por qué necesito un certificado de asistencia para una capacitación en ciberseguridad

" Prueba de que la higiene cibernética y la capacitación están organizadas

Un certificado de participación sirve como prueba de que la capacitación del personal realmente ha tenido lugar, y eso es exactamente lo que tanto la administración interna como un cuestionario de seguridad de un cliente solicita. La ciberseguridad no se trata solo de tecnología, sino también de personas que saben cómo reconocer phishing, gestionar contraseñas e informar incidentes. La capacitación es por lo tanto uno de los elementos recurrentes dentro de la obligación de diligencia debida, y un certificado de participación es el resultado tangible con el que se puede demostrar esa capacitación — no solo ante una autoridad supervisora, sino también ante un cliente que solicita pruebas.

Para las organizaciones obligadas, un certificado de participación forma parte del prueba que debe proporcionarse por cada medida de seguridad: no la medida en sí misma ("capacitamos a nuestro personal") sino la prueba concreta de que también ha ocurrido, con nombre, fecha y asunto. Para las pequeñas y medianas empresas afectadas por la cadena de suministro que no están sujetas a la ley por sí mismas, es igualmente relevante: quien debe responder un cuestionario de seguridad de un cliente a menudo recibe precisamente esta pregunta, porque un cliente debe poder demostrar que la cadena de suministro también es lo suficientemente resiliente. Sin un certificado de participación, "capacitamos a nuestro personal" sigue siendo una afirmación sin pruebas, y generalmente no es suficiente.

Dónde esto se deriva de la obligación de diligencia

El artículo 21, apartado 2, de la Directiva NIS2 menciona explícitamente entre las diez medidas obligatorias la higiene cibernética básica y la capacitación en ciberseguridad como parte de la obligación de diligencia debida, lo que en la Ley de Ciberseguridad se adopta como la transposición holandesa. La ISO/IEC 27001 lo desarrolla en el Anexo A como una medida de control sobre conciencia y capacitación de empleados, donde la demostrabilidad — es decir, un registro de quién, cuándo y qué capacitación ha recibido — es un elemento recurrente. El NCSC subraya en su información sobre la obligación de diligencia debida que las medidas no solo deben tomarse, sino también demostrarse.