Europa ha dado un paso decisivo para reforzar su ciberseguridad con la progresiva implantación de la nueva directiva NIS2. Su objetivo y ambición son claros: elevar el nivel de resiliencia digital de las organizaciones públicas y privadas que sostienen las infraestructuras críticas, los servicios esenciales y buena parte de la economía europea. No obstante, a medida que las empresas y las instituciones avanzan en su implementación, está surgiendo a su vez un desafío que rara vez aparece en el debate público, y que, sin embargo, determina el éxito real de la norma; hablamos de la fricción administrativa.
En muchas organizaciones, el problema no es entender la directiva en sí, sino gestionar la complejidad de su aplicación. En un entorno regulatorio tan robusto como el nuestro, las empresas pueden percibir que con la NIS2 las obligaciones se solapan, los alcances regulatorios son poco claros y los requisitos de reporte consumen una parte significativa del tiempo de los equipos de gobernanza y cumplimiento.
Una inversión de tiempo
Este escenario nos obliga a plantear una pregunta incómoda pero necesaria, que es: ¿estamos invirtiendo suficiente energía en reducir el riesgo real, o demasiada en documentarlo?
El reciente debate en la Comisión Europea sobre un posible paquete de simplificación para la NIS2 abre una oportunidad importante, ya que simplificar no significa reducir el control ni rebajar la ambición regulatoria, sino mejorar su eficacia e implementación.
Cuando las reglas son más claras y los requisitos se alinean mejor, las organizaciones dejan de priorizar la cantidad de evidencias y empiezan a centrarse en la calidad del control. El reporting deja de ser un ejercicio meramente burocrático para convertirse en una herramienta útil para la toma de decisiones.
Los consejos de administración y los equipos directivos necesitan información que explique directamente los riesgos, es decir, qué vulnerabilidades existen, qué impacto pueden tener y dónde deben invertirse sus recursos para reducirlas. Generar una mayor cantidad de informes no mejora necesariamente la seguridad, pero generar mejores informes sí que lo hace.
Y este matiz se vuelve especialmente crítico en la notificación de incidentes. En la práctica, NIS2 convive con DORA en muchas organizaciones (lo que también afecta a numerosos proveedores TIC), y los plazos no siempre juegan a favor de la claridad. NIS2 contempla un aviso preliminar en 24 horas y un informe final en un mes, mientras que, por su parte, DORA exige notificación de incidentes TIC graves en un máximo de cuatro horas desde su clasificación. Si el «qué, cuándo y cómo» que se reporta no está bien definido el día del incidente, la organización corre el riesgo de dedicar su energía a cumplir con el tiempo de entrega del informe en lugar de contener el impacto y recuperarse con eficacia.
Reducir la burocracia en la gobernanza digital
Desde una perspectiva de gobernanza digital, la simplificación puede convertirse en un catalizador importante para cambiar la cultura del cumplimiento. Durante años, muchas organizaciones han entendido la ciberseguridad como una sucesión de controles, auditorías y listas de verificación.
Sin embargo, los programas de ciberresiliencia más eficaces funcionan de otra manera. Se construyen cuando las políticas, los controles y las métricas se refuerzan mutuamente y están alineados con los riesgos estratégicos de la organización.
Reducir duplicidades regulatorias permite liberar tiempo y recursos que pueden invertirse en lo que realmente fortalece la resiliencia, como es el desarrollo de capacidades internas, la monitorización continua, la supervisión de terceros y la preparación ante incidentes. Esto es especialmente relevante en un contexto en el que las amenazas evolucionan con rapidez, como con la expansión de la inteligencia artificial, el aumento de los ataques a la cadena de suministro o la creciente sofisticación de los cibercriminales, que exigen que las organizaciones puedan reaccionar con agilidad.
Nuestra perspectiva
Desde ISACA insistimos en la idea de que, para que NIS2 se traduzca en resiliencia real, conviene convertir los requisitos en un programa operativo con cuatro movimientos: definir con precisión el, consolidar un marco de gestión del riesgo TIC alineado con objetivos de negocio y probado regularmente con planes de continuidad y recuperación; tratar el riesgo de terceros como una dependencia crítica, y preparar playbooks de respuesta y notificación, reforzados con formación obligatoria y ejercicios periódicos.
Europa necesita organizaciones capaces de gestionar el riesgo digital de forma madura, no simplemente organizaciones capaces de producir grandes volúmenes de documentación.
Si la simplificación regulatoria permite que las funciones de gobernanza pasen del papeleo al rendimiento, el resultado será claro: organizaciones más resilientes, una mayor confianza en los servicios digitales y una economía europea mejor preparada para afrontar las amenazas del entorno digital.
En definitiva, el objetivo de la NIS2 no debería medirse por el número de informes generados, sino por la capacidad real de las organizaciones para prevenir incidentes, responder a ellos y recuperarse rápidamente cuando se producen. Porque en ciberseguridad, como en muchas otras áreas estratégicas, menos burocracia puede significar más control.
