Sala de Juntas Bajo Asedio: Cómo NIS2 Obliga a los Directores a Asumir la Responsabilidad de la Ciberseguridad

En diciembre de 2025, miles de directores de juntas italianas recibieron una directiva gubernamental inesperada: ingresar a la plataforma NIS y reconocer formalmente su papel como responsables de la ciberseguridad de su organización. Lo que parecía una formalidad burocrática desató confusión, escepticismo e incluso resistencia entre la élite corporativa del país. Pero detrás de este “clic” se esconde un cambio sísmico en la forma en que la ley - y los reguladores - ven el deber de la junta en la era digital.

Resistencia en la Sala de Juntas: “¿Por Qué Deberíamos Hacer Clic?”

A medida que se multiplicaban las solicitudes para que los directores se registraran en la plataforma NIS, muchos cuestionaron la necesidad. Con CISOs y responsables de TI ya en funciones, ¿por qué los miembros ocupados de la junta deberían asumir personalmente esta responsabilidad? Según Milena Rizzi, Jefa de Regulación de la Agencia Nacional de Ciberseguridad de Italia (ACN), la respuesta es clara: no es una simple formalidad. El acto de registrarse es un reconocimiento deliberado y legalmente vinculante del deber de la junta de gobernar la ciberseguridad como un riesgo estratégico - no solo como un dolor de cabeza técnico.

El Decreto Legislativo 138/2021, que implementa la directiva NIS2 de la UE en Italia, no crea nuevas responsabilidades desde cero. En cambio, aclara que las obligaciones existentes del derecho civil - supervisar riesgos, asignar recursos y aprobar estrategias - ahora incluyen explícitamente la ciberseguridad. La junta debe aprobar el plan de implementación de ciberseguridad de la organización, monitorear su ejecución y garantizar la financiación y dotación de personal adecuadas. La formación también es obligatoria, pero no a nivel técnico: los directores deben estar capacitados para comprender y cuestionar aquello que aprueban, no para convertirse en ingenieros.

De Problema de TI a Mandato de la Sala de Juntas

El “clic” en la plataforma NIS es más que simbólico. Como señala Luca Bechelli de Clusit, es una llamada de atención - obligando a los directores a romper la rutina y enfrentar su papel en la protección de los activos digitales. La ley hace explícita y visible la responsabilidad de la junta, exigiendo un compromiso continuo con los temas de ciberseguridad. A nivel internacional, esto se alinea con el último Marco de Ciberseguridad de NIST, que ahora sitúa “Gobernar” como una función central junto a “Proteger” y “Responder”.

La delegación sigue siendo posible - y necesaria - para las operaciones técnicas. Pero, como enfatiza Rizzi, la junta no puede delegar su deber de supervisar, cuestionar y asegurar el progreso. El modelo NIS2 exige una junta informada, proactiva y responsable. En esta nueva era, hacer clic en “aceptar” es solo el primer paso en un viaje mucho más profundo hacia una verdadera gobernanza cibernética.

Conclusión: Haciendo Clic Hacia el Futuro

Para las juntas corporativas italianas, la era de considerar la ciberseguridad como un problema ajeno ha terminado. El régimen NIS2, ahora consagrado en la ley nacional, redefine el mapa de la responsabilidad. Ese momento de registro - antes descartado como mera burocracia - marca el inicio de un nuevo estándar, más transparente y exigente, para la gobernanza del riesgo digital. Las salas de juntas que abracen este cambio estarán mejor preparadas para guiar a sus organizaciones a través de los peligros del mundo conectado.

WIKICROOK

• Directiva NIS2: La Directiva NIS2 es una ley de la UE que exige a los sectores críticos y sus proveedores reforzar la ciberseguridad y reportar incidentes cibernéticos graves.
• Decreto Legislativo 138/2021: Ley italiana que implementa NIS2, estableciendo la gobernanza y los deberes de la junta para la gestión del riesgo cibernético y la respuesta a incidentes en sectores críticos.
• Consejo de Administración (CdA): El Consejo de Administración supervisa la dirección estratégica, la gestión de riesgos y la gobernanza, desempeñando un papel vital en la postura de ciberseguridad de una organización.
• CISO (Chief Information Security Officer): Un CISO es el ejecutivo encargado de la estrategia de seguridad de la información y los datos de una empresa, supervisando las políticas de ciberseguridad y la gestión de riesgos.
• Marco de Ciberseguridad NIST: Un conjunto de directrices de NIST para ayudar a las organizaciones a identificar, gestionar y reducir los riesgos de ciberseguridad en todos los sectores e industrias.