La transposición de la Directiva NIS2 en España está en su fase final. Cuando se publique en el BOE, cientos de organizaciones tendrán que acreditar que su alta dirección está preparada para garantizar la ciberseguridad de su organización.
No en vano, esta es una de las grandes novedades de la directiva europea: la protección digital deja de ser responsabilidad exclusiva del departamento de IT y pasa a ser una obligación del órgano de dirección, colocando a CEOs, consejeros y directores generales en el centro de la gestión del riesgo digital.
Entre las nuevas funciones, la NIS2 destaca la obligación de aprobar las medidas de gestión de riesgos de la organización en esta materia, la supervisión de las medidas aplicadas y la integración de la ciberseguridad dentro de la estrategia global de la compañía.
Ciberseguridad empresarial: los deberes de la alta dirección frente a la NIS2
Las obligaciones que establece la NIS2 entre los directivos empresariales tienen la finalidad de promover su liderazgo en el ámbito de la seguridad y que la responsabilidad sea de toda la organización. No busca que se conviertan en expertos técnicos: les exige que gobiernen.
Aprobar, supervisar, preguntar, exigir evidencias de seguridad y asignar recursos son solo algunas de las nuevas obligaciones que los órganos de dirección deberán asumir y garantizar.
Obligaciones NIS2 de los órganos de dirección
Lo que todo directivo debe saber sobre ciberseguridad en su organización
Aprobar
Aprobar la adecuación de las medidas de gestión de riesgos de ciberseguridad adoptadas por la entidad.
Supervisar
Supervisar la aplicación de las medidas de gestión de los riesgos de ciberseguridad en toda la organización.
Formarse
Formarse con el fin de adquirir suficientes conocimientos y habilidades para:
- Identificar riesgos de ciberseguridad.
- Evaluar las prácticas de gestión de riesgos.
- Valorar el impacto en los servicios prestados por la entidad.
La formación es una obligación continua para todos los miembros del órgano de dirección.
Ofrecer
Ofrecer una formación similar a sus empleados de forma regular para extender la cultura de ciberseguridad en toda la organización.
Responsabilizarse
Del incumplimiento de las obligaciones establecidas por la directiva NIS2, con responsabilidad personal y directa.
Aprobación y supervisión de la gestión de riesgos
La directiva NIS2 exige a la alta dirección:
- Aprobar la adecuación de las medidas y políticas de gestión de riesgos de ciberseguridad.
- Recibir información periódica sobre el nivel de riesgo, los incidentes relevantes y los planes de remediación en curso.
- Exigir evidencias (informes, auditorías, pruebas técnicas, simulacros…) de que lo aprobado se está ejecutando
Organización de los recursos de ciberseguridad
Aunque la NIS2 no lo dice con estas palabras, la alta dirección también asume la responsabilidad de que la organización disponga de los medios necesarios para protegerse ante ciberamenazas. En concreto, deberán:
- Asignar recursos. La alta dirección debe garantizar que la organización dispone de recursos humanos, tecnológicos y financieros suficientes para cumplir las obligaciones de ciberseguridad.
- Fomentar una cultura de seguridad. La directiva busca que los órganos de dirección impulsen una cultura de ciberseguridad dentro de las empresas.
- Gobernanza y estructura: deben definir roles y responsabilidades (CISO, comités de riesgo, reporting al consejo, etc.) y desarrollar canales de comunicación para informar sobre incidentes.
Responsabilidad personal y régimen sancionador
Este es uno de los puntos más sensibles para los equipos directivos. Al respecto, la normativa establece que los miembros del órgano de dirección pueden ser considerados responsables personales del incumplimiento de las obligaciones de gestión de riesgos de ciberseguridad y de notificación de incidentes.
En la práctica, esa responsabilidad puede materializarse en sanciones administrativas, medidas correctivas y, en los casos más graves, en la inhabilitación temporal para ejercer funciones de dirección en la organización.
Formación obligatoria de la alta dirección
Otra novedad relevante de la NIS2 para los miembros del órgano de dirección es que les exige recibir formación periódica en materia de ciberseguridad para entender conceptos clave de riesgo cibernético y ser interlocutores cualificados en esta área.
Asimismo, también deben dar formación adecuada a su personal para garantizar un nivel suficiente de concienciación y competencias en materia de seguridad digital.
En concreto, el artículo 20 de la directiva NIS2 detalla:
«Los Estados miembros garantizarán que los miembros de los órganos de dirección de las entidades esenciales e importantes deban asistir a formaciones y alentarán a estas entidades para que ofrezcan formaciones similares a sus empleados periódicamente al objeto de adquirir conocimientos y destrezas suficientes que les permitan detectar riesgos y evaluar las prácticas de gestión de riesgos de ciberseguridad y su repercusión en los servicios proporcionados por la entidad.»
