Directiva NIS2: ¿Tu CEO sabe que puede ir a la cárcel? La ACN aclara las responsabilidades de los directivos

Imagina que tu empresa sufre un ciberataque. Ahora imagina que tú, como directivo, podrías ser considerado responsable. No es ciencia ficción: la directiva NIS2 lo contempla y la ACN acaba de publicar FAQ actualizadas que aclaran hasta dónde llega tu responsabilidad. Si hasta ahora la ciberseguridad era cosa del CISO, prepárate para que el consejo de administración también tenga que sudar.

¿Qué ha cambiado con las nuevas FAQ de la ACN?

Featured Snippet Bait: Las FAQ actualizadas de la ACN sobre NIS2 establecen que los órganos de vértice (CEO, directores, consejeros) son personalmente responsables de aprobar y supervisar las medidas de gestión de riesgos de ciberseguridad, pudiendo enfrentar sanciones económicas e incluso penas de prisión por incumplimiento grave.

La Agencia para la Ciberseguridad Nacional (ACN) ha publicado una actualización de las FAQ sobre la Directiva NIS2, arrojando luz sobre las obligaciones de los altos directivos. Hasta ahora, muchas empresas pensaban que bastaba con delegar en el equipo técnico. Pero no: la alta dirección debe involucrarse activamente, aprobar políticas, asignar presupuesto y, sobre todo, rendir cuentas.

Responsabilidades concretas según las FAQ

Según el documento, los órganos de vértice deben:

• Aprobar las medidas técnicas y organizativas para gestionar los riesgos de ciberseguridad.
• Supervisar la implementación de dichas medidas y su eficacia.
• Participar en la formación y concienciación sobre ciberseguridad a nivel directivo.
• Responder ante las autoridades en caso de incidentes, pudiendo ser sancionados personalmente.

Y ojo, que las sanciones no son broma: pueden alcanzar el 2% de la facturación global anual o 10 millones de euros (lo que sea mayor), y en casos extremos, responsabilidad penal para los directivos. Como quien dice, más vale que el CEO se tome en serio eso de los parches de seguridad.

Un toque de humor para digerir la normativa

Leer las FAQ de NIS2 puede ser tan emocionante como limpiar las fugas de las baldosas con un cepillo de dientes. Pero, a diferencia de la limpieza del hogar, ignorar esto puede costarte el puesto (o la libertad). Así que mejor tomárselo con calma y un café bien cargado.

¿Cómo afecta a tu empresa?

Si tu empresa está dentro del ámbito de NIS2 (sectores como energía, banca, salud, infraestructuras digitales, etc.), necesitas actuar ya. Las FAQ de la ACN son clave para interpretar correctamente la directiva. Te recomiendo consultar directamente la página oficial de la ACN o el texto de la directiva en EUR-Lex.

Además, la ACN insiste en que la responsabilidad no se delega: el consejo debe formar parte del proceso. Si tu plan de ciberseguridad es un PDF olvidado en un cajón, ve actualizándolo.

FAQ

¿Quiénes son considerados órganos de vértice según las FAQ de NIS2?

Se refiere a los miembros de la alta dirección, como el CEO, directores ejecutivos, consejeros delegados y cualquier persona con poder de decisión estratégica en la empresa. Incluye tanto a entidades públicas como privadas sujetas a la directiva.

¿Qué sanciones pueden enfrentar los directivos por incumplir NIS2?

Las sanciones administrativas pueden ser multas de hasta 10 millones de euros o el 2% del volumen de negocio anual global, lo que sea mayor. Además, pueden derivar en responsabilidad penal si se demuestra negligencia grave o dolo, incluyendo penas de prisión.

¿Cómo pueden prepararse los órganos de vértice para cumplir con NIS2?

Deben aprobar una política de gestión de riesgos de ciberseguridad, asignar recursos suficientes, supervisar su implementación, y realizar auditorías periódicas. También es recomendable que reciban formación específica y designen un interlocutor con la autoridad de ciberseguridad.