La ciberseguridad se ha consolidado como uno de los grandes retos estratégicos para los consejos de administración en 2025. El entorno regulatorio es cada vez más exigente y transversal, reflejo de la creciente digitalización, la sofisticación de los ataques y la importancia crítica de la confianza digital para la continuidad y el crecimiento del negocio. Hoy, la responsabilidad del consejo ya no se limita a aprobar presupuestos o delegar en el área técnica: la ley exige liderazgo, diligencia y supervisión activa.
Regulación: un nuevo estándar de diligencia
Las nuevas normativas nacionales e internacionales obligan a las empresas —especialmente las que operan en sectores críticos como energía, transporte, finanzas, salud o infraestructuras digitales— a adoptar medidas robustas de protección, gestión de riesgos y notificación de incidentes. Las sanciones por incumplimiento son cada vez más severas y la responsabilidad recae directamente sobre la alta dirección y el consejo.
Entre las obligaciones más relevantes destacan:
-
Evaluación individualizada y periódica de riesgos digitales.
-
Implantación de medidas técnicas y organizativas para proteger redes y sistemas.
-
Notificación ágil de incidentes significativos, tanto propios como de proveedores.
-
Comunicación transparente a clientes y usuarios sobre amenazas y respuestas.
-
Supervisión y formación continua de los miembros del consejo en materia de ciberseguridad.
Pautas para ejercer una debida diligencia real
Para que el consejo de administración cumpla con la debida diligencia que exige la regulación actual, debe adoptar una actitud proactiva y documentada. Estas son las recomendaciones clave:
-
Formación continua: El consejo debe mantenerse actualizado sobre amenazas, tendencias regulatorias y mejores prácticas, recibiendo formación específica y periódica.
-
Gobernanza clara: Definir roles y responsabilidades en ciberseguridad, designando responsables internos y comités que reporten directamente al consejo.
-
Supervisión activa: Revisar y aprobar las políticas de seguridad, exigir informes periódicos sobre riesgos, incidentes y auditorías, y asegurarse de que las recomendaciones se implementan.
-
Gestión de terceros: Evaluar y supervisar la seguridad de los proveedores críticos, integrando la ciberseguridad en los procesos de contratación y monitorización.
-
Recursos suficientes: Garantizar que la organización cuenta con los medios humanos, tecnológicos y presupuestarios necesarios para cumplir con la normativa y proteger sus activos digitales.
-
Transparencia y trazabilidad: Documentar todas las decisiones y acciones relacionadas con la ciberseguridad, demostrando ante reguladores y partes interesadas el compromiso y la diligencia del consejo.
Opinión: la ciberseguridad como responsabilidad indelegable
El consejo de administración debe asumir que la ciberseguridad es hoy una responsabilidad indelegable y estratégica. No basta con cumplir la ley: hay que demostrar diligencia, anticipación y liderazgo. Las empresas que integren la ciberseguridad en su cultura de gobierno no solo evitarán sanciones, sino que ganarán en resiliencia, reputación y ventaja competitiva.
En definitiva, la regulación marca el mínimo. El verdadero liderazgo exige ir más allá: convertir la ciberseguridad en una prioridad permanente y transversal, con el consejo como garante último de la confianza digital.
