La ciberseguridad ya no es solo una cuestión tecnológica. Es una cuestión de gobierno, de continuidad de negocio y de responsabilidad de quienes toman las decisiones en la empresa. Los administradores y directivos deben conocer los riesgos, aprobar las medidas adecuadas y supervisar que realmente se aplican.
La pregunta ya no es únicamente si la empresa está protegida, sino si puede demostrar que ha actuado con diligencia.
El contexto: una Directiva Europea que España aún no ha transpuesto
La Directiva (UE) 2022/2555, conocida como NIS2, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en la Unión, fijó como plazo de transposición el 17 de octubre de 2024.
Su objetivo es claro: que las empresas en sectores críticos tengan sistemas de seguridad robustos, no como recomendación, sino como obligación legal con sanciones concretas. Viene a sustituir a la antigua NIS, aprobada en el año 2016, ampliando el alcance tanto a los sectores que afecta, como a los operadores y extendiendo su uso hasta las PYMES con más de 50 empleados o más de 10 millones de euros de facturación anual. Las microempresas quedan fuera, salvo que sean proveedoras críticas de alguna infraestructura esencial.
España no ha completado la transposición de la NIS2, cuyo anteproyecto continúa su tramitación parlamentaria. La Comisión Europea, tras el dictamen motivado de 2025, remitió en mayo de 2026 un segundo requerimiento formal al Reino de España, trámite previo a la eventual interposición de recurso por incumplimiento ante el TJUE (art. 258 TFUE).
Esta situación de transposición pendiente no exime a las sociedades españolas de un estándar de diligencia creciente en materia de ciberseguridad, en la medida en que dicho estándar ya se está proyectando, por vía interpretativa, sobre los deberes generales del órgano de administración y sobre el régimen de responsabilidad penal de las personas jurídicas.
Sectores afectados por la NIS2.
Entre los sectores afectados por esta nueva Directiva, se divide en dos categorías: Entidades esenciales (sectores de mayor criticidad):
- Energía (electricidad, gas, petróleo, calor)
- Transporte (aéreo, ferroviario, marítimo, por carretera)
- Banca y mercados financieros
- Sanidad (hospitales, fabricantes de medicamentos)
- Agua potable y aguas residuales
- Infraestructuras digitales (proveedores de nube, centros de datos, DNS)
- Administración pública central y regional
Entidades importantes (sectores adicionales):
- Servicios postales y de mensajería
- Gestión de residuos
- Fabricación (productos químicos, alimentación, equipos médicos, dispositivos electrónicos)
- Proveedores de servicios digitales (plataformas de comercio electrónico, motores de búsqueda)
El incremento de los sectores y empresas afectadas supone que se ha ampliado el número de entidades obligadas a cumplir los requisitos de ciberseguridad, puesto que su incumplimiento puede generar, además de sanciones económicas, responsabilidad personal a los directivos, gerentes y órganos de administración e incluso la inhabilitación para el ejercicio de las funciones de dirección.
También podrán afectar al ámbito reputacional de las empresas en la medida en la que se podrá publicar que una entidad está incumpliendo el NIS2, con nombre y la descripción del incumplimiento
Es decir, el deber de diligencia de un ordenado empresario (art. 225 LSC) y el deber de lealtad (arts. 227 a 232 LSC) se están interpretando, frente a los riesgos tecnológicos, de forma cada vez más exigente. En el ámbito de esta nueva Directiva supondrá que los administradores o directivos:
- Se deben aprobar las medidas de gestión de riesgos adecuados a la actividad y dimensión de la sociedad.
- Se ha de ejercer una supervisión activa de los protocolos, esto es, solicitud de información periódica, revisión de indicadores de riesgo, reacción ante alertas y actualización del sistema ante riesgos emergentes. No es suficiente con una aprobación inicial ni cabe la delegación.
- Recibir formación específica en materia de ciberseguridad y ofrecer dicha formación a los empleados regularmente.
La consecuencia práctica es que la mera existencia documental de una política de ciberseguridad, delegada a IT, sin evidencia de aplicación y supervisión efectivas, resulta insuficiente para satisfacer el estándar de diligencia exigible.
Lo importante con esta nueva Directiva no es si sufriremos un incidente, sino cómo responderemos cuando ocurra. Y con NIS2, esa respuesta tendrá un peso jurídico sin precedentes.
Es el momento de que las empresas evalúen su posición, analicen sus riesgos y empiecen a adaptar sus políticas. Esperar a la publicación de la ley española será llegar tarde.
