\u00bfQu\u00e9 exige la NIS2 a la direcci\u00f3n?<\/h2>\n
Las obligaciones de la direcci\u00f3n est\u00e1n en el art\u00edculo 20 de la directiva NIS2<\/a>, el art\u00edculo dedicado a la gobernanza. Se resumen en cuatro deberes que recaen sobre el \u00f3rgano de direcci\u00f3n y que no pueden trasladarse al responsable de IT.<\/p>\n La direcci\u00f3n tiene que aprobar las medidas de ciberseguridad que la empresa adopta para cumplir el art\u00edculo 21. Ese art\u00edculo fija un m\u00ednimo com\u00fan<\/strong> que incluye, entre otras cosas, lo siguiente.<\/p>\n Aprobar implica conocer esas medidas y validarlas de forma expl\u00edcita, con una decisi\u00f3n que quede registrada. Firmar un documento sin leerlo no cubre la obligaci\u00f3n<\/strong>. Si quieres repasar todos los requisitos con detalle, tienes una checklist de la NIS2<\/a> que los recoge punto por punto.<\/p>\n Aprobar las medidas es el primer paso, pero la NIS2 tambi\u00e9n pide a la direcci\u00f3n que compruebe que esas medidas se aplican<\/strong> de verdad.<\/p>\n Eso no obliga a los directivos a entrar en el detalle t\u00e9cnico. Lo que se espera es que reciban informaci\u00f3n sobre el estado de la seguridad con cierta regularidad, que pregunten cuando algo no cuadra y que hagan seguimiento de los fallos detectados hasta que est\u00e9n corregidos. Si el equipo de IT avisa de que un tercio de los port\u00e1tiles no est\u00e1 cifrado, la direcci\u00f3n tiene que saberlo y decidir qu\u00e9 se hace.<\/p>\n La directiva establece que los \u00f3rganos de direcci\u00f3n respondan cuando la entidad incumple las obligaciones del art\u00edculo 21<\/strong>. Es la parte que m\u00e1s preocupa a los directivos, porque abre la puerta a la responsabilidad personal. Tienes el detalle m\u00e1s abajo, en el apartado sobre responsabilidad personal.<\/p>\n El art\u00edculo 20.2 obliga a los miembros del \u00f3rgano de direcci\u00f3n a seguir formaci\u00f3n en ciberseguridad<\/strong>. El objetivo es que tengan conocimientos suficientes para detectar los riesgos, valorar las pr\u00e1cticas de gesti\u00f3n de riesgos y entender su impacto en los servicios de la empresa.<\/p>\n La directiva no exige un curso certificado ni fija un n\u00famero de horas. Lo importante es que la formaci\u00f3n exista, que se repita con cierta regularidad y que quede registro de ella. Adem\u00e1s, anima a las empresas a ofrecer una formaci\u00f3n similar al resto de la plantilla de forma peri\u00f3dica.<\/p>\n Estas obligaciones solo se aplican a la direcci\u00f3n de las empresas que entran en el \u00e1mbito de la NIS2. Por lo general, son medianas y grandes empresas de los sectores incluidos en los anexos I y II de la directiva<\/strong>, aunque algunas entidades quedan dentro sin importar su tama\u00f1o.<\/p>\n Si tienes dudas sobre tu caso, puedes leer nuestro art\u00edculo especifico sobre a qui\u00e9n afecta la directiva NIS2 en Espa\u00f1a<\/a>.<\/p>\n La directiva habla de \u00f3rganos de direcci\u00f3n sin entrar en cada forma societaria. En una sociedad espa\u00f1ola, eso suele traducirse en el consejo de administraci\u00f3n<\/strong> o en el\u00a0administrador \u00fanico<\/strong>, as\u00ed como en los administradores solidarios o mancomunados cuando existen.<\/p>\n A efectos de sanciones, el texto tambi\u00e9n menciona a las personas f\u00edsicas con funciones de direcci\u00f3n al nivel de director general o representante legal<\/strong>. Por eso, el consejero delegado y la alta direcci\u00f3n con poderes ejecutivos tambi\u00e9n deber\u00edan darse por aludidos. La ley espa\u00f1ola de transposici\u00f3n ser\u00e1 la que termine de concretar qui\u00e9n responde en cada caso.<\/p>\n La NIS2 distingue entre entidades esenciales y entidades importantes<\/a>. Las obligaciones de la direcci\u00f3n son las mismas en los dos casos, pero cambian la supervisi\u00f3n y las sanciones.