Actualidad

La ciberseguridad ya es una cuestión de dirección

NIS2 y la Llei 22/2022 de Andorra hacen responsable a la dirección de la ciberseguridad. Qué supone para pymes obligadas y para sus proveedores.

Publicado el Por BDR Group10 min de lectura

Las normas europeas y andorranas de ciberseguridad sitúan la responsabilidad en los órganos de dirección: deben aprobar las medidas, supervisar su aplicación y formarse. Las pymes que no están obligadas también lo notan, porque sus clientes obligados se lo exigen como proveedores. La ciberseguridad se decide en la gerencia, con el apoyo del personal técnico.

Qué dicen las normas sobre la dirección

La Directiva (UE) 2022/2555, conocida como NIS2, establece que los órganos de dirección de las entidades esenciales e importantes deben aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su puesta en práctica y responder si la entidad las incumple (artículo 20.1). Sus miembros tienen que asistir a formaciones (artículo 20.2). Los Estados debían aplicar la directiva a partir del 18 de octubre de 2024 (artículo 41).

En Andorra, la Llei 22/2022, de 9 de junio, de medidas para la seguridad de las redes y de los sistemas de información (BOPA núm. 76, de 22 de junio de 2022), sigue el mismo esquema. Su artículo 17 dispone que los órganos de dirección aprueban las medidas, supervisan su aplicación y responden del incumplimiento, y que sus miembros deben formarse de forma periódica.

En España, la ley que debe transponer la directiva sigue en tramitación. El Consejo de Ministros aprobó el anteproyecto el 14 de enero de 2025 y, a 25 de octubre de 2026, no la hemos encontrado publicada en el BOE. No es motivo para esperar: el texto europeo ya marca la dirección.

Qué puede pasar si no se cumple

NIS2 deja que cada país decida cómo se concreta la responsabilidad, pero fija un mínimo. Las entidades esenciales se exponen a multas de hasta 10 millones de euros o el 2% del volumen de negocio mundial, y las importantes, a 7 millones o el 1,4% (artículo 34). Para las esenciales, si las medidas de ejecución no funcionan y la entidad no corrige las deficiencias en el plazo fijado, la autoridad puede pedir que se prohíba temporalmente ejercer funciones de dirección al director general o al representante legal (artículo 32.5.b). En las esenciales, las personas que la dirigen, la representan o la controlan deben poder ser consideradas responsables de no velar por el cumplimiento (artículo 32.6).

En Andorra, el artículo 36 de la Llei 22/2022 prevé multas de 30.001 a 100.000 euros por las infracciones muy graves, de 15.001 a 30.000 por las graves y, por las leves, amonestación o multa de 500 a 15.000 euros. El artículo 31 atribuye la responsabilidad de las infracciones a la entidad, mientras que el artículo 17 dice que la dirección debe responder de ellas. Cómo se combinan ambas cosas es una pregunta para un asesor jurídico, pero el mensaje es claro: no se puede delegar la decisión en el departamento técnico y desentenderse.

Conviene tener presente que el Govern d’Andorra informó el 23 de junio de 2026 de que su Consejo de Ministros había aprobado un proyecto de ley de modificación de la Llei 22/2022. Entre otros cambios, extiende a todas las entidades la obligación de notificar incidencias y hace obligatorio un centro de operaciones de seguridad (SOC) para las entidades críticas. A 25 de octubre de 2026 no hemos localizado el texto modificado publicado, así que nos remitimos al texto de 2022; habrá que volver a mirarlo cuando entre en vigor la reforma.

Los plazos no dejan margen para improvisar

NIS2 pide que la entidad afectada envíe una alerta temprana en veinticuatro horas desde que tiene constancia de un incidente significativo, una notificación en setenta y dos horas y un informe final en un mes (artículo 23.4). La ley andorrana obliga a notificar al CSIRT-AD sin demora y, en todo caso, en setenta y dos horas desde la detección (artículo 15).

Si el incidente afecta a datos personales, corre otro reloj en paralelo: setenta y dos horas para notificarlo a la autoridad de control, según el RGPD (artículo 33) en España y según la Llei 29/2021 (artículo 36) en Andorra, en este caso ante la APDA.

Un viernes por la tarde, el correo de contabilidad de una distribuidora de Lleida empieza a enviar facturas falsas a los clientes. Si nadie ha decidido antes quién avisa a quién y quién habla con los clientes, las primeras horas se pierden discutiendo. Por eso un plan de incidentes es una decisión de dirección antes que una herramienta.

Si no estás obligado, también te llega

NIS2 se aplica, en general, a empresas medianas y grandes de los sectores de sus anexos (artículo 2). La ley andorrana, a entidades de esos sectores que ocupan a cincuenta personas o más o que superan los diez millones de euros de volumen de negocio o de balance (artículo 2). Una tienda, un despacho o un taller pequeño probablemente no entran directamente.

Pero la directiva pide a las entidades obligadas que cuiden la seguridad de la cadena de suministro, incluidas las relaciones con sus proveedores directos (artículo 21.2.d). En la práctica, esto significa cuestionarios de seguridad, cláusulas nuevas en los contratos y preguntas sobre copias, accesos y autenticación multifactor. La empresa de mantenimiento con acceso remoto a las instalaciones de una distribuidora de energía, o la de software que da servicio a un grupo hospitalario, lo notarán antes de que se publique la ley española.

Las empresas que trabajan para la administración pública española tienen otro marco ya vigente: el Esquema Nacional de Seguridad (Real Decreto 311/2022) se aplica a los sistemas del sector privado que prestan servicios o proveen soluciones a entidades del sector público, incluida la obligación de tener una política de seguridad (artículo 2.3).

