¿Cuál es la responsabilidad del dirigente bajo NIS2?
·
Actualizado el ·
Por 
Bertrand Bucelle · 9 min de lectura
En resumen
- La directiva NIS2 hace a los órganos de dirección personalmente responsables de la ciberseguridad de su organización. Deben aprobar las medidas de gestión de riesgos, supervisar su implementación y seguir una formación. En caso de incumplimiento, el dirigente de una entidad esencial puede verse temporalmente prohibido de ejercer funciones directivas, además de las multas que afectan a la entidad (hasta 10 millones de euros o el 2 % del volumen de negocios mundial).
Lo que dice el artículo 20 de la directiva NIS2
El artículo 20 de la directiva (UE) 2022/2555 es breve, pero cambia la naturaleza de la ciberseguridad en la empresa. Establece tres obligaciones para los « órganos de dirección » de las entidades esenciales e importantes:
- Aprobar las medidas de gestión de riesgos en materia de ciberseguridad adoptadas por la entidad (las del artículo 21).
- Supervisar su implementación.
- Seguir una formación regular para adquirir conocimientos suficientes con el fin de identificar los riesgos y evaluar las prácticas de gestión de riesgos; la directiva fomenta ofrecer una formación similar a los empleados.
El mismo artículo precisa que los órganos de dirección « pueden ser considerados responsables » de las violaciones de estas obligaciones. El término « órganos de dirección » se refiere, según las formas sociales, al consejo de administración, el directorio, el presidente, el director general o los gerentes. Dicho de otro modo, la ciberseguridad deja de ser un tema delegado al CIO para convertirse en un tema de gobernanza, al igual que el cumplimiento financiero.
Para el detalle de los requisitos técnicos esperados, consulte nuestra ficha sobre la directiva NIS2 y la definición de NIS2 en nuestro glosario.
¿Qué sanciones afectan personalmente al dirigente?
La directiva distingue dos niveles.
Las sanciones contra la entidad (artículo 34):
| Tipo de entidad | Multa máxima |
|---|---|
| Entidad esencial | 10 millones de euros o el 2 % del volumen de negocios anual mundial, aplicándose el importe más elevado |
| Entidad importante | 7 millones de euros o el 1,4 % del volumen de negocios anual mundial, aplicándose el importe más elevado |
Las medidas contra las personas físicas (artículo 32, apartado 5, para las entidades esenciales): si las órdenes de la autoridad quedan sin efecto en el plazo fijado, esta puede solicitar que se pronuncie una prohibición temporal de ejercer funciones de dirección contra cualquier persona física que ejerza responsabilidades directivas al nivel del director general o del representante legal, hasta que la entidad se ajuste a la normativa. La autoridad también puede suspender temporalmente una certificación o una autorización de actividad.
A esto se añade el derecho común: la falta de gestión en caso de deficiencia manifiesta de seguridad puede comprometer la responsabilidad civil del dirigente frente a la sociedad y a terceros, y un ciberataque que haya provocado una violación de datos personales expone paralelamente a la entidad a las sanciones del RGPD (hasta el 4 % del volumen de negocios mundial).
¿En qué punto se encuentra la transposición francesa de NIS2?
Francia debía transponer la directiva antes del 17 de octubre de 2024. El proyecto de ley «relativo a la resiliencia de las infraestructuras críticas y al refuerzo de la ciberseguridad», denominado la ley francesa de Resiliencia, transpone en un solo texto NIS2, DORA y la directiva REC. Fue adoptado por el Senado el 12 de marzo de 2025 y posteriormente por la comisión especial de la Asamblea Nacional el 10 de septiembre de 2025, por unanimidad.
