¿Qué es el responsable de seguridad de la información?
Es la persona que decide cómo se cumplen los requisitos de seguridad de la información y de los servicios, supervisa las medidas e informa de ello, según el artículo 13.2 del Esquema Nacional de Seguridad. En inglés se le llama CISO; en las empresas pequeñas puede coincidir con el responsable de seguridad corporativa.
No es el técnico que configura los equipos. El Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad (ENS), separa cuatro papeles y le da a cada uno una función. Que esos papeles existan es lo que el ENS llama diferenciación de responsabilidades (artículo 11).
- Responsable de la información: determina los requisitos de la información que se trata.
- Responsable del servicio: determina los requisitos de los servicios que se prestan.
- Responsable de la seguridad: decide cómo se satisfacen esos requisitos, supervisa que se apliquen las medidas e informa.
- Responsable del sistema: desarrolla la forma concreta de implantar la seguridad y supervisa la operación diaria, con recursos propios o contratados.
INCIBE define al CISO como «el responsable de la seguridad de la información de la empresa» y al CSO como el de la seguridad de la empresa, física y tecnológica. Y añade que en algunas empresas, «sobre todo en las más pequeñas», las dos figuras pueden coincidir (INCIBE, roles en ciberseguridad).
¿Es obligatorio tener un responsable de seguridad de la información en una pyme?
Depende de quién te lo pida. Es obligatorio si prestas servicios a la Administración, por el ENS, o si eres operador de servicios esenciales, por el Real Decreto 43/2021. La NIS2 no nombra la figura, el RGPD no la exige y la ISO 27001 solo obliga a quien se certifica. También puede pedirlo un contrato.
| Norma | A quién obliga | Qué pide sobre el responsable | Dónde |
|---|---|---|---|
| ENS (Real Decreto 311/2022) | Sector público y empresas privadas que le prestan servicios o soluciones por contrato | Cuatro responsables diferenciados; el contratista designa un punto de contacto de seguridad que es su responsable de seguridad | Arts. 2.3, 11, 13.2, 13.3 y 13.5 |
| Real Decreto 43/2021 | Operadores de servicios esenciales del Real Decreto-ley 12/2018 | Una persona, unidad u órgano colegiado, designado en tres meses y comunicado a la autoridad competente | Art. 7 |
| NIS2 (Directiva 2022/2555) | Entidades esenciales e importantes, cuando la ley española la traslade | No nombra la figura: la dirección aprueba las medidas, supervisa su aplicación y responde | Art. 20 |
| Reglamento de Ejecución 2024/2690 | Proveedores digitales dentro de la NIS2: nube, centros de datos, servicios gestionados, DNS y otros | Roles asignados y al menos una persona que informe directamente a la dirección | Anexo, punto 1.2 |
| RGPD | Quien trata datos personales | No exige un responsable de seguridad; el delegado de protección de datos es otra figura | Arts. 37 a 39 |
| ISO/IEC 27001 | Quien decide certificarse o firma un contrato que la exige | No la citamos: su texto no es abierto. ENISA relaciona con requisitos de la norma el punto 1.2 del Reglamento 2024/2690, el de los roles | Tabla de correspondencias de ENISA |
La NIS2 obliga a los Estados a que la dirección apruebe las medidas de ciberseguridad, supervise su puesta en práctica y responda por su incumplimiento (artículo 20). A 18 de octubre de 2026 no hay ley de transposición en el BOE y sigue rigiendo el Real Decreto-ley 12/2018: el detalle, en el estado de la NIS2 en España. Qué responde la dirección, en la NIS2 y la dirección; si das servicios gestionados o de nube, en la NIS2 para empresas de servicios informáticos.
¿Qué exige el ENS sobre el responsable de seguridad si das servicio a la Administración?
Si prestas servicios o provees soluciones a una entidad del sector público, el ENS se aplica a tus sistemas (artículo 2.3). Necesitas una política de seguridad aprobada por tu dirección y un punto de contacto de seguridad: tu propio responsable de seguridad o alguien de su área en contacto directo con él (artículo 13.5).
