¿Qué obliga la NIS2 a la dirección de una empresa?
Tres cosas, según el artículo 20.1: aprobar las medidas de gestión de riesgos de ciberseguridad que exige el artículo 21, supervisar que se ponen en práctica y responder si la empresa las incumple. Se aplica a los órganos de dirección de las entidades esenciales e importantes, no a todas las empresas.
| Obligación | Qué dice la directiva | Cómo se demuestra |
|---|---|---|
| Aprobar | Los órganos de dirección aprueban las medidas del artículo 21 (art. 20.1) | Documento firmado con la fecha de aprobación de la política y del plan de riesgos |
| Supervisar | Supervisan su puesta en práctica (art. 20.1) | Informes periódicos a la dirección, con constancia de que se revisaron |
| Responder | Responden del incumplimiento del artículo 21 por parte de la entidad (art. 20.1) | Lo anterior, documentado y fechado |
| Formarse | Sus miembros deben asistir a formaciones (art. 20.2) | Registro de asistencia de cada miembro, con temario y fecha |
El considerando 137 de la directiva da el motivo: busca un nivel elevado de responsabilidad por las medidas y por la notificación de incidentes. No pide al gerente que configure nada. Le pide que decida, que sepa lo suficiente para decidir y que quede constancia.
La directiva no define «órgano de dirección». En una sociedad española puede ser un administrador único, varios solidarios o conjuntos, o un consejo (art. 210 de la Ley de Sociedades de Capital). Cómo encaje cada uno lo dirá la ley española.
¿Tiene que formarse el gerente en ciberseguridad según la NIS2?
Sí, cuando haya ley y su empresa sea entidad esencial o importante. El artículo 20.2 pide a los Estados que obliguen a los miembros de los órganos de dirección a formarse para detectar riesgos y evaluar las prácticas de ciberseguridad. La directiva no fija horas, temario ni formato.
El mismo artículo anima a dar una formación parecida a los empleados, de forma periódica. Para los proveedores digitales, el Reglamento de Ejecución (UE) 2024/2690 concreta la del personal de seguridad: periódica, adaptada al puesto y con su eficacia evaluada (anexo, 8.2).
Lo que debe permitir, según el artículo 20.2
- Detectar los riesgos de ciberseguridad de la empresa
- Evaluar cómo se gestionan esos riesgos
- Entender su efecto en los servicios que presta la empresa
Temas útiles para la dirección de una pyme
- Qué medidas exige el artículo 21 y cuáles tiene ya la empresa
- Los plazos de aviso de un incidente: 24 horas, 72 horas y un mes
- Qué piden los clientes en sus cuestionarios de seguridad
La prueba que conviene guardar
- Fecha, duración y quién la imparte
- Temario
- Registro de asistencia de cada miembro de la dirección
La del resto del equipo es otra pieza, con otro formato: módulos cortos y simulacros, explicados en la guía de formación en ciberseguridad para empleados.
¿Puede responder personalmente un administrador por incumplir la NIS2?
La directiva lo prevé, pero lo concreta cada país. El artículo 32.6 obliga a los Estados a que la persona que dirige o representa una entidad esencial pueda ser considerada responsable si no vela por el cumplimiento, y el artículo 33.5 lo extiende a las importantes. En España falta la ley que lo regule.
El artículo 32.6 habla de cualquier persona física responsable de la entidad o que la represente, con facultades para representarla, decidir en su nombre o controlarla. Debe tener competencias para velar por que la entidad cumpla y poder responder si no lo hace. Qué responsabilidad será lo decidirá la ley española, que aún no existe (lo cuenta el estado de la NIS2 en España).
¿Qué es la inhabilitación temporal de directivos de la NIS2 y a quién se aplica?
Es una medida de último recurso del artículo 32.5.b, solo para entidades esenciales. Si los requerimientos de la autoridad no funcionan y vence el plazo dado, un órgano competente puede prohibir temporalmente al director general o al representante legal ejercer funciones de dirección, hasta que la entidad corrija.
La autoridad detecta un incumplimiento en una entidad esencial.