Qué debe hacer hoy un equipo directivo ante la NIS2
Esperar a que se publique la ley es un error que muchas compañías están cometiendo. La directiva europea ya tiene efectos jurídicos dentro de la UE. En concreto, las empresas que trabajan con socios o clientes en países donde la NIS2 ya está transpuesta tienen que cumplir con sus requerimientos.
Por ello, la Alta Dirección debe empezar a prepararse para la aplicación de la NIS2 y analizar cómo la organización almacena y gestiona su información corporativa en la nube. Al respecto, la NIS2 exige trazabilidad documental, control de accesos granular y entornos que no propaguen ataques de ransomware a través de sincronizadores.
Entre los pasos a dar en este camino de adaptación, la alta dirección debe:
- Diagnóstico y mapa de obligaciones. Debe identificar si la organización es “entidad esencial” o “importante” según NIS2 y el sector en el que opera. Acto seguido, debe revisar su ciberseguridad, incluyendo el uso de herramientas de Inteligencia Artificial corporativa: políticas, controles, incidentes, madurez… y analizar si cumplen con las obligaciones de gestión de riesgos, notificación, supervisión, etc.
- Elevar la ciberseguridad al Consejo de Administración. Incluir la ciberseguridad como una materia estratégica dentro del órgano de dirección. Asimismo, deben definir indicadores clave (KRI/KPI).
- Aprobar un marco de gestión de riesgos de ciberseguridad. Los responsables empresariales deben validar una política de ciberseguridad alineada con NIS2 y con estándares reconocidos (ISO 27001, NIST, etc.). Esto debe ir acompañado de un plan de inversión en ciberseguridad (personas, tecnología, procesos).
Las sanciones por no hacerlo pueden ser de hasta 10 millones de euros o el 2% de la facturación anual mundial para entidades esenciales, o de hasta 7 millones o el 1,4% en entidades calificadas como importantes por la NIS2. La multa final será la que resulte mayor en cada caso.
La ciberseguridad se ha convertido en un deber de la alta dirección. No se trata de aprender a configurar firewalls sino de entender el riesgo, tomar decisiones, asignar los recursos necesarios y poder demostrar que, llegado el caso, la organización actuó con diligencia.
Dataprius pone a disposición de las empresas una infraestructura cloud que facilita ese cumplimiento desde el primer día: almacenamiento sin sincronización, permisos por usuario y departamento, registro completo de actividad y servidores en Europa.
Descarga Dataprius gratis y pruébalo: sin permanencia y con toda la trazabilidad que la NIS2 va a exigir a tu empresa.
Preguntas frecuentes (FAQS) sobre las obligaciones de la NIS2 en los equipos directivos
¿Qué papel juega la alta dirección en la Directiva NIS2?
La NIS2 sitúa a CEOs, directores generales y consejeros en el centro de la estrategia de seguridad de las empresas, obligándolos a aprobar, supervisar y financiar activamente las políticas de gestión del riesgo digital.
¿Qué criterios técnicos debe supervisar la dirección en su infraestructura cloud?
El equipo directivo debe exigir que los entornos de almacenamiento aseguren una trazabilidad documental absoluta, un control estricto de accesos granular y arquitecturas avanzadas que impidan la propagación de virus hacia la información central.
¿Cómo justificamos ante una inspección que usamos almacenamiento sincronizado si la NIS2 exige invertir en evitar la propagación de ransomware?
Es extremadamente complicado justificar el uso de herramientas de sincronización tradicionales (como OneDrive o Dropbox) bajo los estándares de la NIS2. Dado que la vulnerabilidad estructural de estos sistemas provoca que cualquier código malicioso local contamine de forma automática la nube corporativa, mantener este modelo puede ser considerado un fallo de diseño de seguridad previsible. Para cumplir con las exigencias de gestión de riesgos, la Alta Dirección debe promover la transición hacia arquitecturas centralizadas sin sincronización donde los archivos se editan de forma centralizada.
¿Puede un consejero ser sancionado o inhabilitado por la NIS2 si no tiene formación en ciberseguridad?
Sí. El artículo 20 de la directiva impone la obligación de asistir a formaciones a todos los miembros de los órganos de dirección de las entidades esenciales e importantes. La ausencia de capacitación cualificada se interpreta legalmente como una renuncia explícita al deber de diligencia en la detección y evaluación de los riesgos tecnológicos de la empresa.
¿Cómo afecta el retraso de la transposición definitiva en el BOE si nuestros principales clientes en Alemania ya nos exigen auditorías de cumplimiento NIS2?
La directiva europea ya tiene efectos jurídicos directos dentro del mercado común. Si su gran corporación opera como proveedora de una entidad esencial en un país miembro de la UE donde la NIS2 ya ha sido transpuesta, le exigirá contractualmente acreditar el mismo nivel de madurez digital, trazabilidad y control de riesgos que si la ley estuviera aprobada en España. No adaptarse a la NIS2 implica el riesgo de ser excluido de las cadenas de suministro internacionales.