El artículo 13.5 lo llama POC, punto o persona de contacto. Salvo causa justificada y documentada, la empresa que presta el servicio lo designa, con el apoyo de su dirección. Su trabajo es canalizar y supervisar tres cosas en el ámbito de ese servicio: el cumplimiento de sus requisitos de seguridad, las comunicaciones sobre seguridad y la gestión de los incidentes. La responsabilidad última sigue siendo de la entidad pública que contrata.
La política de seguridad tiene que recoger los roles de seguridad, los deberes de cada uno y cómo se designan y renuevan (artículo 12.1.c y anexo II, medida org.1.3). En una empresa privada la aprueba «el órgano que ostente las máximas competencias ejecutivas» (artículo 2.3), y tiene que conocerla toda la plantilla (artículo 13.2). Para redactarla, la plantilla de política de seguridad.
¿Puede ser el responsable de seguridad la misma persona que lleva la informática?
Según el ENS, no debería: el responsable de la seguridad tiene que ser distinto del responsable del sistema, sin dependencia jerárquica entre ambos (artículo 13.3). Si una ausencia justificada de recursos obliga a juntarlos, se permite con medidas compensatorias. El Real Decreto 43/2021 también pide independencia respecto de los responsables de redes y sistemas.
Quien administra los sistemas no debería ser quien decide si están bien protegidos. El ENS lo dice así: la responsabilidad de la seguridad estará diferenciada de la de explotar los sistemas (artículo 11.2).
| Situación | Qué decide | Quién podría ser | Lo que conviene evitar |
|---|---|---|---|
| Responsable de la información | Qué requisitos tiene la información que se trata | La gerencia o quien dirige el área que la maneja | Dejarlo sin nombre |
| Responsable del servicio | Qué requisitos tienen los servicios que se prestan | Quien dirige el servicio que se presta a la Administración | Que nadie responda del servicio entero |
| Responsable de la seguridad | Cómo se cumplen los requisitos de seguridad y si se cumplen | Alguien sin relación jerárquica con quien lleva la informática, con apoyo externo si hace falta | Que mande sobre quien administra los sistemas o dependa de él |
| Responsable del sistema | Cómo se implanta y se opera la seguridad cada día | Quien lleva la informática, propia o contratada | Que se supervise a sí mismo |
El ENS no dice qué medidas compensatorias valen. Un texto europeo sí da ejemplos para el mismo problema: el Reglamento 2024/2690 reconoce que a las microentidades les puede costar separar cometidos y menciona una supervisión específica de la dirección o un mayor seguimiento y registro (considerando 5). Si juntas los dos papeles, escribe por qué y qué haces para compensarlo.
¿Qué funciones tiene un responsable de seguridad de la información?
La lista más detallada está en el artículo 7.3 del Real Decreto 43/2021: proponer las políticas de seguridad, supervisar su aplicación, elaborar la declaración de aplicabilidad, formar en buenas prácticas, notificar los incidentes y atender a la autoridad. Solo obliga a los operadores de servicios esenciales, pero sirve de guion para cualquier pyme.
Dirigir
- Elaborar las políticas de seguridad y proponerlas a la dirección para su aprobación
- Elaborar la declaración de aplicabilidad: qué medidas se aplican y por qué
Supervisar
- Supervisar que se aplican las políticas, normas y procedimientos, y su efectividad
- Hacer controles periódicos de seguridad
Formar
- Enseñar buenas prácticas de seguridad, en lo físico y en lo lógico
Incidentes y autoridad
- Notificar sin dilación los incidentes con efectos perturbadores, a través del CSIRT de referencia
- Recibir y aplicar las instrucciones de la autoridad competente
- Preparar y entregar la información que pidan la autoridad o el CSIRT
El mismo artículo fija lo que necesita la persona para hacerlo: conocimientos y experiencia en lo organizativo, lo técnico y lo jurídico, recursos, una posición con comunicación real con la alta dirección e independencia respecto de quien lleva los sistemas (artículo 7.4). En una pyme sin esos perfiles en plantilla, la pregunta práctica es quién aporta cada parte. El documento que ordena el trabajo de un año es el plan director de seguridad.
¿Puede ser externo el responsable de seguridad de la información?
Puede apoyarse en terceros: el Real Decreto 43/2021 lo permite expresamente y el Reglamento de Ejecución 2024/2690 admite asignar roles a proveedores de servicios TIC. Lo que no sale de la empresa es la responsabilidad: la dirección nombra, aprueba la política y responde. Un modelo mixto encaja con esas normas: nombramiento interno, horas externas.
