Comprender la complejidad.
Dominar los riesgos.
Construir el éxito.
CIBERSEGURIDAD Y GOBERNANZA DE TI · ARTÍCULO ESPECIALIZADO
NIS2 y la responsabilidad de la dirección
La NIS2 traslada la ciberseguridad del departamento especializado a la responsabilidad del nivel directivo. Quien aprueba medidas también debe entenderlas — y supervisar su eficacia.
Redacción de Governance First·8 minutos de lectura
La novedad decisiva de la NIS2 no es el catálogo de medidas — que ya se conoce en gran parte por ISO 27001 y el IT-Grundschutz del BSI. Lo nuevo es la obligación personal de los órganos de dirección de aprobar las medidas de gestión de riesgos, supervisar su aplicación y formarse.
Aclarar primero si le afecta
El sector, el tamaño y el papel en la cadena de suministro deciden si se es entidad «esencial» o «importante» — y, con ello, el régimen de supervisión y las obligaciones de notificación. Muchas empresas subestiman la afectación indirecta: como proveedor de un cliente regulado, los requisitos de la NIS2 llegan a la propia empresa a través del contrato.
Vías de notificación que funcionan en caso de emergencia
Alerta temprana, notificación, informe final — los plazos son cortos y corren desde el conocimiento, no desde el análisis. Quien no ha ensayado la cadena de notificación pierde las primeras horas con cuestiones de competencia. Un proceso sólido designa nominalmente a los responsables de decisión, a sus suplentes y la escalada.
«Una obligación de notificación que solo se lee durante el incidente no es gobernanza — sino un riesgo».
La cadena de suministro como objeto de control
Los riesgos de terceros deben evaluarse, anclarse contractualmente y supervisarse. Resulta útil un modelo escalonado: clases de criticidad, una profundidad de evidencias acorde y un registro que se comparta con los requisitos de DORA en lugar de duplicarlos.
Evidencias en lugar de intenciones
La autoridad de supervisión pregunta por la eficacia. Es decir: pruebas, resultados, medidas derivadas, nueva verificación. Quien integra este ciclo en los sistemas de control existentes no necesita construir un segundo mundo de gobernanza.
CINCO PREGUNTAS PARA LA PRÓXIMA REUNIÓN DE DIRECCIÓN
- ¿Somos entidad esencial, importante o estamos afectados indirectamente — y podemos acreditarlo?
- ¿Quién notifica en caso de emergencia, en qué plazo y a qué organismo?
- ¿Qué proveedores son críticos y qué está regulado contractualmente?
- ¿Cuándo probamos la eficacia por última vez?
- ¿Está documentada la formación de los órganos de dirección?
Compruebe con nosotros si le afecta la NIS2
Evaluamos su clasificación, sus vías de notificación y sus obligaciones relativas a la cadena de suministro en una evaluación compacta.
