¿Es un director personalmente responsable bajo NIS2?
La Directiva NIS2 no solo regula lo que una organización debe hacer desde el punto de vista técnico y organizativo, sino que también se dirige a la dirección. La Directiva exige a los directivos que aprueben las medidas de gestión de riesgos, supervisen su ejecución y se formen en relación con ellas. Este es un papel diferente al del departamento de TI o de un proveedor externo, y no puede delegarse.
El hecho de que esto conlleve responsabilidad personal para un directivo individual depende de la ley nacional que transpone la Directiva y de la legislación mercantil más amplia del país en que esté establecida la organización. En los Países Bajos, esto se canaliza a través de la Ley de Ciberseguridad y de las normas existentes sobre responsabilidad de los directivos por gestión deficiente. Lo que exactamente está establecido al respecto y qué sigue en desarrollo es algo que conviene consultar con un abogado; este artículo describe la línea principal, no su situación individual.
Lo que la Directiva exige a la dirección
El deber de diligencia que se deriva de NIS2 consta de dos capas que se complementan mutuamente. La primera capa es la organización: las diez medidas que constituyen el expediente de ciberseguridad, desde el control de acceso hasta la gestión de incidentes. La segunda capa es la dirección: debe conocer estas medidas, aprobarlas y supervisarlas. Esto no significa que un directivo deba comprender la técnica en detalle, pero sí que sepa qué riesgos afronta la organización, qué opciones se han tomado al respecto y si se respetan esas opciones. Quien desee saber exactamente qué medidas se trata, encontrará una descripción en la descripción de todos los temas de NIS2.
Por qué esto no puede delegarse
Es muy habitual que una organización encargue la ejecución de medidas de seguridad a un proveedor de TI, un proveedor de servicios gestionados o un responsable de seguridad interno. Esto está permitido, y para muchas organizaciones de pequeño y mediano tamaño es también la única vía realista. Pero la Directiva distingue entre ejecutar y ser responsable. Un proveedor puede gestionar un cortafuegos, establecer una política de contraseñas o ejecutar una copia de seguridad; la dirección sigue siendo quien debe poder demostrar que sabe qué está sucediendo y que ha optado conscientemente por ello. Un contrato con un proveedor regula la ejecución, no la implicación directiva que la Directiva exige.
Esto también se relaciona con el tema de la cadena de suministro. Una organización que en sí misma está sujeta a NIS2 debe supervisar los riesgos que conllevan los proveedores —de ahí que las empresas de pequeño y mediano tamaño reciban cuestionarios de seguridad de sus clientes. La misma lógica se aplica internamente: la dirección supervisa lo que hace la propia organización, aunque el trabajo en sí se realice en otro lugar.
Qué significa supervisión en la práctica
Supervisar no es cuestión de firmar un documento una sola vez. La Directiva habla de aprobación de las medidas y de formación, lo que sugiere que es un proceso recurrente: revisar periódicamente si las medidas siguen siendo válidas, si se han ejecutado, y si ha habido algún cambio que requiera ajustes. Para un directivo sin formación técnica, la forma más práctica suele ser un registro fijo: qué medidas existen, cuál es el estado, quién es el responsable y qué documento probatorio corresponde a cada una. Sin un registro de este tipo, es difícil demostrar la supervisión, aunque de hecho haya ocurrido.
Lo que sabemos con seguridad y lo que no
La Directiva en sí describe el papel de la dirección a nivel europeo; cómo esto se traduce exactamente en la ley de responsabilidad varía según el país, y la legislación nacional no está finalizada en todas partes al mismo tiempo. Los organismos de supervisión publican su propia interpretación al respecto, e esa interpretación puede cambiar. Hacemos un seguimiento de esto por país y por fuente, con la fecha en que hemos visto una publicación; cómo funciona exactamente esa formación de fuentes se explica en la página sobre cómo hacemos seguimiento de las fuentes. Para una opinión sobre la responsabilidad de un administrador específico en una organización específica, un abogado o la autoridad competente de supervisión es el interlocutor correcto.
Lo que sí puede documentar
Aunque no exista certeza jurídica completa sobre la responsabilidad personal, hay trabajo práctico que hacer: documentar qué medidas existen, quién las gestiona y cuándo el consejo las debatió por última vez. Esto es precisamente para lo que sirve el registro de ciberseguridad — un registro vivo en lugar de un informe único. Si primero desea saber si su organización está directamente sujeta a las obligaciones de gestión de riesgos o es afectada a través de la cadena de suministro, entonces la evaluación gratuita de la Directiva NIS2 le proporciona en pocas preguntas una primera indicación, con explicación del motivo.
Comience donde está ahora: consulte la evaluación gratuita de la Directiva NIS2 o navegue por la base de conocimientos para ver qué temas son relevantes para su organización.