<\/p>\n Las entidades esenciales tienen una supervisi\u00f3n proactiva<\/strong>, con inspecciones y auditor\u00edas aunque no haya pasado nada. Las entidades importantes tienen una supervisi\u00f3n reactiva<\/strong>, que suele activarse tras un incidente o una denuncia. Adem\u00e1s, la posibilidad de inhabilitar temporalmente a un directivo solo est\u00e1 prevista para las esenciales.<\/p>\n S\u00ed y no. La direcci\u00f3n puede delegar la ejecuci\u00f3n, pero conserva la responsabilidad. Es la idea que m\u00e1s conviene tener clara, porque es tambi\u00e9n la que m\u00e1s confusi\u00f3n genera.<\/p>\n La direcci\u00f3n no tiene que encargarse del trabajo t\u00e9cnico<\/strong>. Todo lo operativo puede quedar en manos del CISO, del equipo de IT o de un proveedor externo, que son quienes tienen el conocimiento para hacerlo.<\/p>\n La aprobaci\u00f3n de las medidas, la supervisi\u00f3n de su aplicaci\u00f3n y la formaci\u00f3n propia siguen siendo de la direcci\u00f3n. Tampoco se pueden delegar las decisiones de fondo, como qu\u00e9 riesgos se aceptan, cu\u00e1nto presupuesto se destina a seguridad o qu\u00e9 deficiencias se corrigen primero.<\/p>\n Delegar la ejecuci\u00f3n en el responsable de seguridad es perfectamente compatible con la NIS2. Lo que la directiva no admite es que la direcci\u00f3n se desentienda<\/strong>.<\/p>\n La NIS2 hace que la ciberseguridad deje de ser solo un problema de la empresa. Si las cosas se hacen mal, quienes la dirigen tambi\u00e9n pueden sufrir las consecuencias.<\/p>\n Un directivo no responde por el simple hecho de que la empresa sufra un ciberataque. Responde cuando no ha hecho su parte<\/strong>, es decir, cuando no ha aprobado las medidas de seguridad, no ha supervisado que se apliquen o ha ignorado los problemas que le han comunicado.<\/p>\n Por eso es tan importante poder demostrar que la direcci\u00f3n ha estado encima del tema.<\/p>\n Las consecuencias dependen del tipo de empresa y de la gravedad del incumplimiento.<\/p>\n Puedes ver m\u00e1s informaci\u00f3n sobre todo esto en nuestro art\u00edculo sobre las sanciones por incumplir la directiva NIS2<\/a>.<\/p>\n Espa\u00f1a todav\u00eda no ha aprobado la ley que traslada la NIS2 a su legislaci\u00f3n<\/strong>. El Anteproyecto de Ley de Coordinaci\u00f3n y Gobernanza de la Ciberseguridad sigue en tramitaci\u00f3n, y puedes seguir su evoluci\u00f3n en este art\u00edculo sobre cu\u00e1ndo entra en vigor la directiva NIS2 en Espa\u00f1a<\/a>.<\/p>\n El texto actual del Anteproyecto va incluso m\u00e1s all\u00e1 que la directiva en lo que respecta a la direcci\u00f3n. Prev\u00e9 que los miembros del \u00f3rgano de direcci\u00f3n respondan de forma solidaria por las infracciones de la empresa<\/strong>, aunque la redacci\u00f3n final puede cambiar durante su paso por las Cortes.<\/p>\n Mientras tanto, los administradores ya tienen obligaciones en materia de ciberseguridad. La Ley de Sociedades de Capital les exige actuar con la diligencia de un ordenado empresario. Si un ciberataque causa da\u00f1os y se demuestra que la direcci\u00f3n ignor\u00f3 los riesgos o los avisos de su equipo, puede acabar respondiendo por ello, est\u00e9 o no la empresa dentro de la NIS2.<\/p>\n La forma m\u00e1s pr\u00e1ctica de cumplir con el art\u00edculo 20 es convertir la supervisi\u00f3n de la ciberseguridad en una rutina de gobierno<\/strong>, igual que la revisi\u00f3n de las cuentas o de los riesgos financieros. Estos son los pasos b\u00e1sicos a seguir:<\/p>\n Define qui\u00e9n se encarga de la seguridad en el d\u00eda a d\u00eda<\/strong>, con qu\u00e9 autoridad y con qu\u00e9 recursos. Puede ser un CISO, un responsable de IT o un proveedor externo, pero su papel y la forma en que rinde cuentas a la direcci\u00f3n tienen que estar documentados.<\/p>\n Muchas empresas crean adem\u00e1s un comit\u00e9 de ciberseguridad<\/strong> o incluyen el tema como punto fijo en el orden del d\u00eda del consejo.