El artículo 20 de la directiva NIS2 (UE) 2022/2555 obliga a los miembros del órgano de dirección de las entidades esenciales e importantes a recibir formación en ciberseguridad, y hace a ese órgano responsable de aprobar las medidas de gestión de riesgos y de supervisar su aplicación, con responsabilidad personal en caso de negligencia. España todavía no ha publicado la ley de transposición en el BOE, pero las obligaciones de la directiva ya están fijadas. Quién está obligado, qué debe aportar la formación NIS2 y por qué no conviene esperar.
Qué exige el artículo 20 al órgano de dirección
El primer apartado del artículo 20 sitúa la aprobación de las medidas de gestión de riesgos y la supervisión de su aplicación en el propio órgano de dirección, incluso cuando el trabajo diario recae en un CISO o en un proveedor externo. La directiva establece que los miembros del órgano de dirección pueden ser considerados responsables en caso de negligencia en esa tarea. Para las entidades esenciales, la autoridad de supervisión puede, en el caso extremo, pedir una prohibición temporal de ejercer funciones directivas.
El segundo apartado contiene la obligación de formación. Los miembros del órgano de dirección deben recibir una formación que les permita identificar riesgos y evaluar las prácticas de gestión de riesgos y sus consecuencias para los servicios que presta la entidad. El nivel es el de gobierno corporativo. No se espera conocimiento técnico, sí la capacidad de cuestionar un informe de riesgos, valorar una medida y justificar una decisión. Un e-learning de concienciación general para empleados no sirve por tanto como formación del órgano de dirección; entrena el comportamiento del usuario, no la toma de decisiones.
En qué punto está España
España no cumplió el plazo de transposición del 17 de octubre de 2024, y la Comisión Europea le envió en mayo de 2025 un dictamen motivado. El Consejo de Ministros aprobó el 14 de enero de 2025 el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, pero el texto sigue en tramitación parlamentaria y todavía no se ha publicado en el BOE. La entrada en vigor se espera a lo largo de 2026.
El anteproyecto crea un Centro Nacional de Ciberseguridad y obliga a las entidades esenciales e importantes a adoptar medidas de gestión de riesgos, notificar incidentes y asumir la responsabilidad al nivel del órgano de dirección, con sanciones de hasta 10 millones de euros.
Por qué esperar al BOE acorta su preparación
La directiva ya está fijada, y el anteproyecto sigue sus líneas en lo esencial. Lo único que sigue abierto es la fecha. Cada mes de espera se resta del tiempo disponible para formar al órgano de dirección, construir el expediente de evidencias y llevar la ciberseguridad al orden del día, y ese trabajo no se hace en una semana.
Para un consejero que se incorpora más adelante vale lo mismo. Quien decide sobre medidas que solo aprenderá a valorar después corre ese riesgo sin base demostrable. Formarse al asumir el cargo es la vía segura, y es lo primero que preguntará después una autoridad.
Qué debe aportar la formación NIS2
El artículo 20 formula un objetivo, no un plan de estudios. La formación debe poner a los miembros del órgano de dirección en condiciones de identificar los riesgos para las redes y los sistemas de información, evaluar las medidas de control y ponderar sus consecuencias para los servicios de la organización. Es una competencia de gobierno corporativo, y pide más que una sesión informativa.
Que el conocimiento por sí solo no basta no es una opinión, sino un resultado de investigación. Bada, Sasse y Nurse mostraron en su citado estudio sobre campañas de concienciación que ofrecer información apenas cambia el comportamiento; las personas deben poder aplicar el consejo y estar motivadas para hacerlo. Para los directivos esto significa que un buen programa combina el e-learning con ejercicios en los que hay que tomar una decisión con datos incompletos.
El papel del propio órgano de dirección también está documentado. Uchendu, Nurse, Bada y Furnell analizaron 58 estudios sobre cultura de seguridad en Computers & Security y concluyen que el apoyo de la alta dirección es una de las condiciones determinantes para construir esa cultura. Vista así, la obligación de formación no es una formalidad; un órgano de dirección que entiende el tema y lo lleva al orden del día es exactamente lo que necesita una cultura de seguridad.
Tampoco hace falta creernos a nosotros en cuanto al entrenamiento al nivel de dirección. El Consejo Científico para la Política Gubernamental de los Países Bajos (WRR) defendió ya en 2019, en su informe «Voorbereiden op digitale ontwrichting» (prepararse para la disrupción digital), que las organizaciones se preparen para los incidentes digitales con ejercicios, como hacen desde hace tiempo para las crisis físicas. Una simulación en la que el órgano de dirección vive las primeras horas de un incidente es la forma práctica de ese consejo.