El Real Decreto 43/2021 cierra la lista de funciones con esta frase: el responsable de la seguridad, «para desarrollar estas funciones, se podrá apoyar en servicios prestados por terceros» (artículo 7.3). Y el Reglamento 2024/2690 dice que las entidades «podrán asignar roles y responsabilidades a terceros, como los proveedores terceros de servicios TIC» (considerando 27).
Si el ENS te pide punto de contacto, tiene que ser tu responsable de seguridad o alguien de su área en contacto directo con él (artículo 13.5). Y mira cómo lo pide tu cliente: si le basta un responsable nombrado por tu dirección o si exige que sea de plantilla. Con Talvit, el CISO externo es una persona que, unas horas al mes, sigue el plan contigo y responde a los cuestionarios; el nombramiento y la aprobación siguen siendo de tu dirección.
¿Es lo mismo el responsable de seguridad que el delegado de protección de datos?
No. El delegado de protección de datos es una figura del RGPD, obligatoria solo en los casos del artículo 37, que informa, asesora y supervisa la protección de datos. El responsable de seguridad decide y supervisa las medidas de seguridad. El RGPD permite al delegado otras funciones si no generan conflicto de intereses.
| Qué cambia | Responsable de seguridad | Delegado de protección de datos |
|---|---|---|
| De dónde sale | ENS, art. 13; Real Decreto 43/2021, art. 7 | RGPD, arts. 37 a 39 |
| Quién tiene que tenerlo | Proveedores del sector público (ENS) y operadores de servicios esenciales | Organismos públicos, quien como actividad principal observa de forma habitual y sistemática a personas a gran escala o trata a gran escala datos especiales (art. 37.1) y los casos que añada la ley nacional (art. 37.4) |
| Qué hace | Decide cómo se cumplen los requisitos de seguridad, supervisa e informa | Informa y asesora, supervisa el cumplimiento del RGPD y coopera con la autoridad de control (art. 39) |
| Puede ser de fuera | Puede apoyarse en terceros (Real Decreto 43/2021, art. 7.3) | Sí, con un contrato de servicios (art. 37.6) |
| Independencia | Distinto del responsable del sistema (ENS, art. 13.3) | No recibe instrucciones sobre sus funciones y rinde cuentas al más alto nivel (art. 38.3) |
Que una persona haga las dos cosas no está prohibido: el RGPD permite al delegado otras funciones siempre que no den lugar a conflicto de intereses (artículo 38.6). Si las juntas, deja por escrito por qué no lo hay. Qué medidas de seguridad pide el RGPD, en las medidas de seguridad del RGPD.
¿Cómo se nombra a un responsable de seguridad y cómo queda constancia?
Por escrito y desde la dirección: un acta o resolución con nombre, fecha, funciones y a quién informa, más la política de seguridad que recoja el papel y cómo se designa y renueva, como pide el ENS. Después se comunica a la plantilla y, si lo piden, al cliente o a la autoridad.
El documento
- Acta o resolución firmada por quien tiene las máximas competencias ejecutivas
- Nombre, cargo y fecha desde la que vale
- Funciones y a quién informa
- Suplente para ausencias, como pide el Real Decreto 43/2021 cuando el responsable es un órgano
La política de seguridad
- El papel del responsable, con sus deberes
- Cómo se designa y cómo se renueva (ENS, artículo 12.1.c)
- Cómo se coordina con los demás responsables y cómo se resuelven los conflictos (ENS, artículo 11.3)
La comunicación
- A la plantilla: el ENS pide que todos conozcan la política (artículo 13.2)
- Al cliente público: el punto de contacto de seguridad (artículo 13.5)
- A la autoridad competente, solo si eres operador de servicios esenciales: en tres meses, y los cambios en un mes
Si un cliente privado te lo pregunta en su cuestionario de seguridad, adjunta el acta y la página de la política donde aparece el papel. Es una prueba que se puede comprobar, tengas o no un certificado.
¿Es difícil contratar a un responsable de seguridad para una pyme?
