La Directiva NIS2 traslada una parte de la responsabilidad de ciberseguridad al órgano de dirección, y lo hace de forma personal. Su artículo 20 obliga a que el consejo de administración apruebe las medidas de gestión de riesgos, supervise su implantación y pueda ser considerado responsable de los incumplimientos. Para las entidades esenciales, el artículo 32.5.b va más allá: permite que una autoridad competente pida a un tribunal la prohibición temporal de que un consejero delegado o representante legal ejerza funciones directivas mientras no se corrijan las deficiencias.
No es una amenaza retórica. El 8 de julio de 2026 la Comisión Europea remitió a España, Irlanda, Francia y Países Bajos al Tribunal de Justicia por no transponer NIS2, con petición de multas. La maquinaria de supervisión ya se está activando en los países que sí transpusieron. Este artículo no trata de controles técnicos: trata de qué tiene que hacer, aprobar y documentar un consejo para que esa responsabilidad no se materialice en una sanción personal.
Lo esencial
- NIS2 hace responsable al órgano de dirección de tres cosas concretas: aprobar las medidas, supervisar su implantación y responder de los incumplimientos (art. 20.1).
- La responsabilidad es personal y formativa: los miembros del consejo están obligados a recibir formación específica (art. 20.2).
- Para entidades esenciales existe una medida de inhabilitación temporal de directivos (art. 32.5.b); a las importantes no se les aplica esa medida.
- Las multas alcanzan 10 millones de euros o el 2 % de la facturación mundial en esenciales, y 7 millones o el 1,4 % en importantes (art. 34).
- El consejo no demuestra cumplimiento con un acta de aprobación: lo demuestra con supervisión continua y evidencia fechada.
De la delegación a la rendición de cuentas
Durante años la ciberseguridad fue un asunto que el consejo delegaba en el departamento de sistemas y revisaba, si acaso, cuando había un incidente. NIS2 rompe ese esquema. El artículo 20 parte de un principio sencillo de enunciar y exigente de cumplir: se puede delegar la ejecución operativa, no la responsabilidad de gobierno.
La consecuencia práctica es que el consejo no puede limitarse a firmar una política una vez al año. El artículo 20.1 le atribuye tres deberes que operan de forma continua: aprobar las medidas de gestión de riesgos con conocimiento suficiente para decidir sobre apetito de riesgo y asignación de recursos; supervisar su implantación mediante información periódica y significativa; y asumir que responderá de los incumplimientos si no ejerce esa supervisión.
Ese encaje conecta con el artículo 21, que define la sustancia: un enfoque de todos los riesgos ("all-hazards") con diez categorías mínimas de medidas, desde el análisis de riesgos y la gestión de incidentes hasta la seguridad de la cadena de suministro, la criptografía o la autenticación multifactor. El artículo 21 no es una lista de comprobación técnica, sino un estándar de diligencia: una organización puede sufrir un incidente sofisticado y seguir siendo conforme si demuestra que había implantado gobierno, análisis de riesgos y medidas apropiadas antes del incidente. Lo que se juzga es la calidad del gobierno, no la existencia aislada de controles.
Qué significa exactamente “responsabilidad de la dirección”
Conviene separar tres consecuencias distintas que a menudo se mezclan en una sola conversación de comité, porque su alcance y sus destinatarios no son los mismos.
Multas a la entidad
El artículo 34 fija los máximos. Para entidades esenciales, multas de un máximo de al menos 10 millones de euros o el 2 % de la facturación mundial total del ejercicio anterior, la cifra que sea mayor. Para importantes, 7 millones o el 1,4 %. Es un régimen deliberadamente calcado del RGPD en su lógica de porcentaje sobre facturación, y persigue el mismo efecto disuasorio.
Inhabilitación temporal de directivos
Es la medida que más atención merece en un consejo, y también la más malinterpretada. El artículo 32.5.b solo se aplica a entidades esenciales, no a importantes, y no es automática. Opera como último recurso: primero la autoridad dicta instrucciones vinculantes y fija un plazo; solo si ese plazo se incumple puede pedir a un tribunal que prohíba temporalmente a un consejero delegado o representante legal ejercer funciones directivas. La prohibición dura hasta que se subsanan las deficiencias y está sujeta a garantías procesales. No es una sanción penal, es una medida de coerción para forzar la corrección.
Responsabilidad personal por incumplimiento de deberes
El artículo 32.6 permite exigir responsabilidad a la persona física que representa a la entidad esencial por incumplir su deber de garantizar el cumplimiento. Esto no sustituye a los regímenes nacionales de responsabilidad de administradores; se suma a ellos. Un consejero que ya responde por el deber de diligencia en la legislación societaria encuentra ahora un deber específico y verificable en materia de ciberseguridad.
La pregunta que un consejo debe poder responder no es “¿tenemos un SOC?”, sino “¿podemos demostrar, con actas y evidencia fechada, que aprobamos, supervisamos y revisamos las medidas antes de que ocurriera nada?”.
El deber de supervisión, traducido a la práctica
La parte del artículo 20 que más incomoda no es aprobar, es supervisar. Aprobar se resuelve con un acta. Supervisar exige un mecanismo vivo. En términos operativos, un consejo que quiera acreditar supervisión efectiva necesita tener resueltos varios elementos.
- Un cuadro de mando con indicadores que la dirección entienda y pueda cuestionar: exposición externa, tiempo de remediación de vulnerabilidades críticas, cobertura de copias con restauración probada, incidentes y su tratamiento. La lógica de un cuadro de mando de ciberresiliencia para el consejo es exactamente esta.
