Ser consejero hoy no es “saber de firewalls”. Es gobernar el ciber-riesgo como riesgo empresarial, con métricas, reporting y decisiones informadas. Tu responsabilidad (y la del consejo) ya está explícita en marcos y normas que han subido el listón: NIST CSF 2.0 incorpora la función GOVERN(gobernanza) para orientar la priorización y el seguimiento del riesgo; no es técnica, es dirección.

En Europa, NIS2 trae obligaciones y sanciones reforzadas (multas de hasta 10 M€ o el 2% del volumen mundial para esenciales; 7 M€ o 1,4% para importantes) y pone el foco en la responsabilidad y formación de los órganos de dirección. Además, fija una alerta temprana en 24 h, notificación en 72 h y informe final en 1 mes para incidentes significativos.

Si tu organización es financiera, DORA (en vigor desde 17/01/2025) establece que el management body es plenamente responsable de la gestión del riesgo TIC, con obligaciones claras sobre proveedores críticos, reporting de incidentes y pruebas avanzadas (TLPT).

Y no es teoría: la NCSC del Reino Unido ya ofrece un Board Toolkit específico y el Cyber Governance Code of Practice (2025) para directores, reforzando que la ciberseguridad es riesgo de negocio.

Tu plan de 30 días

Días 1–3: mapa de gobernanza y “pocos-pero-buenos” documentos

Pide (y lee) solo lo esencial para formarte una visión sin ruido:

1. Marco de referencia vigente y su encaje (p. ej., NIST CSF 2.0 + ISO/IEC 27001:2022).
2. Política de gestión de riesgos ciber y apetito de riesgo aprobado por el consejo.
3. Modelo de reporting al consejo (frecuencia, métricas, umbrales de escalado).
4. Mapa de terceros críticos (SaaS, MSP/MSSP, integradores, data centers) y cláusulas contractuales clave. (Bajo NIS2/DORA, la cadena de suministro es foco específico).
5. Plan de respuesta a incidentes con roles, contacto a reguladores (p. ej., AEPD 72 hen brechas de datos personales) y plantilla de comunicaciones.

Señal verde: todo cabe en ≤30 páginas y está vigente (sellos/fechas). Señal roja: documentos desalineados con NIST/ISO, sin calendario de pruebas ni lecciones aprendidas.

Días 4–10: entrevistas cortas, mismas 10 preguntas

Reúnete (30–45’) con CEO, CISO/CTO, Legal/DPO, Riesgos, Auditoría interna y Operaciones. Repite un core de preguntas para detectar incoherencias:

1. Gobernanza: ¿qué comité del consejo patrocina el ciber-riesgo y qué decisiones toma (no solo “toma nota”)? Contrasta con el NCSC Board Toolkit.
2. Apetito y métricas: ¿qué KRIs aprobados por el consejo disparan escalado? (ej. MTTD/MTTR, % activos inventariados, criticidades sin parchear >30 días, cobertura MFA, éxito de restauración RTO/RPO).
3. Ensayos: ¿último table-topy pruebas técnicas (Red/Purple Team, TLPT donde aplique DORA)?
4. Terceros: ¿quién es “crítico” y por qué? ¿Logs compartidos, derecho de auditoría, SLA de notificación y resiliencia contractual? (NIS2/DORA lo exigen con más detalle).
5. Detección y contención: ¿cobertura EDR/XDR y visibilidad en cloud/SaaS? ¿Qué use-cases gobierna el SOC y qué queda fuera?
6. Backups: pruebas de restauración con cronómetro (RTO/RPO), inmutabilidad y aislamiento.
7. Datos personales: ¿umbral de riesgo para activar notificación a la AEPD en ≤72 hy comunicación a afectados?
8. Normativa sectorial: ¿somos NIS2 (esencial/importante)? ¿DORA? ¿ENS (si sector público)? Pide el rationale.
9. AI & Shadow AI: ¿política, inventario de usos y controles de acceso? El coste medio global de brecha 2025 bajó a USD 4,44 M, pero la IA sin gobierno eleva el impacto.
10. Lecciones aprendidas: ¿qué se cerró (y validó) del último incidente/near-miss?

Días 11–20: mínimos razonables (“higiene esencial”)

Como consejero, exige un piso verificable. Una forma pragmática es pedir evidencias de los IG1 de CIS Controls v8.1(higiene esencial), alineados con NIST/ISO: inventario, control de cuentas privilegiadas, hardening, parcheo, MFA, copias y respuesta a incidentes.

