El cambio de responsabilidad que nadie esperaba
La mayoría de las regulaciones de ciberseguridad sancionan a la empresa. Las multas recaen sobre la entidad. Las acciones de cumplimiento se dirigen a la persona jurídica. NIS2 rompe ese patrón. Los artículos 20 y 32 introducen responsabilidad directa y personal para los miembros de los órganos de dirección de entidades esenciales e importantes.
Esto significa que el CEO, el CTO, los miembros del consejo de administración y los directores generales de las empresas en el ámbito de aplicación pueden ser considerados individualmente responsables de los fallos de ciberseguridad. No la empresa. Ellos.
Las leyes nacionales de transposición en los estados miembros de la UE ya están en vigor. La Ley de Implementación NIS2 de Alemania (NIS2UmsuCG), la ley NIS2 de Bélgica y otras han codificado estas disposiciones en legislación nacional ejecutable. Como explicamos en nuestra visión general sobre los plazos de aplicación de NIS2 y los primeros pasos para el cumplimiento, esto ya no es una directiva sobre el papel.
Lo que dicen realmente las disposiciones legales
El artículo 20(1) exige que los órganos de dirección de las entidades esenciales e importantes aprueben las medidas de gestión de riesgos de ciberseguridad adoptadas por su organización y supervisen su aplicación. La dirección puede ser declarada responsable de las infracciones.
El artículo 20(2) obliga a los miembros de los órganos de dirección a seguir formación para adquirir los conocimientos y competencias suficientes para identificar riesgos y evaluar las prácticas de gestión de riesgos de ciberseguridad.
El artículo 32(5) otorga a las autoridades competentes la facultad de solicitar la suspensión temporal de certificaciones o autorizaciones de entidades esenciales, así como de solicitar una prohibición temporal a cualquier persona física que ejerza funciones directivas a nivel de CEO o representante legal.
La palabra "temporal" tiene aquí mucho peso. Una prohibición temporal del ejercicio de funciones directivas es una medida de cumplimiento que puede alterar una carrera profesional.
Cómo se traslada la responsabilidad de la empresa al individuo
La cadena es directa:
- La entidad debe implementar medidas de gestión de riesgos de ciberseguridad (artículo 21)
- Los órganos de dirección deben aprobar y supervisar esas medidas (artículo 20)
- Si la entidad falla, las autoridades competentes investigan
- Si el fallo se debe a negligencia de la dirección, las autoridades pueden exigir responsabilidad personal
- Si se aprecia negligencia grave, la prohibición temporal de ejercer cargos directivos queda disponible como medida
El vínculo clave es entre "aprobación y supervisión" y "fallo". Si la dirección validó un programa de ciberseguridad sin comprenderlo, sin asignar recursos o sin dar seguimiento a las deficiencias conocidas, ese es el detonante de la responsabilidad.
Qué significa "negligencia grave" en la práctica
NIS2 no define la negligencia grave en detalle. Las leyes nacionales aplican sus propios estándares. Sin embargo, en las jurisdicciones de la UE, la negligencia grave en el contexto del gobierno corporativo generalmente implica:
- Ignorar riesgos conocidos — Se informó a la dirección de una vulnerabilidad o deficiencia y no se actuó
- No asignar recursos — El presupuesto de ciberseguridad se redujo a cero o casi cero a pesar de los riesgos identificados
- Ausencia de estructura de supervisión — La dirección nunca revisó, cuestionó ni examinó los informes de ciberseguridad
- Falta de formación — Los miembros del órgano de dirección nunca recibieron formación en ciberseguridad, como exige el artículo 20(2)
- Delegación sin verificación — Se transfirió la ciberseguridad a un subordinado sin comprobar nunca los resultados
El estándar no es la perfección. Ningún regulador espera cero incidentes. El estándar es: ¿tomó la dirección medidas razonables, proporcionales al riesgo, y supervisó activamente los resultados?