- Una cadencia de reporte definida y registrada, no reuniones ad hoc cuando algo va mal. La periodicidad y el contenido del reporte son, en sí mismos, evidencia de supervisión.
- Un procedimiento de escalado que lleve las deficiencias materiales y los hallazgos de auditoría al consejo, con decisión documentada sobre priorización y remediación.
- Aseguramiento independiente: auditoría interna, evaluaciones externas o ejercicios de red team que permitan al consejo contrastar lo que la dirección ejecutiva le cuenta.
Ese último punto merece énfasis. El valor de un ejercicio de intrusión o de una auditoría independiente para el consejo no es solo técnico: es una fuente de aseguramiento que no depende de que el equipo que construyó los controles se evalúe a sí mismo. Sin aseguramiento independiente, la supervisión del consejo se apoya únicamente en la palabra de quien ejecuta.
La formación del consejo es un requisito, no una recomendación
El artículo 20.2 obliga a que los miembros del órgano de dirección reciban formación que les permita identificar riesgos y evaluar las prácticas de gestión de riesgos. Es uno de los pocos requisitos de NIS2 que se acredita con un documento —registro de asistencia y contenido— y que casi ninguna organización tiene preparado.
El objetivo no es convertir a un consejero en técnico. Es que pueda ejercer juicio informado: entender las implicaciones de una decisión de riesgo, cuestionar a la dirección ejecutiva cuando corresponda e integrar el riesgo cibernético en el gobierno general. Tras el artículo 20, el desconocimiento deja de ser una excusa y pasa a ser, en sí mismo, una carencia de gobierno.
Por qué esto obliga ya, aunque España no haya publicado la ley
El anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en enero de 2025 y sigue sin publicarse en el BOE. Sería un error deducir que los deberes del consejo no existen todavía. Llegan por dos vías que no esperan al legislador español.
La primera es contractual. Una entidad esencial de un país que sí transpuso traslada a sus proveedores, por contrato, requisitos que reproducen NIS2, incluida la exigencia de un gobierno de seguridad demostrable. El consejo del proveedor español asume esos deberes aunque su matriz jurídica sea un contrato y no una ley. Ahí es donde la gestión de riesgo de terceros se convierte en el primer punto de contacto real con NIS2.
La segunda es el propio calendario de supervisión europeo. Alemania, que transpuso, fijó el registro de entidades ante su autoridad para el 6 de marzo de 2026; a finales de mayo se habían registrado en torno a 18.500 de aproximadamente 29.000 entidades afectadas, según cifras del BSI. Cuando la ley española se publique, el plazo de registro será corto y el consejo tendrá que demostrar gobierno desde el primer día, no empezar a construirlo.
Qué puede aprobar y documentar un consejo hoy
Todo lo que se apoya en el artículo 21, que ya está publicado y no lo redacta el legislador nacional, es trabajo estable. Un consejo puede dejar constancia formal de lo siguiente sin esperar al texto definitivo.
- Aprobación formal, en acta, del marco de gestión de riesgos de ciberseguridad, con referencia expresa a las categorías del artículo 21 y al apetito de riesgo asumido.
- Determinación documentada de si la organización es entidad esencial, importante o ninguna, con el razonamiento por sector y tamaño. Cuando llegue la ley se revisa, no se empieza de cero.
- Plan de formación del órgano de dirección con registro de asistencia y contenido.
- Definición de la cadencia y el contenido del reporte de seguridad al consejo, y del procedimiento de escalado de deficiencias materiales.
- Encargo de aseguramiento independiente periódico: auditoría, evaluación externa o ejercicio de red team, con conclusiones elevadas al consejo.
La consolidación con marcos que la organización ya tenga —una ISO 27001 bien implantada cubre buena parte del artículo 21— evita duplicar trabajo. Es donde una plataforma de cumplimiento como NormexAI reduce el esfuerzo de mantener las evidencias vivas y trazables. En el sector financiero, la misma lógica de gobierno conecta con la resiliencia operativa digital que exige DORA.
Dónde encaja un proveedor de seguridad y dónde no
Conviene ser honesto sobre el reparto. Un SOC gestionado con retención adecuada, un procedimiento de respuesta a incidentes ensayado y ejercicios de red team resuelven la parte ejecutable de las medidas del artículo 21 y aportan al consejo el aseguramiento independiente que necesita para supervisar con criterio.
Lo que ningún proveedor puede asumir es el deber de gobierno. La aprobación del marco, la asunción del apetito de riesgo, la formación del consejo y la responsabilidad del artículo 20 son intransferibles. Cualquier consultora que insinúe que contratar un servicio “te pone en cumplimiento” de NIS2 está describiendo mal la norma: los servicios generan la evidencia, pero el gobierno lo ejerce el consejo. Esa distinción, bien entendida, es la que separa un expediente que resiste una inspección de uno que se derrumba en la primera pregunta sobre supervisión.
En resumen
NIS2 convierte la ciberseguridad en una cuestión de consejo, con nombres y apellidos. El régimen sancionador —multas del artículo 34, inhabilitación temporal del artículo 32.5.b para esenciales— existe para forzar que la responsabilidad del artículo 20 se ejerza de verdad. La buena noticia es que casi todo lo que protege al consejo se puede construir hoy, con independencia de cuándo publique el BOE: aprobar con conocimiento, supervisar con evidencia, formarse y contrastar con aseguramiento independiente. Un consejo que pueda demostrar esas cuatro cosas está en una posición muy distinta al que solo pueda enseñar la factura de un servicio.
Puede ampliar el detalle de alcance y obligaciones en nuestra página de NIS2 y en el análisis sobre comunicación de crisis en las primeras 24 horas, donde el papel del consejo vuelve a ser decisivo.