Evidencias y registro, la buena práctica
En una inspección cuenta lo que usted puede mostrar. Lleve un registro por cada miembro del órgano de dirección con fechas de finalización, versiones de los contenidos y resultados de las pruebas. Los registros con sello de tiempo que no pueden modificarse a posteriori pesan bastante más que certificados sueltos o correos electrónicos.
Anote además, reunión por reunión, cuándo se trató la ciberseguridad y qué decisión se tomó. Eso también demuestra que el órgano de dirección cumple su función de supervisión, y es lo primero que pedirá una autoridad después de un incidente.
Errores frecuentes
- Usar módulos de concienciación genéricos para el órgano de dirección en lugar de formación al nivel de gobierno corporativo. Marca una casilla, pero no entrena lo que pide la directiva.
- Delegar la ciberseguridad por completo en el CISO sin que el órgano de dirección se forme un juicio propio. El artículo 20 sitúa la aprobación de las medidas expresamente en el órgano de dirección.
- No dejar constancia de las reuniones en las que se trató la ciberseguridad. Sin punto en el orden del día y sin acta no hay nada que demostrar después.
- Confundir cumplimiento con seguridad. Una organización puede cumplir sobre el papel y seguir siendo vulnerable. Los directivos deben saber distinguir ambas cosas.
- Incorporar tarde a los nuevos consejeros. Cada mes entre el nombramiento y la formación es un mes en el que alguien codecide sin base demostrable.
La formación para órganos de dirección de 2LRN4 combina seis módulos de e-learning con dos talleres en su propia mesa de consejo, y entrega el certificado y el expediente de evidencias de los que habla este artículo.
NIS2 para directivosArtículos relacionados
La transposición de la directiva NIS2 en España · Reporting al consejo de administración sobre concienciación · Evidencias de auditoría para la concienciación
Fuentes
- Directiva NIS2 (UE) 2022/2555, artículo 20 (EUR-Lex)
- DSN, aprobación del Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad
- Cuatrecasas, aprobado el anteproyecto que transpone la directiva NIS2
- Bada, Sasse & Nurse, Cyber Security Awareness Campaigns: Why do they fail to change behaviour? (2015)
- Uchendu, Nurse, Bada & Furnell, Developing a cyber security culture, Computers & Security 109 (2021)
- WRR, Voorbereiden op digitale ontwrichting, informe 101 (2019)
FAQ
¿Puede hacerse la formación en línea?
Sí. El artículo 20 describe lo que los miembros del órgano de dirección deben saber hacer, no la forma en que lo aprenden. Módulos en línea, sesiones híbridas y talleres presenciales valen todos, siempre que la finalización sea demostrable. Tenga en cuenta que la investigación muestra que la información por sí sola apenas cambia el comportamiento; un programa que combina e-learning con ejercicios en la mesa del consejo se ajusta mejor a lo que persigue la directiva.
¿A quién se aplica la obligación?
A los miembros del órgano de dirección de las entidades esenciales e importantes, según la directiva. El anteproyecto español sigue esa línea y sitúa la responsabilidad al nivel del órgano de dirección. Muchas organizaciones invitan además de forma voluntaria a los consejeros no ejecutivos a la misma formación, porque deben poder juzgar si la dirección cumple su papel en ciberseguridad.
¿Conviene esperar a la publicación en el BOE?
No. Las obligaciones de la directiva ya están fijadas y el anteproyecto las sigue en lo esencial; lo único abierto es la fecha. Formar al órgano de dirección y construir el expediente de evidencias lleva tiempo, y cada mes de espera se resta de ese margen.
¿Qué sanciones prevé el anteproyecto?
El anteproyecto prevé sanciones de hasta 10 millones de euros y sitúa la responsabilidad al nivel del órgano de dirección. La directiva añade que los miembros del órgano de dirección pueden ser considerados responsables en caso de negligencia, y para las entidades esenciales una prohibición temporal de ejercer funciones directivas en el caso extremo.
¿Cuánto cuesta una formación para el órgano de dirección?
Va desde e-learnings individuales por persona hasta programas acompañados por órgano de dirección. Como referencia, el programa completo de 2LRN4, con seis módulos, dos pruebas, dos talleres presenciales, certificado y expediente de evidencias, cuesta 11.500 euros por órgano de dirección de hasta ocho participantes, IVA no incluido, más 950 euros al año por la actualización. Compare proveedores sobre todo por las evidencias que quedan al final, porque eso es lo que pedirá la autoridad.