8 obligaciones de NIS2 que afectan directamente a directivos

Durante años, la ciberseguridad se ha tratado en muchas empresas como un asunto exclusivamente técnico, delegado por completo al departamento de sistemas o a un proveedor externo. La Directiva NIS2 (Directiva (UE) 2022/2555) rompe con esa lógica de raíz. Por primera vez, una norma europea de ciberseguridad pone el foco en los órganos de dirección y en sus miembros de forma individual, exigiéndoles implicación directa, formación específica y, en última instancia, responsabilidad personal ante los fallos de gobernanza en materia de seguridad digital.

Para consejeros delegados, miembros de consejos de administración y altos directivos de entidades esenciales e importantes, esto significa que NIS2 ya no es "cosa de IT". Es una cuestión de gobierno corporativo con consecuencias legales, económicas y reputacionales muy concretas. A continuación repasamos ocho obligaciones que la normativa impone directamente a la dirección, apoyándonos en fuentes oficiales como INCIBE, el Centro Criptológico Nacional (CCN-CNI) y la Agència de Ciberseguretat de Catalunya, además de en el propio texto de la Directiva.

1. Aprobar personalmente las medidas de gestión de riesgos

El artículo 20 de la Directiva NIS2 es explícito: los órganos de dirección de las entidades esenciales e importantes deben aprobar las medidas de gestión de riesgos de ciberseguridad de la organización. El Centro Criptológico Nacional recoge textualmente el espíritu de este artículo al señalar que la norma busca garantizar un nivel elevado de responsabilidad por las medidas de gestión de riesgos de ciberseguridad y las obligaciones de notificación a nivel de las entidades esenciales e importantes, añadiendo que los órganos de dirección de estas entidades deben aprobar las medidas de gestión de riesgos y supervisar su aplicación.

Qué implica en la práctica

Esto significa que el plan de gestión de riesgos, las políticas de seguridad de la información o el análisis de vulnerabilidades no pueden quedar firmados únicamente por el responsable de sistemas o el CISO. Requieren la aprobación formal —y documentada— del consejo o del comité de dirección, que pasa a asumir la titularidad de esas decisiones.

Por qué no es un trámite menor

Aprobar no equivale a firmar sin leer. Los reguladores esperan que exista trazabilidad de que la dirección entendió el contenido, discutió las alternativas y asumió conscientemente el nivel de riesgo residual aceptado por la organización.

2. Supervisar la implementación efectiva de esas medidas

Aprobar un plan no es suficiente: NIS2 obliga a la dirección a supervisar que dicho plan se ejecuta realmente. La Agència de Ciberseguretat de Catalunya recuerda que las organizaciones afectadas debe: “Cumplir una serie de medidas técnicas, operativas y organizativas, relacionadas con la gestión de riesgos de ciberseguridad, entre las que se incluyen desde políticas de análisis de riesgos y seguridad de la información, hasta planes de continuidad de la actividad y seguridad de la cadena de suministro.”

Un cambio de rol para la alta dirección

La supervisión implica pedir cuentas periódicamente: revisar indicadores, exigir informes de auditoría, comprobar que las inversiones aprobadas se han ejecutado y que los plazos comprometidos se cumplen. Por tanto, para los consejos de administración, esta regulación ya no representa un mero problema técnico delegable de forma exclusiva en el departamento de sistemas de información, ya que la falta de implicación directa expone a la organización a vulnerabilidades que comprometen la continuidad del negocio.

La documentación como escudo

En caso de inspección o de incidente, la evidencia de esa supervisión activa —actas de comité, informes revisados, decisiones tomadas— será lo que distingue a un consejo diligente de uno negligente ante el regulador.

3. Formarse personalmente en ciberseguridad

Esta es probablemente la obligación más novedosa culturalmente hablando: la norma no solo pide que la empresa forme a sus empleados, sino que los propios directivos reciban formación específica para poder ejercer su función de supervisión con conocimiento de causa.

El fundamento normativo

El artículo 21 de la Directiva establece que las entidades deben adoptar medidas para formar a su personal en ciberseguridad, y esa obligación alcanza expresamente a la cúpula directiva. La norma obliga a garantizar que los miembros de la alta dirección comprendan sus responsabilidades y los riesgos asociados, dentro de un plan formativo documentado y actualizado, con cobertura suficiente y trazabilidad verificable.

