Soluciones · Dirección
Desde la ley alemana de transposición de NIS2 (NIS2UmsuCG), la dirección está obligada de forma expresa. Debe implantar las medidas de ciberseguridad, supervisar su implantación y formarse con regularidad. Sightadel le muestra la situación en una sola página, hace visibles las decisiones pendientes y deja constancia de lo que usted ha acordado y cuándo.
Punto de partida
Durante mucho tiempo, la seguridad de la información fue cosa de TI. La dirección aprobaba un presupuesto y pedía un informe de vez en cuando. Con la nueva redacción de la ley alemana del BSI (BSIG), eso ya no basta para las entidades afectadas. Según el § 38 de la BSIG, que regula las obligaciones de la dirección, la propia dirección está obligada a implantar las medidas de gestión de riesgos del § 30 y a supervisar su implantación. Si incumple esta obligación de forma culpable y con ello se produce un daño, responde ante su propia entidad conforme a las reglas del derecho de sociedades, por ejemplo el de las sociedades de responsabilidad limitada (GmbH) o el de las sociedades anónimas.
El trabajo en sí lo hacen otros: el responsable de seguridad de la información, TI, compras, proveedores externos. Aun así, la responsabilidad sigue siendo suya. En caso de incidente nadie pregunta si TI trabajó bien. Lo que se pregunta es si la dirección conocía la situación, tomó decisiones y siguió su implantación. Una carpeta de políticas no responde a esa pregunta. Los acuerdos fechados, los informes periódicos y las medidas trazables, sí.
Para la dirección es, sobre todo, una cuestión de visión de conjunto. No necesita acceso a cada control. Necesita una situación fiable: ¿dónde estamos, qué está pendiente, dónde se atasca, qué tengo que decidir? Precisamente para eso está hecha la vista de dirección de Sightadel.
Por qué ahora
Desde diciembre de 2025 rige la nueva ley del BSI. Las entidades importantes y las entidades esenciales deben registrarse ante la Oficina Federal de Seguridad de la Información (BSI), implantar medidas y notificar incidentes. Las obligaciones de la dirección se aplican desde el primer día, no tras un periodo transitorio.
Los miembros de la dirección deben participar con regularidad en formaciones. El objetivo es poder detectar y evaluar los riesgos de seguridad de la información y valorar sus consecuencias para los servicios propios. Una presentación única no basta a largo plazo.
Tras un ataque con software malicioso o una caída prolongada, el consejo de supervisión o la junta de socios hacen preguntas. Entonces cuenta si usted decidió y supervisó antes, y si se puede demostrar.
Los grandes clientes tienen que evaluar su cadena de suministro. Envían cuestionarios y exigen certificados y cláusulas contractuales. Sin respuestas ordenadas pierde tiempo en ventas o, en el peor de los casos, el pedido.
Las aseguradoras de ciberriesgos, los bancos financiadores y los auditores de cuentas preguntan ya de forma específica por la autenticación multifactor, las copias de seguridad y la planificación de emergencias. Las respuestas deberían salir de una situación bien mantenida, no de memoria.
Frameworks relevantes
Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.
Obligatoria para las entidades importantes y esenciales según la ley del BSI. La dirección debe implantar las medidas del § 30 de la BSIG, supervisar su implantación y participar con regularidad en formaciones. La directiva de la UE dice que la dirección aprueba las medidas. La ley alemana va más allá y la obliga también a implantarlas. Que su empresa esté afectada depende del sector y del tamaño.
Ver el framework →Para bancos, aseguradoras, empresas de servicios de inversión, entidades de pago y otras entidades financieras prevalece DORA. Aquí el órgano de dirección asume la responsabilidad última del riesgo relacionado con las TIC. Aprueba el marco de gestión del riesgo relacionado con las TIC, fija el apetito de riesgo, aporta los recursos, aprueba las políticas de continuidad de negocio y de proveedores y mantiene sus propios conocimientos al día mediante formación.
