¿Qué pasa cuando los empleados no realizan la formación de seguridad? Las consecuencias circulan por tres vías a la vez: mayor riesgo de incidente, posible responsabilidad para la organización y el consejo, y consecuencias directas para el empleado cuando la formación está anclada en política y condiciones laborales. En 2026 ya no es teoría. ¿Qué consecuencias son reales, cuáles desproporcionadas, y cómo gestionarlas?
Consecuencia 1: mayor riesgo de incidente
Quien no conoce el phishing moderno cae antes. Quien no conoce AitM introduce el código MFA en una página falsa. Quien no sabe cómo notificar, oculta el error.
Afecta más allá del que omite: un clic en finanzas puede llevar a robo de contraseña, cambio de cuenta bancaria del proveedor, pérdida de cinco cifras.
"Por usted mismo" no convence. "Por su equipo y sus clientes" sí.
Consecuencia 2: responsabilidad para organización y consejo
La supervisión examina el programa tras un incidente. Sin programa demostrable: riesgo de multa administrativa además de los daños.
Cbw artículo 24: responsabilidad personal del consejo. Desde la entrada en vigor escalonada 2024-2025, se preparan casos.
RGPD: la falta de concienciación es circunstancia agravante.
Consecuencia 3: consecuencias para el empleado
Tres patrones:
- Restricción de acceso hasta terminar la base.
- No como negativo en evaluación, sino punto de reflexión.
- Medida laboral ante rechazo persistente; raro y con valoración jurídica.
Lo que no funciona
Naming and shaming: resistencia sin cambio.
Recapacitación forzada por clic: destruye la cultura de notificación.
Retención de salario/bonificación: normalmente desproporcionada.
Exposición pública de clics: dañino y jurídicamente problemático.
Lo que funciona
Tres capas:
La mayoría (90 %): recordatorio con explicación, plazos razonables, escalado automático al responsable.
Roles/sistemas específicos: restricción de acceso a ciertas apps.
Consejo Cbw art. 24: obligación firme con expediente.
Hacer visible lo que va bien: alabar al departamento con alta notificación.
Cómo anclar esto en un programa de concienciación
Modelo de consecuencias explícito en política y comunicación.
AUP y política de formación: nombrar las consecuencias.
Onboarding: vincular la base al desbloqueo de apps.
Consejo: registro separado de Cbw art. 24.
Visibilidad continua en lugar de balance anual.
Descubra cómo 2LRN4 convierte este tema en un programa funcional con formación, simulación de phishing e informes para la dirección.
Ver la página NIS2Artículos relacionados
- Requisitos de cumplimiento
- ¿Debe ser obligatoria la formación?
- Cbw artículo 24: formación del consejo
- Seguir la terminación
Fuentes
- Cyberbeveiligingswet (texto oficial, NL)
- Autoridad de protección de datos neerlandesa
- RDI: supervisión NIS2/Cbw
FAQ
¿Consecuencias para quien omite la formación?
Tres vías: riesgo de incidente, responsabilidad, consecuencias directas.
¿Despido por negativa?
En NL solo casos excepcionales tras evaluación jurídica.
¿Retener salario/bono?
Raramente practicable; normalmente desproporcionado.
¿Y el consejo?
Cbw art. 24: responsabilidad personal posible.
¿Recapacitación forzada por clic?
Contraproducente. Daña la cultura de notificación.
¿Departamento con baja terminación?
No individualmente; conversación con el responsable sobre carga y pertinencia.
¿Riesgo sin programa?
Sustancial bajo Cbw y RGPD; multas y responsabilidad personal posibles.
Fuente externa: European Commission - NIS2 Directive