<\/p>\n Para supervisar, la direcci\u00f3n necesita informaci\u00f3n clara y regular. Lo m\u00e1s pr\u00e1ctico es pedir un informe cada trimestre, sin tecnicismos y con algunos indicadores sencillos como estos:<\/p>\n Para que estos indicadores sean fiables, la empresa necesita saber primero qu\u00e9 tiene. Ah\u00ed entra el inventario de activos de la NIS2<\/a>, que es la base de casi cualquier informe de seguridad.<\/p>\n Las medidas de seguridad necesitan presupuesto, tiempo y personas. Si la direcci\u00f3n las aprueba sin darles recursos, el problema sigue siendo suyo.<\/p>\n La buena noticia es que la NIS2 no exige lo mismo a todas las empresas. Las medidas tienen que ajustarse al tama\u00f1o y al riesgo de cada una, as\u00ed que una pyme no necesita invertir como un banco. Lo importante es que la direcci\u00f3n decida qu\u00e9 es razonable y lo deje por escrito.<\/p>\n Esto incluye a los proveedores y a las aplicaciones SaaS que usa tu equipo<\/a>, que tambi\u00e9n forman parte del riesgo de la empresa.<\/p>\n Si llega una inspecci\u00f3n, decir que la direcci\u00f3n ha supervisado no es suficiente. Hay que poder demostrarlo.<\/p>\n Por eso conviene guardar todo lo que deja rastro de esa supervisi\u00f3n. Las actas en las que se aprueban las medidas, los informes que ha revisado la direcci\u00f3n, las decisiones sobre riesgos y presupuesto y los registros de formaci\u00f3n de sus miembros. Con esos documentos, cualquier inspector puede ver que la direcci\u00f3n ha hecho su parte.<\/p>\n Es adem\u00e1s la misma documentaci\u00f3n que te pedir\u00e1n en una auditor\u00eda NIS2<\/a>. Cuanto antes empieces a generarla, menos trabajo tendr\u00e1s cuando llegue el momento.<\/p>\n Centraliza dispositivos, accesos y procesos de IT en un solo lugar para reducir tareas manuales y ganar visibilidad operativa.<\/p>\n \n \n Ver m\u00e1s <\/a>\n <\/div>\n\n La direcci\u00f3n solo puede supervisar bien si tiene datos claros y al d\u00eda. El problema es que, en muchas empresas, esa informaci\u00f3n est\u00e1 repartida entre hojas de c\u00e1lculo, correos y herramientas distintas, y reunirla lleva horas.<\/p>\n Factorial IT<\/a> re\u00fane dispositivos, accesos y aplicaciones en una sola plataforma conectada con RR. HH. As\u00ed, el equipo de IT tiene siempre a mano el estado real de la seguridad y puede compartirlo con la direcci\u00f3n sin tener que buscarlo cada vez.<\/p>\n Eso s\u00ed, la herramienta aporta los datos y las evidencias, pero aprobar las medidas, decidir los recursos y dejar constancia en las actas sigue siendo tarea de la direcci\u00f3n. Si quieres ver todos los requisitos que cubre, puedes leer c\u00f3mo Factorial IT ayuda a cumplir con la NIS2<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"Aprobar las medidas de gesti\u00f3n de riesgos<\/h3>\n
\n
Supervisar que las medidas se aplican<\/h3>\n
Responder por los incumplimientos<\/h3>\n
Formarse en ciberseguridad<\/h3>\n
\u00bfA qu\u00e9 directivos afecta?<\/h2>\n
Qui\u00e9n forma parte del \u00f3rgano de direcci\u00f3n<\/h3>\n
Entidades esenciales e importantes<\/h3>\n
\u00bfPuede la direcci\u00f3n delegar la NIS2?<\/h2>\n
Lo que se puede delegar<\/h3>\n
\n
Lo que no se puede delegar<\/h3>\n
\u00bfQu\u00e9 responsabilidad personal asumen los directivos?<\/h2>\n
Cu\u00e1ndo responde un directivo<\/h3>\n
Qu\u00e9 puede pasar<\/h3>\n
\n
NIS2 y la direcci\u00f3n en Espa\u00f1a<\/h2>\n
\u00bfC\u00f3mo cumplir con la NIS2 desde la direcci\u00f3n?<\/h2>\n
1. Asignar responsabilidades por escrito<\/h3>\n
2. Recibir informaci\u00f3n peri\u00f3dica sobre riesgos e incidentes<\/h3>\n
\n
3. Destinar recursos proporcionados al riesgo<\/h3>\n
4. Dejar constancia documental de la supervisi\u00f3n<\/h3>\n
![](\"https:\/\/factorialhr.com\/wp-content\/uploads\/2026\/03\/25121110\/2.png\")
\n <\/div>\n <\/div>\n<\/div>\n\u00bfC\u00f3mo supervisar la ciberseguridad con Factorial IT?<\/h2>\n
\n
![\"gesti\u00f3n](\"https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14121148\/gestion-activos-factorial-it-1024x505.png\")
<\/p>\n\n
![\"controles](\"https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-1024x500.png\")
<\/p>\n\n