Presupuesto y gobierno: cómo se lleva a la práctica

De las diez medidas mínimas que enumera NIS2 (artículo 21.2), la mayoría son organizativas: análisis de riesgos, gestión de incidentes, continuidad y copias, cadena de suministro, formación, control de accesos. Sin alguien que fije prioridades, las herramientas acaban siendo licencias que nadie revisa.

Ninguna de las dos normas fija un porcentaje de presupuesto. NIS2 pide medidas proporcionadas al tamaño, a la exposición y al coste de la entidad (artículo 21.1), y la ley andorrana, a la dependencia de sistemas críticos y a la disponibilidad de alternativas (artículo 13.2). Aprobar medidas sin recursos para aplicarlas no tiene sentido, y ahí la dirección sí tiene un trabajo concreto. Recomendamos:

  • Un responsable con nombre para cada sistema crítico. La ley andorrana pide designar a un Delegado de la Seguridad de la Información, con recursos y comunicación efectiva con la alta dirección (artículo 18).
  • Un punto fijo en el orden del día, una vez por trimestre, con pocos indicadores: incidentes, vulnerabilidades críticas abiertas, resultado de la última prueba de restauración.
  • Un registro por escrito de las decisiones: qué se aprueba, qué se pospone y qué riesgo se acepta, con fecha y firma.
  • Un importe anual reservado para seguridad, que no dependa de haber sufrido un incidente.

La propia directiva admite que las medidas sean proporcionadas: no se trata de montar la estructura de un banco, sino de tener claro el mínimo.

Formación de la dirección

Los artículos 20.2 de NIS2 y 17.2 de la Llei 22/2022 coinciden en el objetivo: que los miembros de la dirección tengan conocimientos y destrezas suficientes para entender y evaluar los riesgos y las prácticas de gestión, y su repercusión en las operaciones de la entidad. La formación no debe limitarse al equipo técnico.

No hace falta un curso largo. Una sesión anual de unas horas, con un ejercicio de simulación de incidente (qué hacemos si mañana no podemos abrir ningún fichero), cubre lo que pide la norma y deja claro quién decide. Es nuestra recomendación; ninguna de las dos normas fija duración ni formato.

Qué preguntar al responsable de IT

Seis preguntas que la dirección debería poder hacer, y obtener respuesta por escrito:

  1. ¿Qué cinco sistemas pararían la empresa si fallasen, y quién es el responsable de cada uno?
  2. ¿Cuándo se probó la última restauración de copias, y cuánto tardó?
  3. ¿Quién tiene acceso de administrador y cuándo se revisó por última vez?
  4. ¿Dónde tenemos autenticación multifactor y dónde no?
  5. ¿Qué vulnerabilidades críticas hay abiertas y desde cuándo?
  6. ¿Qué proveedores tienen acceso a nuestros sistemas o datos, y qué dicen los contratos sobre seguridad e incidentes?

Si la respuesta es "no lo sé", ya es una decisión de dirección dedicar recursos o asumir el riesgo por escrito.

Qué hacemos nosotros

Lo declaramos: en BDR Group trabajamos la ciberseguridad a través de TutumSec, nuestra vertical especializada, con consultoría vCISO, auditorías, pentesting, respuesta a incidentes y una oficina técnica que da apoyo al cumplimiento de NIS2. Si quieres una primera orientación, TutumSec ofrece un diagnóstico gratuito basado en lo que se puede observar de tu dominio en internet y en un cuestionario breve. No sustituye a una auditoría, pero ayuda a saber por dónde empezar.

Qué hacer ahora

  1. Averigua qué marco te afecta (NIS2 o la futura ley española, la Llei 22/2022, el ENS o solo la protección de datos) y si algún cliente te arrastra como proveedor.
  2. Haz una lista de los sistemas críticos con un responsable para cada uno.
  3. Escribe un plan de incidentes de una página: quién decide, a quién se avisa (CSIRT-AD en Andorra, línea 017 de INCIBE en España, la autoridad de protección de datos) y en qué plazos.
  4. Activa la autenticación multifactor en los accesos externos y comprueba una restauración de copia.
  5. Programa una formación anual para la dirección, no solo para el equipo.

Preguntas frecuentes

¿Mi pyme tiene que cumplir NIS2?

Depende del sector y del tamaño. En general afecta a empresas medianas y grandes de los sectores de los anexos de la directiva, con algunos casos que entran sea cual sea su tamaño. Si trabajas para una entidad obligada, lo notarás igualmente.

Si la ley española aún no se ha aprobado, ¿puedo esperar?

No lo recomendamos. Las exigencias ya llegan por contrato desde los clientes obligados, y las medidas básicas son útiles con ley o sin ella.

¿Una empresa andorrana tiene que seguir NIS2?

La directiva se dirige a los Estados de la UE y no se aplica directamente a Andorra, que tiene su propia Llei 22/2022. Una empresa andorrana puede quedar afectada si es proveedora de entidades obligadas de la UE, y algunos proveedores digitales que ofrecen servicios en la Unión sin estar establecidos en ella deben designar allí a un representante (artículo 26.3).

¿A quién llamo si tengo un incidente?

En Andorra, el CSIRT-AD es el equipo de referencia que establece la Llei 22/2022. En España, INCIBE ofrece la línea de ayuda gratuita 017, todos los días de 8 a 23 horas. Si hay datos personales afectados, hay que valorar también la notificación a la APDA o a la AEPD.

Fuentes

Hablemos de la seguridad de tu empresa

Si quieres saber por dónde empezar y qué te exige tu marco, consulta la ficha del servicio: Ciberseguridad para empresas con TutumSec

Volver a Actualidad

Actualidad

Artículos relacionados