La ciberseguridad ya llegó a la oficina del CEO. ¿Y si todavía cree que es asunto de sistemas?

Europa ya contempla responsabilidades legales para los órganos de dirección de determinadas organizaciones. Ecuador publicó una nueva ley de ciberseguridad en 2026 y las normas internacionales refuerzan el papel de la alta dirección. ¿Por qué esperar a que una regulación nos obligue a prepararnos?

«Créeme que lo último que quieres es tener que pensar en medio de una crisis».

Fue una de las reflexiones más contundentes que escuchamos durante la PECB Conference 2026, celebrada en Roma, donde especialistas internacionales abordaron los desafíos de la ciberseguridad, la continuidad del negocio, la resiliencia operativa y la gestión de riesgos.

La frase resume una situación que muchas organizaciones conocen demasiado bien. Cuando una empresa sufre un ciberataque, pierde acceso a sus sistemas o ve interrumpidas sus operaciones, no es precisamente el mejor momento para comenzar a preguntarse quién es responsable, qué procedimientos seguir, a qué proveedores contactar o cuánto tiempo puede permanecer sin operar.

Todo eso debería haberse definido antes.

Durante años, la ciberseguridad se ha considerado una responsabilidad casi exclusiva de los departamentos de tecnologías de información. Sin embargo, las regulaciones internacionales están transformando esta perspectiva: proteger la información y garantizar la continuidad operativa ya no son solamente asuntos técnicos. Son decisiones empresariales que también involucran a quienes dirigen las organizaciones.

Europa: cuando la responsabilidad llega a los órganos de dirección

La Directiva NIS2 de la Unión Europea es uno de los ejemplos más claros de esta evolución.

Su artículo 20 establece que los órganos de dirección de las entidades esenciales e importantes comprendidas en su ámbito deben aprobar las medidas de gestión de riesgos de ciberseguridad y supervisar su implementación. También contempla que puedan ser considerados responsables de determinadas infracciones, conforme a la legislación aplicable.

Pero existe otro elemento especialmente relevante: la directiva exige capacitación en ciberseguridad para los integrantes de esos órganos de dirección.

Esto no significa que todos los CEO europeos sean personalmente responsables de cualquier incidente informático. Las obligaciones dependen del tipo de organización, su ámbito de aplicación y la legislación nacional correspondiente.

Lo que sí establece es un cambio importante en la manera de entender la responsabilidad directiva. No basta con contratar especialistas, aprobar un presupuesto y asumir que el problema está resuelto.

La alta dirección necesita comprender los riesgos que enfrenta su organización, evaluar sus posibles consecuencias y supervisar las medidas destinadas a gestionarlos.

Un director general no necesita convertirse en ingeniero de ciberseguridad. Pero sí debería entender qué está protegiendo su empresa, cuáles son sus principales vulnerabilidades y qué sucedería si sus sistemas dejaran de funcionar.

Ecuador: la regulación también avanza en Latinoamérica

No es necesario mirar exclusivamente hacia Europa para encontrar cambios legislativos.

El 22 de mayo de 2026, Ecuador publicó en su Registro Oficial la Ley Orgánica para el Fortalecimiento de la Ciberseguridad, una reforma que busca fortalecer la gobernanza de la seguridad digital, la protección de infraestructura crítica y la continuidad de servicios esenciales.

La legislación incorpora el principio de responsabilidad compartida: cada operador responde por los elementos bajo su control, especialmente en la gestión de riesgos y la prevención de incidentes.

Esto no significa que todas las empresas ecuatorianas estén obligadas a certificarse bajo ISO/IEC 27001 ni que todos sus directores tengan las mismas responsabilidades. El alcance de las obligaciones debe analizarse conforme a las disposiciones aplicables a cada organización.

Sin embargo, el avance legislativo es significativo: la ciberseguridad está adquiriendo una dimensión regulatoria cada vez más importante en Latinoamérica.

Y aquí surge una pregunta para las empresas mexicanas: ¿es preferible desarrollar capacidades de prevención y respuesta de manera planificada o esperar hasta que una obligación legal, contractual o comercial nos obligue a actuar con urgencia?

¿Y qué sucede en México?

En México existen obligaciones relacionadas con la protección de datos personales, la seguridad de la información y determinados sectores regulados. Sin embargo, no todas las empresas están sujetas a los mismos requisitos ni existe una equivalencia automática con las obligaciones de dirección establecidas en NIS2.

Las responsabilidades concretas dependen de la actividad de la organización, la información que maneja, sus compromisos contractuales y las disposiciones legales que le resulten aplicables.

Pero hay una diferencia importante entre preguntarse qué exige actualmente la legislación y preguntarse qué necesita una empresa para proteger sus operaciones.

La primera es una cuestión de cumplimiento. La segunda es una decisión de gestión empresarial.

Una organización puede enfrentar pérdidas económicas, interrupciones operativas, incumplimientos contractuales y daños reputacionales derivados de un incidente de ciberseguridad, independientemente de que exista o no una obligación de contar con determinada certificación internacional.

Los riesgos no esperan a que se publique una ley para convertirse en un problema empresarial.