NIS2 frente a GDPR: comparación de responsabilidad personal
Los directivos ya familiarizados con el GDPR suelen asumir que NIS2 funciona de la misma manera. No es así.
| Dimensión | GDPR | NIS2 |
|---|---|---|
| Objetivo principal de responsabilidad | El responsable/encargado del tratamiento (la entidad) | La entidad Y los órganos de dirección personalmente |
| Responsabilidad personal de los directivos | Indirecta — solo a través del derecho societario nacional | Directa — los artículos 20 y 32(5) nombran explícitamente a los órganos de dirección |
| Prohibición temporal de ejercer funciones directivas | No disponible como herramienta de cumplimiento | Disponible para entidades esenciales en virtud del artículo 32(5) |
| Multas máximas (entidad) | Hasta 20 millones EUR o el 4 % de la facturación global | Hasta 10 millones EUR o el 2 % de la facturación global (entidades esenciales) |
| Obligación de formación para la dirección | Sin requisito específico | Obligatoria en virtud del artículo 20(2) |
| Obligación de supervisión | Implícita a través del principio de responsabilidad proactiva | Explícita — la dirección debe aprobar y supervisar las medidas |
| Variación nacional | Alta (la interpretación varía) | Alta (la transposición varía, pero la responsabilidad personal figura en el texto de la directiva) |
La diferencia clave: las multas del GDPR afectan al balance de la empresa. La aplicación de NIS2 puede afectar directamente a la carrera del directivo.
Lo que debe hacer la dirección para demostrar diligencia debida
La diligencia debida en el marco de NIS2 no es una verificación puntual. Es una obligación continua. Los órganos de dirección deben:
- Completar formación en ciberseguridad — Documentada, periódica y relevante para su sector. Los módulos genéricos de "concienciación" son insuficientes.
- Aprobar formalmente el marco de gestión de riesgos — Las actas del consejo deben registrar la aprobación de las medidas de ciberseguridad, la justificación y cualquier opinión discrepante.
- Revisar la postura de ciberseguridad con regularidad — Como mínimo trimestralmente. No una presentación anual.
- Asignar recursos proporcionales — Las decisiones presupuestarias deben documentarse. Si un CISO solicita financiación y se le deniega, esa denegación es susceptible de ser descubierta en un proceso.
- Establecer líneas de reporte claras — ¿Quién informa al consejo sobre el estado de la ciberseguridad? ¿Con qué frecuencia? ¿Qué desencadena una escalada?
- Probar la respuesta a incidentes — La dirección debe participar en ejercicios de simulación o presenciarlos al menos una vez al año.
- Auditar el riesgo de terceros y de la cadena de suministro — El artículo 21 incluye la seguridad de la cadena de suministro. La dirección debe supervisar las evaluaciones de riesgo de proveedores.
Qué documentación protege a los directivos
Si se produce una acción de cumplimiento, la pregunta es: ¿puede demostrar que la dirección tomó en serio su obligación de supervisión? La siguiente documentación genera un registro defendible:
- Actas del consejo que muestren que la ciberseguridad fue un punto recurrente del orden del día con debate sustantivo
- Registros de formación de todos los miembros del órgano de dirección, incluidas fechas, temas y proveedores
- Informes de evaluación de riesgos presentados a la dirección y reconocidos por ella
- Registros de asignación presupuestaria que acrediten una inversión en ciberseguridad proporcional al riesgo
- Resultados de pruebas de respuesta a incidentes revisados por la dirección
- Hallazgos de auditoría y seguimiento de la remediación que demuestren que las deficiencias identificadas se abordaron en un plazo definido
- Documentación de evaluación de riesgos de proveedores que cubra los socios críticos de la cadena de suministro
Nada de esto exige que la dirección se convierta en ingenieros de seguridad. Exige que gobiernen: que hagan preguntas, asignen recursos y den seguimiento.
La conclusión práctica para el C-Suite y los consejos de administración
NIS2 trata el gobierno de la ciberseguridad del mismo modo que las regulaciones financieras tratan el deber fiduciario. No se puede alegar ignorancia. No se puede delegar completamente sin supervisión. Y si algo sale mal porque se falló en el gobierno, las consecuencias recaen personalmente sobre usted.
Los directivos que estarán protegidos no son los que tienen los mayores presupuestos de seguridad. Son los que pueden demostrar — con documentación — que comprendieron los riesgos, tomaron decisiones informadas, asignaron recursos razonables y mantuvieron una supervisión activa. Empiece a construir ese registro ahora.
Para más recursos sobre NIS2, opciones de despliegue soberano y guías de cumplimiento, visite el centro NIS2 Compliance for On-Premise OT.
