NIS2 formación de directivos: obligación y transposición

La formación de los directivos NIS2 es una obligación de la Directiva (UE) 2022/2555. Su artículo 20 obliga a los Estados miembros a exigir una formación en ciberseguridad a los miembros de los órganos de dirección de las entidades esenciales e importantes. La directiva pide también fomentar una formación similar para los empleados. En Francia, la ley de transposición aún no está definitivamente adoptada en la fecha de este artículo.

Esto es lo que dice el texto europeo, en qué punto está la transposición francesa y cómo organizar una formación que sirva a la toma de decisiones y no solo al certificado.

Lo que dice el artículo 20 de la directiva NIS2

El artículo 20 trata del gobierno corporativo. Su primer apartado pide a los órganos de dirección que aprueben las medidas de gestión de riesgos, supervisen su aplicación y respondan de las infracciones. Los directivos no pueden, pues, delegar la ciberseguridad sin seguirla.

El apartado 2 extrae la consecuencia en materia de formación. Los miembros de los órganos de dirección deben seguir una formación. Debe animarse a las entidades a ofrecer regularmente formaciones similares a sus empleados. El objetivo es adquirir conocimientos suficientes para identificar los riesgos. Se trata también de evaluar las prácticas de gestión del riesgo y su efecto en los servicios de la entidad.

La obligación es firme para los directivos y de fomento para los empleados. Es una diferencia importante con DORA, que exige módulos para todo el personal. Nuestro artículo sobre la formación DORA compara los dos textos.

La formación del personal: el artículo 21

El artículo 21, apartado 2, enumera las medidas mínimas de gestión de riesgos. La letra g) se refiere a las prácticas básicas de ciberhigiene y a la formación en ciberseguridad. La sensibilización del personal forma parte, pues, del núcleo básico, aunque el artículo 20 solo la fomente.

En concreto, una entidad que no forma a sus equipos tendrá dificultades para demostrar que sus medidas son «adecuadas y proporcionadas».

¿A quién afecta NIS2?

La directiva distingue entre entidades esenciales y entidades importantes. Pertenecen a varios sectores: energía, transportes, sanidad, bancos e infraestructuras de mercados financieros, entre otros. Según el Senado francés, la transposición francesa elevaría de 6 a 18 el número de sectores regulados.

Los bancos y las infraestructuras financieras también están sujetos a DORA, que se aplica con prioridad al riesgo TIC en el sector financiero. Una entidad debe, pues, comprobar qué texto le afecta y no acumular dos programas donde basta uno.

Las administraciones locales entran en el perímetro previsto por el proyecto de ley francés. Para ellas, la formación de los cargos electos y de la dirección general se convierte en un tema en sí mismo. Nuestro artículo sobre la sensibilización en las administraciones locales y los hospitales lo trata.

¿En qué punto está la transposición francesa?

La directiva debía transponerse antes del 17 de octubre de 2024. El proyecto de ley francés «résilience» se presentó en el Consejo de Ministros el 15 de octubre de 2024. Su título completo es: resiliencia de las infraestructuras críticas y refuerzo de la ciberseguridad. Transpone NIS2, la directiva sobre la resiliencia de las entidades críticas y la parte de DORA que afecta al sector financiero.

El Senado adoptó el texto en marzo de 2025. La comisión especial de la Asamblea Nacional lo votó en septiembre de 2025. El examen en sesión pública no se había concluido en el momento en que escribimos, según la prensa especializada.

A principios de julio de 2026, la Comisión Europea decidió llevar el asunto ante el Tribunal de Justicia de la Unión Europea. Se dirige contra Francia y otros Estados, por falta de transposición. La plataforma MonEspaceNIS2 de la ANSSI, la agencia francesa de ciberseguridad, precisa que NIS2 entrará en vigor en Francia cuando se publiquen la ley, los decretos y las órdenes. No todas las exigencias se aplicarán el mismo día.

Según el Senado, el texto afectaría a unas 15 000 entidades esenciales e importantes, así como a cerca de 1 500 administraciones locales.

¿Qué prevé el proyecto de ley sobre la formación?

En su versión inicial, el proyecto preveía una gobernanza de la seguridad de los sistemas de información. Esta gobernanza incluía la formación en ciberseguridad de los miembros de los órganos de dirección. El Senado estimó que esta redacción transponía demasiado poco el artículo 20 y amplió la formación a las personas expuestas a riesgos cibernéticos.

El texto aún puede evolucionar hasta su adopción definitiva. Antes de construir un plan, compruebe la versión vigente en Légifrance y en la web de la ANSSI.

