Todos los artículos sobre NIS2 y los consejos dicen que la dirección responde. Menos dicen qué debe hacer realmente el órgano de dirección, que es la pregunta que un directivo hace primero, porque la responsabilidad se ata a deberes. Los deberes son cortos y están en un artículo de la Directiva, y para las entidades que cubre el Reglamento de Ejecución se escriben después como doce registros concretos. Este artículo es esos deberes y esos registros, con la cláusula de ISO 27001 que ya produce cada uno, y lo que la Directiva dice sobre la responsabilidad, leído del texto.
El artículo 20, en dos apartados
Artículo 20(1) de la Directiva (UE) 2022/2555: los Estados miembros «velarán por que los órganos de dirección de las entidades esenciales e importantes aprueben las medidas para la gestión de riesgos de ciberseguridad adoptadas por dichas entidades para dar cumplimiento al artículo 21, supervisen su puesta en práctica y respondan por el incumplimiento por parte de las entidades de dicho artículo». Tres verbos: aprobar, supervisar, responder. Las medidas son las diez del artículo 21(2), y la responsabilidad es por los incumplimientos de ese artículo por parte de la entidad, no por cada incidente.
Artículo 20(2): los Estados miembros «garantizarán que los miembros de los órganos de dirección de las entidades esenciales e importantes deban asistir a formaciones» y «alentarán» a las entidades a ofrecer formaciones similares a sus empleados periódicamente, al objeto de «adquirir conocimientos y destrezas suficientes que les permitan detectar riesgos y evaluar las prácticas de gestión de riesgos de ciberseguridad y su repercusión en los servicios proporcionados por la entidad». La asimetría es deliberada: para los miembros del órgano de dirección la formación es obligatoria; para los empleados se alienta. La Directiva no dice cuánto, con qué frecuencia ni quién la imparte; lo rellenan el Derecho nacional y el supervisor del sector, y el Reglamento de Ejecución añade el programa de sensibilización de más abajo.
Los deberes son los mismos para las entidades esenciales e importantes, y para todos los sectores. Lo que difiere es la ejecución, que es la última sección.
Los doce lugares donde el Reglamento de Ejecución nombra al órgano de dirección
Para los sectores que cubre el Reglamento de Ejecución (UE) 2024/2690, proveedores de servicios en la nube, proveedores de servicios gestionados, centros de datos, mercados en línea y los demás de su artículo 1, «aprobar» y «supervisar» del artículo 20 dejan de ser abstractos. El anexo nombra a los órganos de dirección en doce lugares, y cada uno es un registro que un supervisor puede pedir. La cláusula de ISO 27001 de la última columna es nuestra lectura de lo que ya lo produce; la correspondencia es nuestra, no de ENISA.
| Punto del anexo | Lo que hace el órgano de dirección | El registro | ISO/IEC 27001:2022 |
|---|---|---|---|
| 1.1.1(k) | La política de seguridad «indicará la fecha de la aprobación formal por parte de los órganos de dirección» | Una política con fecha de aprobación y el órgano que la aprobó | 5.2 |
| 1.1.2 | El órgano de dirección «revisará y, cuando proceda, actualizará la política» al menos una vez al año, y tras incidentes o cambios significativos; los resultados de las revisiones quedan documentados | Un registro de revisión fechado, al menos anual | 9.3 |
| 1.2.1 | Las responsabilidades y autoridades en materia de seguridad se asignan a roles y se comunican a los órganos de dirección | El documento de roles, y la comunicación | 5.3 |
| 1.2.3 | «Al menos una persona informará directamente a los órganos de dirección sobre cuestiones de seguridad de los sistemas de redes y de información» | Una persona designada con línea de información directa | 5.3 |
| 1.2.6 | Los órganos de dirección «revisarán y, cuando proceda, actualizarán los roles, responsabilidades y autoridades a intervalos planificados» | Una revisión de los roles, con calendario | 9.3 |
| 2.1.1 | Los órganos de dirección «aprobarán los resultados de la evaluación de riesgos y los riesgos residuales», o personas responsables con autoridad, con información adecuada a los órganos de dirección | La evaluación de riesgos con su aceptación, firmada | 6.1.2, 6.1.3 |
| 2.2.1 | Los órganos de dirección «serán informados, mediante informes periódicos, del estado de seguridad de las redes y la información a partir de las revisiones del cumplimiento» | Informes de cumplimiento, con una cadencia | 9.1 |
| 2.2.2 | Un sistema de notificación del cumplimiento que pueda «ofrecer a los órganos de dirección una visión informada del estado» de la gestión de riesgos | El propio sistema de notificación | 9.1 |
| 2.3.3 | Los resultados de las revisiones independientes, incluidos el control del cumplimiento y la medición, se notifican a los órganos de dirección (el texto español del anexo dice aquí «órganos de control») | Resultados de auditoría interna que llegan al órgano | 9.2, 9.3 |
| 8.1.1 | Los empleados «incluidos los miembros de los órganos de dirección» son conscientes de los riesgos y aplican prácticas de ciberhigiene | Evidencia de sensibilización de los miembros | 7.3 |
| 8.1.2 | Un programa de sensibilización ofrecido a los empleados «incluidos los miembros de los órganos de dirección», programado en el tiempo y repetido | El programa, su calendario, la asistencia | 7.2, 7.3 |
| 10.1.2(c) | «Mecanismos para garantizar que los miembros de los órganos de dirección conozcan sus roles, responsabilidades y autoridades y actúen de conformidad con ellos» | Confirmaciones de rol de los miembros | 5.3, 7.3 |
Dos de los doce llevan la mayor parte del peso. La fecha de aprobación de 1.1.1(k) es el registro de «aprobar» del artículo 20(1): una política sin aprobación fechada por el órgano de dirección incumple el primer deber a primera vista. La línea de información de 1.2.3 y los informes de 2.2.1 y 2.3.3 son el registro de «supervisar»: un órgano que no recibe información de seguridad no puede demostrar que supervisó nada. Un sistema de gestión ISO 27001 ya produce cada fila: la aprobación de la política bajo la cláusula 5.2, los roles bajo la 5.3, la aceptación de riesgos bajo la 6.1.3, los informes bajo la 9.1 y la 9.2, la revisión por la dirección anual bajo la 9.3, los registros de competencia y concienciación bajo la 7.2 y la 7.3. Lo que no hace por sí solo es incluir a los miembros del órgano de dirección en el programa de sensibilización, cosa que el Reglamento hace dos veces, en 8.1.1 y 8.1.2.
