La preparación de las organizaciones españolas ante la directiva europea NIS2 presenta importantes carencias en materia de gobierno de la ciberseguridad. El informe «Estado de la preparación NIS2 en España. Madurez de gobierno de ciberseguridad en organizaciones esenciales e importantes», publicado por el Center for the Governance of Change de IE University e ISMS Forum, sitúa al 72% de las organizaciones analizadas por debajo del nivel 3, que el modelo utilizado identifica como el umbral de cumplimiento básico.
El estudio, dirigido por Casimiro Juanes Calvo, se basa en 209 respuestas de organizaciones de distintos sectores y tamaños. Sus resultados muestran que solo el 7% alcanza los niveles 4 o 5, asociados a una madurez robusta u optimizada. Entre las entidades esenciales, la proporción que llega a ese nivel se limita al 12%.
La principal conclusión del documento es que el problema no reside exclusivamente en la disponibilidad de herramientas tecnológicas o controles de seguridad. El mayor obstáculo se encuentra en la capacidad de integrar el riesgo cibernético en la gestión empresarial, la cultura corporativa y los procesos de decisión de los órganos de dirección.
La gestión del riesgo empresarial, el principal punto débil
El modelo de madurez empleado evalúa cinco dimensiones: gobierno y liderazgo; gestión del riesgo empresarial; resiliencia operacional y continuidad; gestión de terceros y cadena de suministro; y cultura y capacidades organizacionales.
Las puntuaciones medias por dimensión se sitúan entre 2,58 y 2,91 sobre cinco. La gestión de terceros obtiene la valoración más elevada, con 2,91 puntos, mientras que la gestión del riesgo empresarial registra la más baja, con 2,58.
Sin embargo, la puntuación global de cada organización no se calcula mediante el promedio de las cinco dimensiones, sino a partir de la menos madura. Esta regla explica la diferencia entre unas puntuaciones parciales próximas al nivel básico y el bajo porcentaje de organizaciones que alcanzan globalmente ese umbral.
De las 169 organizaciones que completaron las cinco dimensiones, 45 se sitúan en el nivel 1, 77 en el nivel 2, 36 en el nivel 3, ocho en el nivel 4 y tres en el nivel 5. El nivel 2, denominado «en desarrollo», concentra así al mayor número de participantes.
Entre las organizaciones estancadas en ese nivel, la gestión del riesgo empresarial actúa como factor limitante en el 58% de los casos. La cultura y las capacidades organizacionales también representan un obstáculo relevante. En conjunto, el 77% de las organizaciones situadas en el nivel 2 está limitado por la gestión del riesgo empresarial o por la cultura corporativa; el porcentaje llega al 90% si se incorpora el gobierno y liderazgo.
El informe destaca, además, una carencia concreta: dos de cada tres organizaciones no cuantifican económicamente su riesgo cibernético. Solo el 5% alcanza la cuantificación monetaria integrada en modelos de estrés que el estudio asocia a los niveles superiores de madurez.
Una brecha de conocimiento sobre el alcance de NIS2
Otro de los hallazgos relevantes es el desconocimiento sobre qué organizaciones están sujetas a la directiva. El 30% de los participantes, 62 de las 209 organizaciones, no se identifica con certeza como sujeto a NIS2.
Al reconstruir la aplicabilidad a partir del sector y el tamaño de las organizaciones, el estudio concluye que 38 de esos 62 participantes sí estarían dentro del ámbito de la norma. El dato resulta especialmente significativo en el caso de las 24 organizaciones que afirmaron que NIS2 no les era aplicable: 15 sí estarían sujetas, 11 de ellas como entidades esenciales.
El documento interpreta esta situación como una brecha de concienciación que puede dificultar la preparación antes de que las obligaciones regulatorias se traduzcan en supervisión efectiva. Por ello, recomienda que las iniciativas de información y orientación prioricen la identificación de las entidades afectadas, además de explicar los requisitos que deben cumplir.
El informe también advierte de que determinados sectores están insuficientemente representados en la muestra, especialmente el agua y la investigación. En estos ámbitos, los autores consideran que todavía no hay suficientes respuestas para extraer conclusiones sólidas.
El tamaño y el sector marcan diferencias
Los resultados muestran una relación entre el tamaño de las organizaciones y su nivel de madurez. Las entidades con menos de 250 empleados obtienen una puntuación media de 2,32 sobre cinco, frente a los 3,26 puntos de las organizaciones con más de 10.000 empleados.