Ver el framework →No es una obligación legal, pero es el marco que los clientes exigen con más frecuencia. La norma da a la dirección un papel fijo: establecer la política y los objetivos, aportar los recursos y evaluar el sistema con regularidad en la revisión por la dirección. Así cumple, de forma auditada, gran parte de lo que NIS2 espera de la dirección.
Ver el framework →Se aplica a toda empresa que trate datos personales. El responsable en el sentido del RGPD es la empresa y, en última instancia, su dirección. La protección de datos y la seguridad de la información se entrelazan en las medidas, los proveedores y los incidentes, y pueden gestionarse de forma conjunta.
Ver el framework →Orden recomendado
¿Está su empresa sujeta a NIS2 o a DORA y, en caso afirmativo, en qué categoría? Haga que se documente la clasificación con su justificación y que se realice el registro ante el BSI. En caso de duda, la valoración jurídica corresponde a su asesoría jurídica.
Designe a una persona responsable de la seguridad de la información, interna o externa, y dele tiempo y competencias. Determine cómo y con qué frecuencia le informa. Sin esta decisión, cualquier proyecto queda en algo secundario.
Fórmese usted y los demás miembros de la dirección antes de tomar decisiones importantes. Después entenderá mejor las propuestas del equipo. La asistencia se guarda como evidencia con fecha y fecha de repetición.
El equipo recorre los requisitos punto por punto y muestra qué está demostrado y qué falta. A partir de ahí recibe una lista de puntos abiertos con una propuesta de orden, no cien páginas de informe de auditoría.
Usted decide sobre prioridades, presupuesto, personal y riesgos residuales aceptados. El acuerdo se fecha, se firma y se archiva. Cada punto abierto se convierte en una medida con responsable y plazo.
Supervisar no significa controlar cada tarea personalmente. Significa revisar la situación a intervalos fijos, abordar los retrasos y corregir el rumbo. Una breve reunión por trimestre con resultado documentado es un buen comienzo.
Su rol
Mucho se puede delegar. Estos puntos, no. Definen el marco en el que trabaja el equipo y son lo que una autoridad de supervisión o un tribunal querrá ver más adelante.
¿Qué sedes, sociedades, sistemas y servicios se incluyen? Un marco demasiado estrecho deja lagunas; uno demasiado amplio lo retrasa todo. La delimitación es una decisión de negocio, no técnica.
Ninguna empresa puede eliminar todos los riesgos. Usted determina qué riesgo es asumible y acepta expresamente los riesgos restantes. Esta aceptación debe constar en la documentación con fecha y justificación.
Sin tiempo ni dinero, las medidas se quedan en declaraciones de intenciones. Usted decide cuántas horas internas hay disponibles, qué se contrata fuera y qué asesoramiento se añade.
¿Quién es el responsable de seguridad de la información o CISO, con qué competencias y con qué línea directa con la dirección? La designación se deja por escrito y se comunica internamente.
La política de seguridad de la información y las normas centrales, por ejemplo sobre accesos, copias de seguridad o emergencias, llevan su aprobación. Así son vinculantes para todos los empleados.
Mantener, sustituir o mejorar contractualmente a un proveedor crítico con evidencias débiles es una ponderación entre costes, dependencia y riesgo. Esa ponderación la hace la dirección.
Si aspira a un certificado ISO 27001, para cuándo y para qué ámbito depende de los clientes, el mercado y el esfuerzo. La decisión determina la planificación y el presupuesto del equipo para los próximos meses.
Cómo ayuda Sightadel
El panel muestra el avance por framework, por ejemplo NIS2 e ISO 27001 uno al lado del otro. Ve cuántos requisitos están respondidos y demostrados y dónde el equipo aún no ha avanzado. Con el rol Viewer tiene acceso de lectura a todo, sin cambiar nada por descuido.
Más información →Cada medida abierta tiene una persona responsable y un plazo. Los puntos vencidos saltan a la vista sin que tenga que preguntar. Así, la obligación de supervisión se convierte en un vistazo breve y periódico a una lista en lugar de una reunión llena de informes intermedios.
