CEO y NIS2: preguntas clave antes de aprobar el proyecto

Aprobar un proyecto NIS2 no debería ser una decisión tomada únicamente a partir de una propuesta técnica, una lista de herramientas o una estimación genérica de horas. Para un CEO, la cuestión principal es otra: si la empresa va a ser capaz de gobernar el riesgo, demostrar diligencia, proteger la continuidad del negocio y tomar decisiones proporcionadas con presupuesto, responsables y evidencias.

El papel de la dirección no consiste en revisar configuraciones de seguridad, sino en formular las preguntas correctas antes de autorizar el proyecto. Cuando esas preguntas no se hacen, la adaptación puede convertirse en una iniciativa fragmentada: mucho trabajo técnico, poca trazabilidad ejecutiva y dificultad para explicar qué se ha hecho, por qué y con qué nivel de riesgo residual.

Por qué el CEO debe liderar las preguntas iniciales

NIS2 afecta a la forma en la que la empresa identifica riesgos, responde a incidentes, controla proveedores, documenta decisiones y protege servicios críticos. Por eso, aunque la ejecución implique a IT, legal, operaciones, compras o calidad, el impulso debe tener gobierno directivo.

Un proyecto NIS2 mal planteado suele tener síntomas reconocibles:

• Se empieza comprando tecnología antes de saber qué riesgos se quieren reducir.
• No hay un responsable claro del programa.
• Las decisiones no quedan documentadas.
• Los proveedores se revisan tarde o de forma incompleta.
• La continuidad del negocio se trata como un documento, no como una capacidad real.
• La dirección recibe informes técnicos, pero no indicadores útiles para decidir.

Si tu empresa aún está valorando si está afectada, puede ser útil revisar primero este enfoque sobre obligaciones y alcance de NIS2 para empresas. A partir de ahí, la aprobación del proyecto debe responder a una lógica de negocio.

La lista ejecutiva: 15 preguntas antes de aprobar un proyecto NIS2

Estas preguntas no sustituyen a un análisis técnico, pero ayudan a evitar que el proyecto nazca sin dirección real.

1. ¿Qué servicios de la empresa son realmente críticos?

Antes de hablar de controles, conviene identificar qué procesos, sistemas, centros, datos o proveedores sostienen la actividad. Para un CEO, la pregunta no es “qué servidores tenemos”, sino qué servicio no puede pararse sin afectar a clientes, producción, facturación, seguridad o reputación.

2. ¿Qué riesgos estamos intentando reducir?

Un proyecto NIS2 debe partir de un análisis de riesgos comprensible para dirección. No basta con enumerar vulnerabilidades. Hay que traducirlas a impacto: interrupción operativa, pérdida de información, incumplimiento contractual, dependencia de terceros o daño reputacional.

3. ¿Quién será el responsable interno del programa?

La adaptación necesita un propietario. Puede ser dirección, operaciones, IT, compliance o un comité transversal, según la empresa. Lo importante es que exista autoridad para coordinar áreas, pedir evidencias, priorizar acciones y elevar decisiones.

4. ¿Qué decisiones debe tomar el comité de dirección?

No todas las decisiones son técnicas. La dirección debe aprobar prioridades, niveles aceptables de riesgo, inversiones, responsabilidades, plazos y excepciones justificadas. Si todo queda en manos del equipo técnico, faltará respaldo cuando haya que cambiar procesos o exigir controles a proveedores.

5. ¿Qué evidencias vamos a conservar?

NIS2 obliga a pensar en diligencia demostrable. No se trata solo de “hacer cosas”, sino de poder explicar qué se decidió, cuándo, por quién y con qué base. Actas, análisis de riesgos, políticas, pruebas, revisiones de proveedores y planes de mejora deben formar parte del proyecto.

Puedes ampliar este punto en el artículo sobre evidencias para demostrar diligencia NIS2.

6. ¿Qué áreas de la empresa deben participar?

Un error habitual es limitar NIS2 a informática. Sin embargo, operaciones, compras, recursos humanos, legal, calidad, atención al cliente y dirección pueden tener responsabilidades relevantes. El proyecto debe definir quién participa y en qué momento.

7. ¿Qué proveedores son críticos para nuestra continuidad?

La cadena de suministro puede ser una de las principales fuentes de exposición. El CEO debe preguntar qué terceros soportan procesos esenciales, qué nivel de dependencia existe y qué evidencias se van a solicitar. No todos los proveedores requieren el mismo nivel de revisión, pero los críticos no pueden quedar fuera.

8. ¿Qué ocurriría si sufrimos un incidente importante mañana?

Esta pregunta aterriza el proyecto. ¿Quién decide? ¿Quién comunica? ¿Cómo se escala? ¿Qué sistemas se priorizan? ¿Qué clientes o autoridades deben recibir información? ¿Qué proveedor interviene? La respuesta ayuda a detectar carencias en continuidad, respuesta a incidentes y gobierno.

9. ¿El presupuesto está alineado con riesgos o con una lista de compras?

