las preguntas de una autoridad de control.