Dirección NIS2: decisiones que el comité no debería delegar

En muchas empresas, la adaptación a NIS2 empieza en tecnología, sistemas o cumplimiento. Es lógico: hay controles, inventarios, proveedores, incidentes y documentación técnica que ordenar. Pero determinadas decisiones no pueden quedarse en ese nivel. Cuando afectan a continuidad, responsabilidad, presupuesto, exposición al riesgo o relación con clientes y proveedores, deben llegar al comité de dirección con información clara y accionable.

El reto para dirección no es convertirse en un equipo técnico. El reto es decidir qué nivel de riesgo acepta la empresa, qué procesos deben protegerse primero, qué evidencias se van a exigir y qué recursos se asignan para avanzar con criterio. Esa es la diferencia entre “tener tareas de ciberseguridad en marcha” y dirigir un proyecto NIS2 con enfoque empresarial.

Por qué NIS2 debe tener espacio en el comité de dirección

NIS2 eleva la ciberseguridad a un asunto de gestión. No basta con implantar herramientas o redactar políticas si la organización no ha definido prioridades, responsables y capacidad de respuesta.

Para un CEO o comité de dirección, la pregunta no debería ser únicamente “¿estamos cumpliendo?”. Conviene formularla de otra manera: “¿tenemos control suficiente sobre los riesgos que pueden interrumpir la actividad, afectar a clientes o comprometer información relevante?”.

Ese cambio de enfoque evita dos errores frecuentes:

• delegar todo el proyecto en perfiles técnicos sin capacidad de decidir presupuesto o prioridades;
• convertir NIS2 en un ejercicio documental desconectado de operaciones, proveedores y continuidad.

Si la empresa ya ha empezado a trabajar en activos críticos, puede ser útil revisar cómo identificar lo importante antes de invertir en controles. Este enfoque está desarrollado en el artículo sobre mapa de activos NIS2.

Decisiones NIS2 que no deberían delegarse

Hay tareas que sí pueden ejecutarse por equipos técnicos, consultores o responsables de cumplimiento. Sin embargo, hay decisiones que pertenecen a dirección porque afectan al modelo de negocio, al apetito de riesgo y a la asignación de recursos.

1. Definir qué servicios son realmente críticos

No todos los sistemas tienen el mismo impacto. Tampoco todos los procesos merecen la misma urgencia. Dirección debe validar qué actividades, sedes, plantas, plataformas, filiales o servicios tienen prioridad si ocurre un incidente.

Esta decisión condiciona:

• el análisis de riesgos;
• la continuidad de negocio;
• la recuperación ante incidentes;
• la prioridad de inversión;
• la gestión de proveedores clave.

En empresas industriales, logísticas, sanitarias, tecnológicas o de servicios esenciales, esta conversación es especialmente relevante. Si hay planta conectada, dependencia de terceros o procesos distribuidos, conviene revisar también el enfoque de NIS2 para empresas industriales.

2. Aprobar el nivel de riesgo aceptable

La dirección NIS2 debe decidir qué riesgos se aceptan temporalmente, cuáles se reducen de forma prioritaria y cuáles requieren medidas inmediatas.

No se trata de pedir al comité que valore configuraciones técnicas. Se trata de presentar escenarios comprensibles:

• qué pasaría si cae un sistema durante varios días;
• qué impacto tendría perder acceso a datos operativos;
• qué proveedores podrían provocar una interrupción relevante;
• qué procesos no tienen alternativa manual viable;
• qué incidentes afectarían a clientes, reputación o contratos.

El análisis de riesgos debe traducirse a impacto empresarial. Sin esa traducción, dirección no puede decidir con rigor.

3. Asignar presupuesto y secuencia de trabajo

NIS2 no debería abordarse como una compra aislada de herramientas. Puede requerir consultoría, revisión documental, controles técnicos, formación, gestión de proveedores, pruebas de continuidad, evidencias y seguimiento.

La decisión importante no es “cuánto cuesta NIS2” en abstracto, sino qué alcance se va a cubrir, en qué orden y con qué recursos internos. Para profundizar en este punto, puede consultarse el artículo sobre cuánto cuesta adaptarse a NIS2.

Dirección debería pedir un presupuesto que diferencie, al menos:

• diagnóstico inicial;
• priorización de riesgos;
• documentación y políticas;
• medidas técnicas y organizativas;
• revisión de proveedores;
• preparación de evidencias;
• acompañamiento y seguimiento.

Esto permite comparar propuestas sin quedarse solo en el importe final.

4. Nombrar responsables con autoridad real

Un proyecto NIS2 puede fracasar si todos participan, pero nadie decide. Dirección debe validar quién lidera, quién aprueba, quién ejecuta y quién informa.

El responsable no tiene por qué hacerlo todo, pero sí debe tener capacidad para coordinar áreas como sistemas, operaciones, compras, legal, recursos humanos, calidad, finanzas y dirección general.