Un presupuesto NIS2 debe justificar prioridades. Puede incluir consultoría, análisis, documentación, formación, auditoría, herramientas o mejoras operativas, pero siempre conectado con riesgos y objetivos. Comprar sin priorizar puede dar sensación de avance, pero no necesariamente reduce exposición.

10. ¿Qué parte del proyecto es urgente y qué parte puede planificarse?

No todo tiene que resolverse a la vez. Una buena adaptación diferencia acciones inmediatas, medidas de medio plazo y mejoras estructurales. Esto permite gestionar presupuesto, carga interna y expectativas sin bloquear la actividad diaria.

11. ¿Cómo se informará a dirección del avance?

El CEO no necesita un informe lleno de siglas. Necesita saber qué riesgos se han reducido, qué decisiones están pendientes, qué evidencias existen, qué proveedores preocupan y qué desviaciones hay en plazo o presupuesto.

12. ¿Qué relación tendrá este proyecto con ISO 27001 u otros marcos?

Si la empresa ya trabaja con ISO 27001, continuidad de negocio, calidad o compliance, NIS2 no debería gestionarse como una isla. Conviene aprovechar políticas, procedimientos, controles y auditorías existentes, adaptándolos donde sea necesario.

13. ¿Cómo se validará que el proyecto avanza correctamente?

La validación puede incluir revisión interna, auditoría externa, pruebas documentales o contraste con buenas prácticas. Lo importante es no esperar al final para descubrir que faltan evidencias o que el alcance estaba mal definido. Sobre este punto, puedes consultar la diferencia entre auditoría NIS2 interna y externa.

14. ¿Qué riesgos aceptamos y cuáles no?

Toda organización convive con riesgo residual. La clave es que la aceptación sea consciente, documentada y revisable. Si una medida no se implanta por coste, plazo o complejidad, debe quedar claro quién lo aprueba y bajo qué condiciones.

15. ¿Qué cambiará en la gestión de la empresa después del proyecto?

La adaptación no debería terminar en una carpeta documental. Debe dejar una forma de trabajar: revisiones periódicas, seguimiento de proveedores, mejora de evidencias, formación, métricas y capacidad de respuesta. Si nada cambia en la gestión, el proyecto probablemente se ha quedado corto.

Preguntas, señales de alerta y respuesta esperada

Cómo evitar un proyecto NIS2 sin gobierno real

El riesgo no está solo en hacer poco. También está en hacer muchas cosas desconectadas entre sí. Un proyecto puede incluir análisis, políticas, formación, auditoría y herramientas, pero si no existe un hilo conductor, dirección tendrá dificultades para saber si la empresa está mejor preparada.

Para evitarlo, conviene exigir desde el inicio:

• Un alcance definido: sociedades, sedes, servicios, procesos y sistemas incluidos.
• Un diagnóstico inicial con lenguaje ejecutivo.
• Un mapa de riesgos priorizado.
• Un plan de acciones con responsables y plazos.
• Un modelo de evidencias.
• Un esquema de gobierno y seguimiento.
• Una previsión presupuestaria por fases.
• Un mecanismo de revisión periódica.

Este enfoque encaja con una adaptación ordenada como la descrita en la guía de adaptación NIS2 paso a paso. También ayuda a no caer en el error de convertir la adaptación en una simple compra de soluciones, un punto tratado en el artículo sobre por qué NIS2 no se resuelve comprando herramientas de seguridad.

Qué debería recibir el CEO antes de aprobar

Antes de dar luz verde, dirección debería disponer de una propuesta que no sea únicamente técnica. Como mínimo, debería incluir:

1. Alcance del proyecto: qué entra, qué queda fuera y por qué.
2. Hipótesis de afectación: por qué se considera aplicable NIS2 o por qué conviene prepararse.
3. Riesgos principales: expresados en impacto de negocio.
4. Plan de trabajo: fases, entregables, responsables y dependencias.
5. Necesidades internas: tiempo requerido de cada área.
6. Evidencias previstas: qué documentación se generará y conservará.
7. Presupuesto estimado: con prioridades y posibles fases.
8. Modelo de seguimiento: cómo se informará a dirección.

En empresas con actividad industrial, logística, tecnológica o servicios esenciales para terceros, esta revisión puede ser especialmente relevante. En el contexto local, algunas compañías ya están analizando su exposición en Galicia y otros territorios; puedes ver un enfoque complementario en este artículo sobre NIS2 en empresas de Galicia.

La decisión correcta: aprobar con dirección, no solo con urgencia

Un CEO no necesita convertirse en especialista en ciberseguridad para aprobar un proyecto NIS2. Pero sí debe asegurarse de que la iniciativa nace con gobierno, prioridades, responsables y evidencias. Esa diferencia marca si la empresa está simplemente ejecutando tareas o construyendo una capacidad real para gestionar riesgos.

La pregunta final no debería ser “¿qué herramienta compramos?”, sino “¿qué nivel de preparación queremos alcanzar, con qué prioridades y cómo vamos a demostrarlo?”.

Si estás valorando iniciar o presupuestar la adaptación de tu empresa, en AACCENTIA podemos ayudarte a definir alcance, fases, responsabilidades y necesidades reales antes de invertir. Solicita una valoración inicial desde nuestro presupuesto NIS2.