CISO externo y NIS2: por qué la ley acelera la demanda de esta figura
Desde que NIS2 empezó a aplicarse en España, algo ha cambiado en las conversaciones que mantenemos con clientes: ya no preguntan solo por controles técnicos, preguntan quién en la organización va a responder por la ciberseguridad ante la nueva normativa. Este artículo explica por qué NIS2 está disparando la demanda de la figura del CISO, sea interna o externa, y qué papel juega exactamente un CISO externo en el cumplimiento de esta ley.
Si necesitas primero el marco general de NIS2, puedes empezar por nuestra guía completa sobre NIS2 en España. Si lo que buscas es entender la figura del CISO externo en general, tenemos una guía específica sobre CISO externo.
Lo que NIS2 exige en materia de gobernanza
El artículo 20 de NIS2 es el que ha cambiado las reglas del juego. Obliga a que el órgano de dirección apruebe expresamente las medidas de gestión de riesgos de ciberseguridad, supervise su implantación y reciba formación específica, y establece de forma explícita que esta responsabilidad no puede delegarse sin más en el equipo técnico.
No es una exigencia decorativa. Cuando se demuestra negligencia grave tras un incidente significativo, las autoridades competentes pueden imponer sanciones que llegan a la responsabilidad personal de los directivos, incluida la inhabilitación temporal para ejercer funciones directivas. Puedes ver el detalle completo de este régimen en nuestra guía sobre sanciones NIS2 y responsabilidad de la dirección.
El problema práctico es evidente: la mayoría de los consejos de administración no tienen, entre sus miembros, a nadie con la formación y la experiencia necesaria para aprobar con criterio real un programa de ciberseguridad, ni para supervisarlo de forma continuada.
Por qué esto está disparando la demanda del CISO
Antes de NIS2, muchas pymes y empresas medianas gestionaban la ciberseguridad como una función difusa, repartida entre el departamento de TI, algún responsable de sistemas y, en el mejor de los casos, un proveedor externo puntual. Era una situación incómoda pero tolerada, porque no había una norma que exigiera de forma explícita una figura con autoridad y responsabilidad formal.
NIS2 rompe esa tolerancia. Al exigir que la dirección apruebe y supervise las medidas de gestión de riesgos, obliga de facto a que exista alguien capaz de presentar ese trabajo en un formato que un consejo pueda entender y aprobar con conocimiento real, no solo firmar un documento que nadie ha leído del todo. Esa es, exactamente, la función que describimos en detalle en nuestra guía sobre funciones de un CISO.
El resultado es que organizaciones que hasta ahora nunca se habían planteado tener un CISO, interno o externo, empiezan a buscarlo activamente en cuanto entienden que NIS2 les aplica y que la responsabilidad recae, en última instancia, sobre ellos mismos como dirección.
Puede un CISO externo cubrir esta obligación
Sí, y es la vía que estamos viendo con más frecuencia entre pymes y empresas medianas que necesitan cumplir NIS2 sin poder sostener el coste de un puesto interno a tiempo completo. Un CISO externo, o vCISO, asume exactamente las mismas funciones que exige el artículo 20: prepara el material que la dirección necesita para aprobar con criterio las medidas de gestión de riesgos, organiza la formación específica que la norma exige al órgano de dirección, y mantiene la supervisión continuada del programa de seguridad.
Lo que no cambia, tenga la organización un CISO interno o externo, es que la responsabilidad última sigue siendo de la dirección. El CISO externo no absorbe esa responsabilidad legal, la ayuda a cumplirla con la evidencia y el criterio adecuados. Si tienes dudas sobre qué modelo encaja mejor con tu situación, puedes revisar la comparativa completa en nuestra guía sobre CISO vs vCISO.
Para organizaciones que ya trabajan o podrían trabajar con el Esquema Nacional de Seguridad, esta figura encaja además de forma natural con la vía de cumplimiento de NIS2 a través del ENS, que exige exactamente el mismo tipo de gobernanza formal. Puedes ver cómo se conecta esto en nuestra guía sobre cómo cumplir NIS2 a través del ENS.
El cambio en una tabla
| Antes de NIS2 | Con NIS2 | |
|---|---|---|
| Quién responde | Difuso, a veces nadie con autoridad clara | El órgano de dirección, de forma expresa |
| Aprobación de medidas | Informal o delegada sin más | Debe quedar aprobada y documentada por el consejo |
| Formación de la dirección | Opcional, poco habitual | Exigida de forma explícita en el artículo 20 |
| Consecuencia de un fallo grave | Reputacional, en el mejor de los casos | Sanción económica y responsabilidad personal |
| Evidencia exigible | Rara vez se pedía por escrito | Actas, formación y supervisión documentadas |
Qué evidencia necesita el consejo para protegerse
Aquí está el punto que muchas direcciones todavía no han interiorizado: no basta con tener a alguien encargado de la ciberseguridad, hace falta poder demostrar que el consejo aprobó, supervisó y se formó, con fecha y con documentos que lo acrediten.
