---

El CISO de una empresa industrial llevaba dos años solicitando presupuesto para un SOC. Entonces llegó el ataque de ransomware: tres semanas de paralización y 12 millones de euros en daños. El presupuesto fue aprobado el día después de la recuperación.   Demasiado poco poder para prevenir, demasiada responsabilidad cuando algo sale mal — el dilema del CISO. NIS2 cambia las reglas del juego.  

El problema estructural

El CISO reporta al CIO, el CIO al CFO, el CFO al CEO. Tres niveles entre la seguridad y la dirección. Los presupuestos de seguridad compiten con los proyectos de infraestructura de TI. Los riesgos de seguridad se comunican como riesgos de TI en lugar de riesgos empresariales. La solución: una línea de reporte directa al CEO o al consejo de administración. La ciberseguridad se sitúa al mismo nivel que el riesgo de mercado, el riesgo financiero y el riesgo operativo.  

NIS2: Responsabilidad personal

NIS2 hace a los directores gerentes personalmente responsables de la adopción de medidas de ciberseguridad adecuadas. En Alemania, esto afecta a un estimado de 30.000 empresas. Para el CISO, la dinámica cambia: ya no es el que pide. Es aquel sin el cual el consejo responde personalmente.  

Del técnico al gestor de riesgos

Conocimiento del negocio: Comprende cómo genera dinero la empresa y dónde la seguridad protege la creación de valor. Comunicación: En lugar de cortafuegos y parches, habla de exposición al riesgo, impacto en el negocio y ROI de seguridad. Pensamiento estratégico: Prioriza según el riesgo empresarial, no según la elegancia técnica.  

Tres indicadores clave para el consejo

Exposición al riesgo en euros: Probabilidad de ocurrencia multiplicada por el daño esperado. La metodología FAIR lo hace de forma sistemática. Madurez de cumplimiento: Escala del 1 al 5 frente a NIS2, ISO 27001 y BSI-Grundschutz. Benchmarking frente a competidores. ROI de seguridad: Valor por cada euro invertido en seguridad — incidentes evitados, primas de seguro reducidas y cumplimiento normativo satisfecho.  

Preguntas frecuentes

¿A quién debería reportar el CISO?

Directamente al CEO o a un miembro del consejo que no sea el CIO. La línea de reporte al CIO genera un conflicto de intereses.

¿Qué porcentaje del presupuesto debería destinarse a seguridad?

Entre el 10 y el 15% del presupuesto de TI, y hasta el 20% en sectores regulados. La referencia debe basarse en la exposición al riesgo cuantificada.

¿Necesita una pyme un CISO?

A partir de 500 empleados: sí. Por debajo de esa cifra: un CISO virtual (vCISO) por entre 3.000 y 8.000 euros mensuales.

 

Fuente de la imagen de portada: Unsplash / Hunters Race

Seguir leyendo

• Gobernanza de la IA en el consejo: frameworks para decisiones responsables

[/vc_column_text][/vc_column][/vc_row]