La responsabilidad no termina cuando se contrata a un especialista

Delegar la operación técnica de la seguridad es necesario. Delegar por completo la comprensión de sus riesgos es otra cosa.

La dirección general debería tener respuestas claras a preguntas como estas:

Si ninguna de estas preguntas tiene una respuesta clara, probablemente existe un problema de gestión que va mucho más allá del departamento de sistemas.

Durante las conferencias de Roma también se discutió la dependencia de proveedores críticos. Una organización puede contar con controles internos adecuados y aun así quedar paralizada por la falla de un tercero del que depende su operación.

Este es precisamente uno de los temas que aborda DORA, el Reglamento de Resiliencia Operativa Digital de la Unión Europea, aplicable a determinadas entidades del sector financiero desde enero de 2025.

Aunque DORA tiene un ámbito regulatorio específico, la reflexión empresarial es mucho más amplia: conocer nuestras dependencias tecnológicas y prepararnos para posibles interrupciones debería formar parte de cualquier estrategia de continuidad del negocio.

ISO/IEC 27001: gestionar los riesgos antes de que se conviertan en crisis

La norma internacional ISO/IEC 27001 establece requisitos para implementar, mantener y mejorar un sistema de gestión de seguridad de la información.

Su enfoque permite identificar riesgos, establecer responsabilidades, definir controles y evaluar continuamente su eficacia.

Entre sus requisitos se encuentra el liderazgo y compromiso de la alta dirección. Esto resulta fundamental porque un sistema de gestión difícilmente puede funcionar si no cuenta con respaldo organizacional, recursos y responsabilidades claramente definidas.

La implementación de ISO/IEC 27001 no garantiza que una empresa nunca sufrirá un incidente ni sustituye las obligaciones legales que le correspondan. Su valor consiste en proporcionar una estructura para gestionar los riesgos de manera sistemática.

Además, conviene distinguir entre certificar el sistema de gestión de una organización y certificar las competencias de sus profesionales.

Una empresa puede necesitar especialistas en seguridad de la información, respuesta a incidentes, continuidad del negocio, recuperación ante desastres o auditoría, dependiendo de sus actividades y exposición.

Son competencias diferentes que deben desarrollarse de acuerdo con las responsabilidades de cada puesto.

La capacitación en ciberseguridad también debe llegar a los directores

Durante mucho tiempo, los programas de capacitación en ciberseguridad se han concentrado en el personal técnico. Sin embargo, la evolución de las regulaciones internacionales demuestra que la formación de la alta dirección también está adquiriendo importancia.

Un responsable técnico puede necesitar conocimientos especializados para prevenir, detectar y responder a incidentes. Un responsable de continuidad del negocio debe saber preparar estrategias de recuperación. Un auditor necesita competencias para evaluar sistemas de gestión.

Por su parte, un director general necesita comprender las implicaciones empresariales de los riesgos, las responsabilidades de gobierno corporativo y los criterios para tomar decisiones informadas.

No todos necesitan aprender lo mismo.

Las certificaciones profesionales internacionales permiten desarrollar y acreditar conocimientos y competencias específicas, aunque ninguna sustituye por sí sola una estrategia integral de gestión de riesgos.

Para las organizaciones, invertir en capacitación no debería consistir solamente en cumplir con un requisito administrativo. Debería formar parte de la preparación de las personas que tendrán que tomar decisiones cuando las circunstancias lo exijan.

¿Por qué esperar a que una ley nos obligue?

Las regulaciones seguirán evolucionando, al igual que las amenazas tecnológicas y las exigencias de clientes y socios comerciales.

Pero una interrupción operativa puede ocurrir hoy. Un proveedor crítico puede fallar mañana. Un colaborador puede comprometer información confidencial sin comprender las consecuencias de sus acciones.

Prepararse no significa asumir que todos los incidentes podrán evitarse. Significa desarrollar la capacidad de prevenir, responder, tomar decisiones y recuperar las operaciones cuando sea necesario.

La ciberseguridad no debería ser una preocupación que aparece solamente durante una auditoría, después de un incidente o cuando se anuncia una nueva regulación.

Y aquí recuperamos aquella reflexión de Roma: lo último que una organización necesita en medio de una crisis es comenzar a improvisar decisiones que pudo haber preparado con anticipación.

La pregunta para la alta dirección no debería ser cuánto tiempo falta para que una ley la obligue a gestionar sus riesgos de ciberseguridad, sino qué tan preparada está su empresa para enfrentar las consecuencias de no hacerlo.

Capacitación y certificaciones internacionales en Transformation Trends

Transformation Trends es Centro de Entrenamiento Acreditado (ATC) de EC-Council y Partner Autorizado de PECB, organizaciones internacionales que ofrecen programas de formación y certificación profesional en ciberseguridad, seguridad de la información, gestión de riesgos, continuidad del negocio y sistemas de gestión basados en normas ISO.

Facilitamos el acceso a capacitación y certificaciones internacionales para que profesionales y organizaciones mexicanas desarrollen las competencias necesarias para enfrentar los desafíos de un entorno empresarial cada vez más digital.

Conoce nuestros programas de capacitación y certificación internacional en Transformation Trends.