Mientras tanto, la agencia francesa de ciberseguridad (ANSSI) ya ha abierto la plataforma MonEspaceNIS2 (preinscripción desde el 24 de noviembre de 2025) y publicado el Marco de Ciberseguridad de Francia (ReCyF), que detalla los requisitos técnicos esperados. La agencia francesa de ciberseguridad (ANSSI) estima entre 15 000 y 18 000 el número de entidades afectadas en Francia, frente a aproximadamente 500 bajo NIS1, y ha anunciado un ajuste progresivo a la conformidad durante aproximadamente tres años tras la publicación de los requisitos técnicos. Este periodo transitorio no suspende la obligación de gobernanza: es precisamente durante estos tres años cuando el dirigente debe demostrar que dirige.
¿Cómo demuestra el dirigente que ha cumplido sus obligaciones?
La responsabilidad bajo NIS2 se basa en la prueba. Un dirigente que pueda presentar los cinco elementos siguientes se encuentra en una posición defendible tanto ante la autoridad como ante un juez.
- Una decisión formal de aprobación de la política de seguridad y del plan de gestión de riesgos: acta de consejo, deliberación o decisión del presidente fechada y archivada.
- Un punto de ciberseguridad recurrente en el orden del día del órgano de dirección (como mínimo trimestral), con un cuadro de mando: incidentes, vulnerabilidades críticas abiertas, avance del plan, resultados de las auditorías.
- Una certificación de formación del dirigente o dirigentes, renovada periódicamente, que abarque los riesgos, las obligaciones NIS2 y la gestión de crisis.
- Una organización designada: un responsable de seguridad (CISO interno o externalizado) con carta de encargo, medios y acceso directo a la dirección.
- Una cadena de notificación probada: quién decide notificar a la agencia francesa de ciberseguridad (ANSSI), en qué plazo, con qué información, y un ejercicio de crisis realizado durante el año.
Ninguno de estos elementos requiere ser experto técnico. Requieren haber organizado, financiado y controlado.
Los errores más frecuentes observados en los dirigentes
- Esperar los decretos: el contenido de las obligaciones se conoce desde 2022, solo las modalidades y el calendario de control están por precisar. La espera se vuelve en contra del dirigente, ya que documenta la inacción.
- Delegar sin supervisar: confiar el asunto al CIO o a un proveedor sin informes formales no satisface la obligación de supervisión.
- Creerse fuera de perímetro: una pyme de 50 empleados en un sector del anexo II es una entidad importante; un encargado del tratamiento de una entidad esencial puede estar sujeto por contrato a requisitos equivalentes.
- Confundir seguro y conformidad: una póliza ciber no exime de la responsabilidad de gobernanza y numerosas aseguradoras condicionan ahora la garantía a medidas del artículo 21.
- Olvidar la doble exposición: un incidente de seguridad desencadena a menudo tanto NIS2 (notificación a la ANSSI) como el RGPD (notificación a la CNIL en un plazo de 72 horas).
Por dónde empezar esta semana
- Verificar el estatus de su organización (esencial, importante, fuera de perímetro) con la prueba en 5 preguntas.
- Incluir un punto NIS2 en el próximo orden del día del órgano de dirección y hacer constar el lanzamiento de un diagnóstico.
- Designar un responsable, interno o externalizado, con carta de encargo.
- Planificar una formación para dirigentes de 2 a 3 horas en el trimestre.
- Realizar el autodiagnóstico NIS2 para obtener un estado de situación de las 10 medidas del artículo 21.
Pase a la acción
Gestione su cumplimiento con Data Comply One: software todo en uno y expertos DPO/CISO externalizados.
Descubrir el software NIS2 →Evaluar mi cumplimiento NIS2 →Fuentes
- Directiva (UE) 2022/2555 de 14 de diciembre de 2022 (NIS2), artículos 20, 21, 23, 32, 33 y 34, EUR-Lex.
- Proyecto de ley relativo a la resiliencia de las infraestructuras críticas y al refuerzo de la ciberseguridad, expediente legislativo, Senado y Asamblea Nacional.
- ANSSI, MesServicesCyber, «Directiva NIS 2» y Marco de Ciberseguridad Francés (ReCyF).