Aplica medidas de ejecución: apercibimiento, instrucciones vinculantes, orden de cese o de ajustar las medidas (art. 32.4).
¿Han funcionado?
- Sí
- No se pasa a la fase siguiente.
- No
- La autoridad fija un plazo para corregir (art. 32.5).
¿Se corrige dentro del plazo?
- Sí
- No se llega a la prohibición.
- No
- Puede pedir que se suspenda una certificación o que se prohíba temporalmente dirigir.
La prohibición dura hasta que la entidad corrige, con derecho de defensa y tutela judicial.
| Qué | Entidad esencial | Entidad importante |
|---|---|---|
| Aprobar, supervisar y responder (art. 20.1) | Sí | Sí |
| Formación de la dirección (art. 20.2) | Sí | Sí |
| Responsabilidad de quien dirige o representa (art. 32.6) | Sí | Sí, por el art. 33.5 |
| Prohibición temporal de dirigir (art. 32.5.b) | Sí, como último recurso | No |
| Supervisión | También preventiva: inspecciones y auditorías periódicas | A posteriori, con pruebas o indicios |
| Multa máxima a la entidad: lo mínimo que cada país tiene que fijar (art. 34) | 10 M€ o el 2 % del volumen de negocio mundial anual, lo que sea mayor | 7 M€ o el 1,4 % del volumen de negocio mundial anual, lo que sea mayor |
¿Qué dice hoy la ley española sobre la responsabilidad del administrador en ciberseguridad?
La norma de ciberseguridad vigente sanciona a la empresa, no al administrador (art. 35 del RDL 12/2018). Lo que sí aplica es la Ley de Sociedades de Capital: diligencia de un ordenado empresario y medidas para el control de la sociedad (art. 225), y responsabilidad por el daño causado con dolo o culpa (art. 236).
| Artículo | Qué dice | Pregunta que conviene poder contestar |
|---|---|---|
| 225.1 | Diligencia de un ordenado empresario, según el cargo y sus funciones | ¿Sabía la dirección qué riesgos tenía la empresa? |
| 225.2 | Dedicación adecuada y medidas precisas para la buena dirección y el control de la sociedad | ¿Había medidas de control y alguien encargado de ellas? |
| 225.3 | Deber de exigir la información necesaria | ¿Pidió la dirección informes sobre la seguridad? |
| 226 | En decisiones de negocio, basta actuar de buena fe, sin interés personal, con información suficiente y con un procedimiento adecuado | ¿Consta qué se decidió, con qué información y por qué? |
| 236.1 | Responde del daño por actos u omisiones contrarios a la ley o a los deberes del cargo, con dolo o culpa; la culpa se presume si el acto es contrario a la ley | ¿Se cumplía la ley aplicable, por ejemplo el artículo 32 del RGPD? |
| 236.3 y 236.4 | También responden el administrador de hecho y quien tenga las facultades de más alta dirección | ¿Quién decide de verdad sobre la seguridad? |
Pueden reclamar la sociedad, los socios y los acreedores (artículo 236), y los socios y terceros dañados directamente, con la acción individual (art. 241). Las acciones prescriben a los cuatro años (art. 241 bis). Que un incidente acabe en una reclamación así depende de cada caso.
Dos normas vigentes ya ponen a la dirección por escrito. El Real Decreto 43/2021 exige a los operadores de servicios esenciales una política de seguridad que aprueba la dirección (art. 6.4). Y si trabajas para la Administración, el Esquema Nacional de Seguridad pide que la apruebe el órgano con las máximas competencias ejecutivas (art. 2.3).
¿Qué tiene que aprobar la dirección según la NIS2 y cómo queda constancia?