Qué debe cubrir esta formación

No se trata de un curso genérico de concienciación. Los directivos deben adquirir criterio suficiente para valorar si las medidas de seguridad propuestas son adecuadas, entender los riesgos reales de la cadena de suministro digital de la empresa y saber interpretar un informe de incidente sin depender por completo del lenguaje técnico del equipo de IT.

Consecuencia de no hacerlo

Si un directivo no puede demostrar que ha recibido esta formación, resulta mucho más difícil argumentar ante un regulador que la aprobación y supervisión de las medidas de riesgo se hizo con el criterio exigido por la norma.

4. Garantizar la notificación de incidentes significativos en plazo

NIS2 introduce plazos de notificación estrictos y escalonados que la dirección debe asegurar que la organización es capaz de cumplir. Como resume Mundobytes, la notificación se articula en dos momentos: alerta temprana dentro de las primeras 24 horas tras tener constancia del incidente y notificación completa en un máximo de 72 horas, actualizando información, gravedad, impacto y medidas tomadas.

El papel de la dirección en este proceso

No basta con que exista un protocolo técnico de detección. La dirección debe asegurarse de que existen canales de escalado claros, de que se sabe quién decide si un incidente es "significativo" y de que la organización dispone de los recursos y la autoridad interna necesarios para activar la notificación sin demoras causadas por trabas jerárquicas.

Qué se considera un incidente significativo

Un incidente se considera significativo, según recogen distintas fuentes especializadas, cuando causa una perturbación operativa grave del servicio o afecta —o puede afectar— a terceros ocasionándoles perjuicios económicos u operativos relevantes.

5. Asumir responsabilidad personal en caso de negligencia grave

Este es, sin duda, el punto que más ha cambiado la percepción de los directivos sobre NIS2. La normativa introduce mecanismos para responsabilizar personalmente a los altos cargos cuando se constata negligencia grave tras un incidente cibernético. Proofpoint explica que las autoridades podrán, en esos casos, exigir a la organización que divulgue públicamente el incumplimiento y emitir declaraciones públicas identificando a los individuos responsables.

Del reproche técnico al reproche personal

Hasta ahora, un fallo de seguridad se resolvía casi siempre en el terreno de la sanción corporativa. NIS2 traslada parte de esa exposición a la esfera individual: el nombre del directivo puede quedar ligado públicamente al incumplimiento, con el impacto reputacional que ello conlleva tanto dentro como fuera de la organización.

Inhabilitación temporal

Como recuerda INCIBE en su ficha divulgativa sobre la Directiva, entre los poderes coercitivos de las autoridades nacionales figura la posibilidad de prohibir temporalmente a los responsables de la gestión a nivel de director ejecutivo o representante legal el ejercicio de funciones directivas, si bien esta medida es aplicable únicamente a las entidades esenciales, no a las entidades importantes.

6. Responder ante auditorías de seguridad obligatorias

La dirección también debe estar preparada para que su organización sea sometida a auditorías de seguridad impuestas por la autoridad competente, y para actuar sobre sus conclusiones. Proofpoint incluye entre los poderes de las autoridades las auditorías de seguridad obligatorias, y la propia lista de medidas coercitivas de INCIBE contempla ordenar que se apliquen las recomendaciones formuladas como resultado de una auditoría de seguridad en un plazo razonable.

Un compromiso con plazo, no solo con contenido

No basta con recibir el informe de auditoría y archivarlo. La dirección debe aprobar un plan de acción con fechas concretas y hacer seguimiento de su cumplimiento, ya que el propio regulador puede fijar el plazo en el que las recomendaciones deben quedar implementadas.

El riesgo de la inacción

Ignorar o retrasar la implementación de las recomendaciones de una auditoría no es una opción neutra: puede interpretarse como un indicio adicional de negligencia si posteriormente se produce un incidente relacionado con las debilidades ya señaladas.

7. Garantizar la seguridad de la cadena de suministro

NIS2 amplía de forma notable el perímetro de responsabilidad de la dirección al incluir expresamente la seguridad de proveedores y terceros. La Agència de Ciberseguretat de Catalunya sitúa la seguridad de la cadena de suministro entre las medidas técnicas y organizativas más destacadas que deben implementar las entidades afectadas.

Por qué esto llega hasta el consejo de administración

Un incidente originado en un proveedor mal auditado puede tener el mismo impacto regulatorio que un fallo interno. Esto obliga a la dirección a exigir —y a poder demostrar— que existen procesos de evaluación de proveedores críticos, cláusulas contractuales de seguridad y mecanismos de supervisión continuada sobre la cadena de suministro digital.