Lo es. En el estudio NIS Investments 2025 de ENISA, el 94 % de las pymes encuestadas tiene dificultades para atraer personal de ciberseguridad y el 90 % para retenerlo, frente al 83 % y el 80 % de las grandes. La muestra son 1.080 profesionales de organizaciones de sectores de la NIS2.
94 %
De las pymes del estudio de ENISA tienen dificultades para atraer personal de ciberseguridad; el 90 %, para retenerlo.
La muestra de ENISA son organizaciones de la UE en sectores de alta criticidad de la NIS2, el 83 % grandes y el 17 % pymes: no es una encuesta a la pyme media española. Antes de buscar el perfil, mira si alguien te obliga a tenerlo.
¿Prestas servicios o provees soluciones a una entidad del sector público?
- Sí
- ENS: política aprobada por la dirección y punto de contacto de seguridad (artículo 13.5).
- No
- Sigue al paso 2.
¿Te han designado operador de servicios esenciales?
- Sí
- Real Decreto 43/2021: designarlo en tres meses y comunicarlo a la autoridad.
- No
- Sigue al paso 3.
¿Eres proveedor de nube, centro de datos, servicios gestionados o DNS y te alcanza la NIS2?
- Sí
- Reglamento 2024/2690: roles asignados y una persona que informe a la dirección.
- No
- Sigue al paso 4.
¿Un cliente lo pide en un contrato o en un cuestionario?
- Sí
- Nómbralo por escrito con lo que pida el contrato.
- No
- No es obligatorio, pero alguien tiene que llevar el plan y responder cuando pregunten.
Si te lo pregunta un cliente, sigue por la guía de clientes y cuestionarios; el resto de normas, en normativa.
Lo que esta guía no cubre
- El texto de la ISO/IEC 27001, que no es abierto: de ella solo decimos lo que publica ENISA en su tabla de correspondencias.
- La ley española de la NIS2, que no está en vigor: cuando se publique puede concretar quién designa a quién.
- Tu caso concreto con un pliego o un contrato delante: qué te exigen lo decide su redacción.
Preguntas frecuentes
¿Qué significa RSI?
Son las siglas de responsable de seguridad de la información, el término que usa el Real Decreto 43/2021. El ENS habla de responsable de la seguridad, y en inglés se usa CISO.
¿Puede ser el responsable de seguridad el gerente?
Ninguna de estas normas lo impide, con un matiz del ENS: entre el responsable de la seguridad y el del sistema no debe haber dependencia jerárquica (artículo 13.3). Si quien lleva la informática depende del gerente, esa relación exige medidas compensatorias, y conviene dejarlas por escrito.
¿Hace falta un título o una certificación para ser responsable de seguridad?
Las normas de esta guía no fijan un título concreto. El ENS pide personal cualificado y deja que cada organización fije la formación y la experiencia de cada puesto (artículo 16). El Real Decreto 43/2021 pide conocimientos y experiencia en lo organizativo, lo técnico y lo jurídico.
¿Un comité puede ser el responsable de seguridad?
En el Real Decreto 43/2021, sí: puede ser una unidad u órgano colegiado, con una persona física que lo represente y un sustituto. El ENS pide identificar de forma inequívoca a los responsables y prevé comités para gestionar y coordinar la seguridad (artículo 12.1.d).
Fuentes
- Real Decreto 311/2022, Esquema Nacional de Seguridad, arts. 2.3, 11, 12, 13 y anexo II (org.1), consultado el
- Real Decreto 43/2021, que desarrolla el Real Decreto-ley 12/2018, arts. 6 y 7, consultado el
- Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información (vigente), consultado el
- Directiva (UE) 2022/2555 (NIS2), art. 20, consultado el
- Reglamento de Ejecución (UE) 2024/2690, art. 1, considerandos 5 y 27 y anexo, punto 1.2, consultado el
- Reglamento (UE) 2016/679 (RGPD), arts. 37 a 39, consultado el
- ENISA, NIS Investments 2025 (8 de diciembre de 2025), consultado el
- ENISA, NIS2 Technical Implementation Guidance (26 de junio de 2025) y su tabla de correspondencias, versión 1.2, consultado el
- INCIBE, Roles en ciberseguridad: desde el CEO a los usuarios finales (20 de junio de 2023), consultado el
Registro de cambios
- : Publicación.