Las medidas del artículo 21, que en la práctica son la política de seguridad y el plan de tratamiento de riesgos, con fecha y firma. Para los proveedores digitales, el Reglamento 2024/2690 lo concreta: la política indica la fecha de su aprobación formal por la dirección, que la revisa al menos una vez al año.
| Punto del anexo | Qué pide |
|---|---|
| 1.1.1.k y 1.1.2 | La política indica la fecha de su aprobación formal; la dirección la revisa al menos una vez al año |
| 1.2.3 | Al menos una persona informa directamente a la dirección sobre seguridad |
| 2.1.1 | La dirección aprueba los resultados del análisis de riesgos y los riesgos residuales |
| 2.2.1 | La dirección recibe informes periódicos del estado de la seguridad |
Al aprobar, y en cada cambio importante
- Política de seguridad, con la fecha de aprobación escrita en el documento
- Análisis de riesgos y plan de tratamiento, con los riesgos que se aceptan
- Quién es la persona responsable de seguridad y qué funciones tiene
Al supervisar, por ejemplo cada trimestre
- Informe breve: incidentes, copias probadas, parches y accesos revisados
- Acta o correo de la dirección que lo da por revisado
- Decisiones tomadas, con su fecha
Si hay un incidente
- Quién decidió notificar y cuándo
- Revisión posterior aprobada por la dirección
La plantilla de política de seguridad ya trae el apartado de quién la aprueba, y el dossier de evidencias es donde se guardan estas pruebas para enseñarlas. En Talvit, el sistema de seguridad documentado y el dossier NIS2 se presupuestan aparte de la cuota. Si quieres que una persona prepare los informes a la dirección y se reúna con ella cada mes, eso es un CISO externo: un responsable de seguridad de fuera, por horas.
¿Le afecta algo de esto a la dirección de una pyme que no está obligada por la NIS2?
Por la directiva, no. Pero si tu cliente es entidad esencial o importante, su dirección responde de la seguridad de su cadena de suministro y puede pedirte pruebas. Y la diligencia de la Ley de Sociedades de Capital obliga a todo administrador, esté o no su empresa en la NIS2.
Saber si tu empresa entra depende del tamaño y del sector: lo explican el umbral de la NIS2 y el test de la NIS2. Si lo que te ha llegado es un cuestionario de un cliente, la guía del cuestionario de seguridad cuenta cómo responderlo sin prometer lo que no tienes.
Lo que esta guía no cubre
- La responsabilidad penal: la directiva no la regula y esta guía tampoco.
- La responsabilidad de los cargos públicos, que el artículo 20.1 deja al derecho nacional.
- Cómo regulará la ley española la responsabilidad personal: todavía no hay ley.
- Tu caso concreto: para eso, un abogado mercantil.
Preguntas frecuentes
¿La NIS2 obliga a nombrar un responsable de seguridad?
La directiva no usa esa figura. El Reglamento 2024/2690 pide a los proveedores digitales que al menos una persona informe directamente a la dirección, y hoy el Real Decreto 43/2021 obliga a los operadores de servicios esenciales a designar un responsable de seguridad de la información.
¿Sirve un curso en línea como formación de la dirección?
La directiva no lo impide ni lo exige: no fija formato. Lo que cuenta es que permita detectar riesgos y evaluar las prácticas de ciberseguridad, y que quede registro de quién lo hizo y cuándo.
¿Puede la dirección delegar la ciberseguridad en el informático o en un proveedor?
Puede delegar la ejecución. La aprobación y la supervisión el artículo 20.1 se las atribuye a los órganos de dirección: un proveedor externo puede preparar la política y los informes, pero los aprueba y revisa la dirección.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), consultado el
- Directiva (UE) 2022/2555, art. 20, consultado el
- Directiva (UE) 2022/2555, art. 32, consultado el
- Directiva (UE) 2022/2555, art. 33, consultado el
- Reglamento de Ejecución (UE) 2024/2690, anexo, consultado el
- Ley de Sociedades de Capital (Real Decreto Legislativo 1/2010), consultado el
- Ley de Sociedades de Capital, art. 225, consultado el
- Ley de Sociedades de Capital, art. 236, consultado el
- Real Decreto-ley 12/2018, art. 35, consultado el
- Real Decreto 43/2021, art. 6, consultado el
- Real Decreto 311/2022, Esquema Nacional de Seguridad, art. 2.3, consultado el
Registro de cambios
- : Publicación.
- : Las multas máximas, dichas como el artículo 34: el mínimo que cada país tiene que alcanzar, «lo que sea mayor». Y el enlace al CISO externo.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