El efecto cascada en las PYMES

Un aspecto poco conocido, pero relevante: aunque una empresa no esté directamente obligada por NIS2, si actúa como proveedora de una entidad esencial o importante, recibirá igualmente exigencias de cumplimiento a través de cuestionarios, cláusulas contractuales y auditorías impulsadas por su cliente. La responsabilidad de la dirección, en ese caso, se traslada indirectamente por vía contractual.

8. Asumir el riesgo económico de sanciones que escalan con la facturación

Por último, la dirección debe ser consciente de que el régimen sancionador de NIS2 se ha diseñado deliberadamente para tener un peso disuasorio proporcional al tamaño de la empresa, de forma similar al RGPD. Como resume Secra en su guía de cumplimiento, la Directiva armoniza al alza el régimen sancionador en toda la Unión las multas tienen techos altos, la responsabilidad de los directivos es personal y la autoridad competente dispone de sanciones accesorias con impacto reputacional y operativo significativo.

Las cifras que maneja la norma

Según recogen distintas fuentes especializadas en la transposición de NIS2, las entidades esenciales podrían enfrentarse a multas de hasta 10 millones de euros o el 2% de la facturación anual global, aplicándose la cifra que resulte más elevada; en el caso de las entidades importantes, los techos se sitúan en torno a los 7 millones de euros o el 1,4% de la facturación. Estas cifras están sujetas a la concreción final que establezca la ley española de transposición, por lo que conviene seguir su evolución antes de darlas por definitivas.

Sanciones accesorias que van más allá del dinero

El impacto económico directo no es el único riesgo. Entre las sanciones accesorias que contempla la norma figuran, según Secra, la publicación del incumplimiento en medios oficiales, identificando a la entidad sancionada, la prohibición temporal de ejercer funciones directivas a los miembros del consejo o de la alta dirección personalmente responsables, la designación de un interventor que supervise la implantación de las medidas correctoras e incluso, en los casos más graves, la orden de cese o suspensión de la actividad del servicio afectado.

El coste reputacional, el más difícil de cuantificar

Más allá de la multa económica, la publicación oficial de un incumplimiento y la posible identificación pública del directivo responsable tienen un efecto sobre la confianza de inversores, socios comerciales y clientes que, en muchos casos, supera con creces el importe de la sanción monetaria.

Situación actual en España: la transposición pendiente

Es importante situar todo lo anterior en el contexto legal español actual. A fecha de mediados de 2026, España sigue sin completar la transposición de la Directiva NIS2 a su ordenamiento jurídico interno. El Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad fue aprobado en Consejo de Ministros en enero de 2025 y continúa en tramitación parlamentaria, mientras que la Comisión Europea ya remitió a España un dictamen motivado en mayo de 2025 por el incumplimiento del plazo de transposición, fijado originalmente en octubre de 2024.

Esto no significa que las empresas puedan relajarse. La recomendación unánime de organismos como INCIBE y el CCN-CERT es no esperar a la publicación en el BOE para empezar a adaptarse, ya que muchas de las obligaciones —especialmente las relativas a notificación de incidentes y medidas mínimas de seguridad— ya están orientando de facto las expectativas regulatorias y contractuales del mercado. Cuando la ley entre en vigor, previsiblemente las sanciones serán exigibles desde el día siguiente, sin periodos de gracia adicionales.

Qué debería hacer la dirección a partir de ahora

Ante este panorama, la recomendación práctica para consejos de administración y comités de dirección pasa por tres frentes complementarios. En primer lugar, formalizar la gobernanza de la ciberseguridad como punto recurrente del orden del día del consejo, con actas que reflejen la aprobación y supervisión activa de las medidas de riesgo. En segundo lugar, invertir en formación específica para la alta dirección, no solo para el personal técnico, de manera que quede documentada y sea verificable ante un eventual auditor o regulador. Y, en tercer lugar, revisar y reforzar la seguridad de la cadena de suministro, exigiendo a proveedores críticos garantías equivalentes a las que la propia organización debe cumplir.

La ciberseguridad ha dejado de ser, con NIS2, un asunto exclusivamente delegable en el departamento técnico. Se ha convertido en una responsabilidad de gobierno corporativo con nombre y apellidos, y anticiparse a su cumplimiento es, a día de hoy, mucho menos costoso que afrontar sus consecuencias.