Valida además:

• Alineamiento a NIST CSF 2.0 con la función GOVERN(estrategia, roles, políticas, gestión de cadena de suministro, métricas).
• ISMS conforme a ISO/IEC 27001:2022 (o plan de transición), con alcance realista y auditorías.
• Proceso NIS2: mapa de obligaciones, guía ENISA para medidas técnicas y criterios de “incidente significativo”.
• Si aplica DORA: marco de riesgo TIC, pruebas basadas en amenaza (TLPT), gobierno de terceros críticos y plazos de reporte.

Días 21–30: cadencia de reporting al consejo

Aprueba (en comité) un cuadro de mando trimestral sencillo, que todo consejero entienda:

Exposición & preparación

• % Activos críticos inventariados y con propietario
• % Cobertura MFA / PAM en identidades privilegiadas
• % Vulnerabilidades críticas >30 días (on-prem / cloud / SaaS)
• % Terceros críticos con cláusulas DORA/NIS2y evidencias de control

Desempeño

• MTTD / MTTR por severidad
• Éxito de restauración probada vs RTO/RPO
• Ensayos (table-top) y hallazgos cerrados

Riesgo & cumplimiento

• Incidentes reportables (GDPR 72 h, NIS2 24/72/1 mes) y estado de acciones
• Gap a NIST CSF 2.0 (función GOVERN) y ISO 27001(top 5 acciones)

Preguntas “sí o sí” para tu próxima sesión de consejo

• ¿Qué decisiones tomó el consejo en ciber en los últimos 12 meses y qué impacto tuvieron? (si la respuesta es “ninguna”, mala señal).
• ¿Cuál es el apetito de riesgo aprobado y qué KRIs lo activan?
• ¿Qué tercero es nuestro “punto de concentración” (cloud/MSP) y cómo reducimos riesgo de fallo común? (NIS2/DORA lo señalan).
• ¿Cuándo fue el último simulacro con directivos y quién fue portavoz?
• ¿Podemos contener y restaurar un ransomware en ≤RTO? ¿Evidencia?
• ¿Tenemos política y controles sobre IA y Shadow AI? (el coste sube sin gobierno).

Por qué te importa (números y supervisión)

• El coste medio global de una brecha 2025: USD 4,44 M (–9% respecto a 2024); en EE. UU. sube a USD 10,22 M. La IA reduce tiempos si se gobierna… o los empeora si se usa sin control.
• La SEC en EE. UU. obliga a describir la gobernanza del riesgo ciber y a reportar incidentes materiales en 4 días; sus acciones refuerzan expectativas de inversores sobre el papel del consejo. (Útil como benchmark).
• En la UE, NIS2 y DORA consolidan la responsabilidad del órgano de dirección y la supervisión de proveedores críticos.

Checklist rápido (para colgar en la sala del consejo)

1) Gobierno: Comité responsable, apetito de riesgo aprobado, métricas con umbrales y calendario de simulacros. (Guíate por NIST CSF 2.0 – GOVERN y NCSC Board Toolkit).

2) Higiene esencial: IG1 de CIS Controls v8.1(inventario, MFA, parches, backups, respuesta).

3) Terceros: Clasificación de criticidad, cláusulas de logs, auditoría, notificación y resiliencia (NIS2/DORA).

4) Incidentes y datos personales: Flujos y plantillas para 24/72/1 mes (NIS2) y 72 h AEPD.

5) AI: Política, inventario de casos y controles de acceso(mitiga el sobrecoste observado en 2025).

Señales de alerta (red flags)

• Informes al consejo con jergas técnicas pero sin KRIs ni decisiones. (El Code of PracticeUK exige enfoque de negocio).
• Proveedores críticos sin derecho de auditoría ni tiempos de notificación. (NIS2/DORA lo tratan de forma explícita).
• Backups sin pruebas cronometradas o sin aislamiento.
• Zero tabletop en 12 meses.
• Shadow AI sin política ni accesos gobernados.

Cierre (y siguiente paso)

Como consejero, no te piden configurar un SIEM. Te piden marcar el estándar de gobernanza, aprobar el apetito, exigir evidencias y tomar decisiones cuando los KRIs lo pidan. Con el marco NIST CSF 2.0 + ISO 27001, “higiene IG1” y cumplimiento NIS2/DORA, tendrás una línea base sólida para tu responsabilidad fiduciaria.