¿Por qué no esperar? Porque el desfase entre la adopción de la ley y su aplicación deja poco tiempo, y porque las expectativas de la directiva ya son conocidas.

Un plan de formación en cuatro etapas para la dirección

1. Identificar a las personas a las que se dirige. Miembros del consejo de administración o del directorio, comité de dirección y asistentes que filtran las llamadas y las peticiones.
2. Fijar los objetivos de decisión. ¿Qué debe saber decidir un directivo el día de un incidente, y qué debe rechazar el día de una llamada fraudulenta?
3. Alternar exposición y práctica. Una breve aportación sobre el marco jurídico y después una práctica en situación sobre un escenario de crisis o de fraude.
4. Documentar y revisar. Un registro por persona y una revisión anual de los contenidos.

Los errores frecuentes

• Delegar la formación solo en el CISO. El artículo 20 pone la responsabilidad en el propio órgano de dirección.
• Esperar a la ley para actuar. Las expectativas de la directiva son públicas desde diciembre de 2022.
• Formar sin evaluar. La presencia en una sala no dice nada de lo que se ha entendido.
• Olvidar el entorno. Los asistentes de dirección reciben las llamadas que los atacantes buscan en primer lugar.

Formar a directivos: lo que funciona

Un directivo no necesita entender el cifrado. Debe saber hacer las preguntas adecuadas, decidir entre seguridad y continuidad, y no ceder cuando un ataque pasa por él.

Tres contenidos útiles

• El riesgo en lenguaje de negocio: lo que cuesta una interrupción del servicio, lo que hay que notificar, a quién.
• Las decisiones de crisis: pagar o no, cortar o mantener un servicio, informar a los clientes.
• Los ataques dirigidos a los directivos: falsas órdenes, falsos proveedores, suplantación de identidad por teléfono.

El último punto suele descuidarse. Los directivos y su entorno son blancos privilegiados del fraude de las falsas órdenes. Nuestro artículo sobre el fraude del CEO describe el mecanismo.

Por qué la práctica en situación conviene a los comités de dirección

Los directivos tienen poco tiempo y poca paciencia para los módulos genéricos. Retienen mejor una situación vivida: una llamada, una decisión que tomar en pocos minutos, una apuesta financiera.

Imaginemos a un director financiero que recibe la llamada de una persona que dice estar mandatada por el presidente para una operación confidencial. Pide una transferencia urgente e insiste en la discreción. Las respuestas adecuadas son frases sencillas:

• «Anoto su petición y llamo de nuevo al presidente a su número habitual.»
• «Ninguna transferencia se ejecuta fuera de la doble validación.»
• «La confidencialidad no excluye el procedimiento.»

Face Up permite a un formador crear este juego de rol a partir de sus casos reales. El directivo habla con un personaje interpretado por una IA. Recibe después un informe de evaluación: puntos fuertes, puntos a mejorar, citas de sus propias palabras. Puede volver a jugar para mantener su posición.

Demostrar la formación de la dirección

La directiva exige una formación, y el regulador querrá verla. Conserve la fecha, el contenido, la lista de participantes y una evaluación. Los informes de evaluación de las sesiones de práctica muestran lo que el directivo sabe hacer, no solo que estaba presente. Detallamos estos registros en el artículo sobre la prueba de formación ante el auditor.

Preguntas frecuentes

¿Es ya obligatoria en Francia la formación de los directivos?

La directiva la impone a los Estados miembros, pero la obligación solo se aplicará a las entidades francesas cuando se adopte y promulgue la ley de transposición. La preparación sigue siendo útil desde ahora.

¿Hay que formar también a los empleados?

La directiva pide fomentarlo, y el artículo 21 sitúa la ciberhigiene y la formación entre las medidas mínimas. El proyecto de ley francés, en su versión del Senado, amplía la formación a las personas expuestas.

¿Qué duración de formación hay que prever?

El texto no da ni duración ni frecuencia precisa. Pide una formación suficiente para identificar los riesgos y evaluar las prácticas de la entidad.

¿Qué relación tiene con la sensibilización al vishing?

Los directivos y sus equipos son blanco de llamadas que imitan a la jerarquía o a un proveedor. Nuestra guía sobre la formación en ciberseguridad frente al vishing propone un método para entrenarse.

Para preparar NIS2 sin esperar a la ley, programe una sesión de práctica con su comité de dirección y sus asistentes. Nuestro panorama de las formaciones obligatorias ayuda a situarla en el conjunto de sus obligaciones. Para ver un juego de rol sobre una decisión de directivo, reserve una demostración.