Accesos huérfanos: la brecha cibernética silenciosa
Benedikt Langer
5 Min. Lectura Las cuentas de servicio, claves de API y agentes de IA superan a menudo a las cuentas ...
Leer artículo
8 min de lectura
En muchas empresas, el CISO es considerado la persona responsable de la seguridad. Esta idea solo aparentemente libera a la dirección. Desde NIS2, la responsabilidad recae expresamente en los órganos directivos y no puede delegarse. Los servicios gestionados de seguridad resuelven el problema de capacidad, no el de responsabilidad. Quien confunde ambos, adquiere alivio operativo y sobrestima la protección legal.
Lo más importante en resumen
- La responsabilidad no es delegable. NIS2 obliga personalmente a la dirección a aprobar y supervisar las medidas de seguridad. Puede externalizar la operación, pero la responsabilidad permanece en la empresa.
- El MSSP aporta la capacidad, no el mandato. Un proveedor externo ofrece supervisión continua y profesionales escasos. La estrategia de seguridad y su control siguen siendo internos.
- La externalización solo es viable con control interno. La estrategia y la responsabilidad se quedan dentro; la operación y la escalabilidad pueden externalizarse. Quien traza correctamente esta línea gana alivio sin perder el control.
Relacionado:La soberanía en la nube es asunto del consejo/Quién responde cuando actúa el agente de IA
Por qué la responsabilidad legal se desvincula del rol del CISO
¿Qué es un Managed Security Service? Un Managed Security Service traslada tareas de seguridad seleccionadas a un proveedor especializado, el Managed Security Service Provider. Lo habitual es contar con una supervisión permanente, detección de ataques y primeras respuestas ante incidentes. El proveedor aporta la tecnología, los procesos y el personal especializado que una sola empresa a menudo no puede mantener de forma continua.
El patrón habitual dicta: si hay un CISO, la seguridad está resuelta. Este esquema ha perdido su fundamento con la implementación de NIS2. La directiva obliga expresamente a los órganos de dirección a aprobar las medidas de gestión de riesgos, supervisar su aplicación y recibir formación. No señala al CISO como destinatario, sino a la dirección general. Así, NIS2 traslada la seguridad de una función operativa a la responsabilidad directiva.
En Alemania, este mandato está en vigor desde diciembre de 2025 a través de la ley nacional de transposición. Prevée multas personales para el nivel directivo, que pueden alcanzar hasta medio millón de euros en los casos más graves, además de una inhabilitación temporal para ejercer cargos directivos en supuestos severos. Quien interprete esto como un mero trámite, subestima su impacto. La responsabilidad personal altera las prioridades de la dirección general con mucha más fuerza que cualquier formato de formación adicional.
500.000 euros
es la multa personal máxima que puede imponerse al nivel directivo según la ley alemana de transposición de NIS2, además de la multa a la empresa.
Fuente: Ley de transposición de NIS2 (NIS2UmsuCG), en vigor desde diciembre de 2025
Aquí es precisamente donde surge el malentendido. Muchas organizaciones reaccionan a la presión contratando a un proveedor y dando el tema por zanjado. Las operaciones se pueden externalizar. Pero la obligación de saber qué está protegido y si las medidas son eficaces recae sobre la dirección. Un contrato con un proveedor no es una exención de responsabilidad, sino una herramienta que debe gestionarse activamente.
Qué asume el MSSP y qué permanece interno
Los servicios gestionados de seguridad crecen porque la brecha operativa es real. El sesenta por ciento de los responsables de seguridad señala ya la falta de personal cualificado como su mayor preocupación, por delante incluso del número de efectivos. Solo en la UE faltan alrededor de 300.000 especialistas. Un centro de operaciones propio con cobertura completa resulta sencillamente inasumible para la mayoría de las empresas por debajo del tamaño de un gran grupo.
Esa brecha la cubre con sentido un proveedor de servicios. Concentra especialistas escasos entre múltiples clientes y mantiene una vigilancia en operación continua que una sola empresa difícilmente podría sostener. Lo decisivo, sin embargo, es la separación clara entre lo que se puede externalizar y lo que debe permanecer interno.
| Función | Conveniente en el MSSP | Permanece interno |
|---|---|---|
| Monitorización 24/7 | sí, economías de escala | Vías de escalado |
| Detección de ataques | sí, herramientas y rutina | Contexto de negocio |
| Estrategia de seguridad | no, solo asesoría | sí, dominio pleno |
| Justificación de cumplimiento | Aportación de evidencias | Responsabilidad de la dirección |
| Responsabilidad según NIS2 | no transferible | íntegramente interna |
La última fila decide el modelo. Un proveedor de servicios puede asumir el trabajo, aportar las evidencias y reaccionar con rapidez en caso de emergencia. La justificación ante el supervisor de que se han adoptado y vigilado medidas adecuadas corresponde a la propia dirección. Quien pasa por alto esa fila ha externalizado y cree estar cubierto.