Un CISO externo que trabaja bien para cumplir NIS2 deja constancia de cuatro elementos concretos:
- Actas de aprobación expresa: constancia formal de que el consejo aprobó las medidas de gestión de riesgos presentadas, no solo que las delegó de palabra.
- Registro de formación específica: la formación en ciberseguridad recibida por los miembros del órgano de dirección, con fecha y contenido, no una charla genérica de concienciación.
- Informes de supervisión periódica: evidencia de que el seguimiento se produce de forma continuada a lo largo del año, no como un ejercicio puntual.
- Procedimiento de notificación ya diseñado: con los plazos exactos que exige NIS2, listo antes de que ocurra un incidente, no improvisado después.
Sin esta evidencia documentada, el consejo puede estar haciendo bien las cosas en la práctica y aun así no poder demostrarlo ante un supervisor, que es, en términos de responsabilidad legal, casi lo mismo que no haberlas hecho.
Quién lo está notando primero
No todas las organizaciones sienten esta presión al mismo ritmo, y merece la pena identificar los perfiles donde la demanda de un CISO, interno o externo, está creciendo más rápido.
Las empresas SaaS y tecnológicas que prestan servicios a otras empresas son uno de los grupos más activos, porque sus propios clientes empresariales les empiezan a exigir contractualmente evidencia de gobernanza de seguridad, no solo certificados técnicos. Los proveedores del sector público, especialmente los que ya trabajan con el Esquema Nacional de Seguridad, son otro grupo claro, porque la administración traslada hacia abajo las mismas exigencias de responsabilidad que recaen sobre ella. Y las empresas medianas de sectores del Anexo I y Anexo II de NIS2, energía, transporte, salud, infraestructura digital, están empezando a moverse en cuanto confirman que la directiva les aplica de forma directa.
Un patrón que se repite en los tres casos: la decisión de buscar un CISO no suele nacer de una amenaza técnica concreta, sino del momento en que alguien en la dirección lee el artículo 20 con atención y se da cuenta de que la responsabilidad recae sobre su propia persona, no sobre el departamento de TI.
Cómo empezar
El primer paso, antes de decidir si necesitas un CISO interno o externo, es confirmar si tu organización entra dentro del ámbito de NIS2 y bajo qué categoría. Si todavía no lo tienes claro, conviene resolverlo antes de avanzar en cualquier otra decisión.
Con eso confirmado, el orden lógico es: identificar qué evidencia de gobernanza tendría hoy mismo tu consejo si un supervisor la pidiera, decidir si el volumen de trabajo justifica un puesto interno o si un modelo externo cubre mejor la necesidad real, y poner en marcha la documentación y la formación específica que exige el artículo 20 antes de que un incidente obligue a hacerlo con prisas.
Si quieres revisar en qué punto está tu organización respecto a esta obligación de gobernanza, y qué evidencia necesitarías reforzar, podemos verlo juntos en una primera llamada sin compromiso, a través de nuestra consultoría vCISO o nuestra consultoría NIS2.
Preguntas frecuentes sobre CISO externo y NIS2
No lo nombra con ese término, pero exige que el órgano de dirección apruebe y supervise las medidas de gestión de riesgos con formación específica, algo que en la práctica requiere una figura con esas funciones, sea interna o externa.
No. La responsabilidad legal ante NIS2 sigue siendo de la dirección de la organización. El CISO externo prepara, documenta y asesora, pero no sustituye la responsabilidad del consejo.
Es una situación muy habitual, y precisamente el tipo de hueco que NIS2 está sacando a la luz. Un responsable técnico gestiona la operación diaria, pero no siempre tiene la función ni la autoridad para preparar a la dirección con la evidencia de gobernanza que exige la norma.
Depende del punto de partida, pero organizar actas, formación y procedimientos de notificación suele ser cuestión de semanas, no de meses, sobre todo si la organización ya cuenta con cierta base de seguridad previa.
No. Las obligaciones de gobernanza del artículo 20 nacen de la propia directiva europea y son estables desde 2022, con independencia del estado final de la ley española. Esperar a que se cierre el texto nacional no reduce la exposición actual.