Responsabilidad de la dirección en NIS2: qué arriesgan administradores y directivos

Qué se le exige exactamente a la dirección

• • Aprobar formalmente las medidas de gestión de riesgos de ciberseguridad, no limitarse a conocerlas.
• • Supervisar su aplicación: que lo aprobado se implante y siga funcionando.
• • Formarse en ciberseguridad para tener criterio suficiente con el que evaluar riesgos y decisiones.
• • Promover formación equivalente para la plantilla de forma periódica.

Qué se arriesga personalmente

La sanción económica recae sobre la entidad (hasta 10 M€ o el 2% de la facturación mundial para las esenciales; 7 M€ o el 1,4% para las importantes), pero NIS2 no se queda ahí: introduce la responsabilidad del órgano de dirección por no aprobar ni supervisar las medidas, y la autoridad puede suspender certificaciones e incluso prohibir temporalmente el ejercicio de funciones directivas.

Dicho en corto: la excusa de que la ciberseguridad la lleva el informático deja de servir. Y ante un incidente grave, la primera pregunta será si la dirección aprobó las medidas, con qué información y qué hizo cuando le avisaron.

Cómo demostrar que la dirección cumple

• • Acta del consejo o de la administración con la aprobación de la política de seguridad y del análisis de riesgos, con fecha.
• • Punto fijo de ciberseguridad en el orden del día, al menos una vez al año o tras cada incidente relevante.
• • Registro de la formación recibida por administradores y directivos: quién, cuándo y sobre qué.
• • Informe periódico de indicadores (incidentes, parcheado, resultados de las pruebas de restauración) elevado a la dirección.
• • Riesgos aceptados por escrito: si se decide no cerrar un hueco, que conste quién lo asume y por qué.