Cómo funciona el control híbrido sin pérdida de control
De esa separación se deriva un modelo operativo pragmático. La dirección de seguridad permanece en casa, a menudo como CISO o, en organizaciones más pequeñas, como CISO virtual externo con mandato claro. Define qué se protege, con qué prioridad y frente a qué riesgos. El proveedor de servicios ejecuta esas directrices en la operación y devuelve informes.
Para que este modelo se sostenga se requieren dos condiciones previas que a menudo faltan en la gobernanza. Primero, una persona interna con el mandato y el tiempo para dirigir al proveedor de servicios. Un MSSP sin interlocutor interno entrega informes que nadie lee. Segundo, vías de escalado claramente definidas. Si a las tres de la madrugada se produce un ataque, debe estar establecido quién decide dentro de la propia organización y quién es informado. Esa decisión no se puede aclarar durante el incidente.
¿Dónde externalizar aporta valor y dónde frena?
Si un servicio de seguridad gestionada (Managed Security Service) supone un alivio o crea un nuevo riesgo, no depende tanto del proveedor como de la propia preparación. Los siguientes patrones distinguen uno de otro.
Lo que frena
- Externalizar bajo la suposición de que con ello también desaparece la responsabilidad legal
- Ausencia de un responsable interno que gestione al proveedor
- Vías de escalación que se definen solo durante el incidente en curso
- Contrato sin obligaciones claras de informes y justificación
Lo que aporta valor
- La estrategia y la responsabilidad permanecen visibles dentro de la empresa
- Un interlocutor designado con mandato para gestionar al proveedor
- Vías de escalación definidas y ensayadas de antemano
- Contratos que proporcionan pruebas para la justificación del cumplimiento normativo
La diferencia entre las columnas no es una cuestión de presupuesto. Es una cuestión de claridad sobre lo que realmente se está adquiriendo. Un servicio de seguridad gestionada es una extensión de la capacidad operativa de seguridad, no un sustituto de una decisión directiva. Quien lo trate así, obtendrá un alivio real. Quien espere más, estará comprando un riesgo con factura.
Preguntas frecuentes
¿Puede una empresa externalizar su responsabilidad NIS2 a un proveedor de servicios?
No. NIS2 obliga personalmente a los órganos de dirección a aprobar y supervisar las medidas de seguridad. Las tareas operativas pueden transferirse a un Managed Security Service Provider, pero la responsabilidad y la obligación de responder permanecen en la dirección de la empresa. Un contrato no es una exención de responsabilidad.
¿Cuándo merece la pena un Managed Security Service?
Principalmente, cuando un centro de operaciones propio con cobertura continua no es financiable y la escasez de personal cualificado impide su dotación interna. El proveedor de servicios concentra la pericia escasa y proporciona una supervisión ininterrumpida. Para empresas por debajo del tamaño corporativo, esta suele ser la única vía realista hacia una operatividad fiable.
¿Qué debe permanecer en la propia empresa a pesar de la externalización?
La estrategia de seguridad, la gestión del proveedor de servicios, la definición de las vías de escalada y la demostración de cumplimiento ante la supervisión. Se necesita una persona interna con mandato que dirija al proveedor de servicios. Sin esta contraparte, los informes del proveedor carecen de consecuencias.
¿Qué es un CISO virtual?
Un CISO virtual es una dirección de seguridad externalizada que trabaja sobre la base de un mandato, en lugar de estar contratada de forma permanente. Para empresas más pequeñas que no pueden financiar un CISO propio, esto aporta capacidad de liderazgo a la empresa. Es importante un mandato claro, de modo que la función pueda dirigir y no solo asesorar.
¿Qué pregunta debe anteceder a cualquier contrato MSSP?
¿Quién dentro de la propia empresa gestiona a este proveedor de servicios, y qué justificaciones aporta para nuestro informe de cumplimiento? Si la respuesta no está clara antes de la firma, se genera una externalización sin contraparte. Entonces el contrato desplaza el problema, en lugar de resolverlo.
Más para leer en Digital Chiefs
Digital ChiefsDeuda técnica: Por qué la dirección debe actuar ahoraDigital ChiefsEspacios de datos: Donde la industria inteligente y la ciudad inteligente convergenDigital ChiefsCero confianza necesita conocimiento de procesos, no solo herramientasMás de la red MBF Media
cloudmagazinPlatform Engineering impone NIS2 y DORA mybusinessfutureGPAI se convierte en una trampa documental para las empresas medianas securitytodayNIS2 está en fase de ejecuciónFuente de imagen: generado por IA (junio 2026)