También conviene definir cómo se escalan las decisiones. Por ejemplo, si un proveedor crítico no aporta garantías suficientes, ¿quién decide si se renegocia, se audita o se busca alternativa?

5. Decidir qué evidencias quiere ver dirección

Uno de los errores habituales es que las evidencias se acumulen solo en carpetas técnicas. Dirección no necesita revisar cada registro, pero sí debe recibir un conjunto mínimo de pruebas que demuestren avance, control y trazabilidad.

La clave está en separar evidencia operativa de evidencia ejecutiva. La primera la gestionan los equipos responsables. La segunda permite al comité entender si el proyecto progresa y si los riesgos relevantes están bajo seguimiento.

Qué debe subir a dirección: responsabilidades, prioridades y evidencias

Una buena reunión NIS2 de comité no debería convertirse en una sesión técnica interminable. Debe trabajar con información seleccionada, comprensible y orientada a decisiones.

Esta tabla no sustituye al trabajo técnico, pero ayuda a que dirección vea lo esencial: qué está en riesgo, qué se está haciendo y qué decisiones siguen pendientes.

Proveedores: una decisión que no puede quedarse en compras

NIS2 obliga a mirar más allá de la empresa. Muchas interrupciones no empiezan dentro de la organización, sino en un proveedor tecnológico, logístico, industrial o de servicios gestionados.

Por eso, dirección debe decidir qué proveedores son críticos y qué nivel de exigencia se les aplicará. No todos requieren el mismo control, pero algunos sí deberían aportar información sobre seguridad, continuidad, subcontratación, respuesta ante incidentes o acceso a datos sensibles.

En empresas con presencia territorial o cadenas de suministro complejas, este punto puede tener mucho peso. El enfoque sectorial se amplía en el artículo sobre NIS2 en Galicia, proveedores y continuidad.

Indicadores útiles para el comité de dirección

Un comité no necesita una lista interminable de vulnerabilidades. Necesita indicadores que ayuden a decidir. Algunos ejemplos:

• porcentaje de activos críticos identificados y validados;
• riesgos de alto impacto pendientes de tratamiento;
• proveedores críticos revisados frente al total;
• planes de continuidad existentes y probados;
• incidentes relevantes y lecciones aprendidas;
• grado de avance del plan NIS2;
• decisiones bloqueadas por falta de recursos;
• evidencias disponibles para auditoría o revisión.

Estos indicadores deben ser pocos, estables y entendibles. Si cambian en cada reunión o son demasiado técnicos, perderán utilidad para dirección.

Frecuencia y formato: cómo llevar NIS2 al comité

No todas las empresas necesitan tratar NIS2 en cada comité semanal. Pero sí conviene establecer una cadencia formal mientras dura el proyecto de adaptación y mantener revisiones periódicas después.

Un formato práctico puede incluir:

1. resumen ejecutivo de avance;
2. riesgos relevantes y cambios desde la última revisión;
3. decisiones pendientes de dirección;
4. estado de proveedores críticos;
5. presupuesto consumido y necesidades próximas;
6. evidencias generadas;
7. próximos hitos.

El objetivo es que NIS2 no dependa de impulsos aislados. La adaptación debe integrarse en la gestión ordinaria de riesgos, continuidad y cumplimiento.

Dirección NIS2: el papel del CEO y del comité

El CEO no tiene que dirigir cada control, pero sí debe impulsar el tono de gestión. Si dirección no pregunta por evidencias, continuidad, proveedores o presupuesto, el proyecto puede quedar reducido a una iniciativa técnica sin suficiente apoyo interno.

Para preparar esa conversación, puede ser útil revisar las preguntas clave del CEO antes de aprobar un proyecto NIS2. También conviene evitar una idea frecuente: pensar que NIS2 se resuelve solo comprando tecnología. La reflexión está desarrollada en NIS2 no se resuelve comprando herramientas de seguridad.

La dirección debe pedir claridad, no complejidad. Debe exigir evidencias, no promesas. Y debe priorizar según impacto real en la empresa.

Cómo empezar si el comité aún no tiene una visión clara

Si la organización todavía no sabe por dónde empezar, el primer paso razonable es un diagnóstico ejecutivo: alcance, procesos críticos, riesgos principales, proveedores, documentación existente y brechas prioritarias.

A partir de ahí, se puede construir una hoja de ruta proporcionada, con fases, responsables y presupuesto estimado. En algunos casos bastará con ordenar lo ya existente. En otros, será necesario reforzar controles, revisar contratos, mejorar continuidad o preparar evidencias para futuras revisiones.

AACCENTIA ayuda a empresas a evaluar su situación, priorizar acciones y preparar una adaptación NIS2 con enfoque ejecutivo, técnico y documental. Si tu comité necesita decidir alcance, recursos y próximos pasos, puedes solicitar un presupuesto NIS2 adaptado a la realidad de tu empresa.