Responsabilidad de la dirección en NIS2: ¿cambiarán los consejos?

Durante veinte años, los responsables de seguridad han pedido a los consejos que se tomen la ciberseguridad en serio, con resultados dispares. NIS2 cambia la estructura de incentivos. El artículo 20 exige que los órganos de dirección de las entidades incluidas en el ámbito de aplicación aprueben las medidas de gestión de riesgos de ciberseguridad, supervisen su implementación y sigan formación ellos mismos, y los hace responsables de las infracciones. En el caso de las entidades esenciales, las autoridades nacionales pueden, en determinadas circunstancias, solicitar la prohibición temporal de que un directivo ejerza funciones de dirección.

¿Cambiará esto el comportamiento de los consejos? Creo que sí, pero no de forma automática, y no siempre como esperan los equipos de seguridad.

Qué debería cambiar

• La aprobación se vuelve real. Un consejo que debe aprobar las medidas y puede ser llamado a rendir cuentas por ellas tiene motivos para entender lo que aprueba.
• La formación deja de ser opcional. Los administradores deben seguir una formación suficiente para identificar riesgos y evaluar las prácticas de gestión. Muchos consejos tendrán, por primera vez, una base común de entendimiento.
• La supervisión adquiere estructura. La presentación periódica de informes sobre las medidas, los incidentes y los avances pasa a ser una obligación legal, no una cortesía.

Qué podría salir mal

• La responsabilidad puede fomentar el cumplimiento formal. Los consejos preocupados por su exposición personal pueden exigir pruebas de cumplimiento en lugar de pruebas de seguridad: más certificaciones, más papeleo, los mismos riesgos.
• La formación puede convertirse en un trámite. Un vídeo anual de una hora cumple la letra del requisito de formación y no cambia nada.
• Los equipos de seguridad pueden depender demasiado del miedo. "Podrían ser responsables" llama la atención una vez. No sostiene un programa.

Qué deben hacer ahora los consejos

1. Entender qué medidas están aprobando. El artículo 21 enumera diez ámbitos; el Reglamento de Ejecución los detalla para los proveedores digitales. Pidan una vista de una página sobre la situación de la organización en cada uno.
2. Pedir resultados, no documentos. ¿Con qué rapidez podríamos notificar un incidente significativo? ¿Cuándo restauramos por última vez desde una copia de seguridad? ¿Qué proveedores podrían dejarnos fuera de servicio?
3. Usar un marco que el consejo pueda leer. La función Gobernar de NIST CSF 2.0 cubre exactamente el terreno del consejo: contexto, estrategia de riesgo, roles, políticas, supervisión y cadena de suministro. Consulten cómo informar al consejo con perfiles CSF.
4. Hacer que la formación sea sustancial: basada en escenarios, específica para el negocio y repetida.

Preguntas que un consejo puede plantear mañana

Los consejos no necesitan convertirse en expertos en seguridad para supervisarla bien. Necesitan hacer preguntas que no puedan responderse con un documento:

• Si mañana por la noche nuestro sistema más importante quedara cifrado por ransomware, ¿cuánto tardaríamos en volver a operar y cuándo lo probamos por última vez?
• ¿Qué tres proveedores podrían causarnos más daño y qué sabemos de su seguridad?
• ¿Cuántas vulnerabilidades críticas hay abiertas en sistemas expuestos a Internet, y cuál es la más antigua?
• ¿Quién decide si un incidente es lo bastante significativo como para notificarlo en 24 horas, y lo han practicado?
• ¿Qué encontró nuestra última auditoría o evaluación y qué ha cambiado desde entonces?

Las respuestas deben ir acompañadas de evidencias: resultados de pruebas, métricas, fechas. Con el tiempo, las preguntas del consejo moldean lo que mide la dirección, que es precisamente la supervisión que exige el artículo 20. El análisis de brechas muestra qué medidas de NIS2 ya cubre su marco actual.

Puntos clave

• El artículo 20 obliga a los consejos a aprobar, supervisar y formarse en ciberseguridad.
• La responsabilidad puede impulsar una supervisión real o más papeleo.
• Los consejos deben pedir resultados y evidencias, no documentos.

La oportunidad

El artículo 20 da a los responsables de seguridad la atención del consejo por ley. Lo mejor es no agitar la cláusula de responsabilidad, sino llevar al consejo decisiones reales: qué riesgo está dispuesto a asumir, qué financiará y qué espera ver. Eso es gobernanza. Lo demás es papeleo.

Para una visión más amplia, consulten la guía de NIS2 y nuestra entrada sobre el procedimiento de notificación de NIS2. La página del marco NIS2 relaciona cada punto del Reglamento de Ejecución con diez marcos.

Preguntas

¿Qué exige el artículo 20 de NIS2 a la dirección?

Los órganos de dirección de las entidades esenciales e importantes deben aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su implementación, seguir formación y pueden ser considerados responsables de las infracciones. Los Estados miembros también fomentan la formación periódica del personal.

¿Pueden los miembros del consejo ser personalmente responsables bajo NIS2?

NIS2 exige que los Estados miembros garanticen que la dirección pueda ser considerada responsable de las infracciones y, en el caso de las entidades esenciales, permite en algunos casos prohibiciones temporales para ejercer funciones directivas. La forma en que funciona la responsabilidad depende del derecho nacional.

¿Qué formación deben seguir los órganos de dirección de NIS2?

Formación suficiente para adquirir conocimientos y competencias que permitan identificar riesgos y evaluar las prácticas de gestión de riesgos de ciberseguridad y su impacto en los servicios que presta la entidad. El formato lo determinan la entidad y el derecho nacional.