El mayor salto se produce entre las organizaciones de 250 a 2.500 empleados, con una media de 2,55, y las de 2.501 a 10.000, que alcanzan 2,97 puntos. Aun así, el 53% de las organizaciones de mayor tamaño permanece por debajo del nivel 3, según los datos presentados.
Por sectores, las diferencias son más reducidas. Banca y finanzas obtiene una media de 3,15, seguida de infraestructura digital y tecnologías de la información y la comunicación, con 3 puntos, y transporte, con 2,84. En el extremo inferior aparecen manufactura, administración pública y alimentación, con puntuaciones próximas a 2,5.
El estudio señala que las entidades esenciales superan a las importantes en las cinco dimensiones analizadas. La mayor diferencia se encuentra en gobierno y liderazgo, lo que refuerza la importancia de la implicación de los órganos de dirección.
La certificación ayuda, pero no garantiza la madurez
Las organizaciones que disponen de certificaciones como ISO/IEC 27001 o del Esquema Nacional de Seguridad (ENS) obtienen mejores resultados en las cinco dimensiones. No obstante, su puntuación media global continúa en el nivel 2 y la integración del riesgo cibernético en la gestión empresarial sigue siendo uno de sus puntos débiles.
El informe subraya que una certificación acredita determinados controles y procesos, pero no demuestra por sí sola que el órgano de dirección supervise de forma efectiva el riesgo ni que esa supervisión influya en las decisiones empresariales.
La diferencia entre la madurez declarada y la obtenida mediante el modelo es otro de los aspectos destacados. La autopercepción media de los responsables de seguridad alcanza 2,9 puntos, frente a los 2,1 que asigna el modelo. El 66% se sitúa por encima del nivel que le corresponde según la evaluación, mientras que el 30% coincide y el 4% se sitúa por debajo.
Según los autores, esta diferencia no implica necesariamente una sobrevaloración deliberada. Los responsables tienden a valorar la media de las capacidades de su organización, mientras que el modelo utiliza como referencia su dimensión más débil.
La directiva NIS2, aprobada por la Unión Europea, refuerza la responsabilidad del órgano de dirección en la gestión de los riesgos de ciberseguridad. El artículo 20 establece obligaciones relacionadas con la aprobación de las medidas de gestión de riesgos, la supervisión de su aplicación y la formación de los miembros de la dirección.
En este contexto, el informe sostiene que la preparación regulatoria exige que la ciberseguridad deje de ser una cuestión limitada al departamento técnico y se incorpore a la gestión ordinaria de la organización.
El documento recomienda que los consejos de administración reciban información útil para tomar decisiones, supervisen la implantación efectiva de las medidas y puedan acreditar cómo han gestionado los riesgos. También plantea reorientar parte de la inversión desde la incorporación de nuevas herramientas hacia la gestión corporativa del riesgo y el desarrollo de una cultura de responsabilidad.
El estudio recoge que el 93% de las entidades esenciales participantes aspira a alcanzar el nivel 4 en un plazo de dos años, frente al 12% que ya se encuentra en ese nivel o por encima. La distancia entre la situación actual y esa ambición evidencia el esfuerzo de transformación pendiente.
Los autores advierten de que el estudio no constituye una auditoría técnica ni una comprobación documental del cumplimiento legal. Mide la madurez descrita por los responsables de seguridad a través de un cuestionario, no una situación verificada de forma independiente.
Además, el 69% de las respuestas procede de ISMS Forum, lo que introduce un sesgo de cobertura, ya que las organizaciones vinculadas a esta comunidad pueden disponer de funciones de seguridad más desarrolladas que otras entidades todavía alejadas de la gestión formal de la ciberseguridad.
La muestra de 209 organizaciones es también reducida frente a las aproximadamente 5.760 entidades sujetas a NIS2 que cita el propio informe a partir de la memoria de análisis de impacto normativo del anteproyecto de ley. Por ello, sus resultados no deben extrapolarse automáticamente al conjunto del tejido empresarial español.
En el momento descrito por el documento, la transposición española de la directiva seguía pendiente de completar su tramitación legislativa. El estudio ofrece, por tanto, una línea de base sobre la preparación declarada por las organizaciones participantes antes de la plena aplicación del nuevo marco nacional.
La conclusión de IE University e ISMS Forum es que la adaptación a NIS2 no depende únicamente de reforzar las defensas técnicas. Requiere integrar el riesgo cibernético en la estrategia empresarial, mejorar la supervisión de los órganos de dirección y desarrollar una cultura organizacional capaz de anticipar y gestionar las amenazas.