Más información →El Security Score evalúa cómo se ven sus dominios y sistemas desde fuera, como calificación y como cifra. Los problemas más importantes aparecen directamente en el panel. Así, dirección y TI hablan de lo mismo sin que usted tenga que conocer los términos técnicos.
Más información →Los acuerdos de la dirección, los certificados de formación y las políticas aprobadas se guardan con fecha y versión en la biblioteca de evidencias. El registro de actividad deja constancia de quién hizo qué y cuándo. En caso de incidente, demuestra con ello que decidió y supervisó.
Más información →Los proveedores críticos figuran en una lista con su evaluación, sus contratos y sus evidencias. Si un certificado ha caducado o faltan respuestas, lo ve antes de que un cliente o un auditor pregunte por ello.
Más información →En el Trust Center muestra a los clientes su nivel de seguridad, sus certificados y los documentos autorizados en un solo lugar. Ventas remite a una dirección en lugar de intercambiar cuestionarios durante semanas.
Más información →Esfuerzo y duración
Los plazos son valores basados en la experiencia, no un compromiso. Lo que más influye es que la dirección tome decisiones con rapidez y dé al equipo tiempo suficiente.
Qué licencia contrata · normalmente Professional
Una empresa obligada por NIS2 que además aspira a un certificado ISO 27001 contrata ambos frameworks en la edición Professional. Incluye diez usuarios, suficientes para la dirección, la persona responsable, TI y algunos departamentos. Si ISO 27001 está incluida, NIS2 tiene un descuento permanente.
Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
Según el § 38 de la BSIG, la dirección responde ante su entidad de los daños que cause por el incumplimiento culpable de sus obligaciones. Son determinantes las reglas de responsabilidad del derecho de sociedades para la forma jurídica correspondiente. Cómo se aplica en cada caso lo aclara con su asesoría jurídica. Sightadel no presta asesoramiento jurídico, pero se encarga de que sus decisiones estén demostradas.
El trabajo, sí; la responsabilidad, no. La ley dirige la obligación de implantar y supervisar a la dirección. Puede designar a una persona responsable y recurrir a ayuda externa. Pero tiene que saber lo que ocurre e intervenir cuando algo se atasca.
La ley no prescribe ninguna forma. Ha dado buen resultado un ritmo fijo: informe periódico de la persona responsable, revisión de las medidas abiertas y vencidas, decisiones sobre los cuellos de botella y un acta breve. En Sightadel ve para ello la situación por framework y los problemas abiertos de un vistazo.
La ley exige una participación regular, pero no fija un intervalo. Muchas empresas planifican una actualización al año y otra adicional tras cambios importantes. La asistencia se registra con fecha y Sightadel le avisa antes de la próxima cita.
Para las entidades financieras se aplica prioritariamente DORA. También allí el órgano de dirección asume la responsabilidad última del riesgo relacionado con las TIC, aprueba el marco y las políticas centrales, fija el apetito de riesgo y se forma con regularidad. La autoridad de supervisión es la autoridad federal alemana de supervisión financiera (BaFin).
No. Con el rol Viewer ve el panel, el avance por framework, los problemas abiertos y los planes de acción, sin tener que trabajar usted mismo en los controles. El trabajo propiamente dicho lo hacen la persona responsable y el equipo.
No. Para NIS2 no existe certificado; la supervisión corresponde al BSI. Sightadel tampoco certifica. Para ISO 27001 elige un organismo de certificación independiente, de nuestra red de socios o uno propio. Por las auditorías no se paga ninguna comisión, ni a nosotros ni a los socios.
En ese caso, contrate asesoramiento como paquete en la aplicación. Consultores con experiencia ayudan en los puntos difíciles, por ejemplo en el alcance, la evaluación de riesgos o la preparación de una auditoría. También puede invitar a su cuenta a sus propios consultores externos.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