Para las entidades fuera de los sectores del Reglamento de Ejecución, la transposición nacional lleva el artículo 20 y puede añadir sus propios detalles; los doce registros anteriores siguen siendo la evidencia natural de los dos verbos.
Cómo es la responsabilidad
El artículo 20(1) dice que el órgano de dirección debe «responder»; no dice cómo. Otras dos disposiciones lo hacen.
Para las entidades esenciales, el artículo 32(5) da a la autoridad competente, cuando las medidas de ejecución del artículo 32(4) han sido ineficaces y ha vencido un plazo para subsanar, la facultad de solicitar a los tribunales u organismos competentes que prohíban temporalmente a toda persona física que desempeñe responsabilidades de dirección a nivel de director general o de representante legal en la entidad esencial ejercer funciones de dirección en esa entidad, solo hasta que la entidad subsane las deficiencias, con garantías procesales. Artículo 32(6): los Estados miembros velan por que toda persona física responsable de una entidad esencial o que actúe como su representante legal tenga la facultad de garantizar el cumplimiento de la Directiva, y por que esas personas físicas puedan responder por el incumplimiento de su deber de garantizarlo. La prohibición temporal no se aplica a las entidades de la administración pública.
Para las entidades importantes, el artículo 33 no tiene equivalente del artículo 32(5) o (6); la responsabilidad del artículo 20(1) es lo que el Derecho nacional haga de ella.
Para ambas, el artículo 34 fija las multas por incumplir el artículo 21 o 23: para las entidades esenciales un máximo de al menos 10 000 000 EUR o el 2 % del volumen de negocios anual mundial total de la empresa, si esta cifra es superior (artículo 34(4)); para las entidades importantes un máximo de al menos 7 000 000 EUR o el 1,4 % (artículo 34(5)). Las multas recaen sobre la entidad; «máximo de al menos» significa que los Estados miembros no pueden fijar el techo más bajo.
El considerando 137 dice por qué: la Directiva debe aspirar a garantizar un alto nivel de responsabilidad respecto de las medidas para la gestión de riesgos de ciberseguridad y las obligaciones de notificación al nivel de las entidades esenciales e importantes, y por eso los órganos de dirección de las entidades esenciales e importantes deben aprobar las medidas y supervisar su puesta en práctica.
Qué poner ante el consejo
Leído como una lista de registros, el artículo 20 para una empresa de los sectores del Reglamento de Ejecución es una reunión al año más un punto fijo del orden del día: la política aprobada con fecha y reaprobada cada año (1.1.1(k), 1.1.2); los roles revisados y la persona designada que informa directamente (1.2.1, 1.2.3, 1.2.6); la evaluación de riesgos y sus riesgos residuales aceptados en el acta (2.1.1); los resultados de cumplimiento y de auditoría en el orden del día con una cadencia fijada (2.2.1, 2.2.2, 2.3.3); y la propia formación de sensibilización de los miembros programada y registrada (8.1.1, 8.1.2, 10.1.2(c)). Si su empresa es esencial o importante, y si el Reglamento de Ejecución se le aplica, es la determinación gratuita; la correspondencia de las trece secciones del Reglamento con ISO 27001 tiene el resto del anexo.
Fuentes
- Directiva (UE) 2022/2555 (NIS2), artículo 20, artículo 21(2), artículo 32(4) a (6), artículo 33, artículo 34(4) y (5), considerando 137.
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión, anexo, puntos 1.1.1(k), 1.1.2, 1.2.1, 1.2.3, 1.2.6, 2.1.1, 2.2.1, 2.2.2, 2.3.3, 8.1.1, 8.1.2 y 10.1.2(c).
- ISO/IEC 27001:2022, cláusulas 5.2, 5.3, 6.1.2, 6.1.3, 7.2, 7.3, 9.1, 9.2 y 9.3, citadas por número; la correspondencia es nuestra.
Esto no es asesoramiento jurídico. El artículo 20 lo transpone cada Estado miembro, y las normas de responsabilidad para un consejo concreto son las nacionales; el texto que hay que leer es el de la Directiva y el de la ley de su Estado.