La formación en conciencia de seguridad en el desarrollo de software no es un capítulo separado en la directiva, sino que se deriva del deber de diligencia: la obligación de adoptar medidas técnicas y organizativas apropiadas contra los riesgos para los sistemas de redes e información. La concienciación de los empleados es una de las medidas que se incluyen en esto, porque una gran parte de los incidentes comienzan con un error humano: un correo de phishing que se abre, una contraseña que se comparte, un acceso mal configurado que nadie detecta.
Además, la directiva establece una segunda obligación separada que no se refiere a los empleados sino al órgano de administración mismo: este también debe capacitarse y debe supervisar el establecimiento de ciberseguridad dentro de la organización. Esta es una obligación diferente a la obligación de capacitación del personal, con un propósito diferente y un responsable diferente. Para una empresa de software que está sujeta al deber de diligencia, o que se enfrenta a requisitos de NIS2 a través de un cliente, la distinción entre estos dos niveles es exactamente donde surge mucha confusión.
Lo que el deber de diligencia exige de la organización
El deber de diligencia no describe un programa de capacitación fijo con un número mínimo de horas o un proveedor obligatorio. Lo que la directiva exige es que una organización demuestre que presta atención a la conciencia de seguridad como parte de su gestión de riesgos. En la práctica, esto significa: los empleados que trabajan con código, datos de clientes o entornos de producción deben saber qué es la ingeniería social, cómo reconocer una solicitud sospechosa y qué hacer si tienen dudas.
En una empresa de software, el énfasis suele estar en algunos riesgos específicos que no se presentan en todas las empresas pequeñas y medianas: acceso al código fuente, secretos en archivos de configuración, y la tentación de asegurar los entornos de prueba de manera más flexible que la producción. Un programa de conciencia que solo advierte sobre correos de phishing, pero no dice nada sobre compartir una clave API en un mensaje de chat, se pierde exactamente el riesgo que más a menudo falla en el flujo de desarrollo. Quién quiera registrar esto de manera sistemática, encontrará en la descripción general de temas por sector cómo otras medidas del deber de diligencia se conectan con esto, como el control de acceso y el registro de incidentes.
La obligación separada para el órgano de administración
Además de la obligación de capacitación del personal, la directiva establece una responsabilidad propia para el órgano de administración: este debe tener suficientes conocimientos para poder evaluar las medidas adoptadas e inscribirse en los riesgos asociados a la organización. No es un complemento a la capacitación del personal sino una obligación independiente, dirigida a quien es responsable en última instancia.
Esta distinción es relevante porque a menudo se pasa por alto: una empresa organiza un aprendizaje electrónico para todos los empleados y piensa que con esto también ha cumplido con la obligación del órgano de administración. O el director de una empresa de software asume que su experiencia técnica personal es suficiente, sin que nada se haya registrado. Ambas situaciones revelan una brecha entre lo que realmente sucede y lo que está organizadamente documentado. Para la interpretación exacta de esta obligación, y para lo que se ha establecido específicamente en la transposición nacional, el texto oficial de la directiva es el punto de partida indicado; realizamos un seguimiento en la base de conocimientos de qué publicaciones hemos visto y cuándo.
Lo que esto significa para una empresa de software en la práctica
Una empresa de software que cae bajo la obligación de diligencia propia, o que recibe un cuestionario de seguridad de un cliente que sí lo hace, suele recibir al mismo tiempo dos tipos de preguntas: si existe un programa de concienciación para los empleados y si la dirección ha participado en actividades de capacitación o las ha organizado. Quien solo puede demostrar lo primero deja sin respuesta una obligación que el cuestionario efectivamente solicita.
Para determinar si, y en qué función, esto es relevante para su organización, es útil empezar por identificar el sector, el tamaño y la posición en la cadena de suministro. Eso es precisamente donde la evaluación gratuita de la Directiva NIS2 comienza: en unas pocas preguntas queda claro si una organización es responsable por sí sola, solo se ve afectada a través de un cliente, o ninguna de las dos cosas.
Registro: evidencia y propietario
Una obligación de capacitación que solo existe en la mente, no se puede demostrar en una inspección o un cuestionario. Lo que funciona es registrar por cada obligación un estado, una evidencia y un propietario: cuándo, qué grupo de empleados ha recibido qué capacitación, y si ha habido un momento separado en el que el responsable ha sido informado sobre las medidas adoptadas y los riesgos de la organización. Ambos deben estar en un dossier, no en dos correos electrónicos sueltos.
Las dudas frecuentes sobre qué exactamente se incluye bajo la obligación de capacitación y cómo se relaciona con otras medidas de la obligación de diligencia están elaboradas en la preguntas frecuentes. También leerá cómo secria.eu mantiene las fuentes y cuándo se ha revisado una página por última vez, accesible a través de la explicación sobre cómo se elabora la información.
¿Desea saber primero si este tema es relevante para su organización o solo le afecta a través de un cliente? Haga la verificación gratuita de NIS2 o navegue por los temas; ambos se pueden consultar sin cuenta y proporcionan inmediatamente un paso concreto siguiente.