Wilfredo Jurado
Cuando un ciberataque paraliza una empresa, el primer impulso es señalar al proveedor tecnológico que sufrió la brecha: el hosting caído, el software con la vulnerabilidad, el centro de datos comprometido. Pero el ordenamiento jurídico, tanto en su vertiente de protección de datos como en la nueva regulación europea de ciberseguridad, no lo ve así. La empresa que contrata ese servicio sigue siendo, salvo excepciones muy tasadas, la responsable frente a clientes, autoridades y —cada vez más— frente a sus propios accionistas. Y con la Directiva NIS2 en fase de transposición, esa responsabilidad deja de ser solo corporativa y abstracta para convertirse en personal y real: el nombre y apellidos del miembro del consejo de administración.
Por qué externalizar el servicio no exime de la responsabilidad
La Agencia Española de Protección de Datos lleva dos años dejándolo claro con sanciones. Empresas víctimas de ransomware o de brechas en proveedores cloud y contact centers subcontratados han sido multadas, en algunos casos con importes de seis cifras, no por el ataque en sí; sino por haber elegido de forma negligente al proveedor o por no haber podido demostrar que supervisaban su cumplimiento. Y no se trata, pese a las apariencias, de una responsabilidad objetiva encubierta: el propio Tribunal de Justicia de la UE, en sus sentencias de diciembre de 2023 sobre el artículo 83 del RGPD (Asunto, Deutsche Wohnen SE contra Staatsanwaltschaft Berlin y; Asunto C-683/21, Nacionalinis visuomenės sveikatos centras), exigió expresamente que exista culpa, bien dolo o negligencia, para poder sancionar. La empresa no responde por la falta del proveedor, sino por no haber gestionado bien ese riesgo.
Hasta aquí, el terreno es conocido para cualquier empresa que maneje datos personales. Lo que cambia de forma sustancial con la Directiva NIS2 (2022/2555) quién asume el deber de supervisión. En este caso ya no basta con que la organización, como persona jurídica, tenga políticas de ciberseguridad. La norma responsabiliza directamente a los órganos de dirección, que deben aprobar las medidas de gestión de riesgos, supervisar su aplicación y formarse específicamente para comprender las amenazas a las que está expuesta la organización. La ciberseguridad deja de ser un asunto que delegábamos en el departamento de sistemas y pasa a formar parte de las obligaciones societarias del consejo.
El anteproyecto español de Ley de Coordinación y Gobernanza de la Ciberseguridad, que transpone NIS2 (cuya transposición sigue en tramitación parlamentaria), contempla sancionar personalmente a los directivos, e incluso inhabilitarlos temporalmente, ante una negligencia grave. A ello se suma el coste reputacional que muchos consejos temen más que la multa, porque la norma permite hacer pública la identidad de los responsables. Si hablamos de cuantías, las sanciones pueden llegar hasta 10 millones de euros o el 2% de la facturación mundial para entidades esenciales, aunque lo que marca la diferencia respecto al régimen anterior es la exposición personal del directivo.
La cadena de suministro
NIS2 aborda de forma explícita ya no el fallo no propio, sino de un tercero en la cadena de suministro. La norma obliga a las entidades afectadas a evaluar y gestionar el riesgo de sus proveedores tecnológicos mediante auditorías previas, cláusulas contractuales específicas y supervisión continuada. Si el ataque llega por una vulnerabilidad no detectada en un proveedor externo, la empresa que lo contrata, si es una entidad obligada por NIS2, responderá ante el organismo supervisor. Subcontratar el servicio no subcontrata el deber de vigilancia.
Por este motivo, conviene detenerse en un matiz que suele pasar desapercibido: NIS2 no se limita a exigir tener y supervisar la ciberseguridad de la empresa; también impone al órgano de dirección un deber expreso de formación. El artículo 20 de la Directiva les obliga a seguir una capacitación específica que les permita identificar y evaluar los riesgos en el ámbito de la ciberseguridad, conocer sus prácticas de gestión, y a ofrecer esa misma formación al resto de la plantilla de forma periódica. No es una recomendación, es un requisito cuyo incumplimiento puede considerarse como indicio de esa falta de diligencia de la que hablábamos antes.
Todo esto tiene una consecuencia práctica para cualquier consejo de administración: no basta con delegar la ciberseguridad en el departamento de sistemas y firmar el informe correspondiente aunque no se comprenda plenamente su contenido. Los directivos deben poder acreditar, llegado el caso, que comprendían los riesgos a los que se exponía la organización y que actuaron con conocimiento de causa al aprobar —o no aprobar— determinadas medidas.
Por todo ello, es indispensable que directivos y consejeros otorguen a estos riesgos la importancia que merecen y que, sin demora, impulsen tanto su formación como la de sus equipos. En el Instituto de Emprendimiento Avanzado (IEAvanzado) hemos asumido el compromiso de ofrecer herramientas útiles mediante un curso de enfoque práctico sobre gestión del riesgo tecnológico, responsabilidad legal y toma de decisiones en el consejo de administración. Su objetivo es proporcionar el criterio necesario y, al mismo tiempo, dejar constancia documental de esa formación ante posibles requerimientos de la autoridad supervisora.
Esta es la misma filosofía que ya opera en el sector financiero a través del Reglamento DORA, vigente desde enero de 2025. NIS2 extiende esa lógica, ya asentada en banca, al resto de sectores estratégicos: energía, transporte, salud, infraestructuras digitales y administración pública.
Aunque, como ya hemos dicho, España se encuentra aún en fase de transposición de NIS2, no conviene caer en una falsa sensación de margen: «la ley española no está cerrada, luego todavía no aplica». Es solo una verdad a medias. La Directiva está en vigor desde 2023 y sus principios de fondo (diligencia en la elección de proveedores, supervisión documentada, responsabilidad del órgano de dirección) ya se aplican de facto a través del RGPD y de la doctrina de la AEPD. Además, la presión del expediente de infracción europeo hace pensar que España acelere la aprobación de la ley en los próximos meses, no que la dilate indefinidamente.
Es razonable prever que, una vez completada la transposición, encontremos consejos de administración sometidos a auditorías sobre su gestión del riesgo tecnológico, con consecuencias personales para quienes no puedan demostrar que supervisaron activamente a sus proveedores críticos.
Mi recomendación para directivos y empresarios es no esperar a esa fecha. Documentar hoy la diligencia en la selección de proveedores, incorporar cláusulas contractuales de ciberseguridad reforzadas, formar al órgano de dirección, formar a los demás miembros de los departamentos técnicos y revisar las pólizas D&O para verificar que cubren este nuevo frente. Ya no estamos ante una recomendación de buenas prácticas. Es, a la vista de los datos, la dirección que está tomando la normativa, y, en mi opinión, la única forma razonable de que el fallo de un proveedor no termine convirtiéndose en un problema personal para quien se sienta en el consejo de administración.
Por Wilfredo Jurado; Abogado, CEO del Instituto de Emprendimiento Avanzado y Presidente de SKUniversity.
